KI-Agenten erstellen: die sechs Bausteine der Reihe nach

Ein KI-Agent ist kein Modell, das man einschaltet, sondern sechs Bausteine: Mandat, Werkzeuge und Zugänge, Wissen, Rechte und Freigabestufen, Protokoll, Prüfsatz. Fünf davon haben mit KI nichts zu tun — sie sind Zuschnitt, Berechtigungen, Nachweis und Messung. Und die Reihenfolge ist nicht beliebig: Wer die Freigabestufen erst nach dem ersten Produktivlauf nachrüstet, baut zweimal.

Je Baustein steht unten das prüfbare Ergebnis, das vorliegen muss, bevor der nächste beginnt. Die Frage, ob es überhaupt ein Agent sein soll, ist vorher zu klären — dafür gibt es die Entscheidungshilfe zwischen KI-Agent, Chatbot und fester Regel. Ob das Gerüst in einem Ablaufwerkzeug oder in eigenem Code steckt, ist dafür zweitrangig.

Baustein 1: Das Mandat

Ein Satz, ein Vorgang, mit Abgrenzung. „Liest Statusanfragen im Postfach, holt den Sendungsstatus beim Versanddienst, schreibt einen Antwortentwurf“ ist ein Mandat. „Macht den Posteingang“ ist keines — das ist ein Themengebiet, und ein Agent mit einem Themengebiet verhält sich unvorhersehbar, weil niemand sagen kann, was er nicht tun soll.

Zum Mandat gehört die Negativliste, und die ist in der Praxis wichtiger als die Aufgabenbeschreibung: Was der Agent ausdrücklich nicht anfasst — Gutschriften, Mahnungen, Beschwerden — und bei welchen Anzeichen er abbricht und abgibt. Ein Agent pro Vorgang.

Prüfbares Ergebnis: ein Satz mit einem Verb und eine Negativliste, von der Fachabteilung gegengelesen.

Baustein 2: Werkzeuge und Zugänge

Für jedes System, das der Agent berührt, werden zwei Fragen getrennt beantwortet: Was darf er lesen, und was darf er schreiben? Diese Trennung gehört nicht ins Konzept, sondern in die Zugänge selbst — ein technischer Benutzer mit Leserecht, ein zweiter mit Schreibrecht, jeder auf die engsten nötigen Felder begrenzt. Der Schreibzugang wird erst scharfgeschaltet, wenn Baustein 6 eine Zahl geliefert hat.

Niemals die Zugangsdaten eines Mitarbeiters: Damit stehen im Protokoll die Aktionen eines Menschen, der sie nicht ausgelöst hat, und bei dessen Austritt steht der Agent.

Der häufigste Projektabbruch passiert hier: Das Quellsystem hat keinen Ausgang. Dann ist das erste Projekt die Schnittstelle, nicht der Agent — und die steht selten im Budget.

Prüfbares Ergebnis: eine Tabelle mit System, Zugangsart, Lese- oder Schreibrecht und Feldern — je Zeile ein getesteter Zugang.

Baustein 3: Wissen

Welche Quellen gelten, in welchem Zustand sie sind, und was der Agent sagen muss, wenn die Antwort dort nicht steht. Der letzte Punkt entscheidet über das Vertrauen: Ein Agent, der „steht nicht in den Unterlagen“ ausgibt, ist brauchbar; einer, der die Lücke plausibel füllt, ist eine Haftungsfrage.

Technisch läuft das meist über ein Suchverfahren, das vor der Antwort in Ihren Dokumenten nachsieht und nur aus den Funden formuliert — kurz RAG. Ob das der richtige Weg ist oder ein nachtrainiertes Modell, behandeln wir gesondert; für den Bau zählt nur, dass die Quellen benannt und zugänglich sind.

Prüfbares Ergebnis: eine Liste der geltenden Quellen mit Stand und Zuständigkeit, dazu der Wortlaut für eine Lücke.

Baustein 4: Rechte und Freigabestufen

Das ist der Kern. Ein Agent startet nie auf der Stufe, auf der er enden soll, sondern dort, wo er nichts verändern kann — und steigt nur gegen eine gemessene Zahl auf.

Diese Zahl lässt sich nicht frei erfinden. Sie folgt aus der Fehlerquote, die Sie tragen wollen, und aus einer statistischen Regel: Wenn in n Fällen nichts schiefgegangen ist, lässt sich mit 95 Prozent Vertrauen nur eine Fehlerquote über 3/n ausschließen. James Hanley und Abby Lippman-Hand haben diese „Dreierregel“ 1983 in JAMA beschrieben; oberhalb von 30 Fällen stimmt die Näherung auf das nächste Prozent mit der exakten Rechnung überein, darunter überschätzt sie das Risiko leicht. Übersetzt: 30 fehlerfreie Vorgänge schließen 10 Prozent Fehlerquote nicht aus, 100 schließen 3 Prozent nicht aus, 300 schließen 1 Prozent nicht aus.

Stufe	Was der Agent tun darf	Wer entscheidet	Bedingung für den Aufstieg
1 — Vorschlag ohne Wirkung	liest, entscheidet, schreibt den Entwurf ins Protokoll; nichts verlässt den Agenten	niemand; der Entwurf wird nur mit dem richtigen Ergebnis verglichen	30 Fälle des Prüfsatzes ohne Abweichung — danach ist eine Fehlerquote über 10 Prozent ausgeschlossen
2 — Freigabe in jedem Fall	schlägt jede Aktion vor, ein Mensch gibt jede einzeln frei	Mensch, jedes Mal	50 freigegebene Vorgänge ohne Korrektur — über 6 Prozent ausgeschlossen
3 — Freigabe nur bei Unsicherheit	führt klare Fälle selbst aus, legt unklare vor	Agent bei klaren, Mensch bei unklaren Fällen	100 selbst ausgeführte Vorgänge ohne Fehler — über 3 Prozent ausgeschlossen
4 — selbständig mit Stichprobe	führt aus; ein festgelegter Anteil wird nachträglich geprüft	Agent, Kontrolle im Nachgang	kein Aufstieg mehr. 300 Vorgänge ohne Fehler halten die Quote bei höchstens 1 Prozent — wer darüber hinaus will, braucht eine andere Begründung als Statistik

Stufe 3 braucht ein Kriterium, woran der Agent Unsicherheit erkennt — eine Schwelle, eine fehlende Pflichtangabe, ein unbekannter Absender. Sonst ist Stufe 3 nur Stufe 4 mit einem beruhigenderen Namen. Und die Leiter geht in beide Richtungen: Zwei Fehler mit Außenwirkung in einem Monat setzen den Agenten eine Stufe zurück. Das wird vorher aufgeschrieben, weil es sich hinterher nicht durchsetzen lässt.

Prüfbares Ergebnis: die Stufe, auf der der Agent startet, die Zahl für den nächsten Aufstieg und der benannte Mensch, der freigibt.

Baustein 5: Das Protokoll

Mitgeschrieben wird je Vorgang: Eingabe, getroffene Entscheidung, ausgeführte Aktion, Ergebnis, Zeitpunkt, und wer freigegeben hat. Sechs Felder, nicht mehr.

Ohne Protokoll ist keine Lockerung der Freigaben möglich — nicht aus Vorsicht, sondern rechnerisch: Die Bedingungen aus Baustein 4 sind Zählungen über vergangene Vorgänge. Wer nicht mitschreibt, hat nach acht Wochen keine 50 belegten Fälle, sondern einen Eindruck. Und fragt ein Kunde später, warum seine Rechnung falsch verbucht wurde, ist das Protokoll der Unterschied zwischen einer Antwort und einer Entschuldigung.

Prüfbares Ergebnis: ein Protokolleintrag eines echten Vorgangs, in dem alle sechs Felder gefüllt sind, und eine festgelegte Aufbewahrungsdauer.

Baustein 6: Prüfsatz und Messung

Der Prüfsatz besteht aus 20 bis 50 echten Altfällen mit bekanntem richtigen Ergebnis, zusammengestellt vor dem ersten Lauf. Echte Fälle, nicht gebaute: Darin stecken die Ausnahmen, auf die niemand gekommen wäre — der Lieferant, der Rechnungen als Foto schickt, der Beleg ohne Bestellnummer.

Gemessen wird gegen das bekannte Ergebnis, nicht gegen das Gefühl der Anwender. Ein Agent, der sich gut anfühlt und bei 12 von 30 Altfällen die Position falsch zuordnet, ist nicht auf Stufe 2 zu heben. Der Prüfsatz wächst mit: Jeder Fehler aus dem Betrieb kommt als neuer Fall hinein und läuft bei jeder Änderung an Modell, Prompt oder Quellen erneut durch — der einzige Schutz davor, dass eine Verbesserung still etwas anderes kaputt macht.

Prüfbares Ergebnis: eine Datei mit Altfällen und erwarteten Ergebnissen, dazu die gemessene Trefferquote des ersten Laufs.

Ein Fall, von Anfang bis Ende

Eingangsrechnungen auslesen und zur Buchung vorlegen — alle sechs Bausteine konkret:

Mandat. „Liest PDF-Eingangsrechnungen aus dem Rechnungspostfach, erkennt Lieferant, Rechnungsnummer, Datum, Netto, Steuersatz und Positionen, ordnet Kostenstelle und Konto zu und legt den Buchungsvorschlag vor.“ Nicht im Mandat: Gutschriften, Mahnungen, Zahlungsfreigaben, Verträge.
Werkzeuge und Zugänge. Lesen: Rechnungspostfach, Lieferantenstammdaten, Kontenplan, offene Bestellungen. Schreiben: ein einziger Zugang, der nur Buchungsvorschläge im Status „ungeprüft“ anlegen darf. Keine Freigabe, keine Zahlung, kein Löschen.
Wissen. Kontenplan und Kostenstellenlogik des laufenden Geschäftsjahrs, die Zuordnungsregeln der Buchhaltung als Text, und die Regel: Fehlt die Bestellnummer oder passt der Lieferant nicht zu den Stammdaten, wird vorgelegt und nicht geraten.
Rechte und Freigabestufen. Start auf Stufe 1: zwei Wochen mitlesen, nur Entwürfe ins Protokoll, parallel buchen die Menschen wie bisher. Aufstieg auf Stufe 2 nach 30 Altfällen ohne Abweichung, auf Stufe 3 nach 50 freigegebenen Vorgängen ohne Korrektur. Unsicherheitskriterium: fehlende Pflichtangabe, unbekannter Lieferant, Abweichung zur Bestellung über einem festgelegten Betrag.
Protokoll. Je Rechnung: Dateiname und Absender, ausgelesene Felder, vorgeschlagene und tatsächlich gebuchte Buchung, Zeitpunkt, freigebende Person. Jede Korrektur eines Menschen ist damit ein Messpunkt.
Prüfsatz. 40 Rechnungen des Vorjahres von mindestens zehn Lieferanten, mit den gebuchten Werten als Soll — darunter bewusst die drei Lieferanten, deren Belege als schwierig gelten.

Dieser Fall steht nicht in einer Woche. Aber nach vier Wochen hat man eine Zahl.

Was das an Aufwand kostet

Die folgenden Spannen sind Erfahrungswerte aus eigenen Projekten, keine erhobene Statistik; sie gelten für einen Agenten mit einem Mandat und zwei bis drei Systemen. Eine Spanne ist kein Mittelwert: Der untere Wert gilt, wenn Schnittstellen und Daten in Ordnung sind, der obere, wenn beides erst entstehen muss.

Baustein	Personentage	Was den Aufwand treibt
Mandat schärfen	0,5–2	Zahl der Beteiligten, die der Negativliste zustimmen müssen
Werkzeuge und Zugänge	2–15	eine fehlende Schnittstelle verschiebt den Wert ans obere Ende
Wissen	1–10	Zustand und Zahl der Quellen, Berechtigungen auf den Inhalten
Rechte und Freigabestufen	1–3	Zahl der Stufen und wie viele Systeme Rechte kennen müssen
Protokoll	1–3	ob mitgeschrieben werden kann, wo gearbeitet wird
Prüfsatz und Messung	1–4	Altfälle mit bekanntem Ergebnis zusammenzutragen dauert länger, als alle schätzen

Zusammen 6,5 bis 37 Personentage. Die Summe aller Obergrenzen ist allerdings kein Projekt, sondern der ungünstigste Fall in jeder Zeile gleichzeitig.

Die Modellkosten überraschen in die andere Richtung. Ein Vorgang mit 20.000 Eingabe- und 1.000 Ausgabetoken kostet nach der Preisliste von Anthropic (Stand 26. Oktober 2026) bei Claude Sonnet 5.5 — 2 US-Dollar je Million Eingabe-, 10 je Million Ausgabetoken — rund 5 US-Cent, bei Claude Haiku 5.5 mit 0,10 und 0,50 US-Dollar rund 0,25 US-Cent. Bei 2.000 Vorgängen im Monat also rund 100 beziehungsweise 5 US-Dollar. Wer ein Agentenprojekt an den Modellkosten aufhängt, rechnet die falsche Spalte.

Vier Fehler in der Reihenfolge des Bauens

Freigabestufen erst nachträglich eingebaut. Wer von Anfang an schreiben darf, hat keine Stufe 1 und damit keine Messung ohne Risiko. Die Stufen hinterher einzuziehen heißt, die Rechtevergabe in allen Systemen zweimal zu machen.
Kein Prüfsatz vor dem ersten Lauf. Wer ihn nach dem Start zusammenstellt, nimmt Fälle, die er beim Testen gesehen hat. Das ist keine Messung, das ist eine Bestätigung.
Schreibrechte vor der ersten Messung. Die Reihenfolge lautet: messen, dann Rechte erweitern. Umgekehrt fällt der erste Messpunkt beim Kunden auf, nicht im Protokoll.
Protokoll als Nachgedanke. Ohne Protokoll von Tag eins fehlen die gezählten Vorgänge für den Aufstieg. Dann bleibt nur, ohne Zahlen zu lockern oder von vorn zu zählen.

Das sind Fehler beim Bauen. Die Fehler im Betrieb — zu breites Mandat, fehlende Schnittstellen, Daten in schlechtem Zustand — stehen in der Entscheidungshilfe.

Zwei Pflichten, die beim Bauen schon anfallen

Stand: Oktober 2026. Erzeugt der Agent Texte, Bilder oder Stimmen, die jemand für menschlich halten könnte, greift die Kennzeichnungspflicht aus Artikel 50 der EU-KI-Verordnung; sie gilt seit dem 2. August 2026 und ist nicht verschoben worden — was zu kennzeichnen ist, steht in KI-Kennzeichnungspflicht: Artikel 50 in der Praxis. Und die Menschen, die den Agenten freigeben, müssen nach Artikel 4 seit dem 2. Februar 2025 über ausreichende KI-Kompetenz verfügen; was das heißt, legt KI-Schulung für Mitarbeiter: Pflicht nach Artikel 4 auseinander. Beides gehört in Baustein 4, nicht in eine Abschlussprüfung.

Was Sie damit an einem Angebot prüfen können

Ein Angebot, in dem Modell, Oberfläche und Anbindung vorkommen, aber keine Freigabestufen, kein Protokoll und kein Prüfsatz, ist nicht günstiger — es verschiebt diese drei Posten auf Sie. Vier Fragen machen Angebote vergleichbar: Auf welcher Stufe startet der Agent? Welche Felder stehen im Protokoll? Wer stellt den Prüfsatz zusammen, aus wie vielen Altfällen? Und welche Zahl erlaubt Schreibrechte?

Wie wir das umsetzen, steht auf der Seite zu KI-Agenten und Automatisierung, für Agenten, die nur antworten, auf der zu Chatbots mit eigenem Wissen. Steht der erste Fall noch nicht fest, ist das eine Frage der Auswahl: KI im Unternehmen einführen beschreibt das Vorgehen, die KI-Beratung begleitet es. Das Erstgespräch kostet nichts: Kontakt.

Quellen

James A. Hanley, Abby Lippman-Hand: If Nothing Goes Wrong, Is Everything All Right? Interpreting Zero Numerators (PDF), JAMA, 1. April 1983, Band 249, Nummer 13, Seiten 1743–1745. Verlinkt ist die Fassung auf der Hochschulseite des Erstautors an der McGill University. Die Dreierregel und der Hinweis, dass die Näherung oberhalb von 30 Fällen auf das nächste Prozent mit der exakten Rechnung übereinstimmt, stehen auf Seite 2. Abgerufen am 26. Oktober 2026.
Anthropic: Preise für die Claude-Modelle sowie die Preistabelle in der Entwicklerdokumentation. Beide Seiten nennen für Claude Sonnet 5.5 2 US-Dollar je Million Eingabe- und 10 US-Dollar je Million Ausgabetoken und für Claude Haiku 5.5 (Anfragen bis 100.000 Token) 0,10 und 0,50 US-Dollar. Abgerufen am 26. Oktober 2026.
Rechtsstand zur EU-KI-Verordnung (Verordnung (EU) 2024/1689): geprüft am 24. Oktober 2026 am Volltext der konsolidierten Fassung; Artikel 50 gilt seit dem 2. August 2026, Artikel 4 seit dem 2. Februar 2025. Die Fundstellen sind in den beiden verlinkten Beiträgen zu Artikel 50 und Artikel 4 belegt.

Häufige Fragen

Wie baue ich einen KI-Agenten?

In sechs Schritten, in dieser Reihenfolge: Mandat in einem Satz festlegen, Zugänge klären und lesen von schreiben trennen, Wissensquellen benennen, Freigabestufen definieren, Protokoll einbauen, Prüfsatz aus echten Altfällen zusammenstellen. Erst danach läuft der erste Vorgang — und zwar auf der untersten Freigabestufe, auf der der Agent nichts verändert. Wer mit dem Modell anfängt statt mit dem Mandat, baut die fünf anderen Bausteine später nach, und dann teurer.

Braucht man Programmierkenntnisse, um einen KI-Agenten zu erstellen?

Für das Gerüst nicht zwingend — es gibt Ablaufwerkzeuge, in denen man Schritte zusammensteckt. Programmierung brauchen fast immer die Zugänge: Ein Agent ist nur so gut wie die Schnittstellen zu Ihren Systemen, und genau dort fehlt im Mittelstand regelmäßig etwas. Der Aufwand verschiebt sich dadurch nicht vom Bauen zum Klicken, sondern vom Modell zur Anbindung.

Welche Rechte braucht ein KI-Agent?

Getrennte Zugänge für Lesen und Schreiben, jeder auf das engste nötige Feld begrenzt, und eigene technische Benutzer statt der Zugangsdaten eines Mitarbeiters. Schreibrechte kommen erst dazu, wenn die Trefferquote an echten Altfällen gemessen ist — nicht zum Projektstart. Alles, was Geld bewegt, Daten löscht oder nach außen geht, bleibt bis zur gemessenen Lockerung bei einem Menschen.

Woran erkenne ich, dass ein KI-Agent zuverlässig läuft?

An einer Zahl aus einem Prüfsatz echter Altfälle mit bekanntem richtigen Ergebnis, nicht am Eindruck der Anwender. Wie viele Fälle Sie dafür brauchen, folgt aus der Fehlerquote, die Sie noch tragen wollen: Nach der statistischen Dreierregel schließen 30 fehlerfreie Fälle mit 95 Prozent Vertrauen nur eine Fehlerquote über 10 Prozent aus, 100 fehlerfreie Fälle eine über 3 Prozent. Ein fehlerfreier Tag beweist nichts.

Was kostet ein Agentenlauf an Modellkosten?

Wenige Cent pro Vorgang. Ein Vorgang mit 20.000 Eingabe- und 1.000 Ausgabetoken kostet bei Claude Sonnet 5.5 nach der Preisliste von Anthropic (2 US-Dollar je Million Eingabe-, 10 US-Dollar je Million Ausgabetoken, Stand 26. Oktober 2026) rund 5 US-Cent, bei Claude Haiku 5.5 rund 0,25 US-Cent. Der Aufwand eines Agentenprojekts steckt deshalb nicht in den Modellkosten, sondern in den Zugängen, im Zustand der Daten und im Betrieb.