Die operative Frage lautet nicht mehr, ob ein KI-Agent einen Workflow abschließen kann. Entscheidend ist, ob Ihr Unternehmen seine Zugriffe begrenzen, Ergebnisse prüfen und ihn bei Fehlern sicher stoppen kann. Mit länger laufenden, vernetzten Arbeitsagenten werden diese Kontrollen zur Voraussetzung für Skalierung – nicht zu einer Aufräumaufgabe nach dem Pilotprojekt.
Was sich ändert: Vernetzte Arbeit wird zur Produktfunktion
OpenAI führte ChatGPT Work am 9. Juli als Agenten für länger laufende Aufgaben ein. Er kann recherchieren, verbundene Apps und Dateien analysieren, Dokumente erstellen sowie geplante oder durch Änderungen ausgelöste Aufgaben ausführen. Für Enterprise und Edu ist die Vorschau zunächst standardmäßig deaktiviert; wichtige Aktionen können eine Nutzerfreigabe erfordern. Dieselbe Veröffentlichung ermöglichte auch das öffentliche Veröffentlichen leichter Sites, wobei diese Funktion zum Start nicht im EWR, in der Schweiz oder im Vereinigten Königreich verfügbar war. Die Enterprise-Release-Notes von OpenAI dokumentieren Funktionen und Rollout-Bedingungen primär.
Dadurch verschiebt sich die Risikogrenze. Eine Chat-Antwort endet normalerweise bei einer Person. Ein vernetzter Agent kann proprietären Kontext einlesen, Tools durchlaufen und ein Artefakt oder eine externe Aktion erzeugen. Ein plausibles Ergebnis belegt nicht, dass Abrufumfang, Tool-Berechtigungen, Aktionspfad und Audit-Trail angemessen waren.
Warum jeder Workflow eine Betriebsgrenze braucht
Eine Betriebsgrenze ist ein bewusst enger Vertrag: ein Geschäftsergebnis, benannte Eingabequellen, freigegebene Tools, erlaubte Aktionen, eine maximale Laufzeit oder Kostenobergrenze, ein verantwortlicher Owner und ein definierter Eskalationsweg. Sie trennt „das Modell kann dies versuchen“ von „das Unternehmen erlaubt dies produktiv“.
Das ist nicht anbieterspezifisch. Microsoft dokumentiert vergleichbare Kontrollen für Copilot Studio: Datenrichtlinien können Wissensquellen, Aktionen, Konnektoren, Skills, HTTP-Anfragen, Trigger und Veröffentlichung steuern; Administratoren können Audit-Protokolle und Data-Loss-Prevention einsetzen. Die Microsoft-Dokumentation zu Sicherheit und Governance macht den technischen Kern deutlich: Governance muss Verbindungen und Aktionen des Agenten abdecken, nicht nur die Modelleinstellung.
Für europäische Unternehmen entsteht damit zudem belastbare Evidenz für die Einordnung einer Bereitstellung im risikobasierten Rahmen des EU AI Act. Die Verordnung ist keine allgemeine Checkliste für jeden Assistenten; Klassifizierung verlangt rechtliche und tatsächliche Prüfung. Ein dokumentierter Zweck, Berechtigungen, menschliche Verantwortlichkeiten, Protokolle und Änderungshistorie sind jedoch praktische technische Grundlagen dafür. Den risikobasierten Rahmen erläutert die Europäische Kommission; dies ist keine Rechtsberatung.
Die Zielkonflikte sind operativ, nicht kosmetisch
Breite Konnektoren verringern Integrationsaufwand, vergrößern aber die Schadensreichweite einer falschen Anweisung oder eines kompromittierten Kontos. Autonome Zeitpläne sparen Routinearbeit, können jedoch während eines Incident-Fensters laufen, wenn niemand zusieht. Eine generierte interne Site kann einen Bericht zugänglicher machen, verändert aber die Frage der Datenverteilung. Nicht immer ist menschliche Freigabe die richtige Kontrolle: Bei einem risikoarmen, rein lesenden Abgleich können eine harte Berechtigungsgrenze und Stichprobenprüfung besser sein. Für Zahlungen, Kundenkommunikation, Produktionskonfiguration oder sensible HR-Entscheidungen sollte eine explizite Freigabe zwingend sein.
Auch Kosten brauchen diese Sicht. Tokenpreise sind nur ein Bestandteil. OpenAIs Leitfaden für KI-Investitionen empfiehlt Kosten pro akzeptiertem Ergebnis – einschließlich Versuchen, Abschlussquote, Latenz und menschlicher Prüfung. Das ist eine belastbare Produktionskennzahl: Ein günstigeres Modell, das wiederholt ansetzt, nicht nachvollziehbare Arbeit liefert oder Nacharbeit auslöst, ist im Betrieb nicht günstiger.
Ein praktisches Kontrollset für die erste Bereitstellung
Beginnen Sie mit einem rein lesenden Workflow mit stabilem Eingabeschema und messbarem akzeptiertem Ergebnis, etwa dem täglichen Abgleich eines Betriebsberichts gegen freigegebene Quellsysteme. Geben Sie dem Agenten eine Service-Identität mit minimalen Scopes; übergeben Sie nicht standardmäßig die weitreichende Sitzung einer Person. Halten Sie Schreibaktionen hinter einem separaten Freigabedienst oder einer Queue, statt ein allgemeines Browser- oder API-Tool zu erteilen.
Fordern Sie vor einer Ausweitung fünf Nachweise: ein repräsentatives Evaluierungsset einschließlich Fehlerfällen; ein Protokoll abgerufener Quellen und Tool-Aufrufe; einen Owner je angebundenem System; einen außerhalb einer Tabletop-Übung getesteten Kill Switch; sowie eine Prüfung von Datenstandort, Aufbewahrung und Lieferantenbedingungen. Nützliche Ausgangspunkte bieten Enterprise-Kontrollen für schnellere Agenten, menschliche Freigabe und Audit-Evidenz und Evaluierung von KI-Agenten im Produktionsbetrieb.
Die Entscheidung: kontrollierte Workflows skalieren, nicht Agentenmarken
Beschaffungsteams sollten vor der Freigabe einer Agentenfunktion nach der Kontrollebene fragen: Welche Identitäten handeln, welche Daten dürfen die Grenze überschreiten, welche Aktionen benötigen Freigabe, wo liegt die Evidenz und wie schnell lässt sich der Zugriff entziehen? Kann ein Anbieter diese Fragen nicht präzise beantworten, ist der Pilot für breitere Unternehmensdaten nicht bereit.
Die kurzfristige Chance ist real: Vernetzte Agenten können strukturierte, wiederholbare Koordinationsarbeit reduzieren. Der dauerhafte Vorteil entsteht jedoch für Unternehmen, die jede Fähigkeit beobachtbar, reversibel und zuordenbar machen, bevor sie ihr mehr Autonomie geben.
Quellen
OpenAI: ChatGPT Enterprise & Edu Release Notes.
OpenAI: How to manage AI investments in the agentic era.
Microsoft: Copilot Studio security and governance.
Europäische Kommission: AI Act.
