Agentic AI — wie aus Sprachmodellen belastbare Fachabläufe werden
Erst das Fundament: was Sprachmodelle, Agenten und Orchestrierung wirklich sind. Dann die Architektur, die daraus ein Arbeitsmittel macht — Belege statt Behauptungen, Prüfung statt Vertrauen, menschliche Freigabe statt Automatik. Reifegrade werden offen benannt: Ehrlichkeit ist unser Arbeitsprinzip, nicht unsere Schwäche.
Was wir bauen — und was bewusst nicht
Wir verkaufen weder einen Chatbot noch bloße „LLM-Orchestrierung“. Wir bauen kontrollierte Fachabläufe, in denen KI nur ein Baustein ist.
Vier Begriffe, die nie vermischt werden dürfen
Das Sprachmodell: ein sehr gutes Muster- und Textsystem. Es liest, formuliert, macht Vorschläge — es ist nicht automatisch ein Agent und hat keine Rechte oder Hände.
Ein Auftragsbearbeiter: Programm mit Ziel, Zustand, erlaubten Werkzeugen und Stopp-Regeln. Kann ein LLM nutzen — oder reine, feste Logik sein.
Der fachliche Ablauf: Wer gibt was hinein? Welche Prüfung folgt? Was darf automatisch passieren, was braucht Freigabe? Existiert auch ohne KI.
Die Verkehrsleitung: startet passende Schritte, gibt nur nötigen Kontext weiter, setzt Grenzen, protokolliert alles.
Was ein Kunde tatsächlich bekommt
Einen klaren Fachablauf. Eingang, Rollen, Entscheidung, Ausnahme und Rückfallweg — gemeinsam präzisiert.
Ein selbst gebautes Softwarepaket. Oberfläche, Datenmodell, Rechte, Prüfregeln, Tests und Audit-Spur sind normaler, versionierter Code.
Einen gezielten KI-Baustein. Das Modell liest, extrahiert, klassifiziert oder formuliert einen Entwurf — keine unsichtbare Endentscheidung.
Betrieb und Nachweis. Monitoring, Freigaben, Fehlerpfade, Kostenlimits und eine messbare Pilotfrage machen daraus ein Arbeitsmittel statt einer Demo.
Der Maschinenraum — wer macht was
Ein robustes Agenten-System ist kein magischer Schwarm, sondern ein klarer Fluss:
Eingang. Ein Mensch oder System liefert ein PDF, eine Anfrage, einen Datensatz.
Feste Schranken. Server-Code prüft Anmeldung, Rolle, Mandant, Frist, Kostenlimit — ohne LLM.
KI-Arbeit, nur wenn sie Mehrwert hat. Ein begrenzter Auftrag plus freigegebener Kontext geht ans Modell.
Mechanische Prüfung. Code verifiziert Zitate, Werte, Quellen, Format. Eine zweite Prüfroutine darf verwerfen.
Menschliche Freigabe und Aktion. Erst danach wird gespeichert oder versendet. Jede relevante Aktion hat eine Spur.
Wie KI und Agenten funktionieren — einfach erklärt
LLM — das „Gehirn“
Ein LLM (z. B. Claude oder Mistral) versteht und erzeugt Sprache. Kein Bewusstsein — es sagt sehr gut das nächste Wort voraus. Bild: ein extrem belesener Praktikant, der blitzschnell formuliert, aber nur weiß, was auf seinem Schreibtisch liegt — und Dinge erfindet, wenn man ihn lässt.
Chatbot vs. Agent — der entscheidende Unterschied
Ein Chatbot redet (Text rein, Text raus). Ein Agent handelt: in Schritten, mit Werkzeugen — und mit menschlicher Freigabe für alles, was etwas verändert.
Werkzeuge / Function-Calling — wie ein Agent etwas TUT
Das Modell kann nichts anfassen. Es zeigt nur auf ein beschriftetes Werkzeug („Termin anlegen“) — ausführen tut es unser Programm, bei Riskantem erst nach Freigabe. Bild: Werkzeugkasten — der Agent zeigt, der Mensch dreht selbst.
Erzeuger ist nicht Prüfer — warum das der Trick ist
Wer ein Ergebnis erzeugt, gibt es nie selbst frei. Eine zweite, unabhängige Instanz versucht, es zu widerlegen — im Zweifel gilt es als falsch. Bild: Vier-Augen-Prinzip in der Buchhaltung, und der Prüfer ist bewusst ein Miesepeter.
RAG & Zitat-Zwang — belegt statt behauptet
Halluzination heißt: Das Modell erfindet Plausibles. Gegenmittel: Antworten nur mit Fundstelle aus freigegebenen Quellen. Ohne Beleg wird die Aussage blockiert und als „offen“ ausgewiesen — nicht erfunden ausgegeben. Bild: in die Bibliothek gehen und die Seite mit dem Finger zeigen, sonst gilt es nicht.
Die sechs Schrauben, an denen man einen Agenten einstellt
1 Modell (das Gehirn) · 2 System-Prompt (Auftrag + Regeln) · 3 Werkzeuge (Hände) · 4 Guardrails/Tore (Verbote, Freigabe-Pflicht, Kostengrenzen) · 5 Wissen/Kontext (freigegebene Quellen) · 6 Orchestrierung (wie viele Agenten, wie koordiniert). Steuern heißt: an diesen sechs Schrauben drehen — nicht „die KI umprogrammieren“.
Tiefer: Training vs. Inference — zwei verschiedene Dinge
Ein Modell wird einmal trainiert (Monate, riesige Textmengen, sehr teuer) — das Wissen steckt danach in Milliarden fixen Zahlen, den Gewichten. Jede Antwort im Betrieb heißt Inference: Es rechnet mit den fixen Gewichten und lernt dabei nicht automatisch dazu. Ob ein Anbieter Eingaben speichert oder nutzt, ist eine separate Produkt- und Vertragsfrage — vor jedem Kundeneinsatz konkret geprüft. Bild: Nach der Ausbildung wendet der Mitarbeiter sein Wissen an — er lernt im Job nicht automatisch dazu.
Tiefer: Warum es halluziniert — und der Temperatur-Regler
Ein LLM sagt das nächste Sprach-Häppchen voraus — optimiert auf „plausibel klingend“, nicht auf „wahr“. Fehlt Wissen, füllt es die Lücke selbstbewusst. Die Temperatur regelt Zufall/Kreativität: niedrig = konsistent (für Fakten und Prüfung), hoch = kreativer, aber unzuverlässiger. Für Prüf-Aufgaben fährt man bewusst niedrig. Das Kontextfenster (Arbeitsgedächtnis) ist begrenzt — deshalb bekommen Agenten nur das Nötige, sauber portioniert: verlässlicher UND günstiger.
Schwarmintelligenz — und die Linearitätsfalle
Die häufigste KI-Falle hat mit Agenten gar nichts zu tun: Sie entsteht beim ganz normalen Chatten.
- Eine Frage nach der anderen — jede Antwort hängt am Verlauf davor. Die Reihenfolge färbt das Ergebnis.
- Eloquent, aber ohne Beleg-Pflicht: Ob eine Aussage stimmt, prüft niemand.
- Kein Gegenspieler — wer fragt, bekommt Zustimmung.
- Wirkt wie Gründlichkeit, ist aber Zufall: die Linearitätsfalle.
- Mehrere Blickwinkel denken parallel und unabhängig — keine Reihenfolge-Effekte.
- Jede Aussage braucht ein wörtliches Zitat — das prüft der Code, nicht das Modell.
- Eine unabhängige Prüf-Instanz versucht zu widerlegen.
- Das Ergebnis geht als geprüfter Entwurf zum Menschen — mit Audit-Spur.
Können Agenten „miteinander reden wie ein Team“? Technisch ja — aber freies Agenten-Geplauder ist meist kontraproduktiv: Kontext bläht auf, Fehler pflanzen sich fort, Kosten explodieren. Robust ist strukturierte Koordination: Ein Koordinator zerlegt und sammelt über eine gemeinsame Ablage ein. Frei debattiert wird gezielt dort, wo Vielfalt das Produkt ist — Perspektiv-Agenten, die dasselbe aus verschiedenen Haltungen durchdenken.
Sicherheit & Datenschutz — die Wächter
PII & Maskierung — bevor es zum Modell geht
Personenbezogene Daten (Name, E-Mail, IBAN, Gesundheit) werden maskiert, bevor sie überhaupt zur KI gelangen; besonders sensible Daten gehen gar nicht erst hin. Bild: der schwarze Filzstift des Zensors, bevor das Blatt rausgeht.
Prompt-Injection — das KI-Risiko Nr. 1 (OWASP)
Versteckte Anweisungen in Texten sollen den Agenten kapern („ignoriere deine Regeln…“). Schutz: Nicht vertrauenswürdige Inhalte werden isoliert verarbeitet und als Daten behandelt, nie als Befehle. Bild: Der Bote nimmt Befehle nur vom echten Chef an, nicht von fremden Zetteln.
SSRF — den Server austricksen
Ein Angriff, bei dem der Server dazu gebracht wird, interne Adressen abzurufen. Schutz: Ausgehende Abrufe erlauben nur unbedenkliche Ziele. Bild: Die Poststelle prüft jede Adresse und weigert sich bei internen.
Die restlichen Wächter — kurz
RBAC: jedes Werkzeug an eine Rolle gebunden (Werksausweis). · Human-in-the-Loop: Mensch bestätigt jede verändernde Aktion (zwei Schlüssel für den Tresor). · Mandanten-Trennung: Mandant A sieht nie Daten von Mandant B (abgeschlossene Schließfächer). · Audit-Trail: wer, wann, was — „revisionssicher“ gilt erst, wenn es für den konkreten Prozess belegt ist. · Guardrails/Tore: eingebaute Schranken, pro Ablauf definiert und getestet.
Datenhoheit, EU-Anbieter & lokale Modelle
Geschlossene Modelle (Claude, GPT) laufen beim Anbieter — top Qualität, aber die Daten gehen dorthin. Offene Modelle (Llama, Mistral, Qwen) kann man selbst betreiben. Bild: Taxi (bequem, ein Fremder fährt) vs. eigenes Auto (mehr Aufwand, volle Kontrolle).
Souveränität in drei Stufen
EU-Anbieter: KI-Dienst mit vertraglich und technisch passender EU-Region. Schneller Start; Region, Aufbewahrung und Produktmodus werden konkret geprüft.
Dedizierter EU-Server: ein reservierter Server im EU-Rechenzentrum, kein geteilter Dienst.
Self-hosted / on-premise: offenes Modell im eigenen Haus, bis zum abgeschotteten Netz. Höchster Schutz, höchster Aufwand.
Der EU AI Act — Checkliste statt Schreckgespenst
Was für jeden Kundenfall schriftlich geklärt wird
Rolle und Zweck: Anbieter, Betreiber oder beides? Welche Entscheidung wird vorbereitet — und welche nicht?
Daten und Folgen: Was geht hinein? Beeinflusst das Ergebnis Menschen, Geld, Zugang oder Sicherheit?
Kontrolle und Transparenz: Wo sieht der Mensch die KI-Beteiligung, wo kann er stoppen und begründen?
Nachweis: Modell, Prompt, Quellen, Tests, Freigaben — nachvollziehbar dokumentiert.
Rechtliche Schicht: Der AI Act ersetzt weder DSGVO noch Vertrag, Auftragsverarbeitung oder Löschkonzept.
Vom Konzept zum belastbaren System
Reifegrad: das Wort, das Vertrauen schafft
Wir benennen für jedes System offen, wo es steht — Sie wissen immer, was ein Nachweis belegt und was nicht. Klicken Sie sich durch die Leiter:
Der Ablauf in fünf klaren Schritten
Einen engen, echten Fall wählen. Nicht „wir automatisieren alles“.
Eingang, Entscheidung und Ergebnis festlegen. Als Ablauf und Akzeptanzkriterium aufgeschrieben.
Den sicheren Teil in Code bauen. Rechte, Fristen, Freigaben, Protokolle — vorhersehbare Softwarelogik.
KI nur für den unstrukturierten Teil. Lesen, Zusammenfassen, Einordnen, Entwerfen — eng begrenzt.
Beweisen, dann ausweiten. Testfälle, Gegenbeispiele, Review, kleine Demo — erst dann der nächste Fall.
Bild: Wie beim Hausbau — erst Plan, Fundament und Leitungen, dann die Fassade. Das Sprachmodell ist ein sehr schneller Facharbeiter, nicht das Fundament.
Und ehrlich bleibt ehrlich: Ein grüner Test beweist nicht, dass Kunden zahlen. Eine schöne Demo beweist nicht, dass ein System produktionsreif ist. Beides sind unterschiedliche Nachweise — wir verwechseln sie nicht.
Belegtes Wissen vs. generierter Vorschlag — der wichtige Unterschied
Die Belegpflicht sichert Aussagen über den Fall: Jede Zuschreibung braucht ein wörtliches Zitat, sonst wird sie blockiert. Ein Vorschlag dagegen — ein Aktionsplan, eine Frist, eine Zielzahl — beschreibt Zukünftiges und ist deshalb nicht belegbar: Es gibt nichts zu zitieren, was noch nicht existiert. Ein Sprachmodell formuliert solche Zahlen plausibel, ohne den Fachkontext zu kennen (realistische Laufzeiten, Aufsichtsfristen, Benchmarks). Das ist kein Fehler der Kontrollschicht, sondern die Grenze jeder generierenden KI — und wir benennen sie offen.
Im echten Einsatz wird aus „geraten“ „hergeleitet und geprüft“ — auf drei Ebenen:
Der Mensch entscheidet. Jeder Vorschlagswert wird übernommen, geändert oder verworfen — protokolliert und namentlich zugerechnet. Bereits eingebaut.
Fach-Korpus als zweite Quelle. Der Generator prüft Werte gegen echte Projektdaten, Benchmarks und regulatorische Fristen des Kunden — dann sind sie hergeleitet, nicht geschätzt.
Deterministische Guardrails. Harte Regeln im Code, die kein Modell überreden kann: keine Kennzahl ohne Berechnungsbasis, Fristen nur gegen den echten Projektkalender, definierte Wertebereiche.
Referenz-Systeme — Funktion und ehrlicher Reifegrad
Woran wir arbeiten — nach Funktion benannt, mit ehrlichem Reifegrad. Interne Projektnamen und Kundennamen nennen wir grundsätzlich nicht.
Prüf-Agent für deutsches und EU-Recht: gegnerische Prüf-Rollen nacheinander plus automatische Sperre, die jede Rechts-Aussage ohne belegte Quelle blockiert. Kein Rechtsurteil. Reifegrad: technisch gebaut, in Härtung.
Mandantenfähige Betriebssoftware: jede verändernde Aktion nur mit menschlicher Freigabe, jedes Werkzeug rollengebunden, PII vor der KI maskiert, EU-Anbieter per Konfiguration. Reifegrad: einsatzbereit, in Härtung.
Management-Plattform mit Hintergrund-Automationen plus visuellem Baukasten für Abläufe ohne Programmierung. Reifegrad: technisch gebaut; einzelne Bausteine in Umsetzung.
Öffentlicher Fach-Chat im Live-Betrieb: mehrschichtiger Schutz gegen manipulierte Eingaben, aktive PII-Maskierung im Antwortstrom. Reifegrad: live, gehärtet.
Dokumentenprüfung mit belegtem Entwurf, menschlichem Review, unveränderlichem Snapshot und Audit-Kette. Reifegrad: arbeitender Prototyp auf Beispieldaten.
Digitalisierte Führungs-Fallarbeit: Perspektiv-Agenten parallel, unabhängige Prüf-Instanz, mechanische Tore, der Mensch wählt und gibt frei. Reifegrad: arbeitender Prototyp auf Beispieldaten.
Warum so zurückhaltend formuliert? Weil jede dieser Beschreibungen beim Nachfassen halten muss. Konkrete Zahlen, Testberichte und Live-Einblicke zeigen wir im technischen Review — belegt statt behauptet.
Die vier Sorgen — und die Architektur-Antworten
„Erfindet die KI nicht Dinge?“ (Halluzination)
Das Modell kann erfinden — genau deshalb: Zitat-Zwang gegen einen echten Korpus, Unbelegtes wird blockiert und sichtbar als „offen“ markiert, eine unabhängige zweite Instanz falsifiziert. Erzeuger ist nicht Prüfer.
„Macht die KI dann alles allein?“ (Kontrollverlust)
Nein. Der Agent entscheidet nichts — er legt einen belegten Entwurf vor. Verändernde Aktionen brauchen menschliche Freigabe. Dazu mechanische Tore und Kostengrenzen.
„Wo landen unsere Daten?“ (Datenabfluss)
Personenbezogenes wird vor der KI maskiert, europäische Anbieter sind konfigurierbar, Außen-Abrufe gehärtet. Ein Pilot läuft in einer Sandbox mit anonymisierten Daten; Datenklasse, Vertrag und Region werden pro Fall schriftlich geklärt.
„Kann man den Agenten austricksen?“ (Prompt-Injection)
Nicht vertrauenswürdige Inhalte werden isoliert verarbeitet und als Daten behandelt, nie als Befehle — mehrschichtig im Live-Pfad. Versteckte Anweisungen werden zitiert und analysiert, aber nicht ausgeführt.
Fünf kluge Fragen, die Sie jedem Anbieter stellen sollten
Wo würden unsere Daten und das KI-Modell verarbeitet — EU oder eigenes Haus?
Welche Aktionen laufen automatisch, welche brauchen zwingend menschliche Freigabe?
Wie wird protokolliert, wer wann welche Aktion ausgelöst hat — und wie lange aufbewahrt?
Wie ist der Agent gegen manipulierte Eingaben geschützt?
Mit welchem einzelnen, klar umrissenen Fall starten wir — hoher Nutzen, geringes Risiko?
Wer darauf keine konkreten, belegbaren Antworten bekommt, sollte kein Projekt starten — bei keinem Anbieter, auch nicht bei uns.
Worte, die Sie von uns nicht hören werden
- „Unsere KI halluziniert nicht.“ — Kein Sprachmodell kann das garantieren.
- „Das System ist deterministisch.“ — Die Code-Teile sind es; der KI-Schritt bleibt probabilistisch und wird kontrolliert.
- „Automatisch DSGVO-konform.“ — Konformität entsteht pro Einsatz, nicht aus einem Label.
- „Unhackbar“, Erfolgszahlen ohne Messung. — Ohne aktuellen Nachweis sagen wir es nicht.
- „Unbelegtes wird ausgewiesen oder blockiert — statt erfunden ausgegeben.“
- „Reproduzierbar und geprüft statt zufällig.“
- „Architektur, Vertrag und Prüfung — je Einsatz.“
- „Die konkrete Umsetzung zeigen wir offen im technischen Review.“
Häufige technische Fragen
„Welches Modell, welches Kontextfenster?“
Im Produkt wählen wir Modelle nach Aufgabe, Schutzbedarf, Qualität und Kosten — gestaffelt statt pauschal. Modell, Region und Kontextfenster sind Teil der Architekturentscheidung, kein Marketing-Slogan.
„Wie verhindert ihr Halluzinationen konkret?“
Drei Schichten: Zitat-Zwang gegen echte Quellen (RAG), Erzeuger ist nicht Prüfer (unabhängige Falsifikation), mechanische Tore im Code. Was keinen Beleg hat, kommt nicht durch — es wird sichtbar als offen markiert.
„Kosten & Latenz?“
Modelle nach Aufgabe gestaffelt: teuer nur, wo starkes Urteil nötig ist. Budgetrahmen, Grenzen und Wartezeit werden pro Ablauf gemessen und festgelegt; reine Logik ist meist günstiger und schneller.
„Vendor-Lock-in — was, wenn der Anbieter ausfällt?“
Schnittstellen und Modell-Konfiguration sind auf Wechselbarkeit ausgelegt. Ob ein konkreter Ablauf ohne Umbau wechseln kann, zeigen wir im technischen Review — „kein Lock-in“ ist kein pauschales Versprechen.
„Läuft das bei uns oder auf einem Server?“
Nutzerseitig eine Web-Anwendung: kein Installer, moderne Browser genügen. Die geschützte Verarbeitung läuft serverseitig — Geheimnisse, Datenbankzugriffe und Modell-Schlüssel gehören in den Maschinenraum, nie in den Browser.
„Ist das sicher genug für Produktion?“
Eine Demo beweist Design und einzelne Kontrollen, nicht Produktionsreife. Vor echten Kundendaten gehören Datenschutzprüfung, Rechte-Matrix, Backup-Test, Monitoring, Löschkonzept und je Schutzbedarf ein unabhängiger Penetrationstest dazu — das sagen wir unaufgefordert.
Begriffe & Glossar
Jeder Begriff in einem Satz — tippen Sie zum Filtern:
Kein Treffer — anderes Stichwort versuchen.