Was ein KI-Agent tatsächlich ist und was die meisten als Agenten bezeichneten Produkte nicht sind

Ein KI-Agent ist im präzisen technischen Sinne, der für Governance und Risiko relevant ist, ein KI-System, das eine Umgebung wahrnimmt, über Ziele schlussfolgert, Handlungen plant, diese Handlungen über externe Werkzeuge oder Systeme ausführt und sein Verhalten auf Basis der Ergebnisse anpasst, bei begrenzter oder gänzlich fehlender menschlicher Aufsicht im Ablauf. Das bestimmende Merkmal ist die autonome Zielverfolgung. Ein Agent kann entscheiden, was als Nächstes zu tun ist, ohne dass es ihm ausdrücklich vorgegeben wird.

Dies unterscheidet sich wesentlich von drei benachbarten Technologien, die im kommerziellen Marketing häufig mit KI-Agenten gleichgesetzt werden:

Generative KI-Assistenten reagieren auf Prompts. Ein Chatbot oder Copilot erzeugt als Antwort auf eine Anfrage Inhalte und stoppt dann. Er verfolgt keine dauerhaften Ziele über Interaktionen hinweg. Er ergreift keine autonomen Handlungen in externen Systemen. Er unterstützt einen menschlichen Mitarbeiter; er ersetzt nicht die menschliche Entscheidungsfindung.

Robotic Process Automation (RPA) folgt vorgeschriebenen Regeln. Ein RPA-Bot führt eine deterministische Abfolge von Schritten aus, öffne diese Anwendung, kopiere dieses Feld, füge es dort ein, sende ab. RPA ist automatisiert, aber nicht anpassungsfähig. Wenn sich die Eingabe auf unerwartete Weise ändert, versagen RPA-Bots in der Regel, anstatt über Alternativen nachzudenken.

Multi-Agenten-Systeme sind eine andere und weiter fortgeschrittene Kategorie. Ein KI-Agent ist typischerweise ein einzelnes Modell, das mit Werkzeugen ausgestattet ist, um Aufgaben durchgängig zu erledigen. Agentische KI als Systemarchitektur besteht häufig aus mehreren Agenten, die sich koordinieren, Teilaufgaben delegieren und umfassendere, zusammengesetzte Ziele verfolgen. Das University of California Berkeley Center for Long-Term Cybersecurity macht diese Unterscheidung in seinem Agentic AI Risk-Management Standards Profile vom Februar 2026 ausdrücklich, und die Unterscheidung ist für die Governance von Bedeutung, denn die Aufsicht über einen einzelnen Agenten unterscheidet sich qualitativ von der Aufsicht über mehrere Agenten.

Die Marktrealität ist, dass diese technische Klarheit selten ist. Gartner hat die Praxis des „Agent Washing“ formal benannt, also die Umetikettierung älterer Chatbots, Assistenten und RPA-Werkzeuge als agentische KI ohne echte agentische Fähigkeit, und schätzt, dass nur rund 130 der Tausenden selbsternannten Anbieter agentischer KI diese in der Praxis liefern. Der erste praktische Governance-Schritt für die meisten Organisationen besteht nicht darin, eine KI-Agenten-Strategie aufzubauen. Er besteht darin, zu bestimmen, welche der bereits innerhalb der Organisation unter dem Etikett „KI-Agent“ eingesetzten Systeme tatsächlich der technischen Definition entsprechen.

Die Einführung ist real, aber sie überholt die Governance mit großem Abstand

Mehrere Datenpunkte aus Primärquellen laufen auf dieselbe Schlussfolgerung hinaus: KI-Agenten gehen im Unternehmensmaßstab in den Produktivbetrieb, und die Governance hält nicht Schritt.

Die Pressemitteilung von Gartner vom Juni 2025, die sich auf eine Umfrage vom Januar 2025 unter 3.412 Webinar-Teilnehmern stützt, ergab, dass 19 % der Organisationen erhebliche Investitionen in agentische KI getätigt hatten, 42 % zurückhaltende Investitionen, 8 % keine Investition und 31 % einen abwartenden Ansatz verfolgten oder unsicher waren. Nach Gartners eigener Prognose werden bis 2028 mindestens 15 % der alltäglichen Arbeitsentscheidungen autonom durch agentische KI getroffen (gegenüber 0 % im Jahr 2024), und bis 2028 werden 33 % der Unternehmenssoftware-Anwendungen agentische KI enthalten (gegenüber weniger als 1 % im Jahr 2024).

Dieselbe Pressemitteilung von Gartner enthielt ihre meistzitierte Prognose: Bis Ende 2027 werden über 40 % der Projekte für agentische KI aufgrund steigender Kosten, unklaren geschäftlichen Nutzens oder unzureichender Risikokontrollen eingestellt. Senior Director Analyst Anushree Verma erklärte: Die meisten Projekte für agentische KI seien Machbarkeitsnachweise im Frühstadium, die mehr von Hype als von Substanz getrieben und oft falsch angewendet würden, was die tatsächlichen Kosten und die Komplexität der Skalierung produktiver Einsätze verschleiere.

Die Governance-Lücke ist nicht theoretisch. Der Bericht State of AI in the Enterprise 2026 von Deloitte ergab, dass nur eines von fünf Unternehmen über ein ausgereiftes Modell für die Governance autonomer KI-Agenten verfügt. Der Rückstand ist struktureller Natur: Organisationen setzen Agenten schneller in Produktivumgebungen ein, als sie die für deren Steuerung erforderliche Infrastruktur für Inventarisierung, Überwachung, Identität und Rechenschaft aufbauen.

Warum das Risiko von KI-Agenten sich strukturell von anderen KI-Risiken unterscheidet

Die meisten Governance-Rahmenwerke für Unternehmens-KI, darunter das grundlegende NIST AI Risk Management Framework (AI RMF) und sein Generative AI Profile vom Juli 2024 (NIST AI 600-1), wurden für eine Welt entworfen, in der KI-Systeme Vorhersagen treffen oder Inhalte zur menschlichen Prüfung erzeugen. KI-Agenten verändern die Risikotopologie auf fünf konkrete Weisen, die Compliance-, Risiko- und Revisionsfunktionen verstehen müssen.

Autonomes Handeln mit externer Wirkung. Ein Vorhersagemodell, das eine Kreditentscheidung empfiehlt, gehört einer anderen Risikokategorie an als ein Agent, der den Kredit genehmigt, die Entscheidung an den Kunden übermittelt, das Kernbankensystem aktualisiert und die Auszahlung der Mittel terminiert. Ersteres erfordert Kontrollen für Verzerrung und Genauigkeit. Letzteres erfordert diese Kontrollen zusätzlich zu Rollback-Verfahren, einer Autorisierung auf Handlungsebene, einer Audit-Protokollierung jeder autonomen Entscheidung und einem definierten Prozess, um laufende Handlungen zu stoppen oder rückgängig zu machen.

Das University of California Berkeley Center for Long-Term Cybersecurity nennt in seinem im Februar 2026 veröffentlichten Agentic AI Risk-Management Standards Profile diese Risikokategorie mit unbeabsichtigter Zielverfolgung, unbefugter Rechteausweitung, Ressourcenbeschaffung und Verhaltensweisen wie Selbstreplikation oder Widerstand gegen die Abschaltung, die systemischen Schaden verursachen könnten. Die Formulierung ist bewusst deutlich, weil die Versagensarten sich qualitativ von denen statischer Modelle unterscheiden.

Für Menschen konzipiertes Identitäts- und Zugriffsmanagement. Unternehmensidentitätssysteme, Single Sign-On, rollenbasierte Zugriffskontrolle, Privileged Access Management, wurden auf der Annahme aufgebaut, dass der Akteur, der Zugriff anfordert, ein Mensch ist, der sich mit Zugangsdaten authentifiziert, die er allein besitzt. KI-Agenten durchbrechen diese Annahme. Ein Agent, der im Namen eines Nutzers und mit dessen Zugangsdaten handelt, kann Handlungen vornehmen, die der Nutzer nicht autorisiert hat. Ein Agent mit Dienstzugangsdaten auf Systemebene verfügt über faktischen Superuser-Zugriff ohne jegliche der menschlichen Kontrollen (Genehmigungsworkflows, Begründung, zeitlich begrenzte Rechteerhöhung), die ein privilegierter menschlicher Zugriff erfordert.

Die Australian Prudential Regulation Authority (APRA) benannte diese Lücke unmittelbar in ihrem Schreiben an die Branche zu künstlicher Intelligenz vom 30. April 2026: Das Identitäts- und Zugriffsmanagement hat sich noch nicht an nicht-menschliche Akteure wie KI-Agenten angepasst. Die APRA leitete diese Feststellung aus ihrer gezielten aufsichtsrechtlichen Befassung mit ausgewählten großen australischen Banken, Versicherern und Superannuation-Treuhändern Ende 2025 ab. Der Umstand, dass Australiens Aufsichtsbehörde für das Finanzwesen sich entschied, diese Beobachtung in klarer Sprache zu veröffentlichen, signalisiert, dass sie nun in aufsichtsrechtlichen Prüfungen überprüfbar ist.

Kaskadierende Fehler über Delegationsketten hinweg. Multi-Agenten-Systeme verstärken Fehler. Ein Agent, der einen Parameter falsch berechnet und die fehlerhafte Eingabe an einen nachgelagerten Agenten weitergibt, kann eine Kaskade sich verstärkender Fehler auslösen, bevor ein Mensch in der Lage ist einzugreifen. Der Zeithorizont für die menschliche Aufsicht bricht in agentischen Systemen zusammen: Fehler können sich in Millisekunden fortpflanzen, während die Human-in-the-Loop-Kontrollarchitektur in den meisten Unternehmen von Minuten bis Stunden ausgeht.

Probabilistisches und nicht-deterministisches Verhalten. Herkömmliche Change-Management- und Assurance-Prozesse setzen ein stabiles Artefakt voraus. Sobald ein System getestet und freigegeben ist, verhält es sich bis zur nächsten Freigabe gleich. KI-Agenten tun das nicht. Derselbe Agent kann bei gleicher Eingabe über verschiedene Durchläufe hinweg unterschiedliche Ausgaben erzeugen. Modelldrift, kontextabhängiges Schlussfolgern und der Einfluss von System-Prompts bedeuten allesamt, dass eine punktuelle Assurance unzureichend ist. Das Schreiben der APRA vom April 2026 ist in diesem Punkt konkret: Es stellte ein Vertrauen auf punktuelle, stichprobenbasierte Assurance-Methoden fest, die für probabilistische Modelle, die im Zeitverlauf lernen und driften, nicht geeignet sind.

Neuartige Angriffsflächen. KI-Agenten führen Angriffswege ein, die herkömmliche Kontrollen der Informationssicherheit nicht zu erkennen ausgelegt waren. Das Schreiben der APRA benannte ausdrücklich: Prompt Injection, Datenabfluss, unsichere Integrationen, Exploit Injection sowie die Manipulation oder den Missbrauch autonomer KI-Agenten. Eine Web Application Firewall fängt keine Prompt Injection ab. Ein herkömmlicher Penetrationstest bewertet nicht die Angriffsfläche der Werkzeugnutzung eines Agenten. Das Sicherheitstestprogramm, das die Umgebung im Jahr 2024 schützte, ist für die durch Agenten erweiterte Umgebung des Jahres 2026 strukturell unzureichend.

Die globale Regulierungslandschaft speziell zu KI-Agenten

Keine bedeutende Jurisdiktion hat bislang spezifisch auf KI-Agenten zugeschnittene Rechtsvorschriften erlassen. Stattdessen wenden die Aufsichtsbehörden bestehende Rahmenwerke auf agentische Systeme an, KI-Gesetzgebung, sektorale Aufsichtsstandards, Datenschutzrecht, Verbraucherschutzrecht, während sie ergänzende Leitlinien entwickeln.

Europäische Union, EU AI Act. Der EU AI Act enthält keine Definition eines „KI-Agenten“ und keine gesonderte Regulierungskategorie für Agenten. KI-Systeme, die der im AI Act enthaltenen Definition eines KI-Systems entsprechen und die unter Anhang III fallen (Beschäftigung, Kreditwesen, Biometrie, Bildung, Strafverfolgung, kritische Infrastruktur, wesentliche Dienstleistungen) oder gemäß Anhang I in regulierte Produkte eingebettet sind, unterliegen den Pflichten für Hochrisiko-Systeme, unabhängig davon, ob sie agentisch sind. Infolge des am 7. Mai 2026 vorläufig vereinbarten Digital Omnibus on AI gelten die Hochrisiko-Pflichten aus Anhang III ab dem 2. Dezember 2027 und die Pflichten für eingebettete Systeme aus Anhang I ab dem 2. August 2028. Die Transparenzpflichten nach Artikel 50, einschließlich der Pflicht, Nutzer darüber zu informieren, dass sie mit einem KI-System interagieren, gelten ab dem 2. August 2026 und wurden durch den Omnibus nicht verlängert. Für verbraucherorientierte KI-Agenten in der EU ist die Transparenzpflicht nach Artikel 50 der unmittelbarste Compliance-Auslöser.

Die Pflichten für Modelle mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) in den Artikeln 50 bis 55 des EU AI Act gelten für vorgelagerte Modellanbieter, nicht für die Betreiber von Agenten. Organisationen jedoch, die Agenten auf Basismodellen von Drittanbietern aufbauen, sollten sich bewusst sein, dass die Einstufung des zugrunde liegenden Modells als systemisches Risiko sowie die Pflichten des Modellanbieters in Bezug auf Bewertung, kontradiktorische Prüfung und die Meldung schwerwiegender Vorfälle das nachgelagerte Risiko des Agenten beeinflussen.

Vereinigte Staaten, NIST. Das United States National Institute of Standards and Technology (NIST) veröffentlichte über sein Center for AI Standards and Innovation (CAISI) am 8. Januar 2026 ein Request for Information zur Sicherheit von KI-Agentensystemen im Federal Register, dessen Kommentierungsfrist am 9. März 2026 endete. Das RFI grenzte KI-Agentensysteme als solche ab, die in der Lage sind, Handlungen vorzunehmen, die dauerhafte Veränderungen außerhalb des Agenten selbst bewirken, und wies ausdrücklich darauf hin, dass Systeme mit Retrieval-Augmented Generation, die nicht auf autonomes Handeln ausgerichtet sind, sowie Chatbots außerhalb seines Anwendungsbereichs liegen. Das RFI ist die bislang maßgeblichste Aussage der US-Regierung dazu, was einen KI-Agenten für Governance-Zwecke ausmacht.

Das NIST AI RMF Generative AI Profile (NIST AI 600-1), veröffentlicht am 26. Juli 2024, behandelt die Risiken generativer KI, geht aber nicht unmittelbar auf agentische Autonomie ein. Sektorspezifische Profile entstehen gerade, NIST veröffentlichte am 7. April 2026 ein Konzeptpapier für ein AI RMF Profile on Trustworthy AI in Critical Infrastructure. Fachleute, die dem offiziellen NIST-Profil vorausarbeiten, haben das Agentic AI Risk-Management Standards Profile des Berkeley Center for Long-Term Cybersecurity (Februar 2026) sowie das Agentic AI NIST AI RMF Profile der Cloud Security Alliance erstellt, die beide die vier Funktionen des NIST AI RMF (Govern, Map, Measure, Manage) auf agentische Systeme anwenden.

OECD. Das OECD AI Policy Observatory verfolgt nationale KI-Politiken und pflegt den Catalogue of Tools and Metrics for Trustworthy AI. Die OECD AI Principles, aktualisiert im Jahr 2024, gelten für alle KI-Systeme, enthalten aber noch keine agentenspezifischen Bestimmungen.

Australien: das am weitesten entwickelte praktische Rahmenwerk für die Governance von KI-Agenten

Australien hat keine KI-spezifische Gesetzgebung erlassen, die mit dem EU AI Act vergleichbar wäre. Der Ansatz der australischen Regierung, der im am 2. Dezember 2025 veröffentlichten National AI Plan dargelegt ist, besteht darin, über bestehendes, technologieneutrales Recht zu arbeiten, Datenschutzrecht, Verbraucherrecht, Arbeitsschutzrecht, Antidiskriminierungsrecht, sektorale Aufsichtsstandards, ergänzt durch Leitlinien und freiwillige Standards. Dies wird bisweilen als Schwäche beschrieben; treffender ist die Beschreibung als bewusste Entscheidung, die umfangreiche operative Leitlinien vor die Gesetzgebung stellt.

APRA Letter to Industry on AI, 30. April 2026. Dieses von Therese McCarthy Hockey, Mitglied des Vorstands der APRA, herausgegebene Schreiben ist die folgenreichste KI-spezifische regulatorische Mitteilung für die australische Finanzdienstleistungsbranche im Jahr 2026. Gestützt auf eine gezielte aufsichtsrechtliche Befassung mit ausgewählten großen Banken, Versicherern und Superannuation-Treuhändern Ende 2025 legte die APRA konkrete Erwartungen in vier Beobachtungsbereichen dar: Governance, Cyber- und Informationssicherheit, Lieferantenrisiko sowie Change-Management und Assurance.

Wichtige Beobachtungen und Erwartungen der APRA zu Agenten:

  • Vorstände bauen die technische Kompetenz, die für eine wirksame kritische Auseinandersetzung mit KI-Risiken erforderlich ist, noch auf, mit einem „übermäßigen Vertrauen auf Präsentationen und Zusammenfassungen von Anbietern“. Die von der APRA genannte Mindesterwartung: Vorstände müssen über ausreichende KI-Kompetenz verfügen, um die strategische Ausrichtung festzulegen und eine sinnvolle kritische Auseinandersetzung und Aufsicht zu leisten.
  • Erforderliche Governance-Vorkehrungen umfassen mindestens: Rahmenwerke (Richtlinie, Standard, Leitlinie) und Berichtswege; Verantwortlichkeit und Rechenschaft über den gesamten KI-Lebenszyklus hinweg; ein Inventar der KI-Werkzeuge und Anwendungsfälle; menschliche Beteiligung bei Hochrisiko-Entscheidungen sowie Rechenschaft; und Schulung und Weiterbildung der Mitarbeitenden.
  • Konkrete Erwartungen an die Cyber- und Informationssicherheit: starkes Privileged Access Management; zeitnahes Patchen; gehärtete Konfigurationen; automatisierte Schwachstellenerkennung; Penetrationstests; und „Kontrollen über agentische und autonome Workflows“.
  • Lieferantenrisiko: Erfassung und Aufrechterhaltung des Überblicks über die gesamte KI-Lieferkette, einschließlich wesentlicher Abhängigkeiten von Dritt- und Viertparteien. Auf Konzentrationsrisiko wird hingewiesen, wo Unternehmen für mehrere KI-Anwendungsfälle stark von einem einzigen Anbieter abhängen.
  • Change-Management und Assurance: kontinuierliche Validierung; integrierte Assurance über Cyber, Data Governance, Modellrisiko, operative Resilienz, Datenschutz und Verhalten hinweg; und Risikofunktionen der zweiten Verteidigungslinie sowie interne Revisionsfunktionen mit der technischen Fähigkeit, „KI-Systeme einschließlich probabilistischer Modelle und agentischer Workflows unabhängig zu beurteilen“.

Der regulatorische Anknüpfungspunkt der APRA ist das bestehende Aufsichtsrahmenwerk: CPS 220 (Risk Management), CPS 230 (Operational Risk Management, einschließlich operativer Resilienz), CPS 234 (Information Security) und CPS 510 (Governance). Die APRA hat keine neuen Aufsichtsstandards angekündigt. Das Schreiben vom April 2026 ist das Signal, dass die KI-Governance nun in aufsichtsrechtlichen Prüfungen einzelner Unternehmen und in thematischen Aktivitäten an diesen bestehenden Standards gemessen wird.

ASIC Letter, 8. Mai 2026. Die Australian Securities and Investments Commission veröffentlichte am 8. Mai 2026 ein offenes Schreiben, das jenes der APRA ergänzt und über die von der APRA beaufsichtigten Unternehmen hinaus breiter anwendbar ist. Die ASIC erwartet von Vorständen und Führungskräften, die Position der Organisation zu verstehen, die richtigen Fragen zu stellen und zu bestätigen, dass die Cyber-Resilienz im Verhältnis zum Bedrohungsumfeld angemessen ist. Dies baut auf dem Bericht REP 798 „Beware the Gap“ der ASIC vom Oktober 2024 zu Governance-Vorkehrungen für KI auf, der bereits vor dem Aufkommen agentischer KI als wesentliches Anliegen eine Governance-Lücke im gesamten Finanzdienstleistungssektor feststellte.

DTA Policy for the responsible use of AI in government. Die Policy for the responsible use of AI in government der Digital Transformation Agency trat am 1. September 2024 in Kraft und wurde seither auf Version 2.0 aktualisiert. Die DTA hat die umfassendste operative KI-Governance-Suite unter allen englischsprachigen nationalen Regierungen aufgebaut, darunter:

  • AI Plan for the Australian Public Service 2025, der den Fahrplan des APS für die KI-Einführung festlegt.
  • Technical standard for government's use of artificial intelligence, der technische Anforderungen an KI-Systeme über ihren gesamten Lebenszyklus hinweg festlegt, vom ersten Entwurf über die Überwachung bis zur Außerbetriebnahme.
  • AI Impact Assessment Tool mit begleitenden Leitlinien, das Behörden dabei unterstützt, die Auswirkungen und Risiken von KI-Anwendungsfällen anhand der australischen AI Ethics Principles zu identifizieren, zu bewerten und zu steuern.
  • Guidance on AI procurement in government.
  • Pilot AI Assurance Framework (seit September 2024 pilotiert), das den Assurance-Ansatz für KI-Anwendungsfälle im APS festlegt.
  • AI Review Committee, das zu Hochrisiko-KI-Anwendungsfällen im gesamten APS beraten soll, dessen Mandat gerade fertiggestellt wird und zu dem weitere Einzelheiten für das erste Quartal 2026 angekündigt sind.

Das DTA-Rahmenwerk ist kein Gesetz und gilt nicht außerhalb des APS. Das AI Impact Assessment Tool und der Technical Standard for AI werden jedoch von Organisationen des privaten Sektors als praktische Umsetzungsreferenzen herangezogen und genutzt, und der Ansatz der DTA steht im Einklang mit dem vom Department of Industry, Science and Resources veröffentlichten Voluntary AI Safety Standard.

National Framework for the Assurance of AI in Government. Das Data and Digital Ministers Meeting verabschiedete und veröffentlichte am 21. Juni 2024 das National Framework for the Assurance of AI in Government. Es legt Eckpfeiler und Praktiken für Regierungen auf Bundes-, Landes- und Territoriumsebene fest, die die australischen AI Ethics Principles auf ihre KI-Assurance anwenden.

Änderungen des Privacy Act, Transparenz bei automatisierter Entscheidungsfindung. Der Privacy and Other Legislation Amendment Act 2024 führte neue Transparenzpflichten für die automatisierte Entscheidungsfindung (Automated Decision-Making, ADM) ein, die am 10. Dezember 2026 in Kraft treten. Ab diesem Datum müssen APP-Stellen (APP entities) in ihren Datenschutzrichtlinien Angaben zu den Arten personenbezogener Daten machen, die bei weitgehend automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung auf Einzelpersonen verwendet werden. KI-Agenten, die solche Entscheidungen treffen oder wesentlich zu ihnen beitragen, fallen eindeutig in den Anwendungsbereich. Es wird erwartet, dass das Office of the Australian Information Commissioner (OAIC) vor dem Inkrafttreten im Dezember 2026 detaillierte Leitlinien veröffentlicht.

Praktische Umsetzung: wie sich GRC für KI-Agenten operationalisieren lässt

Die Kluft zwischen der regulatorischen Erwartung und der operativen Realität ist erheblich. Die meisten Organisationen müssen sechs Dinge tun, in ungefährer Reihenfolge der Priorität.

1. Ein Inventar und eine Klassifizierung von KI-Agenten aufbauen. Jeder in Produktion eingesetzte KI-Agent, einschließlich eingebetteter Agenten in SaaS-Werkzeugen, Copiloten in Produktivitätssuiten und Schatten-IT, sollte inventarisiert werden mit: Verantwortlichem (namentlich benannte Person), Zweck, abgerufenen Daten, Systemen, auf die eingewirkt wird, Autonomiegrad, geschäftlicher Kritikalität und Risikoklassifizierung. Dies ist die Voraussetzung für alles Weitere. Die APRA benannte das Fehlen von KI-Inventaren ausdrücklich als eine Feststellung in ihrem Schreiben vom April 2026.

2. Agenten nach Autonomiegrad klassifizieren. Nicht alle Agenten erfordern dieselben Kontrollen. Eine nützliche Klassifizierung ist: (a) beratende Agenten, die Handlungen zur menschlichen Genehmigung empfehlen; (b) taktische Agenten, die vorab genehmigte Handlungen innerhalb eng gefasster Parameter ausführen; (c) operative Agenten, die definierte Ziele über mehrstufige Workflows hinweg mit regelmäßigen menschlichen Kontrollpunkten verfolgen; (d) autonome Agenten, die kontinuierlich mit minimaler menschlicher Aufsicht arbeiten. Die Klassifizierung bestimmt das angemessene Identitätsmodell, die Human-in-the-Loop-Kontrollen, die Überwachungsintensität und die Rollback-Architektur.

3. Agenten als nicht-menschliche Identitäten behandeln. Jeder Agent sollte eine eigene Identität besitzen, die sich von der Identität jedes menschlichen Nutzers unterscheidet. Diese Identität sollte folgenden Vorgaben unterliegen: eingegrenzte Berechtigungen (least privilege), zeitlich begrenzte Zugangsdaten, protokollierte Handlungen, Trennung zwischen Agentenidentität und menschlicher Identität zu Prüfzwecken sowie die Möglichkeit des Widerrufs. Agenten, die unter den Zugangsdaten eines Nutzers handeln, sollten die Ausnahme sein, nicht die Regel, und der Nutzer sollte informiert werden und zustimmen.

4. Eine Schicht für kontinuierliche Assurance aufbauen. Punktuelle Tests sind unzureichend. Die Assurance-Schicht für Agenten benötigt kontinuierliche Validierung: Verhaltensüberwachung, Drift-Erkennung, Stichprobenprüfung und Überprüfung der Ausgaben, Anomalieerkennung bei vorgenommenen Handlungen und Integration mit dem Security Operations Centre. Genau das meint die APRA mit einer kontinuierlichen Validierung, die Modelldrift, Verzerrung, Versagensarten oder Zusammenbrüche von Kontrollen rechtzeitig zum Handeln erkennt.

5. Eine Rollback- und Kill-Switch-Architektur definieren. Jeder Agent in Produktion sollte über einen dokumentierten, getesteten Prozess verfügen für: das Stoppen des Agenten im laufenden Betrieb; das Rückgängigmachen oder Ausgleichen vorgenommener Handlungen; das Isolieren des Agenten von den Systemen, auf die er zugegriffen hat; und die Wiederherstellung des Zustands vor dem Agenten. Die Writer 2026 Enterprise AI Survey ergab, dass 35 % der Führungskräfte einräumten, einem außer Kontrolle geratenen KI-Agenten nicht sofort „den Stecker ziehen“ zu können. Dies ist eine grundlegende Kontrolllücke.

6. Die Governance auf Vorstandsebene aktualisieren. Das Risiko von KI-Agenten ist in jeder Organisation, in der Agenten in kundenorientierten, regulierten oder wirkungsstarken Prozessen eingesetzt werden, eine Angelegenheit der Vorstandsebene. Zu den Kontrollen auf Vorstandsebene gehören: eine klar benannte Führungskraft, die für das Risiko von KI-Agenten rechenschaftspflichtig ist (in der Regel der Chief Risk Officer, Chief Technology Officer oder Chief Information Security Officer, je nach Organisation); regelmäßige Berichterstattung über das KI-Agenten-Inventar und die Pipeline der Vorfälle; eine von Anbietern unabhängige Schulung der Vorstandsmitglieder zur KI-Kompetenz; und die ausdrückliche Berücksichtigung des Konzentrationsrisikos bei KI-Agenten in den Prüfungen von Drittparteirisiken.

Strategische Auswirkung: was KI-Agenten an der Organisation verändern

Über die unmittelbare Compliance-Arbeit hinaus haben KI-Agenten strategische Effekte zweiter Ordnung, die sich im Jahr 2026 leichter erkennen als planen lassen. Drei davon sind hervorzuheben.

Erstens verschiebt sich die Wettbewerbseinheit vom Prozess zum Ergebnis. Wenn ein Agent einen mehrstufigen Workflow autonom ausführen kann, hängt die Wettbewerbsposition der Organisation weniger davon ab, ob sie den Workflow dokumentiert hat, und mehr davon, ob das Ergebnis erreicht wird. Das verleiht der Ergebnismessung und der Dateninfrastruktur, die es erlaubt, Ergebnisse konkreten Handlungen zuzuordnen, besonderes Gewicht.

Zweitens verändert sich die Organisationsgestaltung. Ebenen des mittleren Managements, deren Hauptfunktion in Orchestrierung, Aufgabenverteilung, Übergaben, Statusberichten und der Eskalation von Ausnahmen bestand, werden dort strukturell überflüssig, wo Agenten diese Funktionen übernehmen. Dies ist nicht dieselbe Behauptung wie „KI wird Wissensarbeiter ersetzen“, die umstritten und weitgehend spekulativ ist. Es ist eine engere und besser begründbare Behauptung: Organisationen, die Agenten erfolgreich einsetzen, werden mit flacheren Koordinationsstrukturen arbeiten, weil die Koordinationskosten sinken.

Drittens wird das Konzentrationsrisiko bei Lieferanten systemisch. Da Microsoft, Google, OpenAI, Anthropic und eine kleine Zahl weiterer Anbieter agentische Fähigkeiten tief in Produktivitätswerkzeuge einbetten, ähnelt das Abhängigkeitsbild einzelner Organisationen der Cloud-Abhängigkeit vor einem Jahrzehnt, jedoch mit wesentlich höheren Wechselkosten. Das Schreiben der APRA wies ausdrücklich darauf hin: „einige Unternehmen, die für mehrere KI-Anwendungsfälle stark von einem einzigen Anbieter abhängig sind“. Dokumentierte Notfallplanung, Ausstiegsstrategien und Substitutionstests sind nicht länger optional.

Was als Nächstes zu tun ist

Für Organisationen, die von einem niedrigen Ausgangsniveau starten, sind drei Maßnahmen in den nächsten 90 Tagen erreichbar und werden die Governance-Position wesentlich verbessern.

Erstens: das KI-Agenten-Inventar fertigstellen. Katalogisieren Sie jedes in Produktion befindliche System, das der Agentendefinition entspricht, einschließlich eingebetteter SaaS-Agenten. Weisen Sie jedem einen rechenschaftspflichtigen Verantwortlichen zu. Genau dieses eine Artefakt fordern die APRA, die ASIC und die meisten anderen Aufsichtsbehörden nun.

Zweitens: das Inventar nach Autonomiegrad und geschäftlicher Kritikalität klassifizieren und die Agenten identifizieren, die oberhalb der Schwelle „menschliche Genehmigung je Handlung“ operieren. Dies sind die Systeme, die die meiste Aufmerksamkeit erfordern.

Drittens: die Kill-Switch- und Rollback-Fähigkeit für die Agenten mit der höchsten Kritikalität bewerten. Wenn die Antwort auf die Frage „Können wir diesen Agenten sofort stoppen und rückgängig machen, was er getan hat?“ kein zuversichtliches Ja ist, dann ist das die erste Priorität für die Behebung.

Für weiter fortgeschrittene Organisationen verlagert sich die Priorität auf den Aufbau der Schicht für kontinuierliche Assurance und die Ausrichtung der Revisions-, Risiko- und Sicherheitsfunktionen darauf, agentisches Verhalten statt statischer Modelle zu prüfen. Dies ist strukturell schwieriger als die Inventararbeit und erfordert Investitionen in Werkzeuge, Kompetenzen und die Neugestaltung von Prozessen. Die Organisationen, die Erfolg haben, werden jene sein, die die Governance von KI-Agenten als Infrastruktur statt als Zusatzaufwand behandeln, von Anfang an in der Architektur verankert, mit klarer Verantwortlichkeit und messbaren Ergebnissen.

Speziell für australische Finanzdienstleistungsunternehmen ist das Schreiben der APRA vom April 2026 das maßgebliche Dokument. Es sorgfältig zu lesen, einschließlich der ausgearbeiteten Erwartungen für jeden der vier Beobachtungsbereiche, und eine strukturierte Gap-Analyse gegenüber diesen Erwartungen durchzuführen, ist die richtige unmittelbare Priorität. Die APRA hat signalisiert, dass verhältnismäßige aufsichtsrechtliche Prüfungen, thematische Aktivitäten und die Befassung mit KI-Lieferanten über die nächsten zwölf Monate ein aktives Aufsichtsprogramm bilden werden. Das Zeitfenster für eine strukturierte frühzeitige Befassung mit dem APRA Non-Financial Risk Team, zu der das Schreiben ausdrücklich einlädt, ist jetzt offen und wird eine wesentlich mildere Aufsichtshaltung bewirken als das Abwarten einer Prüfung.

Verwandte Artikel

Weiterführende Lektüre: OECD AI in the Public Sector