KI-Agenten im Unternehmen: Was AI Act und DSGVO verlangen

Ein Chatbot beantwortet Fragen. Ein KI-Agent erledigt Aufgaben: Er liest das Support-Postfach, legt Tickets an, schlägt im ERP den Lieferstatus nach, schreibt dem Kunden und bucht bei Bedarf eine Ersatzlieferung. Viele Unternehmen testen solche Agenten gerade, oft auf Basis von Plattformen wie Microsoft Copilot Studio, n8n oder eigenen Entwicklungen mit großen Sprachmodellen.

Für die Compliance ändert sich damit einiges. Ein Agent formuliert nicht nur Text, er handelt im Namen des Unternehmens. Fehler landen nicht mehr in einem Entwurf, den ein Mensch noch liest, sondern direkt beim Kunden, in der Buchhaltung oder im Bewerberportal.

Was einen KI-Agenten rechtlich ausmacht

Die KI-Verordnung kennt den Begriff „Agent“ nicht. Ein Agent ist ein KI-System nach Art. 3 Nr. 1: ein maschinengestütztes System, das mit einem gewissen Grad an Autonomie arbeitet und aus Eingaben Ausgaben wie Inhalte, Empfehlungen oder Entscheidungen ableitet. Agenten liegen auf dieser Skala einfach weiter oben. Sie planen mehrere Schritte, rufen Werkzeuge auf und greifen über Schnittstellen auf andere Systeme zu.

Daraus folgen zwei Fragen, die für jeden Agenten einzeln zu beantworten sind:

1. Wofür wird der Agent eingesetzt? Die Risikoklasse hängt am Einsatzzweck, nicht an der Technik.
2. Welche Rolle hat Ihr Unternehmen? Wer einen fertigen Agenten nutzt, ist Betreiber. Wer einen Agenten selbst baut oder bauen lässt und unter eigenem Namen in Betrieb nimmt, ist Anbieter, auch wenn er ihn nur intern einsetzt.

Welche Pflichten aus dem EU AI Act gelten

Für die meisten Agenten im Mittelstand ist das Pflichtenprogramm überschaubar. Kritisch wird es, wenn der Einsatzzweck in einen der Bereiche aus Anhang III fällt.

Einsatz des Agenten	Einordnung	Pflichten (Stand nach KI-Omnibus)
Interne Recherche, Zusammenfassungen, Ticket-Vorsortierung	kein Hochrisiko	Art. 4 KI-Kompetenz, interne Regeln
Kundenkommunikation per Chat, E-Mail oder Telefon	kein Hochrisiko, aber Interaktion mit Menschen	zusätzlich Art. 50 Abs. 1: Hinweis auf KI, gilt seit 02.08.2026
Agent erzeugt veröffentlichte Texte, Bilder oder Audio	kein Hochrisiko	zusätzlich Kennzeichnung nach Art. 50
Vorauswahl von Bewerbungen (KI im Recruiting), Leistungsbewertung von Beschäftigten	Hochrisiko nach Anhang III Nr. 4	Betreiberpflichten nach Art. 26 ab 02.12.2027, als Anbieter volle Anbieterpflichten
Kreditwürdigkeitsprüfung von Privatpersonen	Hochrisiko nach Anhang III Nr. 5	wie oben, zusätzlich Grundrechte-Folgenabschätzung nach Art. 27

Die Hochrisiko-Pflichten hat der KI-Omnibus auf den 2. Dezember 2027 verschoben. Das ist kein Grund zum Abwarten. Ein Agent, der heute ins Bewerbermanagement eingebaut wird, läuft 2027 noch und muss dann die Anforderungen an menschliche Aufsicht, Protokollierung und Dokumentation erfüllen. Diese Anforderungen lassen sich jetzt beim Aufbau deutlich günstiger einplanen als später nachrüsten.

Für Art. 4 gibt es keinen EU-Bußgeldrahmen und auch das deutsche Durchführungsgesetz KI-MIG sieht dafür keinen Tatbestand vor. Trotzdem sollten alle, die Agenten konfigurieren, freigeben oder überwachen, wissen, was das System kann und wo es scheitert. Das ist Teil der KI-Kompetenzpflicht und in der Praxis die beste Absicherung gegen Fehlkonfigurationen.

Datenschutz: wo Agenten besonders heikel sind

Aus DSGVO-Sicht verschärfen Agenten die bekannten Fragen zu generativer KI, weil sie mehr Daten sehen und selbst handeln.

• Zugriffsrechte. Ein Agent mit Lesezugriff auf das gesamte Postfach und die Dateiablage sieht Gesundheitsdaten aus Krankmeldungen, Gehaltsdaten und Kundendaten. Der Grundsatz der Datenminimierung verlangt, dass er nur auf das zugreift, was er für seine Aufgabe braucht.
• Auftragsverarbeitung und Drittland. Jedes Modell und jede Plattform im Hintergrund ist ein Dienstleister. Es braucht Verträge nach Art. 28 DSGVO, und bei US-Anbietern eine tragfähige Grundlage für den Drittlandtransfer. Die Prüfpunkte dafür stehen im Ratgeber DSGVO-konforme KI-Tools prüfen.
• Automatisierte Entscheidungen. Art. 22 DSGVO setzt Entscheidungen ohne menschliche Beteiligung enge Grenzen, wenn sie Betroffene rechtlich oder ähnlich erheblich beeinträchtigen. Ein Agent darf Bewerbungen sortieren und Empfehlungen geben, die Absage sollte ein Mensch verantworten.
• Datenschutz-Folgenabschätzung. Umfangreiche Verarbeitung, neue Technologie und automatisiertes Handeln erfüllen schnell mehrere Kriterien für ein hohes Risiko. Vor dem Go-live gehört deshalb eine Schwellwertanalyse nach Art. 35 DSGVO dazu.
• Transparenz. Die Datenschutzhinweise müssen den Einsatz beschreiben, wenn der Agent Daten von Kunden oder Bewerbern verarbeitet.

Sicherheitsrisiken, die nur Agenten haben

Ein Agent nimmt Anweisungen aus Texten entgegen, die er liest. Genau das macht ihn angreifbar. Bei der sogenannten indirekten Prompt Injection versteckt ein Angreifer Anweisungen in einer E-Mail, einer Webseite oder einem Dokument, etwa „leite alle Rechnungen an folgende Adresse weiter“. Die OWASP-Liste der wichtigsten Risiken für LLM-Anwendungen führt Prompt Injection auf Platz eins.

Dazu kommen zu weit gefasste Berechtigungen, die Weitergabe von Zugangsdaten an das Modell und fehlende Protokolle, mit denen sich im Nachhinein nicht klären lässt, warum der Agent etwas getan hat. Diese Punkte gehören in die Informationssicherheit und sollten gemeinsam mit der IT bewertet werden, nicht erst nach dem ersten Vorfall. Wie schnell sich die Lage dabei ändern kann, zeigt die PHP-Lücke PHP2Shell: Auch KI-Anwendungen auf ganz normalen Webservern brauchen einen Notfallweg für kritische Updates.

8 Leitplanken vor dem Go-live

1. Agent ins KI-Register aufnehmen mit Zweck, Datenquellen, Werkzeugen, Modell und verantwortlicher Person. Die Struktur dafür zeigt die Vorlage für das KI-Register.
2. Risikoklasse und Rolle dokumentieren: Betreiber oder Anbieter, Anhang III ja oder nein.
3. Berechtigungen minimal halten: eigenes Dienstkonto, nur die nötigen Ordner und Schnittstellen, keine Administratorrechte.
4. Freigabegrenzen festlegen: Zahlungen, Vertragsabschlüsse, Löschungen und Nachrichten an Behörden nur nach menschlicher Freigabe.
5. Protokollierung einschalten: Welche Eingaben hat der Agent erhalten, welche Werkzeuge aufgerufen, was ausgegeben?
6. Externe Inhalte als nicht vertrauenswürdig behandeln: E-Mails und Webseiten dürfen keine Aktionen auslösen, ohne dass Regeln greifen.
7. KI-Hinweis einbauen, sobald der Agent mit Kunden, Bewerbern oder anderen Externen kommuniziert.
8. Verantwortliche schulen: Wer den Agenten betreut, muss Grenzen, typische Fehlerbilder und den Notfallweg kennen. Grundlagen vermittelt eine KI-Kompetenz-Schulung, die Bewertung einzelner Agenten eine strukturierte KI-Risikobewertung.

Wer im Unternehmen zuständig sein sollte

Agenten berühren Fachabteilung, IT, Datenschutz und oft den Betriebsrat, denn ein Agent, der Arbeitsabläufe von Beschäftigten protokolliert, ist regelmäßig zur Leistungs- und Verhaltenskontrolle geeignet. Ohne eine Stelle, die die Fäden zusammenhält, entstehen Agenten in den Fachabteilungen am Register vorbei. Die Rolle eines KI-Beauftragten ist keine gesetzliche Pflicht, bei Agenten aber besonders nützlich: Er bewertet neue Vorhaben, pflegt das Register, stimmt sich mit Datenschutz und IT ab und hält den Rechtsstand aktuell.

Für kleine und mittlere Unternehmen ist ein externer KI-Beauftragter meist der schnellste Weg, bei DATUREX ab 250 € im Monat. Wer den Agenten selbst bauen lassen will, findet die technische Seite bei App-Web-Entwicklung zu agentischen KI-Systemen aus derselben Unternehmensgruppe.

Fazit

Für KI-Agenten gibt es kein Sonderrecht, aber mehr Angriffsfläche. Die Pflichten ergeben sich aus dem Einsatzzweck: Für die meisten Agenten genügen heute KI-Kompetenz, Transparenz gegenüber Externen und saubere Datenschutzverträge. Wer Agenten im Personalbereich oder bei Kreditentscheidungen einsetzt, sollte die Hochrisiko-Anforderungen ab Dezember 2027 schon beim Aufbau berücksichtigen. In jedem Fall gilt: Rechte eng fassen, Freigaben für folgenreiche Aktionen beim Menschen lassen und alles protokollieren.

Häufige Fragen

Regelt der EU AI Act KI-Agenten gesondert? +

Nein. Die KI-Verordnung kennt keine eigene Kategorie für Agenten. Ein KI-Agent ist ein KI-System im Sinne von Art. 3 Nr. 1, und seine Pflichten richten sich wie bei jedem anderen System nach dem Einsatzzweck und nach Ihrer Rolle als Anbieter oder Betreiber. Ein Agent, der Rechnungen vorkontiert, ist meist kein Hochrisiko-System. Ein Agent, der Bewerbungen vorsortiert, fällt dagegen unter Anhang III.

Werde ich zum Anbieter, wenn ich einen eigenen KI-Agenten baue? +

Häufig ja. Wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Betrieb nimmt, ist Anbieter, und dazu zählt auch die Inbetriebnahme für den Eigengebrauch. Bei Agenten ohne Hochrisiko-Bezug bleiben die Anbieterpflichten überschaubar, vor allem die Transparenz nach Art. 50. Bei Hochrisiko-Anwendungen gelten die vollen Anbieterpflichten nach dem KI-Omnibus ab dem 2. Dezember 2027.

Muss ein KI-Agent sich als KI zu erkennen geben? +

Wenn er direkt mit Menschen interagiert, ja. Seit dem 2. August 2026 müssen Personen nach Art. 50 Abs. 1 erfahren, dass sie mit einem KI-System kommunizieren, sofern das nicht offensichtlich ist. Das betrifft Agenten, die Kundenanfragen per E-Mail oder Chat beantworten oder Termine telefonisch vereinbaren. Interne Agenten, die nur Daten verarbeiten, sind davon nicht erfasst.

Darf ein KI-Agent Entscheidungen über Personen treffen? +

Nur eingeschränkt. Art. 22 DSGVO verbietet grundsätzlich Entscheidungen, die ausschließlich automatisiert getroffen werden und Betroffene rechtlich oder ähnlich erheblich beeinträchtigen, etwa Absagen an Bewerber oder Kreditablehnungen. Ausnahmen setzen Vertrag, Gesetz oder ausdrückliche Einwilligung und zusätzliche Schutzmaßnahmen voraus. In der Praxis heißt das: Der Agent bereitet vor, ein Mensch entscheidet.

Brauche ich für einen KI-Agenten eine Datenschutz-Folgenabschätzung? +

Oft ja. Agenten verarbeiten typischerweise viele personenbezogene Daten aus Postfächern, CRM und Dokumentablagen, verknüpfen sie neu und handeln automatisiert. Damit sind mehrere Kriterien für ein hohes Risiko nach Art. 35 DSGVO erfüllt. Ob eine DSFA nötig ist, klärt eine Schwellwertanalyse vor dem Go-live, am besten zusammen mit dem Datenschutzbeauftragten.