Wer einen KI-Agenten in den Betrieb nimmt, stellt früher oder später die Frage: Muss ein KI-Agent immer eine manuelle Freigabe haben, bevor er etwas tut? Die kurze Antwort lautet nein. Eine Freigabe für jeden Schritt macht den Agenten langsam, und sie schützt weniger, als sie verspricht. Sinnvoll ist eine Freigabe dort, wo ein Fehler teuer oder nicht mehr rückgängig zu machen ist. Für alle anderen Schritte gibt es bessere Sicherungen.
Warum eine Freigabe für alles nicht funktioniert
Der naheliegende Gedanke ist, auf Nummer sicher zu gehen: Der Agent schlägt vor, ein Mensch bestätigt, erst dann passiert etwas. In der ersten Woche funktioniert das. Danach zeigen sich zwei Probleme.
Das erste ist die Menge. Ein Agent, der täglich hunderte Vorgänge bearbeitet, erzeugt hunderte Freigaben. Die Person, die freigibt, wird zum Engpass, und der Zeitgewinn, für den der Agent eingeführt wurde, verschwindet in einer Warteschlange.
Das zweite Problem wiegt schwerer. Wer jeden Tag viele Vorschläge sieht, die fast immer stimmen, beginnt sie zu bestätigen, ohne sie zu lesen. Die Freigabe steht dann noch im Ablauf, prüft aber nichts mehr. Im Protokoll sieht es trotzdem so aus, als hätte ein Mensch jeden Schritt kontrolliert.
Eine Freigabe ist also eine knappe Ressource. Sie wirkt nur, wenn sie selten genug vorkommt, dass jemand sie ernst nimmt.
Die Entscheidungsregel: Umkehrbarkeit und Reichweite
Ob ein Schritt eine Freigabe braucht, hängt nicht davon ab, wie anspruchsvoll er für das Modell ist, sondern davon, was ein Fehler anrichtet. Zwei Fragen reichen für die meisten Fälle:
- Lässt sich der Schritt vollständig rückgängig machen? Ein Entwurf, ein interner Vermerk oder ein Eintrag in einer Prüfliste lassen sich korrigieren, ohne dass jemand außerhalb davon erfährt. Eine versendete E-Mail, eine ausgelöste Zahlung oder ein gelöschter Datensatz nicht.
- Wirkt der Schritt nach außen? Alles, was Kundinnen, Lieferanten, Behörden oder die Öffentlichkeit erreicht, trägt den Namen des Unternehmens. Ein Fehler dort lässt sich allenfalls berichtigen, aber nicht ungeschehen machen.
Daraus ergibt sich eine einfache Regel: Ist ein Schritt umkehrbar und bleibt intern, braucht er keine Freigabe, sondern ein Protokoll. Ist er nicht umkehrbar oder wirkt er nach außen, braucht er eine Freigabe, bis die Messung etwas anderes erlaubt. Bewegt er Geld oder ändert er Zugriffsrechte, bleibt die Freigabe, ergänzt um feste Obergrenzen. Wie sich die zugehörigen Zugriffsrechte schneiden lassen, beschreibt unser Beitrag Zugriffsrechte für KI-Agenten: In wessen Namen handelt der Agent?.
Wichtig ist, dass diese Regel nicht in der Anweisung an das Modell steht, sondern in der Software um den Agenten herum. Ein Werkzeug, das eine E-Mail versendet, hält den Aufruf an und wartet auf die Bestätigung, gleichgültig, was das Modell für richtig hält. Gängige Agenten-Frameworks sehen dafür eigene Mechanismen vor.
Was an die Stelle der Freigabe tritt
Fällt die Freigabe für einen Schritt weg, fällt nicht die Kontrolle weg. Sie verschiebt sich von vorher nach nachher und von Menschen auf Prüfungen, die automatisch laufen.
| Freigabe vor dem Schritt | Kontrolle nach dem Schritt | |
|---|---|---|
| Geeignet für | nicht umkehrbare oder externe Schritte | umkehrbare, interne Schritte |
| Aufwand | jeder Vorgang wartet auf einen Menschen | automatische Prüfungen plus Stichprobe |
| Risiko | Bestätigen ohne Lesen bei großer Menge | Fehler wird erst später bemerkt |
| Wirkt, wenn | Freigaben selten und gut aufbereitet sind | Protokoll und Stichprobe regelmäßig gelesen werden |
Grafik verwenden? Gern, mit Quelle Wundrig und Link auf diesen Beitrag. Hinweise
Zur Kontrolle danach gehören drei Dinge: automatische Prüfungen, die ein Ergebnis bestehen muss, bevor es weitergeht, etwa Pflichtfelder, Wertebereiche oder ein Abgleich mit dem Quellsystem; ein Protokoll, aus dem sich jede Änderung zurückverfolgen lässt; und eine regelmäßige Stichprobe, bei der ein Mensch einige Vorgänge vollständig nachvollzieht. Wie ein solches Protokoll aufgebaut ist, steht in Was hat der KI-Agent geändert? Änderungen nachvollziehbar prüfen.
Ein Beispiel: wie dieser Blog entsteht
Die Beiträge in diesem Blog schreibt eine KI-Routine, die jeden Morgen läuft. Sie veröffentlicht ohne manuelle Freigabe. Das ist eine bewusste Entscheidung nach der Regel oben, keine Abkürzung.
Ein Blogbeitrag wirkt zwar nach außen, lässt sich aber jederzeit korrigieren oder entfernen, und er löst weder Zahlungen noch Zusagen an einzelne Kunden aus. Statt einer Freigabe stehen vor jeder Veröffentlichung Prüfungen, die automatisch laufen: Die Seite muss fehlerfrei gebaut werden, jeder Beitrag braucht eine Grafik, einen Abschnitt mit häufigen Fragen und Quellen, und jede Quelle muss erreichbar sein und vorher gelesen werden. Schlägt eine Prüfung fehl, wird nichts veröffentlicht. Die Regeln dafür, welche Themen in Frage kommen, welche Aussagen unzulässig sind und welche Kunden genannt werden dürfen, sind schriftlich festgelegt. Die Kontrolle liegt damit nach der Veröffentlichung: Fällt an einem Beitrag etwas auf, wird er korrigiert, und die Ursache wird zu einer neuen Regel oder Prüfung.
Dieselbe Routine dürfte keine E-Mail an einen Kunden senden oder einen Preis im Shop ändern, ohne dass ein Mensch zustimmt. Der Unterschied liegt nicht in der Technik, sondern in den Folgen eines Fehlers.
Eine Freigabe so gestalten, dass sie prüft
Wo eine Freigabe bleibt, entscheidet ihre Gestaltung darüber, ob sie wirkt. Diese Punkte haben sich bewährt:
- Das Wesentliche zuerst zeigen. Die freigebende Person sieht, was genau passieren wird, an wen und mit welchem Wert, nicht den gesamten Verlauf des Agenten.
- Die Begründung mitliefern. Der Agent nennt, auf welche Eingaben und welche Regel er sich stützt. So lässt sich in Sekunden erkennen, ob der Vorschlag auf der richtigen Grundlage steht.
- Abweichungen hervorheben. Was vom üblichen Muster abweicht, etwa ein ungewöhnlich hoher Betrag oder ein neuer Empfänger, wird markiert.
- Drei Antworten zulassen. Unverändert freigeben, korrigiert freigeben oder ablehnen. Diese Unterscheidung ist die Grundlage für die Messung im nächsten Abschnitt.
Wann die Freigabe wegfallen kann
Eine Freigabe ist zu Beginn sinnvoll, weil noch niemand weiß, wie der Agent mit echten Fällen umgeht. Sie sollte aber nicht aus Gewohnheit bleiben. Wir nehmen sie zurück, wenn drei Bedingungen erfüllt sind:
- Die Messung ist stabil. Über mehrere Wochen echter Fälle werden Vorschläge einer Art fast nur noch unverändert freigegeben. Gezählt wird pro Art von Schritt, nicht für den Agenten insgesamt.
- Die verbleibenden Fehler sind erkennbar. Für die Fehler, die noch vorkommen, gibt es eine automatische Prüfung oder sie fallen in der Stichprobe auf.
- Der Schritt ist umkehrbar oder begrenzt. Für Schritte, die Geld bewegen oder nach außen wirken, bleibt die Freigabe oder sie wird durch feste Obergrenzen ersetzt, oberhalb derer wieder ein Mensch entscheidet.
Die Rücknahme gilt nicht für immer. Ändert sich das Modell, die Anweisung oder ein angebundenes System, kommt die Freigabe für die betroffenen Schritte vorübergehend zurück, bis die Messung wieder stabil ist. Diese Regeln gehören zum Rahmen um das Modell, den wir auf der Seite zur KI-Harness-Architektur beschreiben.
Fazit
Ein KI-Agent braucht nicht für jeden Schritt eine manuelle Freigabe. Eine Freigabe für alles wird zum Engpass und mit der Zeit zur Formalie. Sinnvoll ist sie für Schritte, die sich nicht rückgängig machen lassen, nach außen wirken, Geld bewegen oder Rechte ändern. Umkehrbare, interne Schritte sichern Sie besser mit automatischen Prüfungen, einem vollständigen Protokoll und regelmäßigen Stichproben ab. Halten Sie bei jeder Freigabe fest, ob sie unverändert, korrigiert oder abgelehnt wurde, und nehmen Sie sie pro Art von Schritt zurück, sobald die Messung es erlaubt.
Häufige Fragen
Muss ein KI-Agent immer eine manuelle Freigabe haben?
Nein. Eine Freigabe ist für Schritte nötig, die sich nicht rückgängig machen lassen oder nach außen wirken, etwa versendete Nachrichten, Zahlungen oder gelöschte Daten. Umkehrbare, interne Schritte lassen sich mit automatischen Prüfungen, Protokollen und Stichproben besser absichern.
Wann kann man die menschliche Freigabe bei einem KI-Agenten abschalten?
Wenn Vorschläge einer bestimmten Art über mehrere Wochen echter Fälle fast nur noch unverändert freigegeben werden, die verbleibenden Fehler erkennbar sind und der Schritt umkehrbar oder begrenzt ist. Ändert sich das Modell oder ein angebundenes System, kommt die Freigabe vorübergehend zurück.
Wie verhindert man, dass Freigaben nur noch abgenickt werden?
Indem Freigaben selten bleiben und gut aufbereitet sind: Die freigebende Person sieht zuerst, was genau passiert, dazu die Begründung des Agenten und markierte Abweichungen. Wer zwischen unverändert, korrigiert und abgelehnt unterscheidet, erkennt außerdem, ob eine Freigabe überhaupt noch etwas prüft.