Der KI-Agent erledigt seinen Auftrag. Genau das kann zum Problem werden.

Der neue Agent Control Standard von OWASP rückt die Kontrolle von KI-Agenten während ihrer Arbeit in den Fokus. Kral-Kommunikation sieht eine Entscheidung, die noch früher fallen muss:

Welche unternehmerischen Handlungen darf ein Agent aus seinen technischen Berechtigungen selbst ableiten?

Mit dem am 1. September veröffentlichten Agent Control Standard fordert das OWASP GenAI Security Project mehr Transparenz und Kontrolle beim Einsatz von KI-Agenten. Unternehmen sollen nachvollziehen können, worauf Agenten zugreifen, was sie tun und ihr Verhalten während der Ausführung begrenzen können.

Für Uta-Alexandra Kral liegt davor eine weitere Frage: Welchen Handlungsspielraum will ein Unternehmen einem Agenten überhaupt geben?

"IT kann festlegen, auf welche Systeme und Funktionen ein Agent technisch zugreifen kann. Mich interessiert zusätzlich: Welche Folgerungen darf er daraus im Namen des Unternehmens selbst ziehen?", sagt Kral, ehemalige Leiterin Unternehmenssicherheit und heute Executive Partnerin für Führung unter Druck.

Ein Beispiel zeigt den Unterschied.

Ein KI-Agent bearbeitet eine Kundenreklamation. Er darf die E-Mail lesen, Vertragsdaten aufrufen, Lagerbestände prüfen und einen Ersatzvorgang vorschlagen.

Zugleich lautet sein Auftrag, für den Kunden immer eine Lösung zu finden.

Technisch ist das System möglicherweise mit zusätzlichen Funktionen verbunden, über die eine Ersatzlieferung angestoßen oder eine Gutschrift ausgelöst werden kann.

Verbindet der Agent nun die vorhandenen Informationen und verfolgt sein Ziel konsequent weiter, kann aus dem Vorschlag plötzlich eine Handlung werden, die zu weit geht: Er veranlasst die Ersatzlieferung, löst eine Gutschrift aus oder wählt einen anderen Weg zum vorgegebenen Ziel.

Obwohl eine solche Entscheidung im Unternehmen bisher einer Person mit entsprechender Vollmacht vorbehalten war.

"Eine technische Berechtigung ist noch lange keine Handlungsvollmacht", sagt Kral. "Dass ein System etwas ausführen kann, beantwortet noch nicht die Frage, ob es diese Konsequenz für das Unternehmen selbst ziehen darf."

Genau dort reicht der Blick auf einzelne Berechtigungen nicht mehr aus.

Das OWASP GenAI Security Project beschreibt auch in seinen Top 10 für Agentic Applications ein verwandtes Risiko: Einzelne Handlungen eines Agenten können für sich betrachtet legitim erscheinen, während erst aus ihrem Zusammenspiel ein problematisches Gesamtverhalten entsteht.

Für Unternehmen stellt sich damit nicht nur die Frage, welchen Zugriff ein KI-Agent erhält. Sie müssen auch festlegen, welche Kombination von Informationen und Funktionen zu welcher Handlung führen darf.

Unternehmen kennen diese Unterscheidung aus der menschlichen Arbeitswelt seit Jahrzehnten. Vollmachten, Freigabegrenzen oder Gegenzeichnungen legen nicht nur fest, wer Zugriff auf welche Informationen hat. Sie bestimmen zudem, wer daraus eine außenwirksame Handlung machen darf.

Bei einem KI-Agenten muss diese Grenze ebenfalls festgelegt sein.

Auch der häufig genannte "Human in the Loop" löst das Problem nicht automatisch.

"Der Satz ‚Da schaut am Ende noch ein Mensch drauf' reicht mir nicht", sagt Kral. "Mich interessiert, an welchem Punkt dieser Mensch ins Spiel kommt und ob er dort tatsächlich noch entscheiden kann. Wenn der Agent bereits gehandelt hat, kontrolliert der Mensch nichts mehr. Er schaut nur noch hinterher."

Gerade bei Aktionen mit finanziellen, administrativen oder nach außen wirkenden Folgen empfiehlt OWASP ausdrücklich zusätzliche Freigaben und die Trennung zwischen Entscheidung und Ausführung.

Für Kral liegt darin eine Führungsaufgabe, die nicht an die Technik delegiert werden kann: Das Unternehmen muss festlegen, bis wohin ein Agent selbstständig handeln darf und ab welchem Punkt eine Person mit entsprechender Entscheidungsbefugnis übernimmt.

Die Erwartung, ein KI-Agent werde schon wissen, wann Schluss ist, ist keine festgelegte Grenze.

Weiterführend: Im Kral-Klartext-Beitrag " Was ein KI-Agent darf, ist keine IT-Frage" vertieft Uta-Alexandra Kral den Unterschied zwischen technischer Berechtigung und unternehmerischer Handlungsvollmacht.

Quellen/Hintergrund: OWASP GenAI Security Project, Agent Control Standard, 1. September 2026 ; OWASP Top 10 for Agentic Applications 2026; OWASP AI Agent Security Cheat Sheet.

Verantwortlicher für diese Pressemitteilung:

Kral Kommunikation
Frau Uta-Alexandra Kral
Hauptstraße 2
89250 Senden
Deutschland

fon ..: +49 731 40321 214
web ..: https://kral-kommunikation.de
email : office@kral-kommunikation.de

Kral-Kommunikation arbeitet mit Führungskräften und Schlüsselrollen an den Schnittstellen von IT, Fachbereich, Compliance, Legal und Security. Im Mittelpunkt stehen kritische Entscheidungen unter Zeit-, Risiko- und Reputationsdruck sowie die Frage, welche Entscheidungen bei KI- und Digitalvorhaben im Unternehmen bleiben müssen.

Pressekontakt:

Kral Kommunikation
Frau Uta-Alexandra Kral
Magirus-Deutz-Straße 12
89077 Ulm

fon ..: +49 731 40321 214