Wie man einen KI-Agenten führt: die acht Ebenen
KI-Agenten sind neue Mitarbeiter: fleißig, schnell, ohne Kenntnis des Betriebs. Wie führt man sie? Über acht Steuerungsebenen — von der freundlichen Anweisung bis zur harten Sperre. Sechs davon sind Anweisungen, zwei sind Zusagen. Wer den Unterschied kennt, kann weit mehr Autonomie gewähren, ohne das Risiko.
Es gibt gerade ein Wort, das in jeder zweiten Präsentation vorkommt: Agent. Gemeint ist eine künstliche Intelligenz, die nicht mehr nur antwortet, sondern handelt. Die Dateien öffnet, Programme aufruft, Bestellungen anlegt, Code schreibt, Rechnungen prüft — und dabei selbst entscheidet, was der nächste Schritt ist.
Das funktioniert erstaunlich gut. Und es funktioniert dann besonders gut, wenn man eine einfache Sache verstanden hat: Wer eine automatische Antwort darauf hat, ob die Arbeit gut geworden ist, kann sehr viel Autonomie gewähren.
Autonomie ist nämlich billig. Man muss einem KI-System nur die Erlaubnis geben, und schon arbeitet es stundenlang durch. Was Wert schafft, ist die Rückmeldeschleife: die Vorrichtung, die nach jedem Schritt prüft, ob das Ergebnis trägt. Wer diese Schleife eng zieht, macht Freiheit ungefährlich — und darf dem System dann sehr viel überlassen.
Der Vergleich, der alles erklärt
Der beste Vergleich für einen KI-Agenten ist ein neuer Mitarbeiter. Sehr schnell, sehr fleißig, mit gutem Allgemeinwissen — aber ohne jede Kenntnis des Betriebs, und mit der Eigenschaft, gelegentlich etwas selbstbewusst zu erfinden, was er nicht weiß.
Wie führt man so jemanden?
Man gibt ihm ein Handbuch. Man erklärt ihm die Regeln. Man gibt ihm Checklisten für wiederkehrende Aufgaben. Man sagt ihm, an wen er delegieren kann. Man gibt ihm eine Schlüsselkarte, die nur bestimmte Türen öffnet. Und man sorgt dafür, dass die Kasse abends automatisch gezählt wird — nicht aus Misstrauen, sondern weil man Kassen eben zählt.
Genau diese Werkzeuge existieren auch bei KI-Agenten. Es sind acht Ebenen. Sie unterscheiden sich in zwei Dingen: wie viel sie dauerhaft kosten, und wie verbindlich sie sind.
Und der nützlichste Satz dieses Artikels ist dieser: Sechs davon sind Anweisungen. Zwei sind Zusagen.
Die Fachbegriffe unten stammen aus Claude Code, dem Werkzeug, mit dem ich täglich arbeite. Bei anderen Systemen heißen sie anders — die Struktur ist überall dieselbe, weil sie einer sachlichen Notwendigkeit folgt.
Die acht Ebenen
1. Die Projektdatei — das Handbuch
Eine Textdatei, die dem System bei jedem Arbeitsbeginn mitgegeben wird und die ganze Zeit über präsent bleibt. Bei Claude Code heißt sie CLAUDE.md, andere Werkzeuge nennen sie AGENTS.md oder schlicht Projektanweisung. Darin steht, wie der Betrieb funktioniert, wie die Ordner heißen, welche Konventionen gelten.
Das Handbuch ist teuer, weil es dauerhaft Aufmerksamkeit bindet — jede Zeile darin ist Ballast, den das System bei jeder einzelnen Aufgabe mitschleppt. Und es ist unverbindlich: Je länger der Arbeitstag, desto eher rutscht etwas durch. Das ist keine Schwäche der Technik, sondern eine Eigenschaft von Aufmerksamkeit. Bei Menschen ist es nicht anders.
Gut investiert ist hier: Was immer und überall gilt. Alles andere gehört woandershin.
2. Rules — die Regeln
Wie das Handbuch, aber sie erscheinen nur dann, wenn sie relevant sind. Eine Regel über Buchhaltungsbelege taucht auf, sobald ein Beleg angefasst wird — und bleibt sonst unsichtbar.
Billiger als das Handbuch, weil situationsabhängig. Genauso unverbindlich.
3. Skills — die Checklisten
Eine niedergeschriebene Prozedur für eine wiederkehrende Aufgabe: „So legen wir einen Neukunden an.” Abrufbar bei Bedarf, ansonsten nicht im Weg.
Die Faustregel: Sobald man merkt, dass man in jeder neuen Unterhaltung denselben Ablauf erklärt, gehört dieser Ablauf in ein Skill. Und sobald ein Abschnitt der Projektdatei von einem stehenden Fakt zu einer mehrstufigen Prozedur gewachsen ist, gehört er dort ebenfalls hin.
4. Subagents — die Delegation
Der Agent kann Teilaufgaben an spezialisierte Untereinheiten abgeben, die getrennt arbeiten und nur das Ergebnis zurückmelden.
Der Grund dafür ist nicht Arbeitsteilung, sondern Aufmerksamkeitsschutz. Eine gründliche Recherche, eine Protokollanalyse, ein Sicherheitscheck — all das erzeugt Berge von Zwischenmaterial, das niemand je wieder braucht. Wenn dieses Material im Hauptgedächtnis landet, verdrängt es das Wesentliche. Der Subagent behält den Wust und liefert das Fazit.
Die Unterscheidung ist simpel: Skill, wenn man zusehen und eingreifen will. Subagent, wenn man nur das Ergebnis will.
5. Output Styles — die Grundhaltung
Wie das System grundsätzlich auftritt: knapp oder ausführlich, vorsichtig oder direkt, in welcher Sprache. Eine Einstellung, kein Inhalt.
6. System-Prompt-Append — die globale Vorgabe
Dasselbe, aber über alle Projekte hinweg und außerhalb der Reichweite der einzelnen Anwender. In Unternehmen die Ebene, auf der die IT-Abteilung Dinge festlegt, die niemand lokal überschreiben können soll.
7. Permissions — die Berechtigungen
Hier wird es zum ersten Mal verbindlich. Eine Berechtigung ist keine Bitte, sondern eine Sperre. Der Agent darf diesen Ordner lesen, jenen nicht. Er darf Rechnungen ansehen, aber keine Überweisungen auslösen. Er darf in der Testumgebung arbeiten, nicht in der produktiven.
Das System kann eine Berechtigung nicht ignorieren, weil es sie nicht überreden kann. Sie ist kein Text, dem gefolgt wird. Sie ist eine Tür, die zu ist.
8. Hooks — die Reflexe
Die stärkste und am meisten unterschätzte Ebene. Ein Hook ist eine kleine Automatik, die an einem festgelegten Punkt im Ablauf zwangsläufig ausgelöst wird — unabhängig davon, was das KI-System gerade denkt, will oder für richtig hält. Der englische Begriff bedeutet wörtlich „Haken”: etwas, das man an einer bestimmten Stelle einhängt.
Bevor eine Datei verändert wird: Sicherheitskopie. Nachdem etwas geändert wurde: automatischer Test. Bevor ein Befehl ausgeführt wird: Abgleich mit einer schwarzen Liste. Bevor das System behaupten darf, fertig zu sein: Kontrolle, ob es das tatsächlich ist — und wenn nicht, arbeitet es weiter.
Der entscheidende Punkt ist die Asymmetrie. Ein Hook kann eine Handlung verbieten, auch wenn alle anderen Einstellungen sie erlauben würden. Umgekehrt kann er nichts erlauben, was verboten ist. Er kann Regeln nur verschärfen, nie lockern. Genau das will man von einer Sicherheitsschicht.
Es ist der Unterschied zwischen „Bitte immer Belege ablegen” und einem Formular, das ohne Beleg nicht abschickbar ist.
Wie die Ebenen zusammenspielen
Man muss sich das als zwei Schichten um einen Kern denken.
Im Kern steht der Agent, der entscheidet und bei Bedarf an Subagents delegiert. Ihn umgibt eine innere Schicht aus Sprache: Projektdatei, Rules, Skills, Output Styles. Diese Schicht ist durchlässig. Sie funktioniert meistens — und „meistens” ist bei einem System, das tausend Entscheidungen pro Stunde trifft, eine interessante Zahl.
Darum liegt außen eine zweite Schicht aus Mechanik: Permissions und Hooks. Sie funktioniert immer. Sie diskutiert nicht, versteht nichts, vergisst nichts und lässt sich nicht überzeugen.
Der praktische Nutzen dieser Anordnung: Zuerst die äußere Schicht bauen, dann die Leine lockern. In dieser Reihenfolge wird jeder weitere Schritt Richtung Autonomie zu einem Gewinn statt zu einem Wagnis.
Und noch etwas, das man leicht übersieht: Die innere Schicht ist verwundbar. Ein KI-System, das ein Dokument liest, liest auch die Anweisungen, die jemand in dieses Dokument hineingeschrieben hat. Eine sprachliche Vorgabe lässt sich durch eine andere sprachliche Vorgabe aushebeln. Eine Sperre nicht.
Die Entscheidungsregel
Wenn man ein KI-System einsetzt und sich fragt, wohin eine bestimmte Vorgabe gehört, hilft diese Reihenfolge:
- Ist es ein Fakt, der immer gilt? → Projektdatei (das Handbuch, bei Claude Code
CLAUDE.md) - Gilt es nur in bestimmten Situationen? → Rules (situationsabhängige Regeln)
- Ist es ein Ablauf, den man beobachten will? → Skills (abrufbare Checklisten)
- Ist es ein Ablauf, dessen Zwischenschritte man nie sehen will? → Subagents (Delegation an Spezialisten)
- Soll es das Auftreten des Systems prägen? → Output Styles bzw. System-Prompt-Append
- Soll eine Tür schlicht zu bleiben? → Permissions (Berechtigungen)
- Muss etwas garantiert passieren, oder garantiert nicht passieren? → Hooks (erzwungene Automatiken)
Die letzten beiden Punkte sind die einzigen, bei denen „garantiert” wörtlich zu nehmen ist. Alles darüber ist Überredung.
Zwei Sätze, die in einem Handbuch nichts verloren haben, weil sie dort systematisch scheitern:
„Führe nach jeder Änderung immer die Tests aus.”
„Lösche unter keinen Umständen die Produktivdatenbank.”
Der erste ist ein Hook. Der zweite ist eine Permission. Wer beides als Text formuliert, hat sich eine Hoffnung gebaut. Wer beides technisch verankert, hat eine Zusage.
Was das für Unternehmen bedeutet
Diese acht Ebenen sind nicht die Besonderheit eines einzelnen Herstellers. Sie tauchen bei jedem ernstzunehmenden Agentensystem in irgendeiner Form auf, weil sie einer sachlichen Notwendigkeit folgen: Ein System, das handelt, braucht sowohl Anleitung als auch Grenzen — und Anleitung ist keine Grenze.
Der wirtschaftliche Ertrag von KI-Agenten liegt nicht darin, sie möglichst frei laufen zu lassen. Er liegt darin, die Rückmeldeschleife so eng zu ziehen, dass Freiheit ungefährlich wird. Ein Agent, dessen Arbeit nach jedem Schritt automatisch geprüft wird, darf sehr viel dürfen.
Wenn man Agenten einsetzt und vom Ergebnis enttäuscht ist, liegt das erfahrungsgemäß selten an der Intelligenz der KI. Es liegt an den Anweisungen — daran, dass etwas als Bitte formuliert wurde, wo eine Sperre nötig gewesen wäre. Die gute Nachricht daran: An den Anweisungen kann man arbeiten.
Ich bin selbstständiger IT-Berater in Wien und begleite Unternehmen bei der Einführung von Microsoft Dynamics 365, individuellen Fachanwendungen und KI-gestützten Arbeitsabläufen. Wenn Sie überlegen, wo in Ihrem Betrieb ein Agent sinnvoll wäre — und wo besser eine Sperre —, schreiben Sie mir.
Thomas Unzeitig · SoHo Unzeitig e.U. · Wien