Was darf mein KI-Assistent selbst erledigen – und wann braucht er meine Freigabe?
Ein KI-Assistent sollte nicht pauschal handeln dürfen. Ich zeige ein einfaches Arbeitsmodell, mit dem Sie Lesen, Vorbereiten und Ausführen sauber trennen und Freigaben passend zur konkreten Aktion gestalten.
Der KI-Assistent hat eine Antwort auf eine Kundenanfrage vorbereitet. Empfänger, Betreff und Anhang sind bereits eingetragen. Der Text klingt plausibel. Trotzdem soll die E-Mail noch nicht versendet werden.
Genau an dieser Stelle entscheidet sich, ob KI nur bequem oder auch kontrollierbar eingesetzt wird. Aus meiner Sicht sollte die Leitfrage nicht lauten: „Darf dieses KI-Produkt E-Mails versenden?“ Sinnvoller ist: „Darf der Assistent genau diese Nachricht mit genau diesen Daten an genau diesen Empfänger senden?“
Freigegeben wird also die konkrete Aktion samt Inhalt. Keine pauschale Produktfunktion.
Unser Arbeitsmodell: lesen, vorbereiten, ausführen
Als TRIXNER digital solutions teilen wir die Arbeit eines KI-Assistenten organisatorisch in drei Stufen. Dieses Modell ist keine gesetzliche Einteilung und keine technische Norm. Es ist unsere praktische Empfehlung für klarere Zuständigkeiten.
- Lesen: Der Assistent greift auf freigegebene Informationen zu und wertet sie aus.
- Vorbereiten: Er erstellt einen Entwurf, einen Vorschlag oder eine geplante Änderung.
- Ausführen: Er sendet, speichert, löscht oder verändert Daten in einem angeschlossenen System.
Der Wechsel von „vorbereiten“ zu „ausführen“ ist entscheidend. Ein Antwortentwurf bleibt zunächst intern. Eine versendete E-Mail verlässt dagegen den kontrollierten Arbeitsbereich. Eine Änderung im CRM beeinflusst den Datenbestand, mit dem weitere Mitarbeiter oder Systeme arbeiten.
Deshalb empfehle ich für den Einstieg: Der Assistent darf lesen und vorbereiten. Ausgeführt wird erst nach einer konkreten Freigabe durch den zuständigen Mitarbeiter. Eine spätere Automatik kommt nur für klar abgegrenzte und geprüfte Fälle infrage.
Auch Lesen ist nicht automatisch unkritisch
Lesender Zugriff klingt zunächst harmlos. Er kann trotzdem vertrauliche Angebote, Personaldaten, technische Zeichnungen oder interne Kalkulationen umfassen. Der Assistent sollte daher nur auf die Daten zugreifen können, die für seine Aufgabe vorgesehen sind.
Ein einfaches Beispiel: Ein Assistent soll offene Servicefälle zusammenfassen. Dafür benötigt er möglicherweise Zugriff auf das Ticketsystem. Daraus folgt nicht, dass er auch Personalakten, vollständige Vertragsarchive oder alle Kundenordner lesen sollte.
OWASP, eine gemeinnützige Organisation für sichere Software, empfiehlt für KI-Anwendungen mit angeschlossenen Werkzeugen minimale Berechtigungen. Die Autorisierung sollte außerdem im jeweiligen Zielsystem durchgesetzt werden, statt das Sprachmodell selbst entscheiden zu lassen, ob eine Aktion erlaubt ist. Ein Sprachmodell ist hier der Teil der KI, der Texte versteht und erzeugt.
Praxis-Kniff: Legen Sie für den ersten Test einen eigenen technischen Zugang mit möglichst engem Datenbereich an. Prüfen Sie anschließend mit drei absichtlich unpassenden Anfragen, ob der Assistent tatsächlich außerhalb dieses Bereichs keine Informationen erhält.
Drei Aktionen, drei unterschiedliche Entscheidungen
| Beispiel | Empfohlene Stufe | Was sollte geprüft werden? |
|---|---|---|
| Zusammenfassung erstellen | Lesen und vorbereiten | Welche Dokumente darf der Assistent lesen? Für wen ist die Zusammenfassung bestimmt? Wer prüft sensible oder missverständliche Aussagen? Welche Folgen hätte eine unvollständige Zusammenfassung? |
| Antwortentwurf vorbereiten | Vorbereiten, noch nicht versenden | Welche Kunden- und Vorgangsdaten fließen ein? An wen soll die Antwort gehen? Wer prüft Inhalt, Empfänger und Anhänge? Kann ein fehlerhafter Entwurf einfach verworfen werden? |
| E-Mail versenden oder CRM-Wert ändern | Nach konkreter Freigabe ausführen | Welche Daten werden übertragen oder verändert? Welcher Empfänger beziehungsweise welches Zielsystem ist betroffen? Wer trägt die fachliche Verantwortung? Welche Folgen hat ein Fehler und welche Teile lassen sich realistisch korrigieren? |
Die Beispiele zeigen, warum es keine pauschal „sichere“ Aktion gibt. Selbst eine Zusammenfassung kann problematisch sein, wenn der Assistent unpassende Quellen liest oder das Ergebnis an die falsche Person gelangt.
Vier Fragen vor jeder Freigabe
Für die Entscheidung reichen aus meiner Sicht zunächst vier Prüfdimensionen. Sie lassen sich auf E-Mails, CRM-Änderungen, Dokumente, Bestellungen oder interne Aufgaben übertragen.
1. Welche Daten sind betroffen?
Prüfen Sie nicht nur den sichtbaren Text. Berücksichtigen Sie auch Anhänge, verknüpfte Datensätze, frühere Nachrichten und automatisch ergänzte Informationen.
2. An wen oder wohin geht die Aktion?
Bei einer E-Mail ist das der Empfänger. Bei einer Datenänderung ist es das konkrete Zielsystem und dort der betroffene Datensatz. Bei einem Dokument kann es ein interner Ordner oder eine externe Freigabe sein.
3. Wer entscheidet?
Im Normalfall sollte der zuständige Mitarbeiter entscheiden. Eine komplexe Freigabekette ist dafür nicht automatisch besser. Eine zusätzliche Rückfrage bietet sich an, wenn Zuständigkeit, Inhalt oder Auswirkungen unklar sind.
4. Was passiert bei einem Fehler?
Eine fehlerhafte Zusammenfassung lässt sich meist neu erstellen. Eine falsche CRM-Einstufung kann korrigiert werden, wobei zwischenzeitlich bereits andere Arbeitsschritte darauf aufgebaut haben könnten. Bereits versandte Informationen lassen sich nicht allein dadurch ungeschehen machen, dass intern ein Status zurückgesetzt wird.
Die technische Rücknahme einer Aktion ist deshalb nur ein Teil der Prüfung. Ebenso wichtig ist die Frage, ob ein Empfänger Informationen bereits erhalten, gelesen, gespeichert oder weiterverarbeitet haben kann.
Unsere Aktionskarte für konkrete Freigaben
Für wiederkehrende Abläufe empfehle ich eine kleine Aktionskarte. Sie kann direkt im Freigabefenster stehen oder zunächst als einfache Vorlage dokumentiert werden.
- Was? Welche Aktion soll ausgeführt werden?
- An wen oder wohin? Welcher Empfänger, Datensatz oder welches Zielsystem ist betroffen?
- Welche Daten? Welche Inhalte, Anhänge und Zusatzinformationen werden verwendet?
- Wer bestätigt? Welche zuständige Person gibt diese konkrete Aktion frei?
- Was bei Fehlern? Was kann korrigiert werden und welche Folgen könnten bestehen bleiben?
Die Freigabe sollte diese Angaben sichtbar zusammenfassen. Ein einzelner Knopf mit der Beschriftung „Erlauben“ reicht aus meiner Sicht nicht, wenn unklar bleibt, was anschließend geschieht.
Praxis-Kniff: Beginnen Sie die Aktionskarte mit einem vollständigen Satz: „Der Assistent wird jetzt …“ Ergänzen Sie Aktion, Ziel und Daten. Wenn dieser Satz nicht eindeutig formuliert werden kann, empfehle ich, noch keine Ausführung freizugeben.
Eine einfache Ampel für den Einstieg
Unsere Ampel ist ein internes Arbeitsmodell und keine allgemeingültige Sicherheitsklasse. Sie hilft dabei, die ersten Anwendungsfälle übersichtlich zu sortieren.
| Farbe | Gestaltungsoption | Beispiel |
|---|---|---|
| Grün | Lesen oder vorbereiten innerhalb eines eng begrenzten Datenbereichs | Interne Zusammenfassung aus einem freigegebenen Vorgang erstellen |
| Gelb | Ausführung nach sichtbarer Prüfung und konkreter Freigabe | Vorbereitete Kundenantwort mit geprüftem Empfänger versenden |
| Rot | Zunächst nicht automatisieren; Aufgabe, Daten und Fehlerfolgen genauer eingrenzen | Viele Datensätze ändern, externe Empfänger frei auswählen oder schwer korrigierbare Aktionen verbinden |
Die Farbe gehört dabei nicht dauerhaft zu einem Produkt. Sie gilt für eine bestimmte Aktion in einem bestimmten Ablauf. Derselbe Assistent kann eine interne Zusammenfassung im grünen Bereich vorbereiten und beim Versand einer E-Mail eine gelbe Freigabe benötigen.
Wann kann aus Freigabe später Automatik werden?
Eine automatische Ausführung würde ich erst prüfen, wenn der konkrete Fall eng beschrieben und unter realistischen Bedingungen getestet wurde. Dabei helfen folgende Fragen:
- Ist die Aktion eindeutig definiert?
- Sind Datenquelle und Ziel fest begrenzt?
- Lässt sich die zuständige Person eindeutig bestimmen?
- Sind erlaubte Inhalte und Ausschlüsse beschrieben?
- Wurden Grenzfälle und fehlerhafte Eingaben getestet?
- Ist festgelegt, wann der Assistent abbrechen und nachfragen soll?
- Kann die Ausführung nachvollzogen werden?
NIST, das US-amerikanische Institut für Standards und Technologie, sieht unter anderem vor, Rollen und Verantwortlichkeiten für das Zusammenspiel von Mensch und KI zu definieren sowie Prozesse für menschliche Aufsicht festzulegen und zu dokumentieren. OWASP empfiehlt menschliche Freigaben für Aktionen mit großen Auswirkungen. Diese Leitlinien passen zu unserem Vorgehen, ersetzen aber nicht die konkrete Gestaltung des einzelnen Arbeitsablaufs.
Nicht jeder Schritt benötigt dafür KI. Feste Regeln, vorhandene Softwarefunktionen oder klassische Prozessautomatisierung können die passendere Lösung sein, wenn Eingaben und Entscheidungen eindeutig sind. KI bietet sich eher dort als Baustein an, wo Texte, Dokumente oder unterschiedlich formulierte Anfragen verarbeitet werden sollen.
Fazit: Die Aktion entscheidet, nicht das Produkt
Ich empfehle, einem KI-Assistenten nicht pauschal Selbstständigkeit zu geben. Trennen Sie stattdessen Lesen, Vorbereiten und Ausführen. Prüfen Sie pro Aktion den Datenumfang, das Ziel, die zuständige Person und die möglichen Fehlerfolgen.
Der zuständige Mitarbeiter sollte eine konkrete Aktion mit ihrem konkreten Inhalt freigeben. Erst wenn ein Fall klar abgegrenzt und geprüft ist, kann eine spätere Automatik sinnvoll bewertet werden.
Wenn Sie einen solchen Ablauf technisch und organisatorisch gestalten möchten, verbinden wir in unserer individuellen KI-Systementwicklung die benötigten Datenquellen, Berechtigungen, Freigaben und Zielsysteme. Gerne können wir eine kontrollierte KI-Unterstützung für einen konkreten Arbeitsablauf besprechen.
Nächster Schritt
Die Fragestellung auf das eigene Unternehmen übertragen.
Im Erstgespräch übertragen wir die Einordnung auf Ihre Ausgangslage und leiten einen realistischen nächsten Schritt ab.
Gründer und fachlicher Leiter von TRIXNER digital solutions. Entwickelt seit 2002 digitale Prozesse, Schnittstellen und Anwendungen; zertifizierter AI-Automations-Manager (Everlast Consulting).