Gartner hat 2025 nach KI-Agenten gesucht und dabei etwas gefunden, das man sich merken sollte. Von den tausenden Anbietern, die agentische Fähigkeiten behaupteten, bauten ungefähr 130 etwas, das den Namen verdiente. Nicht 130 gute aus einem Feld von 200. Einhundertdreißig aus tausenden.
Dieses Verhältnis ist der Grund, warum sich die Frage nicht durch Lesen von Produktseiten beantworten lässt. Der Begriff klebt auf Chatbots, auf Nachtskripten, auf Autovervollständigung und gelegentlich auf etwas, das tatsächlich ein Agent ist. Es lohnt sich also, bei der technischen Definition anzufangen statt bei der verkäuferischen, denn die technische ist kurz und sie zieht eine Linie, die du selbst überprüfen kannst.
Ein Satz, und dann die Folgen#
Ein KI-Agent ist ein System, in dem das Modell entscheidet, was als Nächstes passiert, und nicht der Code.
Das ist der ganze Unterschied. Anthropic, dessen Engineering-Team die maßgebliche Beschreibung dazu geschrieben hat, teilt das Feld in zwei Hälften: Workflows sind Systeme, in denen Modelle und Werkzeuge über vorgegebene Code-Pfade orchestriert werden, während Agenten Systeme sind, in denen Modelle ihre eigenen Abläufe und ihren Werkzeugeinsatz dynamisch steuern.
Bleib einen Moment dabei, denn die Folgen sind größer als der Satz.
In einem Workflow hat eine Entwicklerin vorher festgelegt, dass Schritt drei auf Schritt zwei folgt. Das Modell schreibt vielleicht in Schritt zwei einen brillanten Text, aber es hat kein Mitspracherecht darüber, ob Schritt drei stattfindet. Der Weg steht fest. Du kannst ihn an ein Whiteboard malen, und das Bild bleibt richtig.
In einem Agenten bekommt das Modell ein Ziel und einen Satz Fähigkeiten, und dann wählt es. Vielleicht ein Werkzeug, vielleicht sechs, vielleicht dasselbe viermal mit anderen Eingaben, vielleicht gar keins. Führst du dieselbe Aufgabe zweimal aus, bekommst du womöglich zwei verschiedene Wege zum selben Ergebnis. Ans Whiteboard malen geht nicht mehr, weil sich das Bild bei jedem Durchlauf ändert.
Deshalb sind Agenten mächtig, und genau deshalb sind sie schwer zu betreiben. Alles andere, was du über Agenten liest, die Zuverlässigkeitstechnik, die Schutzplanken, die Überwachung, folgt aus dieser einen Eigenschaft.
Woraus so ein System besteht#
Zieh die Anbieter-Diagramme ab, dann bleiben fünf Teile. Alle fünf müssen da sein, und die, die vergessen werden, sind die letzten beiden.
Das Modell. Der Teil, der überlegt. Es liest die Lage und entscheidet über die nächste Handlung. Wichtig zu verstehen: Das Modell fängt bei jedem einzelnen Aufruf bei null an. Es erinnert sich an den vorherigen Schritt nur über das, was du ihm mitgibst. Alles, was sich wie Kontinuität anfühlt, hat das umgebende System rekonstruiert und zurückgereicht.
Die Werkzeuge. Was der Agent tatsächlich tun kann. Eine Datenbank lesen, eine Mail schicken, ein Ticket anlegen, eine Schnittstelle abfragen, eine Seite holen. Ohne Werkzeuge hast du ein Chatfenster. Mit Werkzeugen hast du etwas, das den Zustand der Welt verändert, und das ist eine völlig andere Kategorie von Gegenstand. Die Anzahl der Werkzeuge ist keine Tugend. Jedes zusätzliche Werkzeug ist eine weitere Sache, die das Modell falsch greifen kann.
Das Gedächtnis. Kurzfristig, also das laufende Protokoll dieser Aufgabe, und langfristig, also das, was über Sitzungen hinweg trägt. Die drei vorherigen Beschwerden des Kunden. Die Entscheidung von letztem Dienstag und ihr Grund. Ohne Langzeitgedächtnis begrüßt ein Agent einen Zehnjahreskunden jedes Mal genau wie einen Fremden, und das merken Menschen sofort und mögen es überhaupt nicht.
Die Schleife. Der Kreislauf, der das Ganze in Bewegung hält: dem Modell Kontext geben, eine Entscheidung entgegennehmen, sie ausführen, das Ergebnis in den Kontext legen, erneut fragen. Das läuft, bis das Modell fertig meldet oder bis eine Grenze es stoppt. Die Grenze ist nicht optional. Eine unbegrenzte Schleife ist ein System, das ewig dein Geld für eine Aufgabe ausgeben kann, an der es still scheitert.
Die Schutzplanken. Was zwischen einer Entscheidung und einer folgenreichen Handlung steht. Rechteprüfung, Freigaben, Richtlinien, Ausgabengrenzen, ein Protokoll. Das ist der Teil, der eine Demo von einem System trennt, für das jemand die Verantwortung übernimmt, und genau der Teil, der im Video fast nie vorkommt.
Für die letzten beiden gibt es einen harten rechnerischen Grund. Zuverlässigkeit über eine Kette von Modellentscheidungen multipliziert sich, sie mittelt sich nicht. Ein Schritt, der zu 95 Prozent stimmt, ist für sich völlig in Ordnung und nach zwanzig Wiederholungen hintereinander nicht wiederzuerkennen. Das ist kein Fehler, den ein besseres Modell behebt. Es ist eine Eigenschaft verketteter Wahrscheinlichkeitsentscheidungen, und die technische Antwort darauf lautet: Kette kürzen, unterwegs prüfen, und vor alles Unumkehrbare eine Freigabe setzen.
Wo du längst einem begegnet bist#
Die Abstraktion wird mit konkreten Fällen leichter, also hier vier, die eindeutig Agenten sind und keine verkleideten Workflows.
Ein Coding-Assistent, der dein Repository liest, entscheidet welche Dateien relevant sind, sie öffnet, eine Änderung vornimmt, die Tests laufen lässt, einen Fehlschlag sieht und zurückgeht, um ihn zu beheben. Diese Abfolge hat niemand geskriptet. Das Modell hat entschieden, die Tests zu starten, die Ausgabe zu lesen und den Fehlschlag für einen weiteren Durchgang wert zu halten.
Ein Rechercheassistent, der zu einem Firmennamen selbst entscheidet, welche Suchen er fährt, bemerkt, dass zwei Quellen sich widersprechen, eine dritte zur Klärung sucht und den Widerspruch berichtet statt zufällig eine Seite zu wählen.
Ein Supportsystem, das eine Nachricht liest, den Bestellstatus im einen System prüft, den Versandstatus im anderen, sieht dass das Paket im Zoll hängt, und eine Antwort schreibt, die den Zoll erklärt statt die Standard-Lieferzeit zu zitieren. Der Weg durch diese zwei Systeme war nicht vorgegeben. Er hing davon ab, was die erste Prüfung zurückgab.
Ein Betriebswächter, der eine Reihe von Diensten beobachtet, ein Muster bemerkt, das auf keiner Alarmliste steht, es mit einem Deployment von vor zwei Stunden zusammenbringt und einem Menschen sagt, wo er nachschauen soll.
Was diese vier gemeinsam haben, ist die Verzweigung. Irgendwann traf das System auf eine Lage und wählte eine Reaktion, die vorher niemand aufgeschrieben hatte.
Und wo der Begriff überdehnt wird#
Nach demselben Maßstab sind einige sehr nützliche Dinge keine Agenten.
Ein Chatbot, der aus einer Dokumentensammlung antwortet, ist kein Agent, egal wie gut er ist. Er sucht heraus und formuliert. Er wählt keine Handlungen.
Ein Nachtskript, das jede Nacht Daten zieht und eine Zusammenfassung mailt, ist kein Agent, auch wenn ein Modell die Zusammenfassung schreibt. Der Weg steht fest. Ein Modell, das eine Aufgabe innerhalb eines festen Wegs erledigt, ist ein Workflow mit einem klugen Schritt.
Ein Assistent, der etwas entwirft und darauf wartet, dass du auf Senden drückst, ist im strengen Sinn auch kein Agent. Er schlägt vor. Du entscheidest. Das ist ein Copilot, und für sehr viele Aufgaben ist das der richtige Entwurf.
Nichts davon ist ein Vorwurf. Anthropics eigene Empfehlung lautet, die einfachste Lösung zu suchen, die funktioniert, und agentische Komplexität nur dann zu erhöhen, wenn sie das Ergebnis nachweislich verbessert, weil agentische Systeme Latenz und Kosten gegen Aufgabenleistung tauschen. Praktisch heißt das: Ein erheblicher Teil geschäftlicher Probleme ist mit einem gut gebauten Workflow besser bedient als mit einem echten Agenten, und ein Anbieter, der dir das sagt, ist ehrlich zu dir.
Warum die Etiketten trotzdem zählen, ist eine Geldfrage. Wenn dir Agentenpreise für Workflow-Fähigkeiten genannt werden, bezahlst du Autonomie, die du nicht bekommst. Eine Frage klärt das meistens: Kann das System bei zweimal identischer Eingabe zwei verschiedene Wege nehmen? Lautet die ehrliche Antwort nein, ist es ein Workflow, und er sollte auch so bepreist werden.
Was sie weiterhin nicht können#
Vier Grenzen, die alle innerhalb weniger Wochen nach einem echten Einsatz auftauchen.
Sie können dir nicht zuverlässig sagen, was sie nicht wissen. Fehlt einem Modell ein Fakt, produziert es oft einen plausiblen statt anzuhalten, und ein Agent handelt dann danach. Deshalb sind Erdung in eigenen Daten und das Markieren ungeprüfter Aussagen in Agentensystemen wichtiger als im Chat.
Sie können keine Verantwortung tragen. Wenn ein Agent eine falsche Gutschrift auslöst, liegt die Verantwortung bei dem, der ihn eingesetzt hat. Das ist keine technische Aussage, sondern eine rechtliche und organisatorische, und deshalb gibt es die Freigabe.
Sie vertragen keinen unbegrenzten Zuschnitt. Ein Agent mit einer klaren Aufgabe und vier Werkzeugen funktioniert. Dasselbe Modell mit vagem Auftrag und vierzig Werkzeugen liefert etwas, das sich nicht mehr untersuchen lässt, weil der Fehler nie an einer Stelle sitzt.
Sie überleben nicht ewig unbeaufsichtigt. Systeme ändern sich, Schnittstellen wandern, der Betrieb ändert seine Regeln, und ein Agent, der im März richtig lag, liegt im September still daneben, wenn niemand hinschaut.
Wo Deutschland dabei tatsächlich steht#
Die Lücke zwischen der Debatte und den Einsatzzahlen ist es wert, sie zu kennen.
Der KI-Index Mittelstand, den Salesforce mit dem Deutschen Mittelstands-Bund erhoben und im März 2026 veröffentlicht hat, fand 16,6 Prozent der mittelständischen Unternehmen mit KI-Agenten im Einsatz, nach 8,7 Prozent im Jahr davor. Eine nahezu Verdopplung in zwölf Monaten, und trotzdem weniger als jeder Fünfte. Weitere 37 Prozent gaben an, 2026 einführen oder ausbauen zu wollen.
Die Bitkom-Befragung von 604 deutschen Unternehmen ab 20 Beschäftigten, durchgeführt in den ersten Wochen 2026, fand 41 Prozent mit aktivem KI-Einsatz überhaupt, gegenüber 17 Prozent im Vorjahr. Aber nur 21 Prozent hatten eine KI-Strategie, und 41 Prozent nannten Unsicherheit beim Datenschutz als größte Hürde.
Zusammen ergibt das ein genaues Bild: Der Einsatz klettert schnell, das Verständnis hinkt hinterher, und was die meisten deutschen Betriebe bremst, ist keine Skepsis gegenüber der Leistungsfähigkeit. Es ist eine berechtigte Unsicherheit darüber, was mit ihren Daten passiert und wer für das Ergebnis geradesteht. Beides ist beantwortbar, aber nur von einem Anbieter, der bereit ist zu antworten statt darum herumzureden.
Die brauchbare Fassung der Frage#
"Was sind KI-Agenten" gehört genau beantwortet, ist aber selten die Frage, auf die es im Betrieb ankommt. Die zählende Frage ist enger: Gibt es hier eine Aufgabe, bei der das Entscheiden der teure Teil ist?
Ist der teure Teil das Tippen, willst du Automatisierung und brauchst keinen Agenten. Ist der teure Teil, dass jemand jeden Fall ansehen, zwei oder drei Dinge abwägen und einen Weg wählen muss, dann verdient ein Agent sein Geld. Anfragen, die in fünf Formaten hereinkommen. Dokumente, die meistens einem Muster folgen und manchmal nicht. Recherche, die gegen mehrere Quellen geprüft werden muss, bevor jemand handelt.
Genau so schneiden wir sie auch zu. Eine Aufgabe, bei der das Urteil der Engpass ist, ein kleiner Werkzeugsatz, echte Fälle aus der Historie des Kunden zum Testen, eine menschliche Freigabe vor allem Unumkehrbaren und nach der Übergabe eine benannte zuständige Person. Unsere eigenen Agenten laufen täglich nach diesem Muster, recherchieren, überwachen und bereiten Arbeit für uns vor. Das ist der Maßstab, den ich an jeden Anbieter legen würde: Frag, ob er selbst betreibt, was er verkauft.
Das Wort Agent wird weiter driften, weil Wörter, an denen Budgets hängen, das immer tun. Die Eigenschaft darunter nicht. Irgendwo im System entscheidet entweder der Code oder das Modell. Zu wissen, was von beidem du kaufst, ist der größte Teil der Entscheidung, und dort sollte jedes ernsthafte Gespräch über einen Agenten anfangen.
