KI-Agenten im Mittelstand: Die Frage ist nicht, was sie können – sondern was sie dürfen
Von der Assistenz zur autonomen Handlung
Ein Agent, der selbstständig Termine bucht, Rechnungen prüft, Bestellungen auslöst und Tickets im ERP anlegt: Was vor zwei Jahren eine Demo war, läuft 2026 in Produktivsystemen. Die spannende Frage im Mittelstand ist damit nicht mehr, ob KI-Agenten Aufgaben übernehmen können. Sie können es. Die Frage ist, welche Handlungen wir ihnen erlauben – und wie wir die Kontrolle darüber behalten.
Warum ist Agentic AI mehr als nur ein Technologiethema?
Wenn Risiken nicht durch die KI, sondern durch fehlende Steuerung entstehen
KI ist vom Assistenten zum Akteur geworden. Ein klassischer Chatbot antwortet. Ein Agent handelt: Er verfolgt ein Ziel, ruft Daten ab, verkettet Entscheidungen und stößt Prozessschritte an – oft über mehrere Systeme hinweg und mit deutlich weniger menschlichen Zwischenschritten. Gartner erwartet, dass bis 2028 mindestens 15 Prozent der täglichen Arbeitsentscheidungen autonom durch solche Agenten getroffen werden und rund ein Drittel der Unternehmensanwendungen sie enthalten wird (Gartner, Juni 2025). Das ist kein Ausblick mehr auf eine ferne Zukunft, sondern eine Planungsgröße.
Interessanterweise scheitert der Sprung in den Produktivbetrieb selten an der Modellqualität. Gartner prognostiziert, dass über 40 Prozent der Agentic-AI-Projekte bis Ende 2027 abgebrochen werden – nicht wegen zu schwacher Technik, sondern wegen eskalierender Kosten, unklaren Geschäftsnutzens und unzureichender Risikokontrollen (Gartner, Juni 2025). Das deckt sich mit einem Muster, das im Mittelstand seit Jahren sichtbar ist: Digitale Vorhaben scheitern selten an der Technologie. Sie scheitern an Steuerung und Führung.
Bei Agenten verschärft sich dieses Muster, weil ein Agent Dinge tut. Ein falsch beantworteter Chat ist ärgerlich. Ein Agent mit weitreichenden Rechten, der eine fehlerhafte Bestellung auslöst, Daten an ein externes System übergibt oder API-Kosten in die Höhe treibt, erzeugt ein reales Geschäftsrisiko. Genau hier entsteht das Phänomen, vor dem inzwischen viele IT-Verantwortliche warnen: unkontrollierter „Agent-Sprawl“ – eine wachsende Zahl teilautonomer Agenten, die niemand mehr vollständig überblickt.
Welche Fragen sollten Unternehmen zuerst stellen?
Nicht „Was kann die KI?“, sondern „Was darf die KI?“
Governance für klassische KI-Modelle – Bias-Prüfung, Datenqualität, Modell-Monitoring – ist notwendig, aber für Agenten nicht ausreichend. Denn die entscheidende Größe ist nicht mehr nur, was ein Modell weiß, sondern was ein Agent tun darf. Drei Fragen sollten deshalb am Anfang jedes Agenten-Projekts stehen, nicht am Ende:
-
Rechte: Auf welche Systeme, Daten und Aktionen darf der Agent zugreifen – und, ebenso wichtig, auf welche nicht? Das Prinzip der minimalen Rechte gilt für Software-Agenten genauso wie für Mitarbeitende.
-
Nachvollziehbarkeit: Wird jede Aktion protokolliert, sodass im Zweifel rekonstruierbar ist, warum der Agent so gehandelt hat? Ohne Audit-Spur ist ein Agent eine Blackbox mit Handlungsvollmacht.
-
Eskalation: An welcher Stelle muss ein Mensch entscheiden? Freigaben bei Zahlungen, Vertragsdaten oder personenbezogenen Vorgängen sind keine Bremse, sondern die Bedingung dafür, Agenten überhaupt verantwortbar einzusetzen.
Wie beeinflussen EU AI Act und NIS2 den Einsatz von Agenten?
Warum die Verantwortung weit über Compliance und Pflichtschulungen hinausgeht
Diese Governance-Fragen sind nicht nur gute Praxis – sie treffen 2026 auf einen konkreten Rechtsrahmen. Seit dem 2. August 2026 kann das europäische AI Office die Regeln für KI-Modelle mit allgemeinem Verwendungszweck durchsetzen, und die Transparenzpflichten aus Artikel 50 des EU AI Act greifen: Wer mit einem KI-System interagiert, muss das erkennen können. Die aufwendigsten Hochrisiko-Pflichten wurden mit dem „Digital Omnibus“ der EU-Kommission vom November 2025 zwar auf Dezember 2027 verschoben. Diese Verschiebung ist aber kein Rückzug: Verbote, Transparenz- und GPAI-Regeln laufen weiter. Aufschub ist kein Freibrief.
Parallel gilt in Deutschland seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz – ohne Übergangsfrist, mit Meldepflichten, empfindlichen Bußgeldern und persönlicher Haftung der Geschäftsleitung. Für Agenten ist das hoch relevant: Jeder Agent, der auf Unternehmenssysteme zugreift, ist eine neue technische Identität mit Berechtigungen – und damit Teil der Angriffsfläche, die NIS2 abzusichern verlangt. Cybersecurity und KI-Governance sind bei Agenten nicht zwei Themen, sondern eines.
Meine Perspektive
Autonomie ohne definierte Rechte, Protokollierung und menschliche Aufsicht ist kein Fortschritt. Sie ist ein unkontrolliertes Risiko mit gutem Marketing.
Der Mittelstand hat bei Agentic AI einen Vorteil, den er nutzen sollte: kurze Wege, klare Verantwortlichkeiten, die Möglichkeit, Governance von Tag eins mitzudenken, statt sie später nachzurüsten. Wir bei bluecue erproben neue Technologien konsequent zuerst im eigenen Haus – und die Erfahrung ist eindeutig: Ein Agent wird nicht dadurch wertvoll, dass er möglichst viel darf, sondern dadurch, dass klar definiert ist, was er darf und wo ein Mensch die Kontrolle behält. Governance ist bei Agenten kein Bremsklotz. Sie ist die Voraussetzung dafür, dass produktive Pilotprojekte überhaupt in den Regelbetrieb kommen – statt zu den 40 Prozent zu gehören, die wieder abgeschaltet werden.
Was bedeutet das für Dein Unternehmen?
Jetzt Orientierung schaffen
-
Mit einem Use Case starten, nicht mit einer Plattform. Ein klar umrissener Prozess mit messbarem Nutzen schlägt zehn parallele Experimente.
-
Datenreife vor Autonomie prüfen. Ein Agent ist nur so gut wie die Daten und Schnittstellen, auf die er zugreift.
-
Rechte nach dem Minimalprinzip vergeben. Jeder Agent erhält nur die Zugriffe, die seine Aufgabe zwingend erfordert.
-
Protokollierung und Audit-Spur von Anfang an einbauen. Kein Agent ohne nachvollziehbare Aktionshistorie.
-
Menschliche Freigaben an Risikopunkten definieren. Zahlungen, Verträge, personenbezogene Daten bleiben eskalationspflichtig.
-
Agenten in die Sicherheits- und NIS2-Betrachtung aufnehmen. Jede Agenten-Identität gehört in Berechtigungs- und Risikomanagement.
-
Verantwortung benennen. Ein Agent braucht einen menschlichen Eigentümer im Unternehmen – nicht „die IT“ im Allgemeinen.
Fazit
Jetzt die Voraussetzungen schaffen, um die Anforderungen des AI Act erfolgreich umzusetzen.
2026 entscheidet sich der Nutzen von KI-Agenten nicht an ihren Fähigkeiten, sondern an der Qualität ihrer Steuerung. Unternehmen, die Governance als Teil des Designs verstehen – Rechte, Nachvollziehbarkeit, menschliche Aufsicht – werden Agenten produktiv und verantwortbar einsetzen. Wer dagegen zuerst auf Fähigkeit setzt und Governance nachreicht, riskiert Kontrollverlust, Compliance-Verstöße und abgebrochene Projekte. Die Leitfrage für die Geschäftsführung lautet deshalb nicht „Was kann dieser Agent?“, sondern „Was darf er – und wie wissen wir, dass er sich daran hält?“.
Gemeinsam Zukunft gestalten: bluecue auf der CIM Lingen10. September 2026 - 09:21
AOK Firmenlauf 2026 – Mit Dackeln, Corgis und Teamgeist durch Bielefeld31. August 2026 - 10:28
Zum 13. Mal in Folge TOP CONSULTANT – bluecue erreicht Platz 38. Juli 2026 - 08:47
bluecue erreicht Jurystufe beim Großen Preis des Mittelstandes 202615. Mai 2026 - 09:05
bluecue consulting GmbH & Co. KGWeitere Beiträge zu KI, Verordnungen und Cybersecurity
In unserem Blog geben wir Dir regelmäßige Updates zu relevanten Themen der Branche
Kimi und Soumi: Wie KI-Agenten von bluecue täglich Content für den Mittelstand produzieren
Bei bluecue arbeiten schon länger KI-Agenten im Hintergrund mit.…
bluecue startet zwei KI-Agenten: Kimi und Soumi liefern täglich Orientierung für den Mittelstand
Ab sofort sind auf Instagram zwei neue, KI-gestützte Formate…
Wissenssicherung im Mittelstand: KI gegen den Wissensverlust
Warum Wissenssicherung im Mittelstand zur strategischen Führungsaufgabe wird –…
Wer steckt hinter bluecue?
Eine Vielzahl aus Experten unterschiedlicher Fachbereiche. Darunter unter anderem:
Dr. Inga Knoche
Director Business Development & Strategic Partnerships
Autorin, Speakerin, Strategieberaterin
Dr. Inga Knoche ist leidenschaftliche Netzwerkerin und kreative Visionärin mit Hirn und Herz. Seit vielen Jahren ist sie fokussiert auf das Themenfeld „Organizational Behavior“ und insbesondere das Verständnis menschlicher Interaktion innerhalb der Wertschöpfung eines Unternehmens. Mit dem Themenfeld „Der Mensch in der digitalen Transformation“ ist sie als Autorin und Sprecherin auf zahlreichen Veranstaltungen auf oder vor der Bühne gern gesehene Expertin, die sich mit viel Charme und guten Argumenten Gehör verschafft [….]
Torben Schönrock
Managing Consultant
Projektmanager, Infrastrukturstratege, Security Experte, SentinelOne Paladin
Torben Schönrock ist Managing Consultant bei bluecue consulting GmbH & Co. KG und ausgewiesener IT-Spezialist mit langjähriger Erfahrung. Als SentinelOne Paladin verfügt er über höchste Expertise im Bereich Cybersecurity und engagiert sich mit großem Einsatz für die Sicherheit von Kundeninfrastrukturen. Seine fundierte Fachkenntnis, strategische Kompetenz und praxisnahe Herangehensweise machen ihn zu einem geschätzten Experten und Ansprechpartner [….]
Nico Lüdemann
Geschäftsführender Gesellschafter bei bluecue consulting
Autor, Beirat, Strategieberater, Speaker
Nico Lüdemann ist Strategieberater, Beirat, Autor und Referent für digitalen Wandel, Leadership sowie zukunftsfähige IT-Strategien.
Seit 1994 ist er in unterschiedlichen führenden Funktionen in der IT tätig. Im Jahr 2013 übernahm er die Rolle des geschäftsführenden Gesellschafters der bluecue consulting GmbH & Co. KG mit Sitz in Bielefeld. Er ist Mitglied im Bundeswirtschaftssenat und wurde als Wirtschaftssenator h.c. ausgezeichnet. [….]
…und viele mehr
Strategen, Berater, Datenexperten, Entwickler und kreative Köpfe
Hinter den Gesichtern auf dieser Seite steht ein interdisziplinäres Team aus Strategen, Beratern, Datenexperten, Entwicklern und kreativen Köpfen. Gemeinsam verbinden wir Fachwissen mit Praxiserfahrung, um Veränderungen erfolgreich zu gestalten. Jeder von uns bringt eigene Perspektiven, Erfahrungen und Stärken mit. Erst im Zusammenspiel entsteht die Vielfalt an Kompetenzen, mit der wir unsere Kunden bei ihren wichtigsten Herausforderungen begleiten.