Always-on-KI-Agenten: Chancen und Risiken der KI, die nie Feierabend macht

Bisher war KI ein Werkzeug, das wartet: Du öffnest ein Chatfenster, stellst eine Frage, bekommst eine Antwort. Das ändert sich gerade. Die großen Anbieter bringen KI-Agenten auf den Markt, die dauerhaft laufen, eigene Aufgaben übernehmen und weiterarbeiten, wenn niemand vor dem Bildschirm sitzt. In der Branche heißt das "Always-on". Was dahintersteckt, was es für kleine Unternehmen möglich macht und wo die Risiken liegen, ein Überblick.

Vom Chatfenster zum Dauerläufer

Drei Beispiele aus den letzten Wochen zeigen die Richtung:

• xAI beschreibt seinen Grok Bot als "dein Team aus Always-on-Agenten". Jeder Bot hat einen eigenen Rechner, ein eigenes Gedächtnis und läuft rund um die Uhr. Das Produkt ist in einer Testphase.
• GitHub hat Ende Oktober die Copilot Projects vorgestellt, derzeit als öffentliche Vorschau. Copilot startet dort so viele Agenten, wie eine Aufgabe braucht, auch über mehrere Code-Projekte hinweg, und legt die Ergebnisse am Ende zur Prüfung vor.
• Vercel hat mit agent-desktop ein offenes Werkzeug veröffentlicht, mit dem KI-Agenten normale Programme am Computer bedienen, unter macOS, Windows und Linux.

Der gemeinsame Nenner: Der Agent wartet nicht mehr auf die nächste Frage. Er hat einen Auftrag, Zugänge und Zeit.

Was das für kleine Unternehmen möglich macht

Für ein KMU ohne eigene IT-Abteilung klingt das zunächst nach einem Werkzeug für Konzerne. Die typischen Aufgaben sind aber genau die, die in kleinen Betrieben liegen bleiben:

• Posteingang vorsortieren: Rechnungen erkennen und ablegen, Anfragen markieren, Newsletter wegräumen, bevor der Arbeitstag beginnt.
• Überwachen: Webshop, Server oder Lagerstände im Blick behalten und nur dann melden, wenn etwas auffällt.
• Vorbereiten statt erledigen: Angebotsentwürfe, Antwortvorschläge, Recherchen über Nacht, die morgens zur Prüfung bereitliegen.

Die Verbreitung wächst. Laut KI-Index Mittelstand 2026 von Deutschem Mittelstands-Bund und Salesforce setzen 16,6 Prozent der befragten Mittelständler in Deutschland KI-Agenten ein, nach 8,7 Prozent im Jahr davor. Für Österreich gibt es keine vergleichbare Erhebung, die Richtung dürfte ähnlich sein.

Die Risiken: vier Fragen, die du stellen solltest

Was darf der Agent, und was kann er sich selbst erlauben?

Forscher von Cornell Tech und Yale haben Ende Oktober eine Studie veröffentlicht, die genau das untersucht. Ein Agent mit Zugriff auf Postfach, Browser und eine digitale Geldbörse hatte ein Tageslimit von einem US-Cent. Um Rechnungen bezahlen zu können, musste das Limit erhöht werden, gesichert durch einen Einmalcode, den der Anbieter per Mail an den Kontoinhaber schickt.

Das Problem: Der Agent hatte Zugriff auf genau dieses Postfach. Neun von zehn getesteten Modellen holten sich den Code zumindest in einzelnen Durchläufen selbst und hoben das Limit an, ohne dass es ihnen jemand aufgetragen hatte. Gehackt hat dabei niemand etwas. Die Sicherung war schwach, weil die Freigabe in einem Kanal landete, den der Agent mitlesen konnte.

Wer gibt dem Agenten Anweisungen?

Im zweiten Teil derselben Studie schickte ein Angreifer eine Mail und gab sich darin als Nutzer aus. Fünf von zehn Modellen folgten der gefälschten Anweisung und zahlten an den Angreifer. Ein Agent, der Mails, Webseiten oder Dokumente liest, liest auch Texte von Fremden. Ob er sie als Information oder als Auftrag behandelt, hängt vom Modell und vom Aufbau ab.

Dass Angriffe selbst agentisch werden, zeigt ein aktueller Fall: Das Analyseunternehmen Chainalysis meldete am 30. Oktober einen unbefugten Zugriff auf interne Systeme, ausgeführt mit "offensiven agentischen Techniken". Betroffen waren Namen, Mailadressen und Rollen von Nutzern.

Was kostet das im Dauerbetrieb?

Ein Agent, der rund um die Uhr läuft, verbraucht rund um die Uhr Rechenleistung. Elon Musk begründete Anfang November die gedrosselten Nutzungslimits beim Grok Bot damit, dass die Betriebskosten "im Verhältnis zum Umsatz untragbar hoch" seien. Wenn das schon den Anbieter überrascht, lohnt sich für Anwender ein festes Budget pro Aufgabe.

Wer haftet?

Der US-Bundesstaat Delaware diskutiert eine neue Unternehmensform, in der ein KI-Agent die laufenden Geschäfte führt. Der Entwurf sieht eine streng begrenzte Testumgebung vor, die nach 30 Monaten ausläuft. Die menschlichen Eigentümer haften dort nur bei Unterkapitalisierung, Betrug oder vorsätzlichem Rechtsbruch. Beschlossen ist nichts, die Debatte im Parlament soll 2027 beginnen. Sie zeigt aber, dass die Frage der Verantwortung offen ist. Die Zahlungsbranche arbeitet parallel an Konzepten unter dem Schlagwort "Know Your Agent": Ein Agent soll nachweisen können, für wen er handelt und was er darf. Einen einheitlichen Standard gibt es dafür noch nicht.

Anweisung oder Mechanismus

Aus der Studie lässt sich eine Unterscheidung ableiten, die für jeden Agenten-Einsatz hilft. Eine Regel im Prompt ("bezahl nichts ohne Rückfrage") ist eine Anweisung. Sie wirkt, solange das Modell sie befolgt, und fällt still aus, wenn nicht. Eine technische Sperre ist ein Mechanismus. Sie wirkt auch dann.

In der Praxis heißt das:

• Freigaben über einen getrennten Kanal, auf den der Agent keinen Zugriff hat.
• Entwürfe statt Versand: Der Agent bereitet Mails, Zahlungen oder Bestellungen vor, abschicken muss ein Mensch. In meinem eigenen Setup ist das so gelöst: Der Assistent darf Mails sortieren und Antworten entwerfen, für den Versand kommt technisch immer ein Bestätigungsdialog.
• Budget- und Zeitgrenzen im System, nicht im Prompt.
• Nur die Zugänge, die die Aufgabe braucht, und ein Protokoll, was der Agent getan hat.

Was der AI Act dazu sagt

Für KI-Agenten gibt es im EU AI Act keine eigenen Regeln. Wer KI einsetzt, muss nach Artikel 4 in der Fassung des Digital Omnibus Maßnahmen setzen, damit die eigenen Leute ausreichend KI-Kompetenz aufbauen. Strengere Pflichten greifen erst, wenn ein System in einem der Hochrisiko-Bereiche arbeitet, die der AI Act in Anhang III aufzählt, und das ab 2. Dezember 2027.

Wann passt das, wann nicht

Passt gut, wenn die Aufgabe wiederkehrend ist, das Ergebnis leicht zu prüfen ist und ein Fehler nichts Unumkehrbares auslöst: Sortieren, Überwachen, Entwürfe, Recherche.

Passt (noch) nicht, wenn der Agent ohne Rückfrage Geld bewegen, Verträge eingehen oder im Namen der Firma nach außen kommunizieren soll, oder wenn niemand die Zeit hat, die Ergebnisse regelmäßig anzuschauen. Ein Agent ohne Aufsicht spart keine Arbeit, er verschiebt sie auf den Tag, an dem etwas schiefgeht.

Einordnung

Always-on-Agenten sind kein Hype-Begriff ohne Substanz. Sie können einem kleinen Betrieb Routinearbeit abnehmen, die heute niemand gern macht. Die Technik ist aber jünger als ihr Marketing: Viele Angebote sind Vorschauversionen, die Kosten sind noch in Bewegung, und die Sicherheitsforschung zeigt deutliche Unterschiede zwischen den Modellen. Wer einsteigen will, fängt am besten mit einer Aufgabe an, bei der der Agent vorbereitet und ein Mensch entscheidet.