Agentische KI: Definition, Funktionsweise und Beispiele aus der Praxis

Agentische KI (englisch Agentic AI) ist KI, der man ein Ziel gibt statt einer einzelnen Frage. Sie zerlegt das Ziel in Schritte, ruft Werkzeuge wie eine Suchmaschine, eine API oder ein CRM auf, prüft das Ergebnis und entscheidet, was als Nächstes passiert. Am Ende steht keine Antwort, sondern eine Veränderung in einem System: eine bearbeitete Datei, ein aktualisierter Datensatz, eine gesendete Nachricht.

Der Begriff kommt von „Agent“, also jemandem, der im Auftrag eines anderen handelt. IBM definiert agentische KI als KI-System, das ein bestimmtes Ziel mit begrenzter Aufsicht erreichen kann (IBM). Entscheidend sind die Wörter Ziel und begrenzt: Ein Mensch gibt das Ziel vor, und ein Mensch legt fest, wie viel das System ohne Rückfrage tun darf.

Offenlegung: Diesen Ratgeber veröffentlicht Customermates, ein Open-Source-CRM. Das Praxisbeispiel nutzt Customermates; Definitionen, Muster und Risiken gelten für jeden KI-Agenten.

Wie agentische KI funktioniert

Jedes agentische System durchläuft eine Variante derselben Schleife:

1. Ziel. Ein Mensch, ein Zeitplan oder ein Ereignis gibt dem Agenten ein Ziel, etwa „eine Antwort auf diese E-Mail vorbereiten“ oder „den fehlschlagenden Test beheben“.
2. Planen. Ein Sprachmodell zerlegt das Ziel in Schritte und wählt den ersten.
3. Handeln. Der Agent ruft ein Werkzeug auf: eine Suche, eine Datenbankabfrage, einen API-Aufruf, eine Dateiänderung.
4. Beobachten. Er liest das Ergebnis und gleicht es mit dem Ziel ab.
5. Weitermachen oder aufhören. Er geht zum nächsten Schritt, fragt einen Menschen oder endet, wenn das Ziel erreicht ist oder ein Limit greift.

IBM zerlegt denselben Zyklus feiner, von Wahrnehmung und Schlussfolgern über die Ausführung bis zu Lernen und Orchestrierung. Wie weit ein Agent reicht, bestimmen seine Werkzeuge: Ein Modell ohne Zugriff auf Werkzeuge kann eine Aktion beschreiben, aber nicht ausführen. Deshalb steht das Model Context Protocol (MCP), laut seinen Betreibern ein offener Standard zur Verbindung von KI-Anwendungen mit externen Systemen, im Zentrum vieler Agentensysteme.

Wie sich die gängigen Definitionen unterscheiden

Die maßgeblichen Quellen definieren agentische KI mit leicht unterschiedlichen Worten. An den Unterschieden sieht man, worauf es jedem ankommt.

Gemeinsam ist allen ein Ziel, Werkzeuge und ein gewisser Spielraum beim Weg dorthin. Uneinig sind sie sich darüber, wie groß dieser Spielraum sein soll.

Agentische KI und generative KI: der Unterschied

Generative KI erzeugt Inhalte: Text, Bilder, Code, eine Zusammenfassung. Sie lesen das Ergebnis und entscheiden, was damit geschieht. Agentische KI enthält meist ein generatives Modell, nutzt dessen Ausgabe aber, um eine Aktion zu wählen und sie auszuführen. Das Beispiel von IBM: Generative KI nennt Ihnen die beste Zeit für eine Besteigung des Mount Everest, ein agentisches System bucht zusätzlich Flüge und Hotel.

Die letzten beiden Zeilen machen den praktischen Unterschied aus. Eine Halluzination im Entwurf kostet Sie eine Korrektur. Dieselbe Halluzination in einem Agenten wird zum geänderten Datensatz oder zur versendeten E-Mail. Agenten brauchen deshalb Berechtigungen und Freigaberegeln, die ein Textgenerator nie gebraucht hat.

Agentische Workflows und KI-Agenten

Der Engineering-Leitfaden von Anthropic trennt Workflows, also Systeme, in denen Sprachmodelle und Werkzeuge über vorab festgelegte Codepfade gesteuert werden, von Agenten, bei denen das Modell den Ablauf und die Werkzeugwahl selbst bestimmt. Beides zählt zu den agentischen Systemen. Die Empfehlung ist deutlich: die einfachste Lösung wählen, die funktioniert, was auch heißen kann, gar kein agentisches System zu bauen. Echte Agenten lohnen sich bei offenen Problemen, deren Schrittzahl sich nicht vorhersagen lässt. Ich sehe das genauso. Vieles, was im Unternehmen „KI-Agent“ heißt, ist als Workflow mit ein oder zwei KI-Schritten besser gebaut.

Der Leitfaden nennt fünf Workflow-Muster:

Agentische KI und KI-Agenten. IBM beschreibt agentische KI als System, das aus KI-Agenten besteht: „agentische KI“ meint also das Ganze, „KI-Agenten“ die Bausteine darin. Arbeiten mehrere Agenten zusammen, übernimmt jeder eine Teilaufgabe, und ein Orchestrierungsschritt koordiniert sie.

Beispiele für agentische KI

Die folgenden Produkte bezeichnen ihre eigenen Hersteller als Agenten. Die mittleren Spalten folgen der jeweiligen Herstellerdokumentation.

Jenseits von Software und Vertrieb nennt AWS Einsatzfelder wie Schichtplanung, Lieferketten- und Bestandsmanagement, Reaktion auf IT-Störungen und Kundenservice.

Praxisbeispiel: ein eng begrenzter Agent im CRM

Die Arbeit im CRM eignet sich gut für einen ersten Agenten. Sie wiederholt sich täglich, der Kontext liegt an einem Ort, und die meisten Änderungen lassen sich korrigieren. So sieht eine konkrete Einrichtung in Customermates aus, gebaut als Routine: eine gespeicherte Anweisung plus Auslöser, ausgeführt von Mate, dem Assistenten in Customermates Cloud, der gehostete KI-Credits verbraucht.

Voraussetzungen. Customermates Cloud ab Pro, denn der Auslöser ist ein Ereignis im Posteingang, und den einheitlichen Posteingang gibt es ab Pro. Dazu ein verbundenes E-Mail-Konto (Gmail, Outlook oder IMAP).

1. Routine anlegen

   Öffnen Sie Routinen, klicken Sie auf Hinzufügen und vergeben Sie einen Namen, etwa „Antwortvorbereitung für offene Deals“.

2. Auslöser wählen

   Wählen Sie Wenn sich etwas ändert und das Ereignis E-Mail empfangen.

3. Anweisungen schreiben

   Fügen Sie die Anweisung unten in Anweisungen ein. Die Abbruchregel und die Regel „nur Entwurf“ gehören hinein.

4. Die ersten Läufe lesen

   Öffnen Sie bei jedem Lauf die Details zum Lauf: was ihn ausgelöst hat, was Mate gelesen und geändert hat und wie viele Credits er verbraucht hat. Schärfen Sie die Formulierung nach, bis die Entwürfe so sind, dass Sie sie senden würden.

Neue E-Mail eingegangen. Absender unter meinen Kontakten suchen.
Nur wenn der Kontakt mit einem Deal verknüpft ist, der weder gewonnen
noch verloren ist:
1. Verlauf und Deal lesen.
2. Die Notizen des Deals um drei Zeilen ergänzen: was der Absender möchte,
   genannte Termine oder Beträge, die offene Frage.
3. Im Verlauf einen Antwortentwurf speichern, der beantwortet, was sich
   aus Deal und Notizen beantworten lässt. Unsichere Stellen markieren.
Keine Nachricht senden. Phase und Wert des Deals nicht ändern.
Ist der Absender mit keinem offenen Deal verknüpft: nichts tun.

Warum die Anweisung so formuliert ist:

• „Nur Entwurf“ muss drinstehen. Mate versendet E-Mails und Chat-Nachrichten ohne erneute Freigabe, wenn eine Anweisung das verlangt. Eine Routine, die nur Entwürfe anlegen soll, muss das ausdrücklich sagen.
• Unbeaufsichtigte Läufe können nicht fragen. Im Chat warten Löschungen und einige Verwaltungsaktionen auf Ihre Freigabe. In einer Routine ist niemand da, der antwortet, also werden diese Aktionen abgelehnt, und der Lauf hält die Ablehnung fest.
• Sie handelt mit Ihren Rechten. Eine Routine läuft als ihr Eigentümer, mit dessen Zugriffsrechten, verbundenen Kanälen und Credits. Eine E-Mail, die der Eigentümer nicht sehen darf, startet keinen Lauf.
• Keine Endlosschleifen. Änderungen aus einem Routinen-Lauf lösen nie Routinen aus.
• Recherche und Schreiben sind getrennt. Ein Lauf kann im Web suchen oder Daten ändern, nicht beides: Sobald eine Websuche Ergebnisse geliefert hat, wird jede Änderung in diesem Lauf abgelehnt. Text von einer Website kann so im selben Lauf keinen Datensatz verändern.
• Die Kosten sind gedeckelt. Jeder Lauf hat eine Credit-Obergrenze, jede Routine ein stündliches Limit. Die aktuellen Werte stehen in der Dokumentation zu Routinen, die vollständige Liste der freigabepflichtigen Aktionen in der Dokumentation zu Mate.

Was das kostet. Ein Team mit drei Personen zahlt im Pro-Tarif 87 € pro Monat, also 29 € pro Nutzer. Jeder Pro-Nutzer kann 5 Routinen anlegen, und jeder aktive Nutzer erhält monatlich gehostete KI-Credits; Details unter Preise. Eine Routine verbraucht die Credits ihres Eigentümers.

Alternativ mit Ihrem eigenen KI-Client. Claude, ChatGPT und andere Clients arbeiten über MCP mit denselben Datensätzen, gestartet im Client statt durch ein Ereignis im Posteingang; die Modellnutzung bezahlen Sie dann direkt bei Ihrem KI-Anbieter. MCP funktioniert auch bei einer selbst gehosteten Installation, die allerdings weder Posteingang noch Mate hat. Zwei Grenzen sind für das Agenten-Design wichtig: Ein API-Schlüssel hat dieselben Rechte wie der Nutzer, der ihn erstellt hat, ohne Einschränkung pro Schlüssel. Und der Server bittet Clients nur, vor dem Löschen oder Senden nachzufragen; ob das passiert, entscheidet der Client. Der Ratgeber zum agentischen CRM vergleicht beide Wege.

Risiken und die Kontrollen, die wirken

OWASP führt „Excessive Agency“, also übermäßigen Handlungsspielraum, in seinen Top 10 für LLM-Anwendungen (LLM06:2025). Gemeint ist die Schwachstelle, durch die schädliche Aktionen aus unerwarteten, mehrdeutigen oder manipulierten Modellausgaben entstehen. Auslöser kann eine Halluzination sein, eine Prompt Injection in Inhalten, die der Agent liest, oder ein kompromittiertes Werkzeug. OWASP nennt drei Ursachen, und für jede gibt es eine direkte Gegenmaßnahme:

Zwei weitere Probleme zeigen sich in der Praxis. Fehler pflanzen sich fort: Liest der erste Schritt eine E-Mail falsch, baut jeder spätere Schritt darauf auf. Und die Kosten wachsen mit jedem Schritt, deshalb gibt es Limits pro Lauf.

Gartner geht davon aus, dass bis Ende 2027 über 40 % der Projekte mit agentischer KI eingestellt werden, wegen steigender Kosten, unklarem Geschäftsnutzen oder unzureichender Risikokontrollen. In derselben Mitteilung vom 25. Juni 2025 warnt Gartner vor „Agent Washing“, dem Umetikettieren von Assistenten, Chatbots und RPA-Werkzeugen zu Agenten, und schätzt, dass nur etwa 130 der Tausenden Anbieter, die agentische KI versprechen, tatsächlich welche liefern (Gartner). Ein schneller Test für jedes Produkt, das als Agent verkauft wird: Welche Werkzeuge darf es aufrufen, mit wessen Rechten, und was tut es ohne Rückfrage?

So geben Sie einem Agenten seine erste Aufgabe

1. Eine Aufgabe mit klarem Ende wählen

   Eine gute erste Aufgabe ist in einem Lauf erledigt und hat ein eindeutiges „fertig“: ein Gesprächsbriefing, ein Antwortentwurf, ein bereinigter Datensatz. Offene Ziele wie „mehr Pipeline“ eignen sich nicht.

2. Mit Entwürfen und einer engen Rolle beginnen

   Der Agent bereitet vor, ein Mensch entscheidet, und der Agent läuft als Nutzer, dessen Rolle genau die Aufgabe abdeckt. Direkte Aktionen erlauben Sie nur für Schritte, die sich leicht rückgängig machen lassen.

3. Die Abbruchregel aufschreiben

   Legen Sie fest, was passiert, wenn ein Fall nicht passt: „Wenn X, nichts tun.“ Wo die Anweisung einen Fall nicht vorsieht, improvisieren Agenten.

4. Anfangs jeden Lauf lesen

   Prüfen Sie das Protokoll jedes frühen Laufs. Erweitern Sie den Spielraum des Agenten Aktion für Aktion.

Wann agentische KI das falsche Werkzeug ist

Wenn sich die Schritte nie ändern, ist eine feste Regel günstiger und berechenbarer als ein Agent. Eine Regel wie „Wechselt ein Deal auf Gewonnen, wird eine Onboarding-Aufgabe angelegt“ braucht einen Webhook und eine Workflow-Automatisierung, kein Sprachmodell. Agenten lohnen sich dort, wo die Eingabe variiert: frei formulierte E-Mails, unstrukturierte Notizen, Fragen, die mehrere Abfragen brauchen. Fehl am Platz sind sie, wo sich eine falsche Aktion nicht rückgängig machen lässt und niemand sie rechtzeitig prüfen kann, etwa bei Zahlungen.

Agentische KI und DSGVO

Agenten lesen personenbezogene Daten: Namen, E-Mail-Adressen, Gesprächsinhalte. Nach der DSGVO ist ein Anbieter, der diese Daten in Ihrem Auftrag verarbeitet, Auftragsverarbeiter, Sie brauchen mit ihm einen Auftragsverarbeitungsvertrag (AVV), und die KI-Anbieter, auf die er zurückgreift, sind seine Unterauftragsverarbeiter. Für Mate in Customermates Cloud stehen die Modellanbieter in der Liste der Unterauftragsverarbeiter. Wenn Sie den Anbieter selbst wählen möchten, verbinden Sie Ihren eigenen KI-Client über MCP oder hosten den Open-Source-Kern selbst, sodass die CRM-Daten auf Ihren eigenen Servern bleiben.

Häufige Fragen

Definitionen, Produktbeschreibungen und Zahlen Dritter geprüft am 8. Oktober 2026 anhand von IBM, AWS, MIT Sloan, Salesforce, Anthropic, OWASP, der MCP-Dokumentation, der Claude-Code-Dokumentation, GitHub Docs, OpenAI und Gartner.