KI-Agenten im Stadtwerk: Warum jede automatisierte Aktion eine Freigabegrenze braucht

Die Antwort zuerst: Handlungsfähigkeit braucht engere Grenzen

Ein KI-Agent im Stadtwerk sollte nicht danach bewertet werden, wie viele Aktionen er theoretisch ausführen kann. Entscheidend ist, ob jede Aktion einer klaren Berechtigung, einem nachvollziehbaren Zweck und einer passenden Freigabegrenze zugeordnet ist. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt für generative KI sowohl Chancen als auch neuartige und verstärkte IT-Sicherheitsrisiken. Es empfiehlt eine systematische Risikoanalyse und technische sowie organisatorische Gegenmaßnahmen. Für Stadtwerke lässt sich daraus eine einfache Betriebsregel ableiten: Je näher ein KI-System an Fachsysteme, Daten und externe Wirkungen rückt, desto präziser müssen Rechte, Prüfpfade und Stopppunkte sein.

Ein Chatfenster erzeugt zunächst Text. Ein Agent kann zusätzlich Daten abrufen, Dateien verändern, Tickets anlegen, Prozesse starten oder Nachrichten vorbereiten. Diese Werkzeugnutzung ist der eigentliche Sprung. Sie macht KI für Fachprozesse interessant, verändert aber zugleich die Fehlerwirkung. Eine ungenaue Antwort ist ärgerlich. Eine ungenaue Aktion kann einen Datenstand verändern, einen Prozess auslösen oder eine falsche Außenwirkung erzeugen. Deshalb braucht jede agentische Anwendung eine Aktionsakte.

Die Aktionsakte beschreibt mehr als Technik

Eine Aktionsakte ist ein kompaktes Betriebsdokument. Sie hält fest, wofür der Agent eingesetzt wird, welche Quellen er lesen darf, welche Werkzeuge verfügbar sind, welche Aktionen nur vorbereitet werden dürfen und welche Schritte eine menschliche Freigabe benötigen. Außerdem beschreibt sie, welche Protokolle entstehen und wie ein Vorgang gestoppt oder zurückgesetzt werden kann.

Das klingt zunächst nach Berechtigungskonzept. Tatsächlich verbindet die Akte mehrere Perspektiven: Fachbereich, Informationssicherheit, Datenschutz, Systembetrieb, Qualitätssicherung und gegebenenfalls Mitbestimmung. Ein Werkzeugzugriff ist nie nur technisch. Er steht für eine fachliche Möglichkeit. Wer einen Datensatz lesen darf, kann daraus Schlüsse ziehen. Wer einen Status ändern darf, greift in einen Prozess ein. Wer eine Nachricht versenden darf, erzeugt Außenwirkung.

Hilfreich ist eine Einteilung in drei Aktionsklassen. Lesen umfasst den Zugriff auf ausdrücklich freigegebene Informationen. Vorbereiten umfasst Entwürfe, Vorschläge, Klassifikationen oder Simulationen ohne unmittelbare Wirkung. Ausführen umfasst Veränderungen, Übertragungen oder externe Kommunikation. Diese Klassen sollten nicht pauschal für den gesamten Agenten gelten, sondern je Werkzeug und Anwendungsfall. Ein System kann beispielsweise öffentliche Quellen autonom lesen, interne Vorgänge nur zusammenfassen und eine externe Antwort ausschließlich zur Freigabe vorlegen.

Minimale Rechte sind eine Fachregel

Das Prinzip minimaler Rechte wird oft als IT-Sicherheitsstandard verstanden. In agentischen Prozessen ist es zugleich eine Qualitätsregel. Wenn ein Agent nur die Daten und Aktionen sieht, die für seine Aufgabe notwendig sind, sinkt die Gefahr fachlicher Verwechslungen. Ein Assistent für Netzanschlussfragen benötigt nicht automatisch Zugriff auf Abrechnung, Personalakten oder produktive Schalthandlungen. Ein Agent für Marktkommunikationsmonitoring muss Fehlerberichte lesen können, aber nicht zwingend Stammdaten ungeprüft verändern dürfen.

Rechte sollten deshalb an konkrete Aufgaben gebunden sein. Für jede Aufgabe werden erlaubte Datenquellen, zulässige Ausgaben und verbotene Nebenzwecke dokumentiert. Zeitliche Grenzen sind ebenfalls sinnvoll. Ein erweiterter Zugriff für eine kontrollierte Prüfung muss nicht dauerhaft bestehen. Auch Mengenbegrenzungen können schützen: wenige Testfälle, ein klarer Zeitraum oder ein begrenzter Aktionsumfang verhindern, dass ein lokaler Fehler zu einer breiten Wirkung wird.

Die Fachverantwortung bleibt sichtbar. Der Agent erhält keine abstrakte Rolle wie allwissender Helfer, sondern eine enge Prozessrolle: Unterlagen vergleichen, fehlende Felder markieren, einen Statusbericht erstellen oder eine Antwort mit Quellenhinweisen vorbereiten. Je präziser diese Rolle formuliert ist, desto besser lässt sie sich testen.

Unvertrauenswürdige Eingaben brauchen einen eigenen Pfad

Stadtwerke verarbeiten viele Inhalte, die von außen kommen: E-Mails, Formulare, Marktpartnernachrichten, Webseiten, Dokumente von Dienstleistern oder Freitext aus Kundenanfragen. Ein KI-Agent darf solche Inhalte nicht automatisch als Anweisung behandeln. Er muss zwischen Daten und autorisierten Steuerbefehlen unterscheiden.

Dafür eignet sich ein getrennter Eingangspfad. Externe Inhalte werden zunächst erfasst, technisch geprüft und als unvertrauenswürdig markiert. Der Agent darf sie analysieren, aber daraus nicht unmittelbar privilegierte Aktionen ableiten. Erst eine definierte Fachregel oder menschliche Prüfung kann den Übergang in einen ausführbaren Schritt erlauben. Diese Trennung ist besonders wichtig, wenn ein Agent Werkzeuge nutzen kann. Ein Text in einem Dokument darf nicht plötzlich Berechtigungen erweitern oder einen Versand auslösen.

Auch Quellenqualität gehört in diesen Pfad. Eine Behauptung aus einer Webseite, ein Wert aus einem PDF und ein Status aus einem Fachsystem haben unterschiedliche Verlässlichkeit. Die Aktionsakte sollte festlegen, welche Quelle für welche Entscheidung maßgeblich ist und wann Widersprüche eskaliert werden. Der Agent muss Unsicherheit sichtbar machen dürfen, statt sie mit einer plausibel klingenden Antwort zu überdecken.

Freigaben müssen am Wirkungspunkt liegen

Eine allgemeine Freigabe zu Beginn eines Projekts ersetzt nicht die Kontrolle kritischer Aktionen. Die Freigabe sollte dort liegen, wo Wirkung entsteht. Das kann vor einem Versand, vor einer produktiven Datenänderung, vor einem Systemaufruf oder vor der Übernahme einer fachlichen Entscheidung sein. Für reversible interne Schritte kann dagegen ein enger autonomer Korridor sinnvoll sein.

Gute Freigaben sind konkret. Die prüfende Person sieht Gegenstand, Quelle, vorgeschlagene Aktion, erwartete Wirkung und mögliche Rücknahme. Ein bloßer Knopf mit der Aufschrift Bestätigen reicht nicht. Bei wiederkehrenden, risikoarmen Vorgängen kann ein vorab definierter Rahmen genutzt werden: erlaubte Aktion, Zielsystem, Mengenlimit, Laufzeit und Stop-Kriterien. Sobald der Agent diesen Rahmen verlassen müsste, wird der Vorgang angehalten.

Wichtig ist außerdem die Trennung zwischen Entscheidung und Ausführung. Ein Agent kann eine Option empfehlen, ohne sie selbst umzusetzen. Ein zweiter technischer Schritt prüft dann, ob eine gültige Freigabe vorliegt und ob Ziel, Umfang und Zeitpunkt noch stimmen. Diese Trennung reduziert das Risiko, dass eine fehlerhafte Interpretation sofort wirksam wird.

Protokolle müssen für Fachbereiche lesbar sein

Ein technisches Log allein genügt selten. Für die spätere Prüfung muss erkennbar sein, welche Aufgabe gestellt wurde, welche Quellen verwendet wurden, welche Zwischenschritte stattfanden, welche Regel eine Aktion erlaubt oder gestoppt hat und wer gegebenenfalls freigegeben hat. Sensible Inhalte sollten dabei nicht unnötig vervielfältigt werden. Ein gutes Protokoll ist nachvollziehbar und zugleich datensparsam.

Für den Betrieb helfen wenige Kennzahlen: Anteil der Vorgänge ohne Eingriff, Zahl der Stopps an Freigabegrenzen, wiederkehrende Fehlerklassen, zurückgewiesene Quellen und manuelle Nacharbeiten. Eine hohe Automatisierungsquote ist nicht automatisch ein Qualitätsbeweis. Ein Agent, der rechtzeitig stoppt und Unsicherheit korrekt meldet, kann wertvoller sein als ein System, das jeden Fall scheinbar abschließt.

Klein starten, Wirkung beobachten

Ein geeigneter Einstieg ist ein Prozess mit klaren Daten, begrenzter Wirkung und guter Rücksetzbarkeit. Der Agent kann beispielsweise öffentliche Fachinformationen sammeln, Dokumente nach vorgegebenen Kriterien vergleichen oder interne Statusberichte vorbereiten. Vor dem Test werden erlaubte Aktionen, verbotene Daten, Freigabepunkte und Erfolgskriterien festgelegt. Danach werden gezielt Grenzfälle geprüft: widersprüchliche Quellen, unvollständige Angaben, manipulativ formulierte Inhalte, fehlende Berechtigung und nicht erreichbare Systeme.

Erst wenn diese Fälle nachvollziehbar behandelt werden, sollte der Aktionsumfang wachsen. Jede Erweiterung ist eine neue Betriebsentscheidung und kein bloßes Softwareupdate. KI-Agenten können Fachprozesse entlasten. Im Stadtwerk werden sie jedoch erst dann belastbar, wenn ihre Handlungsfähigkeit durch sichtbare Grenzen, minimale Rechte und prüfbare Übergaben organisiert ist.