Kein Schwarm aus Agenten, sondern ein eingespieltes System. Workflow, wo es geht. Agent, wo es Entscheidungen braucht. Mensch, wo es zählt.
Klassifizieren, extrahieren, weiterleiten: Ein Großteil der Enterprise-Use-Cases läuft am besten als fester Ablauf mit einzelnen KI-Schritten. Planbar, günstig, prüfbar.
Ein Agent kommt dort ins Spiel, wo es echte Entscheidungsfreiheit gibt: unstrukturierte Eingaben, wechselnde Lösungswege, Recherche.
Ein Team aus Agenten lohnt sich erst, wenn sich Kontext und Verantwortung sauber trennen lassen. Sonst steigen Kosten, Latenz und Fehler, ohne dass die Qualität besser wird.
Aufwändig ist alles drumherum. Acht Schichten, die wir minimal, aber richtig bauen.
Agenten-Logik gehört in einen persistenten, wiederaufnehmbaren Prozess, nicht in eine Chat-Session. Für lange Abläufe mit Wartezeiten, Freigaben und Retries setzen wir auf Durable Execution.
Tools und Daten binden wir über das Model Context Protocol an. Ein MCP-Gateway steuert zentral, welcher Agent welche Werkzeuge sehen darf, mit Authentifizierung, Rate-Limits und Audit-Log.
Jeder Agent hat eine eigene Identität im Identity Provider. Er handelt im Auftrag eines Menschen mit dessen Rechten oder mit eng begrenzten eigenen Rechten. Nie über einen geteilten Superuser.
Prompt Injection löst kein Filter zuverlässig. Wir lösen sie in der Architektur: Fähigkeiten trennen, ausgehende Verbindungen kontrollieren, Tools per Allowlist freigeben, Code in der Sandbox ausführen.
Retrieval übernimmt die Berechtigungen der Quellsysteme. Ein Agent findet nur, was der jeweilige Mensch auch sehen darf. Für Zahlen nutzen wir definierte Metriken statt freiem SQL auf Rohtabellen.
Ein Gateway vor den Modellen ermöglicht Multi-Model-Betrieb, Fallbacks und Kostenkontrolle pro Team. Große Modelle planen, kleine erledigen Routine. Auf Wunsch mit EU-Datenresidenz.
Jeder Lauf wird vollständig getraced, mit Tool-Calls, Kontext, Kosten und Latenz. Evals mit echten Fällen laufen bei jeder Änderung als Regressionstest. Ohne Evals ist jeder Modellwechsel ein Blindflug.
Eine Agent-Registry zeigt, welche Agenten es gibt, wer sie verantwortet und was sie dürfen. Dazu Audit-Logs, ein Not-Aus, Risikoklassifizierung nach EU AI Act, DSGVO und bei Bedarf der Betriebsrat.
Ein Agent, der private Daten liest, fremde Inhalte verarbeitet und Daten nach außen senden kann, ist angreifbar. Simon Willison nennt das die „lethal trifecta“. Kein Guardrail-Modell löst das zuverlässig. Deshalb nehmen wir jedem Agenten mindestens eine dieser Fähigkeiten weg.
Ein bis zwei eng umrissene Fälle mit hohem Volumen und messbarem Erfolg.
Identität, Gateway, Tracing und Evals. Minimal, aber richtig. Keine Plattform auf Vorrat.
Erst Vorschläge, dann Ausführung mit Freigabe, dann autonom bei niedrigem Risiko.