Einleitung: Warum agentische KI 2026 anders diskutiert wird
Agentische KI bezeichnet KI-Systeme, die nicht nur einzelne Antworten erzeugen, sondern Ziele verfolgen, Zwischenschritte planen, Werkzeuge nutzen und Aufgaben über mehrere Schritte hinweg ausführen können. Ein solcher Agent kann etwa Daten aus einem CRM abrufen, eine Analyse erstellen, eine E-Mail vorbereiten, ein Ticket aktualisieren oder Codeänderungen vorschlagen, ohne dass jeder Einzelschritt manuell angestoßen wird.
2026 ist agentische KI besonders relevant, weil Unternehmen von experimentellen Chatbots zu operativen KI-Systemen übergehen. Gleichzeitig treten regulatorische Anforderungen, Sicherheitsfragen und Governance-Prozesse stärker in den Vordergrund, etwa durch den [EU AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), dessen zentrale Transparenzregeln ab August 2026 gelten und dessen Regeln für General-Purpose-AI-Modelle bereits seit August 2025 anwendbar sind.
Vertrauen als kritischer Erfolgsfaktor
Vertrauen in agentische Systeme entsteht nicht dadurch, dass ein Modell beeindruckende Antworten liefert. Es entsteht, wenn Entscheider nachvollziehen können, warum ein System gehandelt hat, welche Daten es genutzt hat, welche Werkzeuge es aufgerufen hat und wo menschliche Kontrolle vorgesehen ist.
In der Praxis ist das entscheidend, weil agentische KI zunehmend in Prozesse eingreift, die bisher klar menschlich verantwortet waren. Beispiele sind automatisierte Lieferantenbewertungen, Vorqualifizierung von Bewerbungen, Risikohinweise in Finanzprozessen oder priorisierte Incident-Tickets in der IT-Sicherheit.
Agentische Systeme können Fehler machen, obwohl sie formal korrekt wirken. Sie können einen falschen Kontext übernehmen, eine Regel missverstehen, veraltete Daten verwenden oder aus einer plausiblen, aber falschen Annahme eine ganze Handlungskette ableiten.
Deshalb reicht es nicht, nur das Endergebnis zu prüfen. Unternehmen brauchen Kontrollpunkte, Freigabestufen und klare Verantwortlichkeiten, besonders bei finanziellen Transaktionen, personenbezogenen Daten, sicherheitskritischen Aktionen oder Entscheidungen mit Auswirkungen auf Beschäftigte, Kunden und Bürger.
Standards und Governance als Vertrauensarchitektur
Standards schaffen Vertrauen, weil sie Erwartungen vergleichbar machen. Für agentische KI bedeutet das: Unternehmen müssen dokumentieren, wofür ein System vorgesehen ist, welche Grenzen es hat, welche Risiken bewertet wurden und wie Abweichungen erkannt werden.
Ein wichtiger Bezugspunkt ist [ISO/IEC 42001:2023](https://www.iso.org/standard/42001), der erste internationale Managementsystemstandard für KI. Er beschreibt Anforderungen an ein Artificial Intelligence Management System und adressiert unter anderem Risikomanagement, Verantwortlichkeiten, Transparenz, kontinuierliche Verbesserung und die Einbettung von KI in organisatorische Prozesse.
Daneben bleibt der [NIST AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework) relevant, weil er KI-Risiken nicht nur technisch, sondern auch organisatorisch betrachtet. NIST hat im April 2026 zudem eine Konzeptnotiz für ein Profil zu vertrauenswürdiger KI in kritischen Infrastrukturen veröffentlicht, was zeigt, dass sich der Schwerpunkt zunehmend auf robuste Betriebsmodelle und sektorspezifische Anforderungen verschiebt.
Für agentische KI sind Audit-Trails besonders wichtig. Ein Audit-Trail sollte nicht nur protokollieren, dass ein Agent eine Aufgabe abgeschlossen hat, sondern auch, welche Eingaben er verarbeitet, welche Tools er genutzt, welche Entscheidungspfade er gewählt und welche menschlichen Freigaben er erhalten hat.
Regulierung: Der EU AI Act als Taktgeber
Der EU AI Act setzt einen risikobasierten Rahmen, der für agentische KI besonders bedeutsam ist. Die EU-Kommission beschreibt Hochrisiko-Systeme unter anderem in Bereichen wie Beschäftigung, Bildung, kritische Infrastruktur, Migration, Justiz und Zugang zu wesentlichen privaten oder öffentlichen Diensten.
Für Hochrisiko-KI fordert der AI Act unter anderem Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht sowie Robustheit, Cybersicherheit und Genauigkeit. Diese Anforderungen passen sehr direkt zu agentischen Systemen, weil dort Entscheidungen, Tool-Nutzung und Autonomie eng miteinander verbunden sind.
Der Zeitplan ist wichtig, weil Unternehmen 2026 nicht mehr nur vorbereitend diskutieren können. Nach Angaben der EU-Kommission trat der AI Act am 1. August 2024 in Kraft, Verbote bestimmter KI-Praktiken gelten seit dem 2. Februar 2025, GPAI-Pflichten seit dem 2. August 2025, und die Transparenzregeln sollen ab August 2026 gelten.
Gleichzeitig wurden bestimmte Hochrisiko-Fristen im Zuge der Vereinfachung konkretisiert. Für einige Hochrisiko-Bereiche wie Biometrics, kritische Infrastruktur, Bildung, Beschäftigung, Migration sowie Asyl- und Grenzkontrolle ist der 2. Dezember 2027 vorgesehen, während KI-Systeme in regulierten Produkten wie Aufzügen oder Spielzeug bis 2. August 2028 übergangsweise behandelt werden.
Neue Angriffsvektoren durch agentische KI
Agentische KI vergrößert die Angriffsfläche, weil sie nicht nur Text verarbeitet, sondern auch Aktionen auslösen kann. Ein klassisches Sprachmodell kann falsche Informationen liefern, aber ein Agent mit Tool-Zugriff kann im schlimmsten Fall Daten abrufen, Tickets schließen, Konfigurationen ändern oder externe Systeme ansteuern.
Prompt Injection bleibt einer der zentralen Angriffsvektoren. Die [OWASP Top 10 for LLM Applications 2025](https://genai.owasp.org/llm-top-10/) führen Prompt Injection als LLM01:2025 und nennen außerdem Risiken wie Sensitive Information Disclosure, Supply Chain, Data and Model Poisoning, Improper Output Handling und Excessive Agency.
Besonders gefährlich ist indirekte Prompt Injection. Dabei versteckt ein Angreifer Anweisungen in Webseiten, Dokumenten, Tickets, Logdaten oder E-Mails, die ein Agent später verarbeitet und fälschlich als relevante Instruktion behandelt.
Model Poisoning und Data Poisoning verschärfen das Problem. Wenn Trainingsdaten, Fine-Tuning-Daten, Embeddings oder Wissensdatenbanken manipuliert werden, kann der Agent systematisch falsche Empfehlungen geben oder Sicherheitsregeln umgehen, ohne dass dies in einer einzelnen Konversation sofort auffällt.
Agent-Hijacking, Tool-Missbrauch und Supply-Chain-Risiken
Agent-Hijacking beschreibt Situationen, in denen ein Angreifer den Handlungsplan eines Agenten übernimmt oder umlenkt. Das kann durch manipulierte Eingaben, kompromittierte Plugins, unsichere Tool-Beschreibungen, fehlerhafte Berechtigungen oder unzureichend isolierte Systemkontexte geschehen.
Das Risiko steigt, wenn Agenten breit angelegte Rechte erhalten. Ein Agent, der gleichzeitig E-Mails lesen, Dateien durchsuchen, Datenbanken abfragen und externe APIs aufrufen darf, kann bei erfolgreicher Manipulation zu einem mächtigen Exfiltrations- oder Sabotagewerkzeug werden.
Auch die Lieferkette ist kritisch. Agentische Systeme bestehen meist aus Modell, Orchestrierungsschicht, Prompt-Vorlagen, RAG-Komponenten, Vektordatenbanken, Tool-Servern, Plugins, Identitätsdiensten und Monitoring-Infrastruktur.
Jede dieser Komponenten kann Schwachstellen enthalten. Deshalb muss KI-Sicherheit als Erweiterung der klassischen Software- und Cloud-Sicherheit verstanden werden, nicht als isoliertes Modellproblem.
Wie Unternehmen agentische KI absichern sollten
Der wichtigste Sicherheitsgrundsatz ist Least Privilege. Ein Agent sollte nur die Werkzeuge, Daten und Berechtigungen erhalten, die er für eine konkrete Aufgabe tatsächlich braucht.
Zusätzlich sollten Unternehmen riskante Aktionen in Klassen einteilen. Niedrigrisiko-Aktionen können automatisch ablaufen, während mittlere Risiken zusätzliche Prüfungen und hohe Risiken zwingend menschliche Freigaben erfordern.
Technisch braucht es eine saubere Trennung von Systeminstruktionen, Nutzereingaben und externen Inhalten. Externe Inhalte sollten grundsätzlich als potenziell feindlich behandelt werden, insbesondere Webseiten, Dokumente, Tickets, Logdaten und E-Mail-Text.
Ebenso wichtig sind Ausgabevalidierung und Policy Enforcement. Ein Agent darf nicht deshalb Daten exportieren, Code ausführen oder Konfigurationen ändern, weil ein Modell dies sprachlich plausibel begründet, sondern nur, wenn eine unabhängige Policy-Schicht die Aktion erlaubt.
Monitoring muss auf Agentenlogik zugeschnitten sein. Neben klassischen Logs sollten Unternehmen Tool-Aufrufe, Kontextwechsel, abgebrochene Freigaben, ungewöhnliche Aktionsketten, Token- oder Kostenanomalien und wiederholte Policy-Verletzungen auswerten.
Red-Teaming und adversariales Testen gehören vor produktive Einführung und in den laufenden Betrieb. Agentische KI verändert sich durch Modellupdates, Prompt-Anpassungen, neue Tools und geänderte Datenquellen, daher reicht ein einmaliger Sicherheitstest nicht aus.
Fazit: Agentische KI braucht kontrollierte Autonomie
Agentische KI kann Unternehmensprozesse deutlich produktiver machen, weil sie Aufgaben nicht nur beantwortet, sondern aktiv ausführt. Ihr Nutzen entsteht jedoch erst dann nachhaltig, wenn Autonomie, Nachvollziehbarkeit, Governance und Cybersicherheit gemeinsam gestaltet werden.
Vertrauen ist dabei kein weiches Thema, sondern eine operative Voraussetzung. Entscheider müssen wissen, wann ein Agent handeln darf, wann er stoppen muss, welche Daten er nutzt und wer Verantwortung übernimmt.
Standards wie ISO/IEC 42001, Risikoframeworks wie der NIST AI RMF, die OWASP-Risikokataloge und der EU AI Act bilden dafür einen zunehmend konkreten Rahmen. Sie ersetzen keine technische Sorgfalt, helfen aber, Verantwortlichkeiten, Auditierbarkeit und Mindestanforderungen belastbar zu verankern.
Unternehmen sollten 2026 nicht auf vollständige regulatorische Klarheit warten. Sinnvoll ist ein pragmatischer Start mit Inventarisierung aller KI-Systeme, Risikoklassifizierung, Berechtigungskonzepten, Audit-Trails, Human-in-the-Loop-Prozessen und regelmäßigen Sicherheitstests.
Die Entwicklung geht klar in Richtung spezialisierter Agenten, stärkerer Tool-Integration und tieferer Einbettung in Geschäftsprozesse. Wer agentische KI erfolgreich einsetzen will, muss sie deshalb wie eine neue Klasse produktiver, aber sicherheitskritischer Unternehmenssoftware behandeln.