KI‑Agenten dürfen handeln – mit Stopptaste

In Copilot Studio können bestimmte Aktionen eines Agenten zwingend eine menschliche Freigabe verlangen. Microsoft hat die Freigabemechanismen im November 2025 eingeführt.

Damit reagiert der Konzern auf eine Kernfrage beim Einsatz autonomer KI-Systeme, nämlich was passiert, wenn die KI über das Antworten hinaus etwas tut.

Ein Agent führt Aktionen selbst aus

Ein klassischer KI-Assistent beantwortet Fragen. Ein KI-Agent kann dagegen Werkzeuge verwenden und Aktionen ausführen, etwa diese.

• eine E-Mail versenden
• ein Ticket schließen
• Daten aktualisieren
• einen Workflow starten
• eine Zahlung verarbeiten

Damit steigt der mögliche Nutzen, gleichzeitig aber auch das Risiko. Ein falscher Textentwurf ist meist schnell korrigiert. Eine falsch versendete E-Mail oder eine automatisch ausgeführte Geschäftstransaktion möglicherweise nicht.

Vor der Aktion fragt der Agent nach

Wer einen Agenten einrichtet, legt für einzelne Tools fest, dass der Agent vor dieser Aktion die Zustimmung eines Menschen braucht. Der Agent pausiert die geplante Aktion und zeigt an, was er vorhat. Der Nutzer kann zustimmen, für die Sitzung zustimmen oder ablehnen.

Microsoft nennt ausdrücklich sensible Vorgänge wie das Versenden von E-Mails, das Schließen von Tickets oder die Bearbeitung von Zahlungen. Die Freigabe gilt nach Herstellerangaben unabhängig davon, welche Anweisungen der Agent sonst erhalten hat. Damit entsteht eine technische Sicherheitsbarriere, die nicht vom Prompt abhängt.

KMU müssen festlegen, was die KI selbst tun darf

Viele Unternehmen sind bei KI noch in Phase eins, Mitarbeiter verwenden ChatGPT oder Copilot zum Schreiben und Zusammenfassen. Die nächste Phase sieht anders aus. KI wird Systeme abfragen, Daten verarbeiten, Abläufe starten, andere Programme verwenden und Entscheidungen vorbereiten. Damit wird eine klare Trennung notwendig.

Selbstständig. Ein Agent fasst jeden Morgen neue Branchenmeldungen zusammen, ohne dass jemand eingreift. Das Risiko ist überschaubar.

Vorbereiten. Ein Agent erstellt einen Antwortentwurf auf eine Kundenanfrage, jemand aus dem Team sendet ihn.

Mit Freigabe. Ein Agent möchte eine Nachricht an einen Kunden versenden und wartet auf die Zustimmung.

Ohne KI. Eine sensible Personalentscheidung oder eine rechtlich weitreichende Entscheidung bleibt beim Menschen.

Diese Unterscheidung wird für Unternehmen wesentlich wichtiger als die Frage nach dem besten Prompt.

Beim Serviceticket greift die Freigabe im letzten Schritt

Ein Unternehmen automatisiert die Bearbeitung von Serviceanfragen. Der Agent erkennt eine neue Anfrage, liest die Kundeninformationen, klassifiziert das Problem, sucht eine mögliche Lösung, erstellt eine Antwort und schlägt das Schließen des Tickets vor.

Die ersten fünf Schritte können weitgehend automatisiert ablaufen. Vor dem sechsten erhält die zuständige Person eine Freigabeanfrage, weil der Agent das Ticket als erledigt schließen möchte. Sie kann genehmigen, für die Sitzung genehmigen oder ablehnen.

Gemeinden müssen jeden Schritt nachvollziehen können

Öffentliche oder stark regulierte Organisationen brauchen genau dieses Prinzip. Dort müssen vier Dinge nachvollziehbar bleiben.

• wer etwas ausgelöst hat
• welche Daten verwendet wurden
• was die KI entscheiden durfte
• wann ein Mensch eingegriffen hat

Gerade bei Bürgeranliegen, Förderungen, Personal, Finanzprozessen und öffentlicher Kommunikation sind solche Grenzen entscheidend.

KI-Governance muss nicht kompliziert sein

Viele kleinere Unternehmen hören „KI-Governance“ und denken an umfangreiche Richtlinien. Am Anfang genügt oft eine einfache Tabelle wie diese.

So ist für jeden Vorgang geklärt, wer verantwortlich ist.

Diese Fragen sind häufig wichtiger als die Frage, was der Agent alles können soll. Erst danach werden Tools, Berechtigungen und Workflows eingerichtet.

Ab 25. Oktober dürfen alle hochladen, wenn niemand widerspricht

Microsoft hat im September 2026 eine neue Einstellung im Microsoft-365-Admin-Center angekündigt (Message-Center-Meldung MC1472007). Sie legt fest, wer erweiterte Agenten und Plugins in die Organisation hochladen darf, also alle, niemand oder bestimmte Personen und Gruppen. Ab 25. Oktober 2026 ist das Hochladen laut der Meldung standardmäßig erlaubt, sofern der Admin nicht „keine Benutzer“ oder eine Auswahl festgelegt hat. Was genau als „erweitert“ gilt und ob der Termin für jede Organisation gleich ist, beschreiben die bisher verfügbaren Zusammenfassungen nicht eindeutig.

In einem kleinen Betrieb oder Gemeindeamt ohne eigene IT-Abteilung entscheidet oft niemand – dann gilt „alle“. Wer Copilot nutzt, klärt mit dem IT-Dienstleister vor dem 25. Oktober, wer Agenten hochladen darf, und hält die Entscheidung in derselben Tabelle fest wie die Freigaben.

Die Grenzen muss jede Organisation selbst ziehen

KI-Agenten werden vom Informationswerkzeug zum Handlungssystem, und die menschliche Kontrolle muss entsprechend genauer festgelegt werden. Mit den Freigaben in Copilot Studio lässt sich Routine automatisieren, während kritische Entscheidungen beim Menschen bleiben. Welcher Vorgang in welche Spalte der Tabelle gehört, entscheidet die Technik nicht, das hält jede Organisation selbst fest.