KI-Agenten im ERP: Was sie heute können und was nicht

Ob ein KI-Agent im ERP Bestellungen freigibt, Rechnungen erfasst oder nur Vorschläge macht, ist keine Frage der Technik, sondern der Autonomie. Die Buchführungsregeln verbieten keinen Agenten; sie verlangen Kontrolle und Verfolgbarkeit. Die Stufenleiter von Vorschlag bis zur alleinigen Ausführung zeigt, welche Stufe je Aufgabe passt und welche Kontrolle dazugehört.

Was ist ein KI-Agent?

Ein KI-Agent ist eine Softwarefunktion, die aus einer Zielangabe einen Plan ableitet und die Schritte mit Werkzeugen ausführt – im ERP etwa mit API-Zugriffen auf Bestellungen, Rechnungen und Stammdaten. Im Unterschied zum Assistenten, der auf eine Frage eine Antwort liefert, und zur Automatisierung, die einen festen Ablauf abspielt, entscheidet der Agent selbst über die Reihenfolge und die Zwischenschritte.

Die Verbindung zwischen KI-Anwendung und ERP läuft über Schnittstellen. Das Model Context Protocol (MCP) ist ein offenes Protokoll dafür: Es definiert, wie eine KI-Anwendung (Host) über einen Client mit Servern kommuniziert, die Kontext, Daten (Resources) und Funktionen (Tools) bereitstellen. Die Kommunikation läuft über JSON-RPC 2.0. Die Spezifikation vom 28. Juli 2026 verlangt, dass der Host vor dem Aufruf eines Tools die ausdrückliche Zustimmung des Nutzers einholt; Tools gelten als Ausführung beliebigen Codes. Welches Interaktionsmodell die Zustimmung umsetzt – etwa ein Bestätigungsdialog für jeden einzelnen Aufruf – schreibt das Protokoll nicht vor.

Die EU-KI-Verordnung definiert in Art. 3 Nr. 1 ein KI-System als maschinenbasiertes System, das mit variierenden Autonomiegraden arbeitet und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Der Begriff Agent ist dort nicht definiert; er beschreibt die Art der Nutzung, nicht eine eigene Rechtskategorie.

Die Stufen der Autonomie

Die vier Stufen trennen, wie viel der Agent selbst entscheidet und wie viel eine Person prüft. Die Zuordnung der Beispielaufgaben und die Fehlerkosten sind eine redaktionelle Einschätzung für den typischen Fall; Ihre Prozesse können andere Werte erfordern.

Stufe	Was der Agent tut	Beispiel im ERP	Fehlerkosten bei einem Fehler	Kontrolle
1. Vorschlagen	Der Agent liefert einen Vorschlag, der Mensch entscheidet	Nachfragerprognose, Bestellvorschlag, Textentwurf für eine Kundenantwort	gering – ein abgelehnter Vorschlag kostet Zeit	Mensch prüft jeden Vorschlag
2. Vorbereiten	Der Agent legt den Beleg als Entwurf an, Werte sind vollständig	Eingangsrechnung erfasst, Bestellung als Entwurf, Zahlungsvorschlag	mittel – ein fehlerhafter Entwurf wird erst bei der Freigabe sichtbar	Mensch prüft und gibt frei
3. Ausführen mit Freigabe	Der Agent führt aus, wenn eine Person die konkrete Aktion freigibt	Bestellung über 500 Euro, Gutschrift, Stammdatenänderung	hoch – die Freigabe verschiebt die Verantwortung, nicht die Prüfung	Freigabe durch eine zweite Person mit eigenem Zugang
4. Allein ausführen	Der Agent führt ohne Freigabe aus, innerhalb fester Grenzen	Bestandsauskunft, Wareneingangsbuchung innerhalb der Toleranz, Zahlungslauf unter der Grenze	sehr hoch – ein Fehler ist erst im Protokoll sichtbar	Grenzen, Protokoll, Stichprobenprüfung

Die Stufe folgt den Fehlerkosten, nicht der Technik. Eine Funktion, die Bestellungen bis 500 Euro allein ausführt, ist auf Stufe 4; dieselbe Funktion über 500 Euro ist auf Stufe 3. Die Grenze liegt dort, ab der ein Fehler teuer wird, bevor Sie ihn bemerken.

Was ein Agent heute nicht kann

Er kann nur, was ihm als Werkzeug zur Verfügung steht. Die MCP-Spezifikation macht das deutlich: Tools sind die Funktionen, die der Server bereitstellt, und der Host muss vor dem Aufruf die ausdrückliche Zustimmung des Nutzers einholen. Ein Agent ohne Werkzeug für die Bankverbindung ändert keine Bankverbindung.

Er prüft nicht, was außerhalb der verbundenen Daten liegt. Eine Rechnung, die weder über eine verbundene Datenquelle noch als Eingabe bereitgestellt wird, bleibt für ihn unsichtbar; eine Lieferung, die in keiner verbundenen Quelle steht und nicht als Eingabe übergeben wird, existiert für ihn nicht.

Fehler addieren sich in mehrstufigen Abläufen. Ein falscher Wert in Schritt 1 wird in Schritt 2 übernommen und in Schritt 3 gebucht; die Kontrolle muss an der Stelle stehen, an der der Wert erstmals entsteht.

Er trägt keine Verantwortung. Die Pflichten aus Buchführung und Datenschutz treffen den Betrieb, nicht die Funktion. In Deutschland verlangt die GoBD Kontrollen, die einzurichten, auszuüben und zu protokollieren sind (Rz. 100); in Österreich verlangt § 131 Abs. 1 BAO die Verfolgbarkeit der Geschäftsvorfälle; in der Schweiz verlangt Art. 8 GeBüV die Aufzeichnung von Zugriffen.

Rechtlicher Rahmen

In Deutschland und Österreich gilt die EU-KI-Verordnung (Verordnung (EU) 2024/1689). Sie ist seit 1. August 2024 in Kraft und wird ab 2. August 2026 anwendbar. Die Hochrisikobereiche aus Anhang III gelten ab 2. Dezember 2027, die in regulierte Produkte eingebetteten Systeme aus Anhang I ab 2. August 2028 – so die AI-Omnibus-Verordnung (Verordnung (EU) 2026/1744), die am 27. Juli 2026 in Kraft getreten ist. Ob ein Einsatzfall Hochrisiko ist, entscheidet sich am Verwendungszweck: Reine Einsatzfälle wie Nachfragerprognose, Rechnungsverarbeitung und Disposition fallen nicht unter Anhang III. Anders liegt es, wenn der Agent etwa Personalentscheidungen vorbereitet (Anhang III Nr. 4) oder die Kreditwürdigkeit natürlicher Personen bewertet (Nr. 5 Buchst. b). Art. 6 Abs. 3 schließt Systeme aus Anhang III aus, die kein erhebliches Risiko für die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen darstellen – etwa weil sie das Ergebnis einer Entscheidung nicht wesentlich beeinflussen – und etwa eine enge prozedurale oder eine vorbereitende Aufgabe erfüllen. Profiling natürlicher Personen bleibt innerhalb von Anhang III stets Hochrisiko.

Verarbeitet der Agent personenbezogene Daten und trifft er Entscheidungen über natürliche Personen, kommt in Deutschland und Österreich Art. 22 DSGVO hinzu: Eine Entscheidung, die ausschließlich auf automatisierter Verarbeitung – einschließlich Profiling – beruht und rechtliche Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt, ist nur mit den Ausnahmen des Abs. 2 zulässig – für den Abschluss oder die Erfüllung eines Vertrags erforderlich, aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten zulässig, die ihrerseits angemessene Schutzmaßnahmen enthalten, oder mit ausdrücklicher Einwilligung. In den Fällen von Vertragserfordernis und Einwilligung verlangt Abs. 3 angemessene Schutzmaßnahmen, mindestens das Recht auf menschliches Eingreifen, auf Darlegung des Standpunkts und auf Anfechtung. Entscheidungen nach Abs. 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 beruhen, sofern nicht Art. 9 Abs. 2 Buchstabe a oder g gilt und angemessene Schutzmaßnahmen getroffen wurden (Abs. 4). In der Schweiz gilt die Verordnung für eine rein schweizerische Nutzung ohne EU-Bezug nicht; nach Art. 3 Abs. 2 DSGVO erfasst sie auch Verantwortliche ohne Sitz in der Union, wenn sie Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten in der Union beobachten.

So gehen Sie vor

1. Ordnen Sie jede Aufgabe dem Agenten zu und notieren Sie die Fehlerkosten: Was passiert, wenn der Wert falsch ist, und wie lange, bis Sie es bemerken?
2. Beginnen Sie auf Stufe 1 oder 2: Der Agent schlägt vor oder legt Entwürfe an, eine Person prüft.
3. Heben Sie die Stufe erst an, wenn die Prüfungen über mehrere Durchläufe ohne Befund waren. Die Grenze liegt bei den Fehlerkosten, nicht beim Zeitdruck.
4. Setzen Sie Betragsgrenzen je Aktion und testen Sie sie im System: Eine Aktion knapp über der Grenze muss als Entwurf stehen bleiben.
5. Protokollieren Sie jede Aktion mit Konto, Zeitpunkt, Datensatz und Wert; in Deutschland gehört die Beschreibung des internen Kontrollsystems in die Verfahrensdokumentation (GoBD Rz. 102).
6. Prüfen Sie die Stufe regelmäßig: Nach einem Update, einer Datenänderung oder einem neuen Lieferanten gilt die Prüfung von vorn.

Wie Sie den Agenten mit eigenem Konto, kleinsten Rolle und Freigabeweg anbinden, steht in KI-Agenten absichern: Rechte, Freigaben, Protokoll. Welche Einsatzfelder sich lohnen, zeigt KI im ERP: Welche Einsatzfelder bringen etwas?.