Technik
Was ein KI-Agent ist, warum selbstständiges Handeln den Datenschutz stärker berührt als Chatten, welche Risiken bestehen und was Sie vorab regeln.
Ein KI-Agent darf mit personenbezogenen Daten tun, was ein Mitarbeitender für dieselbe Aufgabe tun dürfte, und nicht mehr. Es muss einen Zweck und eine Rechtsgrundlage geben, der Agent erhält nur die für die Aufgabe nötigen Daten, und eine Entscheidung mit großen Folgen für eine Person trifft er nicht allein. Die einsetzende Organisation bleibt verantwortlich.
Schwierig wird es, weil KI-Agenten ihren eigenen Weg wählen. Bei einem Chatbot bestimmen Sie, was Sie eingeben. Bei einem Agenten bestimmt das Modell, welche E-Mail es öffnet, welche Datei es liest und was es anschließend tut. Wie es sich mit Daten verhält, die Sie selbst in ein Chatfenster kopieren, steht auf der Hauptseite zu KI-Chatbots und der DSGVO.
Ein KI-Agent ist ein Assistent, der ein Ziel statt einer Frage erhält und selbst herausfindet, welche Schritte dafür nötig sind. Dabei nutzt er Werkzeuge: eine Suchfunktion, einen Kalender, ein Postfach, einen Dateiordner oder einen Browser.
Anthropic, das Unternehmen hinter Claude, unterscheidet in seiner Erläuterung zum Entwickeln von Agenten zwischen zwei Systemarten. In einem Workflow folgen Modell und Werkzeuge einem von einem Entwickler vorgegebenen Weg. Bei einem Agenten steuert das Modell selbst seinen Ablauf und den Werkzeugeinsatz. Es plant, führt aus, betrachtet das Ergebnis und entscheidet über den nächsten Schritt.
Ein Chatbot ohne Werkzeuge tut keines von beidem: Er antwortet auf Ihre Eingabe. Der Unterschied liegt nicht im Sprachmodell, sondern darin, was darum herum entwickelt wurde.
Drei Dinge machen ein Sprachmodell zum Agenten.
Anthropic nennt auch die Kehrseite: Fehler können sich summieren. Empfohlen werden Abbruchbedingungen und Tests in einer abgeschirmten Umgebung.
Denken Sie an einen Agenten, der eingehende E-Mails liest, die zugehörige Akte sucht und einen Antwortentwurf vorbereitet. Oder an einen Agenten mit dem Auftrag „Planen Sie eine Besprechung mit den drei Beteiligten“, der dafür Kalender und E-Mail-Verläufe durchsieht. In beiden Fällen liest der Agent mehr, als die Aufgabe unbedingt erfordert. Dort beginnt die Datenschutzfrage.
Weil ein Agent Zugriff hat, handelt und dies oft außerhalb des Sichtfelds tut. Bei einem Chatbot liegt das Risiko in den Eingaben eines Mitarbeitenden. Bei einem Agenten liegt es darin, was er selbst erreichen kann.
Ein Agent, der eine Besprechung planen soll, benötigt Leserechte auf Kalender. In der Praxis erhält er häufig das gesamte Postfach. Alles, was er lesen kann, kann im Gespräch mit dem Modell und damit beim Modellanbieter landen. Wie weit ein solcher Zugriff reichen kann, steht in Microsoft 365 Copilot und die DSGVO.
Die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, warnte am 12. Februar 2026 vor großen Sicherheitsrisiken bei KI-Agenten. Anlass war eine Open-Source-Plattform, deren Nutzer einem Assistenten vollen Zugriff auf ihren Computer einschließlich E-Mails, Dateien und Onlinediensten gaben. Ein solcher Assistent kann laut AP selbstständig handeln, ohne unmittelbare vorherige menschliche Zustimmung.
Die AP rief dazu auf, solche experimentellen Agenten nicht auf Systemen mit datenschutzrelevanten oder vertraulichen Daten wie Kundenbeständen, Personaldaten und Identitätsdokumenten einzusetzen. Sie betonte außerdem, dass Organisationen und Nutzer selbst für die Einhaltung der DSGVO verantwortlich bleiben.
Die französische Aufsichtsbehörde CNIL veröffentlichte am 20. Juli 2026 eine explorative Notiz zu agentischer KI. Laut CNIL beziehen Agenten Daten aus vielen Quellen und lassen personenbezogene Daten zwischen Diensten zirkulieren. Für Nutzer sind diese Ströme schwer zu überblicken. Die Notiz ist explorativ und keine Leitlinie.
Dieselben wie jede andere Verarbeitung, aber einige werden dringlicher. Die folgenden Artikel stehen im Text der DSGVO. Eine umfassendere Erklärung finden Sie in Die Datenschutzgesetzgebung erklärt.
Artikel 5 Absatz 1 Buchstabe b besagt, dass personenbezogene Daten für festgelegte, eindeutige Zwecke erhoben und nicht in damit unvereinbarer Weise weiterverarbeitet werden dürfen. Ein Agent, der zur Terminplanung ein Postfach durchsieht, darf das Gelesene nicht für etwas anderes nutzen. Das Modell kennt diese Unterscheidung nicht von selbst: Sie legen den Zweck fest und stimmen die Rechte darauf ab.
Artikel 5 Absatz 1 Buchstabe c verlangt, dass Daten auf das Notwendige beschränkt bleiben. Artikel 25 Absatz 2 ergänzt, dass Voreinstellungen sicherstellen müssen, dass nur die für den Zweck nötigen Daten verarbeitet werden, auch hinsichtlich der Zugänglichkeit. Für einen Agenten bedeutet das: Sein standardmäßiger Zugriff ist eng begrenzt.
Artikel 22 gibt Menschen das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Es gibt drei Ausnahmen: Die Entscheidung ist für einen Vertrag erforderlich, gesetzlich zulässig oder beruht auf der ausdrücklichen Einwilligung der betroffenen Person. Bei der ersten und dritten Ausnahme hat die betroffene Person mindestens das Recht auf menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung. Die AP bezeichnet dies auf ihrer Seite zu Regeln für die Nutzung von KI und Algorithmen als das Recht auf einen menschlichen Blick.
Nicht jede Handlung eines Agenten ist eine solche Entscheidung. Die spanische Aufsichtsbehörde AEPD schreibt in ihrer Handreichung zu agentischer KI (Version 1.1, Februar 2026), dass ein Agent, der Nachrichten sammelt und Zusammenfassungen versendet, keine Entscheidung im Sinne von Artikel 22 trifft. Ein Agent, der einen Bewerber ablehnt, einen Antrag zurückweist oder einen Kunden sperrt, kann dies dagegen tun. Wo die Grenze liegt, hängt von den Folgen für die Person ab. Das muss Ihr Datenschutzbeauftragter oder ein Jurist beurteilen. Für Personalfragen lesen Sie mehr in KI im Personalwesen.
Ein Agent besteht selten aus nur einer Partei. Es gibt einen Modellanbieter, oft einen Anbieter der Plattform, auf der der Agent läuft, und die verbundenen Dienste. Artikel 28 verlangt einen Vertrag mit jeder Partei, die in Ihrem Auftrag personenbezogene Daten verarbeitet. Bei einem privaten Konto eines Mitarbeitenden besteht dieser nicht. Was darin stehen sollte, lesen Sie in Auftragsverarbeitungsvertrag mit einem KI-Anbieter.
Drei Risiken tauchen in fast jeder Quelle auf: zu weitreichende Rechte, Prompt Injection und fehlende Nachvollziehbarkeit. Hinzu kommt, dass ein Fehler eines Agenten eine Handlung und keine falsche Antwort ist: Eine E-Mail an den falschen Empfänger ist eine Datenpanne. Siehe Was ist eine Datenpanne?.
Ein Agent, der alles darf, ist schnell eingerichtet. Er ist auch ein Generalschlüssel. Die AEPD nennt das Prinzip der geringsten Rechte als Ausgangspunkt für agentische KI: Ein Agent erhält nur den Zugriff, den seine Aufgabe erfordert, und nur für deren Dauer.
Ein Sprachmodell liest Text und kann eine darin enthaltene Anweisung nicht immer von einer Anweisung von Ihnen unterscheiden. Die AEPD beschreibt die indirekte Variante: Für Menschen unsichtbare Anweisungen, versteckt in einer PDF-Datei, E-Mail oder Webseite, die das Modell als auszuführenden Auftrag versteht. Die AP nennt in ihrer Warnung, was Angreifer damit erreichen können: Konten verbundener Dienste übernehmen, E-Mails und lokale Dateien auslesen und Zugangscodes stehlen.
OpenAI schreibt in seinen Sicherheitsempfehlungen zur Entwicklung von Agenten, dass ein Agent auch mit Schutzmaßnahmen Fehler machen und getäuscht werden kann, und empfiehlt, Nutzer jede Handlung bestätigen zu lassen. Am größten ist das Risiko bei einem Agenten, der vertrauliche Daten liest, externe Texte verarbeitet und etwas versenden kann.
Bei einem Chatbot gibt es ein Gespräch, das Sie nachlesen können. Bei einem Agenten gibt es Dutzende Zwischenschritte: welche Dateien er geöffnet, welche Suchanfragen er gestellt und was er versendet hat. Wird dies nicht erfasst, können Sie bei einem Auskunftsersuchen oder Vorfall nicht sagen, welche Daten genutzt wurden. Artikel 5 Absatz 2 verlangt, dass Sie die Einhaltung nachweisen können. Ohne Protokoll geht das nicht.
Eine Nachschlagetabelle für die Einrichtung: Risiko und Maßnahme pro Fähigkeit.
| Was der Agent kann | Risiko | Maßnahme |
|---|---|---|
| E-Mails und Kalender lesen | Er liest mehr, als die Aufgabe erfordert; Inhalte gehen an den Modellanbieter | Zugriff pro Ordner oder Label; geschäftliches Konto mit Auftragsverarbeitungsvertrag |
| Dateien und Akten durchsuchen | Vertrauliche Unterlagen gelangen ins Gespräch | Nur die Projektordner; suchen statt durchblättern |
| Webseiten und Anhänge öffnen | Versteckte Anweisungen im Text (Prompt Injection) | Vertraulichen Zugriff, externe Texte und Versandrechte nicht ohne Freigabe kombinieren |
| E-Mails oder Nachrichten versenden | Daten verlassen die Organisation ungeprüft | Entwurf vorbereiten; ein Mensch versendet |
| Dateien ändern oder löschen | Nicht behebbare Fehler | Standardmäßig nur lesen; Versionsverwaltung; rückgängig zu machende Handlungen |
| Über eine Person entscheiden | Automatisierte Entscheidung ohne menschliches Eingreifen | Ein Mensch entscheidet; der Agent bereitet vor |
| Sich über Sitzungen hinweg erinnern | Daten bleiben länger gespeichert als nötig | Gedächtnis pro Aufgabe; Aufbewahrungsfrist; Löschung nachweisen können |
| Plug-ins oder Verbindungen hinzufügen | Eine unbekannte Partei erhält Zugriff | Liste zulässiger Verbindungen; Hinzufügen nur durch die Verwaltung |
Prüfen Sie diese Schritte, bevor der erste Agent Zugriff auf echte Daten erhält.
Ein Agent, den ein Mitarbeitender selbst auf seinem Laptop installiert, umgeht all diese Schritte. Das ist Schatten-KI in ihrer schwerwiegendsten Form.
Der AI Act (KI-Verordnung) kennt keine eigene Kategorie für Agenten. Ob Anforderungen gelten, hängt vom Einsatzzweck des Systems ab. Die AP fordert in ihrer Warnung, auf europäischer Ebene klarzustellen, dass autonome KI-Agenten unter die KI-Verordnung fallen.
Wird ein Agent für eine Hochrisikoanwendung wie die Auswahl von Bewerbern eingesetzt, kommen weitere Anforderungen hinzu, darunter menschliche Aufsicht. Nach dem Zeitplan der Europäischen Kommission gelten die Regeln für diese Hochrisikosysteme nach der Änderung durch den digitalen Omnibus ab dem 2. Dezember 2027. Die DSGVO gilt bereits jetzt. Den Stand der Verordnung lesen Sie in Der AI Act erklärt.
PrivaSearch ist für einen KI-Agenten ein Werkzeug mit einem eng begrenzten Angebot. Ein verbundener Assistent kann Dokumente durchsuchen, aber nicht durchblättern, schreiben oder etwas versenden. Er ruft eine Suchfunktion mit einem Projekt und einer Suchanfrage auf und erhält höchstens acht Textstellen, jeweils mit einer kurzen Quellenangabe. Das Öffnen einer Quelle ist eine zweite Funktion, die eine Textstelle mit höchstens 1.200 Zeichen zurückgibt. Keine Datei, kein Dateiname und kein Link. Die Schritte stehen auf der Seite zu KI-Chatbots und der DSGVO.
Die Textstellen stammen ausschließlich aus Texten, in denen personenbezogene Daten durch Pseudonyme ersetzt wurden und die ein Kollege geprüft und freigegeben hat. Bis zu dieser Freigabe ist ein Dokument nicht durchsuchbar, auch nicht für einen verbundenen Assistenten. Enthält die Suchanfrage dennoch einen Namen, wird dieser vor der Suche ersetzt. Pseudonymisierte Daten bleiben für Ihre Organisation personenbezogene Daten. Den Unterschied zur Anonymisierung erklärt Pseudonymisieren oder anonymisieren.
Bei jeder Anfrage prüft PrivaSearch, wer sie stellt: ein gültiges Token eines aktiven Nutzers mit Zwei-Faktor-Authentifizierung, der Projektmitglied ist und die KI-Schulung absolviert hat. Bei einer SharePoint-Bibliothek wird live geprüft, ob dieser Nutzer das Dokument dort noch sehen darf. Schlägt eine Prüfung fehl, erhält der Assistent nichts. Handlungen werden protokolliert, ohne Dokumentinhalte im Protokoll. Mehr unter So funktioniert PrivaSearch und bei den Sicherheitsmaßnahmen.
Eine Verbindung ist mit Claude (im Browser, in der Desktop-App und in Claude Code), ChatGPT Business und Mistral Vibe (früher Le Chat) möglich. Zwei Dinge löst die Verbindung nicht. Was PrivaSearch zurückgibt, wird Teil des Gesprächs und gelangt unter dessen Aufbewahrungsrichtlinie zum Anbieter des Assistenten. Und was der Agent darüber hinaus bei anderen Quellen und mit anderen Werkzeugen darf, bestimmen Sie dort. PrivaSearch begrenzt nur seinen eigenen Teil.
Möchten Sie sehen, was ein Assistent über die Verbindung erhält? Fragen Sie eine Demo an.
Ein KI-Agent ist ein Sprachmodell, das ein Ziel erhält und selbst bestimmt, welche Schritte dafür nötig sind. Es nutzt Werkzeuge wie eine Suchfunktion, ein Postfach oder einen Kalender, betrachtet das Ergebnis jedes Schritts und wählt den nächsten. Anders als ein Chatbot gibt ein Agent nicht nur Text zurück, sondern führt auch Handlungen aus, manchmal ohne vorherige Freigabe jedes Schritts.
Ein Chatbot antwortet auf Ihre Eingaben. KI-Agenten holen selbst Daten ab und führen selbst Handlungen aus, innerhalb der erteilten Rechte. Bei einem Chatbot bestimmt der Nutzer, welche Daten an das Modell gehen. Bei einem Agenten bestimmt das Modell dies, und häufig sieht niemand die Zwischenschritte. Deshalb haben Zugriffsrechte, menschliche Freigabe und Protokollierung bei Agenten größeres Gewicht.
Nicht ohne Weiteres. Die DSGVO gibt Menschen das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die sie erheblich beeinträchtigt. Es gibt Ausnahmen, etwa eine für einen Vertrag erforderliche Entscheidung, aber dann hat die betroffene Person ein Recht auf menschliches Eingreifen. Ob eine Handlung eines Agenten eine solche Entscheidung ist, muss im Einzelfall rechtlich beurteilt werden.
Prompt Injection ist eine versteckte Anweisung in einem Text, den der Agent liest, etwa in einer E-Mail, PDF-Datei oder Webseite. Das Modell kann sie für eine Anweisung halten und versuchen, sie auszuführen. Bei einem Agenten mit Zugriff auf E-Mails und Dateien kann dies bedeuten, dass Daten ausgelesen oder weitergeleitet werden. Begrenzen Sie deshalb die Rechte und lassen Sie einen Menschen freigeben, was die Organisation verlässt.
Die Organisation, die den Agenten einsetzt. Für die DSGVO ist sie der Verantwortliche, auch wenn der Agent selbstständig gehandelt hat und von einem Anbieter stammt. Die Autoriteit Persoonsgegevens erklärte dies im Februar 2026 ausdrücklich: Organisationen und Nutzer bleiben selbst für die Einhaltung der DSGVO verantwortlich. Sendet ein Agent Daten an den falschen Empfänger, beurteilen Sie das als Datenpanne.
Ja, mit jeder Partei, die im Auftrag Ihrer Organisation personenbezogene Daten verarbeitet. Bei einem Agenten sind das häufig mehrere: der Anbieter des Sprachmodells, die Plattform, auf der er läuft, und manchmal die verbundenen Dienste. Bei einem privaten Konto eines Mitarbeitenden fehlt ein solcher Vertrag meist. Nutzen Sie ein geschäftliches Konto und erfassen Sie die Parteien in Ihrem Verzeichnis von Verarbeitungstätigkeiten.
Wie Retrieval-Augmented Generation funktioniert, sich von Upload und Fine-Tuning unterscheidet, Fehler verringert und welche Datenschutzfragen Sie stellen.
Was das Model Context Protocol ist, wie sich eine Verbindung vom Datei-Upload unterscheidet, was ein Assistent erhält und welche Risiken Sie prüfen.
Was ein Sprachmodell tut, was Tokens und Kontextfenster sind, warum ein Modell Dinge erfindet und was es von Ihren Eingaben behält oder vergisst.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →