Wo hört de Chatbot uf und wo fangt de Agent a?

Auf fast jedem Angebot, das derzeit in Schweizer Betrieben landet, steht das Wort Agent. Gemeint ist damit sehr Unterschiedliches, von einem Textfeld auf der Website bis zu einer Software, die selbstständig Rechnungen verschickt. Solange der Begriff nicht sitzt, lassen sich weder Preise vergleichen noch Risiken einschätzen.

Es hilft, die Sache als Treppe mit drei Stufen zu betrachten. Nicht Marketingstufen, sondern technische: Auf jeder Stufe kommt eine Fähigkeit dazu, und mit ihr eine Art von Fehler, die es vorher nicht gab.

Stufe eins: der Antworter

Auf der ersten Stufe geht Text hinein und Text kommt heraus. Das Modell kennt nur, was im Gespräch steht und was es beim Training gelernt hat. Es hat keinen Zugriff auf eure Systeme, kennt eure Preisliste nicht und weiss nicht, ob ein Termin frei ist.

Das ist die Stufe der meisten Chatfenster und der meisten Schreibassistenten. Der typische Fehler ist inhaltlich: Das Modell antwortet flüssig und falsch, weil es die richtige Antwort gar nicht haben kann. Der Schaden bleibt begrenzt, solange ein Mensch das Ergebnis liest, bevor es Wirkung entfaltet.

Stufe zwei: der Nachschlager

Auf der zweiten Stufe darf das Modell nachschauen. Es sucht in euren Dokumenten, ruft eine Schnittstelle auf, liest den Lagerbestand oder den Terminkalender. Der Ablauf bleibt aber einfach: eine Frage, ein Nachschlagen, eine Antwort.

Der grösste Teil dessen, was heute als betrieblich nützlich gilt, sitzt auf dieser Stufe. Auch der Sprachroboter am Schalter eines Amtes gehört hierher, ebenso die Suche im eigenen Handbuch. Wenn ein Modellprojekt ausdrücklich mit besserer Werkzeugnutzung wirbt, wie es Apertus 1.5 tut, dann ist genau diese Stufe gemeint.

Die neuen Fehler sind hier nicht mehr sprachlich, sondern organisatorisch. Das Modell zitiert die alte Fassung eines Reglements, weil beide Fassungen im Ordner liegen. Es liest ein Dokument, das die fragende Person gar nicht sehen dürfte, weil die Berechtigungen aus dem Dateisystem nicht mitgereist sind. Die Antwort ist dann formal korrekt und trotzdem ein Problem.

Stufe drei: der Agent

Auf der dritten Stufe bekommt das System ein Ziel statt einer Frage. Es entscheidet selbst, welche Schritte nötig sind, in welcher Reihenfolge es seine Werkzeuge einsetzt, und es wiederholt diesen Kreislauf, bis es das Ziel für erreicht hält oder aufgibt. Es plant, handelt, prüft das Ergebnis und plant neu.

Das ist der Punkt, an dem sich die Natur des Risikos ändert. Auf den ersten beiden Stufen entsteht Text, den jemand liest. Auf der dritten entstehen Handlungen: eine verschickte Mail, ein gebuchter Termin, ein geänderter Datensatz, eine ausgelöste Bestellung. Fehler bleiben nicht stehen, sie pflanzen sich fort. Wenn Schritt drei von sieben auf einer falschen Annahme beruht, bauen die Schritte vier bis sieben darauf auf.

Deshalb ist die entscheidende Eigenschaft eines Agenten nicht seine Intelligenz, sondern seine Reichweite: Was darf er auslösen, ohne dass ein Mensch bestätigt?

Woran man die Stufe erkennt

Ein Test, der in jedem Verkaufsgespräch funktioniert: Fragt, was das System tut, wenn es die Antwort nicht findet.

Stufe eins erfindet etwas Plausibles. Stufe zwei sagt, dass sie nichts gefunden hat. Stufe drei versucht einen anderen Weg, zum Beispiel eine andere Quelle oder eine Rückfrage an ein anderes System. Diese eine Frage trennt die Stufen zuverlässiger als jedes Datenblatt.

Was auf jeder Stufe protokolliert gehört

Auf Stufe eins genügt es zu wissen, welches Modell in welcher Version im Einsatz ist. Auf Stufe zwei muss zusätzlich nachvollziehbar sein, aus welcher Quelle eine Antwort stammt, sonst lässt sich ein Fehler nicht zurückverfolgen. Auf Stufe drei braucht es ein vollständiges Protokoll jeder ausgeführten Handlung, mit Zeitpunkt und Auslöser. Ohne das ist im Streitfall nicht rekonstruierbar, wer was veranlasst hat.

Rechtlich kommt auf allen drei Stufen dasselbe hinzu: Wer mit einer Maschine spricht, muss das erkennen können. Das verlangt inzwischen der EU AI Act für Systeme mit EU-Bezug, und das revidierte Schweizer Datenschutzgesetz verlangt Transparenz über Zweck und Funktionsweise unabhängig davon. Sobald ein System auf Stufe drei Entscheidungen trifft, die eine Person erheblich betreffen, kommt das Recht auf menschliche Überprüfung nach Artikel 21 DSG dazu.

Drei Fragen an den Anbieter

1. Was darf das System selbst auslösen, ohne dass ein Mensch bestätigt? Wenn die Antwort nichts ist, redet ihr über Stufe zwei, und der Preis sollte das widerspiegeln.
2. Wo steht protokolliert, was es getan hat, und wie lange? Wer darauf ausweichend antwortet, hat es nicht gebaut.
3. Was passiert, wenn Schritt drei von sieben falsch ist? Die brauchbare Antwort beschreibt einen Abbruch oder eine Rückfrage, nicht eine bessere Erfolgsquote.

Die meisten Betriebe brauchen heute Stufe zwei und kaufen Stufe drei. Das ist teurer, langsamer in der Einführung und schwieriger zu verantworten. Die gute Nachricht: Wer Stufe zwei sauber aufsetzt, hat den Grossteil der Arbeit für Stufe drei bereits erledigt, denn saubere Quellen, klare Berechtigungen und ein brauchbares Protokoll sind dort ohnehin die Voraussetzung.

---

Quellen: EDÖB, KI und Datenschutz · Bundesgesetz über den Datenschutz, Art. 21 und Art. 22 · Apertus 1.5, Ankündigung zur verbesserten Werkzeugnutzung · SIDD, EU AI Act, Leitfaden für Schweizer Unternehmen