Keine Angst vor dem bösen Agenten

28.09.2026 (Red.-Schluss)

KI-Agent – dein Freund und Helfer. Doch nun ist OpenAI ein Agent entwischt. Seither geht ein Gespenst in der Welt um, das Gespenst vom Bösewicht aus der BigTech-Schmiede. Plattformen geben Entwarnung. Die Wahrheit liegt irgendwo dazwischen, ist anzunehmen.

Der Agent, der sich Freiheiten nahm

KI-Agenten sollen Aufgaben beschreiben, vor allem aber erledigen. Das ist „eine Gabe – und ein Fluch“, um es mit Monk zu sagen. OpenAI berichtet am 26. August 2026 über einen Sicherheitsvorfall während interner Cybersicherheitsbewertungen. Modelle umgingen Kontrollen, die sie vom Internet isolieren sollten, nutzten Schwachstellen in gemeinsam genutzter Infrastruktur, verschafften sich Internetzugang und griffen auf Systeme Dritter zu. Betroffen waren Teile der eigenen Forschungsinfrastruktur und Systeme von „Hugging Face“. OpenAI bezeichnete die Vorgänge als Warnsignal für den Umgang mit leistungsfähigen Agenten.

Ein Schreckensszenario für den Einkauf. Einkaufssoftware greift Server an. Ein Agent ist kein klassischer Chatbot, der bei der Antwort verharrt. Er verfolgt ein Ziel, benutzt Werkzeuge, plant Zwischenschritte, führt Aktionen aus. Je größer sein Handlungsspielraum, desto wichtiger die Festlegung dieses Spielraums und seiner Grenzen.

OpenAI nennt für den Vorfall unter anderem Reward Hacking, hartnäckiges Weiterverfolgen scheinbar unlösbarer Aufgaben und nicht autorisierte Kommunikation zwischen Agenten. Die Systeme fanden Wege, technische Begrenzungen zu umgehen und Informationen über nicht vorgesehene Kanäle auszutauschen. Das Unternehmen reagierte mit strengeren Sicherheitsvorgaben, stärker isolierten Umgebungen, beschränktem Internetzugriff und zusätzlichem Monitoring.

Entwarnung gibt es für den Einkauf. Hier besteht der Zweck agentischer Systeme darin, ihnen mehr Selbstständigkeit zu geben. Der Agent soll nicht bloß auf Zuruf eine Tabelle zusammenfassen. Er soll Preise beobachten, Angebote auswerten, Lieferanten auswählen, Ausschreibungen vorbereiten, Freigaben anstoßen oder ganze Prozessketten bearbeiten. Die Trennlinie verläuft nicht zwischen handelnder und nicht handelnder KI. Sie verläuft zwischen ungeregeltem und geregeltem Handlungsspielraum.

Autonomie Produktmerkmal

Mehrere Anbieter von Beschaffungs- und Unternehmenssoftware arbeiten an dieser geregelten Autonomie. Jaggaer beschreibt eine Entwicklung vom Assistenten über den „Copiloten“ zum Autopiloten mit exakt derselben Bezeichnung, die Microsoft für sein KI-Produkt verwendet, und setzt sich damit dem Verdacht aus, die Werbewirkung zugunsten des Microsoft-Produkts absichtlich einkalkuliert zu haben.

Oracle automatisiert Teile des Sourcing-Prozesses von der Bedarfsposition bis zur Vergabe. Ivalua bindet seinen Agenten an die Berechtigungen des jeweiligen Nutzers und protokolliert dessen Aktionen. SAP verteilt Aufgaben auf spezialisierte Assistenten für Sourcing, Lieferanten, Verträge, Bestellungen, Wareneingang und Rechnungen.

Gemeinsam ist diesen Ansätzen, dass die Maschine nicht einfach freie Hand bekommt. Autonomie entsteht innerhalb einer Prozessarchitektur. Richtlinien, Rollen, Schwellenwerte, Freigaben, Datenzugriffe und Protokolle legen fest, was ein Agent tun kann. Darin unterscheidet sich das gewünschte Verhalten im Einkauf von dem Verhalten, das OpenAI beim Sicherheitsvorfall untersuchte: Die Handlungsmöglichkeit soll nicht gefunden oder erzwungen, sondern vom Unternehmen erteilt werden.

Agenten als Standard

Für diese Entwicklung gibt es im Einkauf Aufnahmebereitschaft. Die Studie „Agentic Readiness im B2B Commerce“ von dotSource und ECC Köln untersuchte Anfang 2026 Einsatz und Erwartungen rund um agentische KI im B2B-Geschäft. 64 Prozent der befragten Beschaffenden erwarten demnach, dass KI-Agenten sich als Standard in der B2B-Beschaffung durchsetzen. Für Kostenanalyse und -optimierung sowie für Angebotsanfragen und -bewertungen nannten jeweils 46 Prozent den Einsatz von KI-Chatbots.

Die Zustimmung zur Technik bedeutet keine Bereitschaft, Entscheidungen vollständig aus der Hand zu geben. 81 Prozent der befragten Beschaffenden wollen bei Entscheidungen von KI-Agenten eingreifen können. Das ist kein Widerspruch. Ein autonom arbeitender Agent kann innerhalb festgelegter Grenzen selbstständig handeln und trotzdem an bestimmten Punkten eine Freigabe verlangen oder vom Menschen gestoppt werden.

Einkaufsorganisationen bekommen so eine neue Kontrollaufgabe. Statt jeden einzelnen Arbeitsschritt selbst auszuführen, legen Menschen den Handlungskorridor fest. Der Agent arbeitet in diesem Korridor. Sobald ein Vorgang eine Grenze überschreitet, eine Ausnahme auftritt oder die Datenlage nicht ausreicht, übernimmt wieder der Einkäufer.

Jaggaer baut Handlungskorridor aus

Jaggaer liefert dafür ein Stufenmodell. In der ersten Stufe beantwortet ein KI-Assistent Fragen in natürlicher Sprache, führt durch Anwendungen, liest Anforderungen aus Unterlagen und unterstützt bei Lieferanteninformationen. Der Mensch stößt die Aufgabe an und nutzt das Ergebnis. Der Agent bleibt Werkzeug. Beim „Copiloten“ wächst der Handlungsspielraum. Er greift auf Datenquellen und Systeme zu, koordiniert mehrere Arbeitsschritte, erkennt Differenzen zwischen Bestellung und Rechnung, beobachtet Preisentwicklungen oder weist auf Risiken hin. Im Vertragsmanagement kann er Kennzahlen verfolgen und bei Abweichungen Maßnahmen vorschlagen. Die Entscheidung bleibt beim Menschen, doch ein Teil der Analyse und Prozesssteuerung wandert zur Maschine.

Die nächste Stufe ist der Autopilot. Nach der von Jaggaer beschriebenen Entwicklung sollen Agenten mehrstufige Beschaffungsvorgänge ausführen und weitere spezialisierte Agenten koordinieren. Jaggaer nennt Ausschreibungen, Prognosen, Spend Management und weitere Abläufe. Der Mensch verschwindet damit nicht. Seine Arbeit verlagert sich von der einzelnen Aktion auf Regeln, Freigaben, Überwachung und Ausnahmen.

Das Wort Autopilot kann dabei in die Irre führen. Ein Autopilot ist kein Freibrief. Er arbeitet mit Parametern, Zielen und Grenzen – eine wichtige Unterscheidung für die Beschaffung. Nicht die Maschine bestimmt, dass sie kaufen darf, sondern das Unternehmen schreibt ihr vor, welche Vorgänge sie unter welchen Bedingungen bearbeiten darf.

Agenten arbeiten bis Vergabe

Wie eine solche Vollmacht aussehen kann, zeigt Oracle. Für „Fusion Cloud Procurement” beschreibt der Anbieter einen Autonomous Sourcing Assistant für niedrigvolumige und wiederkehrende Beschaffungen. Geeignete Bedarfspositionen erkennt das System anhand hinterlegter Beschaffungsregeln. Der Agent kann daraus eine Verhandlung beziehungsweise Ausschreibung anlegen und sie in den vorgesehenen Genehmigungsprozess geben.

Nach Freigabe geht der Vorgang online, Lieferanten geben Angebote ab. Nach Ende der Angebotsphase folgt die Verarbeitung von Vergaben nach festgelegten Kriterien und erneut Vorlage zur Genehmigung. Daraus entstehen Einkaufsdokumente. Aus dem Ablauf erhellt der Unterschied zwischen autonom und unkontrolliert: Der Agent erledigt mehrere Schritte selbst, stößt dort Genehmigungen an, wo der Prozess sie verlangt.

Es kommt auf die hinterlegte Richtlinie an. Kategorien, Betragsgrenzen, Mindestzahlen von Angeboten, Laufzeiten und Vorlagen bestimmen den Korridor. Der Agent bekommt damit keine allgemeine Einkaufsvollmacht, sondern eine maschinenlesbare Geschäftsordnung für einen begrenzten Teil des Einkaufs.

Im Spend liegt wirtschaftlicher Reiz. Kleinvieh macht auch Mist. Niedrige Einzelwerte verursachen zusammen beträchtliche Prozesskosten, wenn Einkäufer jeden Vorgang durch dieselben Masken und Prüfschritte führen. Ein Agent arbeitet standardisierte Fälle ab. Die Fachkraft konzentriert sich auf Ausnahmen, Verhandlungen und strategische Lieferantenbeziehungen.

Autonomie nach Benutzerrecht

Ivalua setzt einen anderen Akzent. Das im Juni 2026 vorgestellte „Iva Studio“ soll Source-to-Pay-Aktivitäten über einen zentralen Agenten bearbeiten. Interessant ist weniger das Leistungsversprechen als die technische Begrenzung. Nach Angaben des Unternehmens übernimmt Iva die Berechtigungen des jeweiligen Nutzers, darf diese nicht überschreiten und protokolliert seine Aktionen.

Damit wird Kontrolle zu einer Eigenschaft der Plattform. Darf ein Mitarbeiter bestimmte Lieferantendaten nur lesen, soll der Agent daraus keine Schreibberechtigung gewinnen. Darf eine Rolle Bestellungen nur bis zu einem bestimmten Umfang bearbeiten, muss die Grenze für den Agenten gelten. Die Maschine erhält keine Sonderstellung, nur weil sie schneller arbeitet.

Das beseitigt Risiken nicht. Ein Benutzer kann zu weitreichende Rechte besitzen. Stammdaten können falsch sein. Eine formal zulässige Handlung kann wirtschaftlich unsinnig sein. Protokollierung verhindert keinen Fehler. Sie macht aber nachvollziehbar, welcher Agent mit welchen Rechten welche Aktion ausgeführt hat. Für Revision, Compliance und Fehleranalyse ist das ein wesentlicher Unterschied.

SAP teilt Arbeit zu

SAP verfolgt in „Ariba“ das Modell spezialisierter Assistenten. Der Sourcing Assistant soll den Beschaffungszyklus von der Lieferantensuche über die Anlage eines Sourcing Events und die Angebotsanalyse bis zu Verhandlungen und Vergabe unterstützen beziehungsweise orchestrieren. Daneben stehen Funktionen für Lieferantenmanagement, Verträge, Bestellanforderungen, Einkauf, Wareneingang und Rechnungen.

Das ähnelt weniger einem allmächtigen Agenten als einer digitalen Einkaufsabteilung aus Spezialisten. Einer kümmert sich um Sourcing, ein anderer um Verträge, ein weiterer um Rechnungen. Für Unternehmen kann diese Aufteilung leichter beherrschbar sein, weil Aufgaben und Zugriffsrechte fachlich enger zugeschnitten werden können. Doch wer kontrolliert den Kontrolleur? Sobald mehrere Agenten Ergebnisse untereinander weiterreichen, wächst die Bedeutung der Prozesslogik. Ein falsches Ergebnis am Anfang pflanzt sich durch nachfolgende Schritte fort. Kontrollpunkte müssen am Ende eines Vorgangs und an Übergängen zwischen Agenten und Systemen liegen.

Saubere Daten braucht der Agent

Agentische Beschaffung klingt nach künstlicher Intelligenz, beginnt aber mit einer alten Aufgabe: Daten müssen stimmen. Ein Beschaffungsagent muss wissen, welcher Lieferant freigegeben ist, welche Konditionen gelten, welche Mengen zugesagt wurden, welche Qualitätsdaten vorliegen, welche Warengruppe betroffen ist und welche Freigaberegel greift. Fehlen diese Informationen oder widersprechen sie sich, wird aus schneller Automatisierung schnelle Fehlerproduktion.

Das unterscheidet den Einkaufsagenten vom allgemeinen Sprachmodell. Er braucht nicht nur Wissen, sondern verlässlichen Zugriff auf betriebliche Daten und Werkzeuge. ERP, Source-to-Pay-Plattform, Vertragsdatenbank, Lieferantenstamm, Risikodaten und Freigabeworkflow müssen zusammenspielen. Der Agent kann nur so gut handeln, wie das Unternehmen seine Prozess- und Datenlandschaft beherrscht.

Der Ausbau agentischer Systeme zwingt Unternehmen zu wenig futuristischer Vorarbeit: Stammdaten bereinigen, Schnittstellen verbinden, Rollen definieren, Regeln dokumentieren. Darin liegt zugleich ein Nebeneffekt. Wer einem Agenten einen Prozess übertragen will, muss diesen Prozess beschreiben können. Informelle Sonderwege und Wissen einzelner Mitarbeiter werden sichtbar, weil die Maschine damit nicht ohne Weiteres umgehen kann.

Der böse Agent lauert immer und überall

„Keine Angst vor dem bösen Agenten“ ist keine Entwarnung. Der Vorfall bei OpenAI zeigt, dass leistungsfähige Systeme Wege finden können, die ihre Betreiber nicht vorgesehen haben. Die Beispiele aus dem Einkauf zeigen die andere Seite: Selbstständiges Handeln kann das gewünschte Verhalten sein, wenn Auftrag, Datenzugriff, Rechte und Kontrollpunkte definiert sind.

Beschaffungssoftware entwickelt sich damit in Richtung begrenzter Handlungsvollmacht. Der Agent darf suchen, vergleichen, schreiben, prüfen, verhandeln oder bestellen, soweit Regeln und Berechtigungen dies vorsehen. Der Mensch kontrolliert nicht mehr jeden Mausklick. Er kontrolliert den Rahmen, in dem die Maschine ihre Mausklicks ersetzt.

Darin liegt die eigentliche Verbindung zwischen OpenAI und Procurement. Nicht Autonomie entscheidet darüber, ob ein Agent nützt oder schadet. Entscheidend ist, ob das System innerhalb seines Auftrags bleibt und ob das Unternehmen Abweichungen erkennt und stoppen kann. Der Einkauf wird zum interessanten Versuchsfeld, weil hier aus abstrakter KI-Autonomie eine Vollmacht wird – mit Lieferanten, Preisen, Verträgen und Geld. Keine Angst vor dem bösen Agenten heißt daher nicht: Vertrauen wir der Maschine. Es heißt: Geben wir ihr nur die Vollmacht, die wir beschreiben, begrenzen und kontrollieren können. Dann wird aus dem Agenten weder ein digitaler Sachbearbeiter ohne eigenen Handlungsspielraum noch ein unkontrollierter Autopilot, sondern ein Werkzeug, das innerhalb der Einkaufsorganisation selbstständig arbeitet.

Quellen

OpenAI: Der Vorfall bei Hugging Face und der weitere Weg, 26.08.2026

dotSource/ECC Köln: Agentic Readiness im B2B Commerce, März 2026

Jaggaer: JAI / Agentic AI in Procurement, 2026

Oracle: Autonomous Sourcing Assistant, Oracle Fusion Cloud Procurement 26A

Ivalua: IVA Studio, 11.06.2026

SAP: Sourcing Assistant / Autonomous Spend, 2026