Wie viel Autonomie braucht ein KI-Agent wirklich? Die fünf Stufen, die über Wert und Haftung entscheiden

TL;DR: Autonomie ist ein Regler, kein Schalter — und jede Raste nach oben ist ein Architektur-, kein Modell-Upgrade. Fünf Stufen, von „schlägt vor" bis „handelt voll allein". Der teuerste Fehler im Mittelstand: den Regler beim Start ganz nach rechts drehen, weil die Demo beeindruckt hat. Welche Stufe ein Use Case verträgt, entscheidet eine einzige Heuristik: Reversibilität × Blast-Radius × Frequenz. Jede Stufe darüber verlangt konkrete Infrastruktur, die die darunter noch nicht brauchte — Observability, Evals, Gates, Rollback, Tool-Scopes. Autonomie wird verdient, nicht eingeschaltet. Wer zuerst dreht und das Gerüst nachzieht, hat den Crash schon eingepreist.

---

Die meisten Teams stellen die falsche Frage. Sie fragen: „Ist der Agent autonom?" — als wäre das ein Häkchen. Aber das verwechselt zwei Dinge, die sauber getrennt gehören: „Kann der Agent das?" ist eine Modellfrage. „Darf der Agent das allein?" ist eine Architekturfrage. Und die zweite wird in der Praxis fast durchgängig falsch beantwortet, weil das schlaue Modell den Blick auf das fehlende Gerüst verstellt.

Provokant gesagt: Wer einen Agenten auf „voll-autonom" stellt, weil das Modell beeindruckend wirkt, hat keinen Wert geschaffen — er hat nur seine Haftung erhöht.

Autonomie ist ein Regler, kein Schalter

Ein Schalter kennt an und aus. Ein Regler kennt Rasten. Und genau so verhält sich Agenten-Autonomie: nicht binär, sondern abgestuft — danach, wer handelt und wer bestätigt.

Stufe 0 — Vorschlag (Copilot). Der Agent schlägt vor, der Mensch tut. GitHub Copilot vervollständigt eine Zeile, Sie tippen Tab oder nicht. Ein Maschinenbauer lässt Angebotstexte vorschlagen — abgeschickt wird per Hand. Null Eigenhandlung, der Mensch ist das Sicherheitsnetz.

Stufe 1 — Entwurf zur Freigabe. Der Agent macht fertig, der Mensch gibt frei. Der Mailentwurf liegt formuliert im Postfach, der Klick fehlt. Eine Steuerkanzlei lässt Belege vorkontieren — der Mitarbeiter bestätigt im Batch. Die Arbeit verschiebt sich, die Verantwortung bleibt.

Stufe 2 — Handeln mit Gate. Der Agent handelt selbst — schreibt in die DB, ruft eine API — hält aber vor jeder irreversiblen Aktion an. Er beantwortet die Standard-Supportanfrage allein und eskaliert vor jeder Gutschrift. Der Cursor-Agent, der Code committet, aber nicht auf main pusht, lebt genau hier.

Stufe 3 — eingegrenzt-autonom. Frei handeln, aber nur innerhalb harter Wände: Allowlists, Schwellenwerte, Zeitfenster. Der Disponent-Agent bucht Touren selbstständig — nur bei bekannten Spediteuren, nur unter definierten Mengen. „Darf alles" gibt es nicht; es gibt „darf genau diese vier Operationen auf diesem einen System".

Stufe 4 — voll-autonom. Kein Gate, keine Grenze. Im Mittelstand fast nie gerechtfertigt — und fast nie der Engpass, den jemand wirklich hat. Den ehrlichen Gegenfall gibt es: hochfrequente, vollständig reversible Mikro-Aktionen in einem geschlossenen System — ein Agent, der nachts interne Logs umsortiert — darf legitim Stufe 4 sein, weil Reversibilität und Schadensbreite gegen null gehen. Sobald aber irgendetwas nach außen wirkt oder bleibt, fällt er zurück. Wer Stufe 4 anderswo baut, baut meist Stufe 3 ohne die Wände — und merkt es erst, wenn der Schaden sich ausbreitet.

Der Sprung sitzt nicht oben — er sitzt in der Mitte

Intuitiv vermutet man den großen Wert- und Risikosprung zwischen Stufe 3 und 4. Falsch. Er sitzt zwischen 0/1 und 2 — zwischen „schlägt vor" und „handelt".

Vorher trägt der Mensch jede Konsequenz und sieht sie. Ab Stufe 2 entstehen Fakten, während niemand hinschaut. Der Agent bucht selbstbewusst die falsche Kostenstelle — und keiner merkt es bis zum Quartalsabschluss. Das ist der eigentliche Charakter eines Agenten-Fehlers: Ein Auto crasht sichtbar. Ein Agent ist still falsch.

Genau hier wird die unbequeme Einsicht konkret: Von Stufe 1 auf 2 kaufen Sie kein schlaueres Modell. Sie kaufen ein Gate, Logging jeder Aktion, einen Rollback, der greift, wenn etwas schiefläuft. Höhere Autonomie heißt mehr Output und mehr Wartung, mehr Aufsicht, mehr Observability. Das ist der ehrliche ROI: Sie zahlen die zweite Rechnung immer — ob Sie sie eingeplant haben oder nicht.

Jede Stufe addiert eine Disziplin

Die Stufen 0–4 sind keine Modell-Leiter. Sie sind eine Architektur-Leiter, und jede Raste verlangt etwas, das die darunter noch nicht brauchte. Dieser Artikel ist die Klammer um einen ganzen Themen-Cluster — denn jede Stufe nach oben zieht genau eine weitere Disziplin in die Pflicht:

• Stufe 1 verlangt Tracing. Sie müssen sehen können, wie der Entwurf zustande kam, sonst verkommt „Freigabe" zum Reflex. → Observability & Tracing im Betrieb
• Stufe 2 verlangt drei Bauteile gleichzeitig: definierte Human-Gates, einen Egress-Filter (was darf raus, an wen) und Kompensation/Rollback für alles unterhalb des Gates. Und sie verlangt den Beweis, dass der Agent das Richtige tut, bevor man ihn loslässt. → Eval-Gates für Agenten
• Stufe 3 verlangt Least-Privilege Tool-Scopes — und macht damit Prompt Injection zur Architekturfrage. Ein Agent, der fremden Text liest und Werkzeuge bedienen kann, ist ein Einfallstor; die Verteidigung ist nicht der bessere System-Prompt, sondern enges Scoping und Egress-Kontrolle.

Sauber ziehen lässt sich diese Tool-Grenze nur über einen offenen Standard wie MCP, der kein Lock-in erzeugt. Und wer überhaupt erst an die Schwelle von Stufe 0 kommen will, muss vorher die Betriebslücke zwischen Pilot und Produktion schließen — sonst diskutiert man Autonomiestufen für etwas, das die Produktion nie sieht.

Die Heuristik, mit der Sie die Stufe bestimmen

Sie brauchen keinen Hype-Workshop, um die erlaubte Stufe zu kennen. Sie brauchen ein Produkt aus drei Faktoren — wobei Blast-Radius schlicht meint, wie viele Datensätze, Kunden oder Prozesse ein einzelner Fehler trifft:

Reversibilität × Blast-Radius × Frequenz.

• Reversibel, kleiner Schaden, hochfrequent → ruhig hochregeln. Ein neu sortierter Posteingang, ein Newsletter-Entwurf: zurücknehmbar, kleiner Radius — Stufe 2, gern.
• Irreversibel, große Wirkung, selten → niedrig bleiben, egal wie gut die Demo war. Eine versendete Stornorechnung ist irreversibel. Eine Stammdaten-Änderung im ERP trifft viele Datensätze. Eine gelöschte Produktionstabelle kommt nicht zurück — Gate, Punkt.

Dieselbe Aufgabe wandert über die Stufen, sobald sich nur ein Faktor ändert: Eine fehlerhafte Bestellung lässt sich stornieren — Stufe 3 vertretbar. Macht man sie irreversibel oder vergrößert den Radius, rutscht sie zwingend nach unten. Wer das Produkt aus den drei Faktoren ehrlich rechnet, hat die Stufe schon bestimmt, bevor der Anbieter sein Deck aufschlägt.

Die Auto-Analogie — nützlich, und ehrlich begrenzt

Die SAE-Stufen beim autonomen Fahren sind die naheliegende Analogie, und sie trägt ein Stück: abgestufte Verantwortung, Level 2 verlangt einen wachen Fahrer, Level 4 redundante Sensorik und Failover. Mehr Autonomie = mehr Maschine, nicht mehr blindes Vertrauen ins Lenkrad.

Aber die Analogie hat zwei harte Grenzen, die man nicht verschweigen darf. Erstens: Beim Fahren gibt es ein sauber definiertes Operational Design Domain — Autobahn, Tageslicht, trocken. Beim KI-Agenten fehlt diese Domänengrenze fast immer; Sprache und Geschäftslogik haben keine Leitplanken aus Beton. Die müssen Sie selbst gießen — als Code, als Allowlist, als Gate. Zweitens: Ein Auto lässt sich nicht durch ein Verkehrsschild mit Text darauf manipulieren. Ein Agent schon. Prompt Injection hat im Straßenverkehr kein Gegenstück — und ist genau deshalb keine Randnotiz, sondern Teil der Stufen-Architektur.

Datenkontrolle gehört in dieselbe Frage

Ab Stufe 2 handelt der Agent auf Ihren Systemen. Wo seine Logs liegen, wer sie sieht, wo die Allowlist gepflegt wird — das ist DSGVO-relevant und gehört geklärt, bevor Sie hochregeln, nicht danach. Es ist dieselbe Logik, nach der die Allowlist und das Logging im eigenen Haus liegen sollten: Wer den Regler verantwortet, muss auch die Daten daneben in der Hand halten. Eine Architekturfrage über Kontrolle und Nachvollziehbarkeit — keine Glaubensfrage und kein Lagerstreit. Mehr dazu, wie wir das im Mittelstand aufsetzen, in unserer KI-Beratung für den Mittelstand und im The Azena Way.

Der Rahmen, mit dem Sie rausgehen

Drei Schritte, mehr braucht es nicht:

1. Nennen Sie für jeden Use Case die Stufe (0–4) — explizit, nicht implizit.
2. Begründen Sie sie mit Reversibilität, Blast-Radius, Frequenz.
3. Regeln Sie erst hoch, wenn die Messung es trägt — und bauen Sie die Architektur der Zielstufe, bevor Sie den Regler drehen. Und klären Sie, wer das Hochregeln owned: Diese Entscheidung gehört dem Prozessverantwortlichen, nicht dem Tool-Anbieter und nicht dem Praktikanten, der die Demo aufgesetzt hat.

Die Pointe

Der reifste Satz, den ein Mittelständler über seine Agenten sagen kann, ist nicht „der macht alles allein". Es ist:

„Der macht genau so viel allein, wie ich gemessen habe — und keinen Klick mehr."

Autonomie wird verdient, nicht eingeschaltet. Wer zuerst dreht und dann das Gerüst nachzieht, hat den Crash schon eingepreist.

---

Weiterlesen im Cluster: Betriebslücke Pilot → Produktion · Observability & Tracing · Eval-Gates · Prompt Injection absichern · MCP ohne Lock-in · KI-Beratung Mittelstand · The Azena Way

Teil der Landkarte: [KI-Agenten in Produktion — vom Piloten zum verlässlichen Betrieb](/blog/ki-agenten-produktion-landkarte).