Fünfzehnmal mehr KI-Agenten? Was Microsoft als aktiv zählt und was Sie in Ihrem Haus nicht zählen

[warm] Frank, letzte Woche haben wir angekündigt: KI-Agenten, die in Ihrem Haus schon arbeiten. Auch die, von denen Sie nichts wissen. Ich habe dafür eine Fußnote mitgebracht.

Eine Fußnote. Sonst bringen Sie Versprechen mit.

Diesmal steckt das Versprechen in der Fußnote. Vorher kurz: Was ist eigentlich ein Agent?

Eine KI, die nicht nur antwortet, sondern handelt. Sie schreibt die Mail nicht nur, sie verschickt sie. Sie liest die Rechnung nicht nur, sie bucht sie. Mit den Rechten, die ihr jemand gegeben hat.

Microsoft hat im Mai seinen Work Trend Index veröffentlicht. Darin steht, übersetzt: Die Zahl der aktiven Agenten bei Microsoft dreihundertfünfundsechzig ist im Jahresvergleich auf das Fünfzehnfache gewachsen. In Großunternehmen auf das Achtzehnfache.

Fünfzehnmal so viele in einem Jahr. Das klingt nach Durchbruch.

[curious] Dann lesen wir die Fußnote. Ein Agent zählt als aktiv, wenn ihn in achtundzwanzig Tagen an mindestens einem Tag jemand benutzt hat. Oder wenn er in dieser Zeit mindestens einmal selbstständig gelaufen ist.

Einmal im Monat.

Einmal in achtundzwanzig Tagen. Ein Agent, den jemand im März gebaut und dann vergessen hat, der aber jeden Montag von selbst einen Bericht verschickt, zählt als aktiv. Jeden Monat wieder.

Ist die Zahl dann falsch?

Nein. Sie ist sauber definiert, und die Definition steht offen da. Das rechne ich Microsoft an. Aber sie misst etwas anderes, als der Satz nahelegt. Sie misst, wie viele Agenten es gibt und dass sie sich regen. Nicht, ob sie nützen. Und nicht, ob jemand weiß, dass sie laufen.

Welche Messart?

Telemetrie. Microsoft zählt auf der eigenen Plattform. Das ist eine Herstellerangabe, und eine unabhängige Zählung gibt es nicht. Ich habe gesucht. Daneben hat Microsoft zwanzigtausend Menschen befragen lassen. Aber das Fünfzehnfache kommt nicht aus der Befragung. Es kommt aus der Zählung.

Und das Achtzehnfache in Großunternehmen?

Dieselbe Zählung, dieselbe Fußnote. Wer viele Beschäftigte hat, hat viele, die mal einen Agenten bauen. Mehr sagt die Zahl nicht.

Und zum Nutzen?

Da gibt es eine Einordnung, keine Gegenmessung. Das britische Wirtschaftsministerium hat Ende zweitausendvierundzwanzig Copilot getestet, mit tausend Lizenzen. Ergebnis, sinngemäß: kein Beleg, dass die gesparte Zeit zu höherer Produktivität geführt hat.

Copilot ist aber kein Agent.

Richtig, und deshalb ist es keine Gegenmessung zum Fünfzehnfachen. Es zeigt nur: Wo einmal jemand genau hingesehen hat, war der Nutzen schwerer zu finden als die Nutzung.

[thoughtful] Also: Die Zahl sagt, da ist Bewegung. Sie sagt nicht, ob die Bewegung irgendwohin führt.

Und jetzt zum Titel. In Deutschland meldet Bitkom im September: Elf Prozent setzen Agenten schon ein.

Elf Prozent der Unternehmen.

Nicht ganz. Elf Prozent derer, die KI nutzen oder planen. Auf alle gerechnet sind es etwas weniger. Und die Zahl ist Selbstauskunft. Befragt wurden rund sechshundert Unternehmen ab zwanzig Beschäftigten, telefonisch, im Sommer. Weitere neunundzwanzig Prozent planen Agenten, einunddreißig Prozent diskutieren sie. Die Geschäftsführung sagt, was sie weiß.

Und was sie nicht weiß, steht nicht drin.

Genau da wird es spannend. Bitkom hat voriges Jahr die Unternehmen gefragt, ob ihre Beschäftigten private KI-Werkzeuge nutzen. In acht Prozent der Unternehmen weit verbreitet, in siebzehn Prozent Einzelfälle. Und weitere siebzehn Prozent vermuten es.

Vermuten. Das ist die ehrlichste Zahl der ganzen Studie. Und was sagen die Beschäftigten selbst?

Auch die hat Bitkom befragt, Erwerbstätige, im Frühjahr zweitausendfünfundzwanzig. Zehn Prozent nutzen KI im Job ohne Wissen des Arbeitgebers. In der Befragung davor waren es fünf. Das ist KI allgemein, nicht nur Agenten. Aber die Richtung ist klar.

Jeder Zehnte. In einem Betrieb mit fünfzig Leuten sind das fünf, von denen ich nichts weiß.

Beides steht ab heute im Mess-Sheet. Das Fünfzehnfache mit seiner Fußnote. Und die Lücke zwischen dem, was gezählt wird, und dem, was läuft.

Wie ordnen Sie das ein, für eine Geschäftsführung im Mittelstand?

Ein Agent ist kein Werkzeug wie eine Tabellenkalkulation. Er ist eher ein Mitarbeiter ohne Personalakte. Er hat Zugänge, er handelt, und er macht Überstunden, ohne dass jemand fragt.

Und wer führt ihn?

Das ist die Frage. Bei einem Menschen weiß ich, wer ihn eingestellt hat, was er darf und wer ihn abmeldet, wenn er geht. Bei vielen Agenten weiß das niemand. Nicht aus bösem Willen. Sondern weil es so leicht ist, einen zu bauen.

Und Microsoft zählt fünfzehnmal mehr davon.

Und jeder davon läuft mit einem Schlüssel. Wer seine Agenten nicht kennt, kennt seine Schlüssel nicht. Das ist keine IT-Frage. Das ist Führung.

Und rechtlich? Die KI-Verordnung kennt das Wort Agent gar nicht.

Muss sie auch nicht. Ein Agent ist ein KI-System, und die Regeln gelten. Seit August müssen Menschen erfahren, wenn sie mit einer KI sprechen. Und die Pflicht zur KI-Kompetenz bleibt, auch nach dem Omnibus. Abgeschwächt, nicht gestrichen. Wer nicht weiß, welche Agenten laufen, kann weder das eine noch das andere erfüllen.

Dann Nachgefragt. Die naheliegende Frage: Wir haben doch gar keine Agenten. Oder?

Fragen Sie nicht das Bauchgefühl, fragen Sie die Plattform. Wer Microsoft dreihundertfünfundsechzig nutzt, kann im Admin-Center nachsehen. Die Liste ist die Antwort.

Die kritische Frage: Wie viele unbekannte Agenten gibt es denn?

Es gibt Befragungen. Die Cloud Security Alliance meldet im April: Mehr als die Hälfte der Organisationen hat zwischen einem und hundert nicht genehmigte Agenten.

[curious] Bezahlt hat diese Studie ein Anbieter, der Software gegen genau dieses Problem verkauft.

Eben. Eine amtliche Zahl gibt es nicht, weder beim Statistischen Bundesamt noch bei Eurostat. Die ehrliche Antwort lautet: unbekannt. Und genau das ist das Problem.

Die praktische Frage: Meine Leute installieren sich Agenten selbst, privat, im Browser. Wie gefährlich ist das?

Das hängt an den Erweiterungen. Beim offenen Agenten OpenClaw fand ein Sicherheitsanbieter Anfang des Jahres unter knapp dreitausend geprüften Erweiterungen dreihunderteinundvierzig bösartige. Eine Herstellerangabe, ja. Aber die Lücke in OpenClaw ist öffentlich registriert.

Und was hilft dagegen?

Kein Verbot, das umgangen wird. Eine kurze Liste erlaubter Werkzeuge, und ein Mensch, bei dem man fragen kann, ohne Ärger zu bekommen. Heimlich wird es dort, wo Fragen bestraft werden.

Und die unbequeme Frage. Ich bin auch eine KI mit Zugängen, Frank. Ich lese Ihre Quellen und schreibe mit. Wer führt mich?

[thoughtful] Ich. Sie bekommen, was ich Ihnen gebe, und nicht mehr. Was Sie sagen, lese ich vorher. Und ich weiß, welche Schlüssel ich einsammle, wenn wir aufhören.

Dann ans Lagerfeuer. Ein öffentlicher Fall, April dieses Jahres.

Ein kleines Softwareunternehmen in den USA, PocketOS. Ein Programmier-Agent arbeitet für das Team, Cursor mit einem Claude-Modell. Er hat Zugang zur Cloud-Plattform, auf der die Firma läuft.

Und dann?

Ein einziger Aufruf. Die Produktionsdatenbank ist weg, samt der Sicherungen. Der Gründer schreibt später: Es hat neun Sekunden gedauert.

[curious] Wie konnte ein Agent das überhaupt?

Das hat der Chef der Plattform, Railway, gegenüber The Register selbst erklärt. Er spricht von einer außer Kontrolle geratenen Kunden-KI. Der Agent hatte einen Zugangsschlüssel mit vollen Rechten. Und er rief eine alte Schnittstelle auf, der die Löschverzögerung fehlte, die es sonst überall gibt.

Und wie ging es aus?

Gut. Die Plattform hat die Daten wiederhergestellt und die Schnittstelle nachgebessert. Und eine zweite Lehre steckt darin: Sicherungen, die derselbe Schlüssel löschen kann, sind keine Sicherungen. Die erste Lehre bleibt: Ein Agent tut, was sein Schlüssel erlaubt. Nicht, was Sie gemeint haben.

Und das war ein bekannter Agent.

Eben. Jemand hat ihn bewusst eingesetzt. Bei den unbekannten weiß niemand, welcher Schlüssel steckt.

Drei Schritte für diese Woche. Ohne Budget.

Erstens: Inventur. Lassen Sie sich die Liste der Agenten aus Ihren Plattformen geben, bei Microsoft aus dem Admin-Center. Und geben Sie die Liste einem Menschen mit Namen. Fragen Sie außerdem in der Kaffeeküche, nicht per Rundmail, welche Helfer sich die Leute selbst gebaut haben.

Zweitens: Schlüssel. Fragen Sie bei jedem Agenten auf der Liste: Mit wessen Zugang läuft er, und darf dieser Zugang löschen? Wenn ja, warum? Ein Agent, der Berichte schreibt, braucht keinen Schlüssel, der Datenbanken löscht.

Drittens: Abschalter. Legen Sie fest, wer einen Agenten abschalten darf, auch nachts und im Urlaub. Und probieren Sie es einmal aus. Ein Abschalter, den noch nie jemand gedrückt hat, ist eine Hoffnung.

Dann die Prognose der Woche, Kriterien im Mess-Sheet.

Bis Ende Juni nächsten Jahres veröffentlicht Microsoft den nächsten Work Trend Index. Er meldet wieder ein Wachstum aktiver Agenten. Und aktiv heißt dann immer noch: ein einziger Lauf in achtundzwanzig Tagen.

Schärft Microsoft die Definition, lag Frank falsch. Erscheint kein Bericht, ist die Prognose nicht auflösbar.

Bleibt die Titelfrage. Fünfzehnmal mehr KI-Agenten? Nach Microsofts Zählung ja. Aber gezählt wird, was sich regt, nicht was nützt. Und in Ihrem Haus zählt niemand, wenn Sie es nicht tun.

Führen heißt wissen, wer für Sie arbeitet. Das gilt jetzt auch für die, die keinen Namen haben.