Anthropic hat mit Claude Duet einen KI-Agenten vorgestellt, der nicht erst auf eine Eingabe wartet, sondern eigenständig weiterarbeitet – auch dann, wenn die Nutzerin oder der Nutzer gar nicht am Rechner sitzt. Technische Basis ist das Modell Claude Opus 5.5. Über rund 6.000 Konnektoren, also vorgefertigte Schnittstellen zu externen Diensten, greift die Anwendung auf Systeme wie Gmail, Slack oder Stripe zu. Vor sensiblen Schritten – genannt werden etwa Zahlungen – fordert der Agent eine ausdrückliche Freigabe an.
Anthropic ist damit nicht allein unterwegs. Ähnliche Produkte kommen von xAI, Meta und OpenAI. Der Markt bewegt sich also sichtbar weg vom Chatfenster, in dem jede Aktion einzeln angestoßen wird, und hin zu Agenten, die dauerhaft laufen und selbst entscheiden, wann sie aktiv werden.
Vom Assistenten zum Dauerläufer
Der entscheidende Unterschied zu bisherigen Assistenzsystemen liegt weniger im Sprachmodell als im Betriebsmodus. Ein klassischer Chatbot ist reaktiv: Eine Frage geht hinein, eine Antwort kommt heraus, danach passiert nichts mehr. Ein proaktiver Agent dagegen bleibt im Hintergrund aktiv, beobachtet angebundene Systeme und löst selbst Aktionen aus.
Damit verschiebt sich auch der Charakter der Integration. Solange ein Modell nur Text produziert, bleibt der Schaden bei einem Fehler überschaubar. Sobald dasselbe Modell E-Mails verschickt, Nachrichten in einem Team-Channel postet oder Vorgänge in einem Zahlungssystem anstößt, wirkt jede Fehleinschätzung unmittelbar nach außen. Die Konnektoren sind deshalb der eigentlich kritische Teil der Architektur, nicht die Modellqualität allein.
Freigaben als Architekturentscheidung
Dass Claude Duet vor sensiblen Aktionen nachfragt, ist konzeptionell naheliegend – in der Praxis steckt die Schwierigkeit in der Abgrenzung. Was gilt als sensibel? Eine Zahlung ist ein klarer Fall. Eine Mail an einen Bestandskunden, eine Statusänderung in einem Ticketsystem oder das Anlegen eines Datensatzes im CRM sind es nicht automatisch – können im Einzelfall aber genauso folgenreich sein.
Unternehmen, die solche Agenten einsetzen wollen, müssen diese Grenzziehung selbst treffen. Sinnvoll ist, Aktionen nach Wirkungsrichtung zu sortieren:
- Lesend: Daten abrufen, zusammenfassen, auswerten. Hier ist das Risiko vor allem ein Datenschutzrisiko, kein Prozessrisiko.
- Intern schreibend: Notizen, Entwürfe, Tickets, interne Nachrichten. Fehler bleiben korrigierbar und sichtbar.
- Nach außen wirkend: Kundenkommunikation, Bestellungen, Zahlungen, Vertragsdokumente. Hier gehört eine menschliche Freigabe in den Standardfall, nicht in die Ausnahme.
Wird diese Einteilung nicht vorab getroffen, übernimmt sie der Anbieter mit seinen Voreinstellungen. Das mag für Einzelanwender genügen, reicht für ein Unternehmen mit Compliance-Anforderungen aber selten aus.
Guardrails sind mehr als ein Bestätigungsdialog
Ein Bestätigungsfenster vor der Zahlung ist nur eine von mehreren Schutzschichten. Wer Agenten produktiv einsetzt, braucht zusätzlich eine nachvollziehbare Protokollierung: Welche Aktion wurde wann durch welchen Auslöser ausgeführt, auf welcher Datengrundlage, mit welcher Freigabe? Ohne dieses Protokoll lässt sich ein Fehler im Nachhinein nicht rekonstruieren – und genau das wird bei Prüfungen verlangt.
Hinzu kommt die Rechtevergabe. Ein Agent, der mit einem Zugang arbeitet, der sämtliche Postfächer und Zahlungsvorgänge umfasst, konzentriert enorm viel Handlungsmacht an einem Punkt. Das Prinzip der minimalen Berechtigung – jeder Zugang nur so weit, wie er für die konkrete Aufgabe nötig ist – gilt hier genauso wie bei menschlichen Benutzerkonten, wird bei schnell eingerichteten Konnektoren aber gern übersprungen.
Ein dritter Punkt betrifft die Dauerhaftigkeit. Ein Agent, der auch offline weiterarbeitet, läuft potenziell nachts, am Wochenende und während Urlaubszeiten. Zeitliche Begrenzungen, Obergrenzen für Aktionen pro Zeitraum und ein verlässlicher Not-Aus gehören deshalb zur Grundausstattung.
Wo der Nutzen realistisch liegt
Der Reiz dieser Systeme liegt in Prozessen, die heute viel Kontextwechsel kosten: Informationen aus mehreren Tools zusammentragen, Vorgänge vorsortieren, Entwürfe vorbereiten, Abweichungen melden. Das sind genau jene Tätigkeiten, die in mittelständischen Organisationen oft an einzelnen Personen hängen und bei deren Abwesenheit liegen bleiben.
Weniger realistisch ist die Erwartung, ein Agent übernehme einen Geschäftsprozess vollständig und ohne Aufsicht. Prozesse enthalten Ausnahmen, stillschweigende Regeln und Ermessensspielräume, die nirgends dokumentiert sind. Wer sie nicht vorher explizit macht, verlagert sie lediglich in ein System, das sie nach eigener Logik auflöst – und das Ergebnis fällt dann mitunter plausibel formuliert, aber sachlich falsch aus.
Abhängigkeit und Austauschbarkeit
Die Zahl von rund 6.000 Konnektoren zeigt, worum der Wettbewerb zwischen den Anbietern tatsächlich geführt wird: um die Breite der Anbindung. Je mehr Systeme ein Agent erreicht, desto mehr Arbeit kann er übernehmen – und desto tiefer wächst er in die eigene Infrastruktur hinein.
Für die Planung lohnt deshalb der Blick auf die Austrittskosten. Wenn Abläufe, Prompts und Freigaberegeln ausschließlich in der Oberfläche eines Anbieters liegen, ist ein späterer Wechsel aufwendig. Sinnvoller ist es, die fachliche Logik – also die Beschreibung des Prozesses, die Freigabestufen und die Prüfkriterien – unabhängig vom konkreten Produkt zu dokumentieren und die KI-Komponente als austauschbaren Baustein zu behandeln.
Einordnung für Web- und Softwareprojekte
Für die Projektpraxis verschiebt sich der Schwerpunkt: Die eigentliche Arbeit liegt nicht mehr darin, ein Modell anzubinden, sondern Berechtigungen, Freigabestufen und Protokollierung sauber zu entwerfen. Schnittstellen in bestehende Systeme sollten von vornherein so gebaut werden, dass sie auch von einem automatisierten Gegenüber genutzt werden können – mit eng gefassten Rechten und vollständiger Nachvollziehbarkeit. Wer jetzt mit abgegrenzten, risikoarmen Anwendungsfällen beginnt, sammelt die nötige Erfahrung, bevor Agenten in Prozesse mit echter Außenwirkung hineinreichen.
