KI-Agenten-Governance: Framework, Risiken und Zugriffskontrolle für agentische KI (2026)

KI-Agenten-Governance ist die Gesamtheit der Kontrollen, die festlegen, auf welche Systeme ein autonomer KI-Agent zugreifen darf, welche Aktionen er ausführen darf, wer dafür verantwortlich ist und wann seine Zugriffe endet. Sie unterscheidet sich in einem entscheidenden Punkt von KI-Governance: KI-Governance prüft, was ein Modell sagt, Agenten-Governance kontrolliert, was ein Agent tut. Ein Agent besitzt Zugangsdaten, ruft Werkzeuge auf, schreibt in Produktivsysteme und arbeitet weiter, wenn niemand hinsieht. Damit ist er ein Identitätsthema, kein Inhaltsthema.

Die meisten IT-Teams im Mittelstand verfügen bereits über die nötigen Kontrollen. Sie haben sie nur noch nicht auf nicht-menschliche Identitäten angewendet.

Inhaltsverzeichnis

• Was ist KI-Agenten-Governance?
• Die vier agentischen Risiken, die niemand inventarisiert hat
• Das Framework der KI-Agenten-Governance: fünf Kontrollen
• Zuordnung zu europäischen Compliance-Anforderungen
• So erweitern Sie Ihr bestehendes IAM auf KI-Agenten
• Ein 30-Tage-Plan für IT-Teams
• Warum Corma für KI-Agenten-Governance
• Häufige Fragen

Zwischen 2025 und 2026 hat sich etwas leise verschoben. Das Suchvolumen für Shadow AI stieg im US-Markt von 1.600 monatlichen Suchanfragen im Juli 2025 auf 4.400 im Juni 2026, laut Google Ads Keyword Planner, abgerufen im Juli 2026. Diese Kurve ist keine Marketing-Kuriosität. Sie zeigt, wie IT- und Sicherheitsteams Vorfall für Vorfall entdecken, dass Mitarbeitende autonome Software mit Unternehmenssystemen verbunden haben, ohne jemanden zu informieren.

Das Ausmass ist dokumentiert. Gartner prognostiziert, dass KI-Agenten bis 2028 für 15 Prozent der täglichen Arbeitsentscheidungen verantwortlich sein werden, gegenüber null Prozent im Jahr 2024. McKinsey schätzt das Potenzial agentischer und generativer KI-Anwendungsfälle auf 2,6 bis 4,4 Billionen US-Dollar jährlich und stellt im selben Forschungskorpus fest, dass nur 1 Prozent der Organisationen ihre KI-Einführung als ausgereift einschätzt. Die Fähigkeiten skalieren schneller als die Kontrolle.

Die Antwort des Marktes besteht darin, eine zusätzliche Schicht zu verkaufen: Agenten-Governance-Plattformen, Guardrail-Engines, Policy-Interceptoren zur Laufzeit. Für ein Unternehmen mit 50 bis 500 Mitarbeitenden und einem vierköpfigen IT-Team ist der Kauf eines parallelen Governance-Stacks nicht realistisch. Dieser Leitfaden geht den umgekehrten Weg. Er zeigt, wie die fünf Kontrollen, die Agenten tatsächlich steuern, auf die Funktionen des Identity and Access Management abbilden, die Sie bereits betreiben, wie sie sich zu den Anforderungen von AI Act, NIS2, ISO 27001 und DSGVO verhalten und was in den nächsten 30 Tagen zu tun ist.

Was ist KI-Agenten-Governance?

KI-Agenten-Governance ist eine Disziplin der Zugriffskontrolle, angewendet auf autonome Software. Sie definiert, welche Ressourcen ein KI-Agent erreichen darf, welche Aktionen er ausführen darf, welcher Mensch dafür verantwortlich ist und wie seine Berechtigungen im Zeitverlauf überprüft und entzogen werden.

Ein KI-Agent ist ein KI-System, das eine Abfolge von Schritten plant, Werkzeuge auswählt und Aktionen auf ein Ziel hin ausführt, ohne für jeden Schritt eine Anweisung abzuwarten. Wenn ein grosses Sprachmodell die Denkschicht bildet, ist ein Agent diese Schicht plus Zugangsdaten, Werkzeugzugriff und Aufgabenbeschreibung. Die Unterscheidung ist wichtig, denn Governance greift bei den Zugangsdaten und beim Werkzeugzugriff an, nicht beim Denken.

Wie unterscheidet sich KI-Agenten-Governance von KI-Governance?

Klassische KI-Governance wurde für Systeme entwickelt, die eine Ausgabe erzeugen: Bias-Tests, Halluzinationsprüfung, Inhaltsfilter, Modelldokumentation. Diese Kontrollen setzen voraus, dass ein Mensch die Ausgabe liest und über das Weitere entscheidet. Agenten entfernen diesen Schritt. Ein Agent kann ein Jira-Ticket anlegen, einen CRM-Datensatz aktualisieren, einen Benutzer provisionieren oder eine externe E-Mail versenden, bevor irgendein Mensch die zugrunde liegende Argumentation gesehen hat.

Die praktische Folge: ein Governance-Fehler bei Agenten erzeugt eine Aktion, die rückgängig gemacht werden muss, nicht eine Antwort, die korrigiert werden muss.

Was hat sich 2026 verändert?

Drei Verschiebungen haben Agenten-Governance von einem Forschungsthema zu einem operativen Thema gemacht.

• Agenten werden inzwischen von Nicht-Entwicklern gebaut. Microsoft Copilot Studio, Salesforce Agentforce, n8n, Zapier Agents und Retool erlauben Fachanwendern, an einem Nachmittag einen funktionierenden Agenten zu erstellen. Einkauf, Sicherheitsprüfung und IT sind in dieser Schleife nicht vorgesehen.
• Das Model Context Protocol (MCP) hat die Verbindungspunkte vervielfacht. Jeder MCP-Server, mit dem sich ein Agent verbindet, ist ein neuer Zugangsdatenpfad in ein System. Untersuchungen von Nudge Security dokumentieren die Ausbreitung von MCP-Servern als schnell wachsende Erweiterung der SaaS-Angriffsfläche, die klassische Discovery-Werkzeuge nicht erfassen.
• Der Regulierungskalender ist konkret geworden. Die Transparenzpflichten aus Artikel 50 des AI Act gelten ab dem 2. August 2026, während die Pflichten für Hochrisikosysteme durch den Digital Omnibus zur KI auf den 2. Dezember 2027 verschoben wurden. Das Europäische Parlament hat ihn am 16. Juni 2026 angenommen, der Rat am 29. Juni 2026. Es gibt Fristen, und sie sind jetzt datiert.

Die vier agentischen Risiken, die niemand inventarisiert hat

Die meisten Artikel über agentische Risiken nennen Prompt Injection, Halluzination und Modelldrift. Diese Risiken sind real, und sie sind zugleich die Risiken, gegen die ein Sicherheitsanbieter ein Laufzeitprodukt verkaufen kann. Die vier folgenden Risiken sind die, die in einem echten Audit im Mittelstand auftauchen, und alle vier sind Probleme der Identitäts- und Asset-Verwaltung.

Nicht nachverfolgte Zugriffe: OAuth-Freigaben, API-Schlüssel und MCP-Verbindungen

Ein Agent braucht Zugangsdaten, um nützlich zu sein. In der Praxis kommen diese Zugangsdaten über den schnellsten verfügbaren Weg: Ein Mitarbeitender genehmigt eine OAuth-Freigabe mit zu weiten Berechtigungen, kopiert einen dauerhaft gültigen API-Schlüssel in eine Automatisierung oder richtet einen Agenten auf einen MCP-Server aus und nutzt dafür ein Dienstkonto, das niemand dokumentiert hat.

Der Fehlermodus ist nicht exotisch. Es ist ein Token mit Schreibrechten auf ein Produktivsystem, gehalten von Software, ohne Ablaufdatum und ohne benannten Eigentümer. Es ist dieselbe Sichtbarkeitslücke, die Schatten-IT hervorgebracht hat, mit einem Unterschied: Die Software kann jetzt selbst handeln.

Agenten-Wildwuchs: Schatten-IT mit Entscheidungsmaschine

Agenten-Wildwuchs ist die unkontrollierte Anhäufung von KI-Agenten, die ausserhalb der IT-Beschaffung entstehen und jeweils eigene Berechtigungen und Verbindungen halten. Daten von Nudge Security verorten die durchschnittliche Organisation bei 26 unterschiedlichen KI-Anwendungen im Einsatz, die meisten davon ohne IT-Aufsicht eingeführt. Jede agentische Plattform in dieser Menge kann Agenten erzeugen.

Wildwuchs ist messbar und kumuliert sich. Zwei Mitarbeitende, die ähnliche Agenten auf verschiedenen Plattformen bauen, erzeugen zwei Sätze Zugangsdaten, zwei Audit-Lücken und zwei Verlängerungspositionen. Das Muster kennt jeder, der unsere Analyse zum Aufkommen von Shadow AI und dessen Eindämmung gelesen hat.

Verwaiste Agentenkonten: Niemand deaktiviert einen Agenten

Das ist der blinde Fleck des gesamten Marktes. Sehen Sie sich die ersten zehn Ergebnisse zu KI-Agenten-Governance an: Sie finden umfangreiche Abdeckung von Bereitstellung, Guardrails und menschlicher Aufsicht, und fast nichts zur Beendigung.

Wenn ein Mitarbeitender das Unternehmen verlässt, entzieht ein ausgereiftes IT-Team seine Konten. Wenn der Mitarbeitende geht, der drei Agenten gebaut hat, laufen diese Agenten weiter, behalten ihre Token und behalten ihre Zugriffe. Sie werden zu verwaisten nicht-menschlichen Identitäten: aktive Zugangsdaten ohne verantwortlichen Menschen. Ein Auditor behandelt ein verwaistes Dienstkonto als Feststellung. Ein verwaister Agent ist dieselbe Feststellung mit grösserer Reichweite, weil er handelt statt zu warten.

Unsichtbare Kosten: Lizenzplätze, Credits und Tokens

Agenten verbrauchen kostenpflichtige Ressourcen. Sie belegen Lizenzplätze in den Werkzeugen, die sie bedienen, verbrauchen API-Credits und Modell-Tokens. Weil die Ausgaben oft auf einer Abteilungskarte oder innerhalb eines bestehenden Abonnements landen, erscheinen sie im Finanzreporting deutlich früher als in einer Sicherheitsprüfung.

Damit sind Kosten das zuverlässigste Frühwarnsignal, das zur Verfügung steht. Ein unerklärter Anstieg bei SaaS-Abonnements und Softwarekosten ist häufig das erste erkennbare Symptom eines ungesteuerten Agenten, und es erreicht die Finanzleitung vor der Sicherheitsleitung.

Das Framework der KI-Agenten-Governance: fünf Kontrollen

Das folgende Framework folgt der Reihenfolge, die operativ funktioniert: Man kann keine Richtlinie auf einen Agenten anwenden, den man nicht gefunden hat, und man kann keinen Zugriff entziehen, den man nicht zuordnen kann.

1. Jeden Agenten entdecken und inventarisieren

Governance kann der Discovery nicht vorausgehen. Vor Least Privilege, Überprüfungen oder Laufzeitrichtlinien braucht es ein Inventar, das je Agent drei Fragen beantwortet: Was kann er erreichen, was kann er tun, und wer hat ihn erstellt.

Ein Agenteninventar ist kein KI-Werkzeuginventar. Ein Werkzeuginventar fragt, welche Anwendungen Mitarbeitende nutzen. Ein Agenteninventar fragt, welche autonomen Systeme Zugriff auf Ihre Umgebung haben. Discovery-Quellen, die tatsächlich funktionieren: Protokolle des Identitätsanbieters, Aufzeichnungen von OAuth-Freigaben, SaaS-Discovery-Signale, Ausgaben- und Kartendaten sowie Browsersignale für Plattformen ohne API.

2. Jedem Agenten eine eindeutige Identität und einen menschlichen Eigentümer geben

Jeder Agent erhält seine eigene Identität und einen benannten menschlichen Verantwortlichen. Keine gemeinsam genutzten API-Schlüssel, keine generischen Dienstkonten, keine Zugangsdaten, die von einem ausscheidenden Mitarbeitenden geerbt wurden.

Diese einzelne Kontrolle liefert den grössten Teil des Audit-Nutzens, weil sie jede Agentenaktion auf eine Person zurückführbar macht, die zur Begründung befragt werden kann. Es ist dieselbe Disziplin wie User Provisioning, angewendet auf Software statt auf Personal.

3. Least Privilege über Rollen umsetzen, nicht über gemeinsame Schlüssel

Berechtigungen auf die Aufgabe zuschneiden. Ein Agent, der Kalenderdaten liest, um Zusammenfassungen zu entwerfen, braucht keinen Schreibzugriff auf das CRM. In der Praxis bedeutet das rollenbasierte Zugriffskontrolle für nicht-menschliche Identitäten, mit zeitlich befristeten Zugangsdaten, wo die Plattform das unterstützt.

Wenn Ihr Team ein Berechtigungsmodell auswählen muss, ist unser Vergleich der Zugriffskontrollmodelle RBAC und ABAC unmittelbar anwendbar: Rollen skalieren besser bei einem festen Agentenkatalog, Attribute verarbeiten dynamischen Kontext besser.

4. Schwellenwerte für menschliche Freigabe nach Kritikalität festlegen

Nicht jede Agentenaktion verdient eine Freigabestufe, und ein System, das für alles eine Genehmigung verlangt, wird umgangen. Kalibrieren Sie an der Konsequenz: Umkehrbare Aktionen mit geringer Auswirkung laufen autonom, unumkehrbare oder nach ausserhalb sichtbare Aktionen erfordern eine ausdrückliche menschliche Freigabe.

Der Mechanismus existiert in den meisten IAM-Stacks bereits als Genehmigungsworkflow. Rechteerweiterungen von Agenten über denselben Kanal zu führen, den Ihre Sicherheitsteams für Compliance nutzen, erspart den Aufbau eines zweiten Genehmigungssystems.

5. Zertifizieren, dann entziehen: Zugriffsüberprüfungen und Agenten-Offboarding

Agentenberechtigungen entwickeln sich in dieselbe Richtung wie menschliche Berechtigungen: Sie wachsen nur. Die Kontrolle ist die periodische Zertifizierung, und sie braucht einen Löschpfad.

Zwei Regeln machen das wirksam. Erstens: Nehmen Sie nicht-menschliche Identitäten in den Umfang Ihrer automatisierten und sicheren Zugriffsüberprüfungen auf, statt sie separat zu behandeln. Zweitens: Ergänzen Sie Agenten im Austrittsschritt Ihres Joiner-Mover-Leaver-Prozesses, damit automatisiertes Provisioning und Onboarding auch die Agenten abdeckt, die ein Mitarbeitender erstellt hat, und nicht nur seine eigenen Konten.

Zuordnung zu europäischen Compliance-Anforderungen

Europäische Organisationen können Agenten-Governance nicht als aufkommende Good Practice behandeln. Mehrere bestehende Pflichten erfassen sie bereits, und ein Rahmenwerk hat 2026 eine laufende Frist.

Der AI-Act-Zeitplan, wie er sich im Juli 2026 darstellt. Der Digital Omnibus zur KI wurde am 16. Juni 2026 vom Europäischen Parlament und am 29. Juni 2026 vom Rat angenommen, mit Inkrafttreten im Juli 2026. Er verschiebt die Pflichten für eigenständige Hochrisikosysteme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027, und für KI, die in regulierte Produkte nach Anhang I eingebettet ist, auf den 2. August 2028. Die Transparenzpflichten aus Artikel 50 gelten weiterhin ab dem 2. August 2026. Neue Verbote und die Markierungspflichten aus Artikel 50 Absatz 2 für bereits im Markt befindliche Systeme gelten ab dem 2. Dezember 2026.

Die praktische Lesart für eine IT-Leitung: Für die Konformitätsarbeit im Hochrisikobereich gibt es mehr Vorlauf, aber die Arbeit an Protokollierung und der Auslegung menschlicher Aufsicht wird nicht optional. Artikel 12 verlangt die automatische Aufzeichnung von Ereignissen über die Lebensdauer des Systems. Artikel 14 verlangt, dass Hochrisikosysteme so gestaltet sind, dass Menschen sie wirksam beaufsichtigen können. Beides sind Anforderungen an Technik und Zugriffskontrolle, und beide sind leichter zu erfüllen, wenn Agentenidentität und Protokollierung vor der Frist bestehen und nicht danach.

NIS2 ist für die meisten betroffenen Unternehmen die unmittelbarere Einschränkung. Artikel 21 Absatz 2 listet die erforderlichen Massnahmen zum Cybersicherheits-Risikomanagement auf, darunter Konzepte für die Zugriffskontrolle und das Asset-Management. Ein nicht dokumentierter Agent mit Produktionszugangsdaten ist im Sinne dieses Artikels ein Versagen im Asset-Management, was er sonst noch sein mag. In Deutschland setzt das BSI die Anforderungen um und veröffentlicht die einschlägigen Vorgaben für besonders wichtige und wichtige Einrichtungen. Unser Leitfaden dazu, was die NIS2-Richtlinie für Ihr Unternehmen bedeutet, behandelt die Frage des Anwendungsbereichs im Detail.

Auf der Seite personenbezogener Daten gilt: Ein Agent, der über seinen erklärten Zweck hinaus auf personenbezogene Daten zugreift, ist ein DSGVO-Thema, bevor er ein KI-Thema ist. Die Aufsichtsbehörden, einschliesslich des BfDI, bewerten Rechtsgrundlage und Datenminimierung auch auf Ebene der technischen Zugriffe.

So erweitern Sie Ihr bestehendes IAM auf KI-Agenten

Das Argument in einer Zeile: Die vier Säulen, die der Markt als neu verkauft (Discovery, Least Privilege, Guardrails, menschliche Aufsicht), sind jeweils SaaS-Discovery, RBAC, bedingtes Provisioning und Zugriffsüberprüfung. Ihnen fehlt keine Werkzeugkategorie. Ihnen fehlt die Abdeckung nicht-menschlicher Identitäten in den Werkzeugen, die Sie haben.

Was Ihr aktueller Stack bereits abdeckt, sofern er dafür konfiguriert ist:

• SSO und Ihr Identitätsanbieter geben Ihnen eine zentrale Stelle, um Authentifizierung zu sehen und zu unterbrechen. Ein Agent, der sich über den IdP authentifiziert, ist ein Agent, den Sie mit einer Aktion deaktivieren können.
• SCIM-Provisioning gibt Ihnen die programmatische Kontenerstellung und, wichtiger noch, die programmatische Entfernung. Wo eine agentische Plattform SCIM unterstützt, wird Deprovisionierung zu einem API-Aufruf statt zu einem manuellen Ticket.
• RBAC gibt Ihnen das Berechtigungsmodell. Agenten werden Rolleninhaber.
• Zugriffsüberprüfungen geben Ihnen den wiederkehrenden Zertifizierungszyklus. Ergänzen Sie eine Sicht auf nicht-menschliche Identitäten.
• Joiner-Mover-Leaver-Workflows geben Ihnen den Lebenszyklus. Ergänzen Sie einen Agentenschritt in der Austritts-Checkliste.

Was wirklich hinzukommen muss:

• Ein Agentenregister mit Eigentümer, Zweck, verbundenen Systemen, Art der Zugangsdaten und Überprüfungsdatum.
• Hygiene für Maschinen-Zugangsdaten: keine gemeinsamen Schlüssel, Ablaufdaten für Token, Rotationsplan.
• Genehmigungsschwellen je Aktionstyp, dokumentiert statt implizit.
• Ein Beendigungspfad, ausgelöst sowohl durch die Ausserbetriebnahme des Agenten als auch durch den Austritt seines Eigentümers.

Teams, die eher die organisatorische als die konzeptionelle Sicht suchen, finden in unserem Beitrag zur Governance von KI-Agenten und der Steuerung der IT von morgen die organisatorische Seite desselben Problems, einschliesslich der Frage, wer das Register führen sollte.

Ein 30-Tage-Plan für IT-Teams

Dieser Plan ist für ein IT-Team von zwei bis sechs Personen geschrieben, das 50 bis 500 Mitarbeitende betreut, ohne eigene Security-Operations-Funktion.

Woche 1: finden. Exportieren Sie OAuth-Freigaben aus Google Workspace oder Microsoft Entra ID. Ziehen Sie SaaS- und KI-Ausgaben aus der Finanzabteilung. Listen Sie jede agentische Plattform, die lizenziert oder im Einsatz ist. Noch keine Richtlinienarbeit.

Woche 2: zuordnen. Eine Zeile pro Agent: Eigentümer, Zweck, erreichte Systeme, Art der Zugangsdaten, Erstellungsdatum. Alles ohne identifizierbaren Eigentümer landet auf einer Entzugsliste, nicht auf einer Überprüfungsliste.

Woche 3: das Offensichtliche abschneiden. Verwaiste Token entziehen. Gemeinsam genutzte API-Schlüssel durch Zugangsdaten pro Agent ersetzen. Schreibrechte entfernen, für die kein dokumentierter Anwendungsfall besteht. Ablaufdaten setzen, wo die Plattform es erlaubt.

Woche 4: wiederkehrend machen. Nicht-menschliche Identitäten in den Zyklus der Zugriffsüberprüfung aufnehmen. Einen Agentenschritt in die Offboarding-Checkliste einfügen. Genehmigungsschwellen für die drei oder vier folgenreichsten Aktionstypen definieren.

Warum Corma für KI-Agenten-Governance

Corma ist eine europäische Plattform, die SaaS-Management und Identity and Access Management in einem System verbindet, und genau diese Kombination verlangt Agenten-Governance. Discovery liegt auf der SaaS-Management-Seite. Identität, Least Privilege, Genehmigungen und Entzug liegen auf der IAM-Seite. Diese beiden Hälften auf zwei Anbieter zu verteilen ist der Weg, auf dem Agenten dazwischen durchfallen.

Vier Punkte sind für diesen Anwendungsfall entscheidend:

• Konvergente Discovery und Kontrolle. Corma erkennt Anwendungen, Lizenzen und Zugriffe in derselben Plattform, die provisioniert und entzieht. Ein am Montag gefundener Agent kann am Montag eingegrenzt oder abgeschaltet werden. Die meisten Wettbewerber decken nur eine Seite ab.
• Europäisches Hosting und DSGVO-Konformität von Grund auf. Die Daten werden in der EU gehostet, und Corma ist nach ISO/IEC 27001:2022 zertifiziert. Für ein Unternehmen, das seine Kontrollen NIS2 und dem AI Act zuordnet, entfällt damit die Frage der Datenübermittlung, die Anbieter von SaaS-Management mit Sitz in den USA beantworten müssen.
• Kosten und Zugriffe in einer Sicht. Weil Corma Lizenzen und Ausgaben gemeinsam mit Identitäten verfolgt, wird das oben beschriebene Budgetsignal zu einer operativen Warnung statt zu einer Quartalsüberraschung.
• Umsetzungsrealität im Mittelstand. Das vollständige Onboarding dauert für ein Unternehmen mit 50 bis 500 Mitarbeitenden typischerweise weniger als einen Monat. Das ist der Unterschied zwischen einer Kontrolle auf Papier und einer Kontrolle, die läuft.

Das Muster ist in regulierten Umgebungen bereits dokumentiert. Unsere Fallstudie zur Identity Governance im Gesundheitswesen bei Satelia zeigt dieselben Kontrollen dort, wo die Auditanforderungen am strengsten sind.

Häufige Fragen

Was versteht man unter Agenten-Governance in der KI?

Agenten-Governance in der KI ist die Praxis, zu kontrollieren, worauf ein autonomer KI-Agent zugreifen und was er ausführen darf, wer dafür verantwortlich ist und wie seine Berechtigungen überprüft und entzogen werden. Sie umfasst Identität, Berechtigungen, Genehmigungsschwellen, Protokollierung und Beendigung und bezieht sich auf die Aktionen des Agenten, nicht auf die Ausgabe des Modells.

Was ist der Unterschied zwischen KI-Governance und KI-Agenten-Governance?

KI-Governance bewertet Modellausgaben hinsichtlich Richtigkeit, Verzerrung und Konformität. KI-Agenten-Governance kontrolliert Agentenaktionen: Welche Systeme der Agent erreicht, welche Operationen er ausführen darf und unter welchen Bedingungen ein Mensch freigeben muss. Das Erste ist ein Problem der Inhaltsprüfung, das Zweite ein Problem der Zugriffskontrolle.

Brauche ich eine dedizierte Plattform für KI-Agenten-Governance?

Für die meisten Unternehmen im Mittelstand nicht. Die fünf entscheidenden Kontrollen (Discovery, eindeutige Identität, Least Privilege, Genehmigungsschwellen, Zertifizierung und Entzug) sind Funktionen von IAM und SaaS-Management. Eine dedizierte Laufzeit-Governance-Plattform lohnt sich, wenn Sie Agenten in grossem Umfang selbst mit eigenen Werkzeugketten entwickeln. Wenn Sie überwiegend Agenten nutzen, die auf Copilot Studio, Agentforce, n8n oder Vergleichbarem gebaut sind, ist die Erweiterung des bestehenden Identitäts-Stacks schneller und günstiger.

Wer sollte KI-Agenten-Governance verantworten: IT, Security oder Compliance?

Die IT sollte Register und Lebenszyklus verantworten, weil sie Provisionierung und Deprovisionierung ohnehin betreibt. Security sollte die Genehmigungsschwellen und die Berechtigungsstandards setzen. Compliance sollte die Zuordnung zu NIS2, ISO 27001 und AI Act verantworten. Die Verantwortung auf drei Funktionen zu verteilen, ohne einen Eigentümer für das Register zu benennen, ist das Fehlermuster, das zu vermeiden ist.

Wie gilt der EU AI Act für KI-Agenten?

Das hängt vom Anwendungsfall ab, nicht von der Technologie. Die Transparenzpflichten aus Artikel 50 gelten ab dem 2. August 2026. Die Pflichten für eigenständige Hochrisikosysteme nach Anhang III, die unter anderem Beschäftigung, Bildung, Kreditwürdigkeitsprüfung und Zugang zu wesentlichen Diensten abdecken, gelten ab dem 2. Dezember 2027, nach dem im Juni 2026 angenommenen Digital Omnibus zur KI. Die Protokollierungspflicht aus Artikel 12 und die Anforderung menschlicher Aufsicht aus Artikel 14 sind die für die Gestaltung von Agenten unmittelbar relevanten Vorschriften.

Was ist ein verwaister KI-Agent und warum ist das ein Problem?

Ein verwaister KI-Agent ist ein Agent, dessen verantwortlicher menschlicher Eigentümer die Organisation verlassen hat oder nicht mehr identifizierbar ist, während seine Zugangsdaten aktiv bleiben. Das ist ein Problem, weil der Agent weiterhin Aktionen mit gültigen Berechtigungen ausführt, ohne dass jemand sie begründen kann. Das ist sowohl ein Sicherheitsrisiko als auch eine Auditfeststellung im Hinblick auf Anforderungen der Zugriffskontrolle wie die Massnahme A.5.18 der ISO 27001.

Wie finde ich KI-Agenten, die Mitarbeitende ohne Information der IT erstellt haben?

Kombinieren Sie vier Signale: Aufzeichnungen von OAuth-Freigaben in Ihrem Identitätsanbieter, SaaS- und KI-Ausgaben in den Finanzdaten, Administrationsprotokolle der agentischen Plattformen, die Ihr Unternehmen lizenziert, und Browsersignale für Plattformen ohne Administrations-API. Jede Quelle für sich übersieht eine Kategorie. Deshalb findet eine konvergente Plattform aus SaaS-Management und Identität mehr als ein reines IdP-Audit.

Fazit

Agenten-Governance sieht wie ein neues Problem aus, weil die Anbieter, die sie verkaufen, darauf angewiesen sind. Nimmt man die Rahmung weg, bleibt eine bekannte Anforderung: wissen, was Zugriff auf Ihre Systeme hat, jedem Zugriff einen benannten Eigentümer geben, ihn auf die Aufgabe begrenzen, die gefährlichen Aktionen mit einer Freigabe versehen und ihn entziehen, wenn er nicht mehr gebraucht wird. Ihr IAM-Stack wurde genau dafür gebaut. Er wurde nur noch nicht auf nicht-menschliche Identitäten ausgerichtet.

Die Teams, die 2027 ihr erstes agentenbezogenes Audit bestehen, sind die, die 2026 das Register aufbauen.

Sehen Sie, wie Corma Zugriffe über Ihren gesamten SaaS- und KI-Bestand in einer Plattform erkennt, eingrenzt und entzieht. Demo anfragen.