Wo menschliche Freigaben hingehören, wenn ein Agent Geschäftsdaten ändern kann

Pro Aktion entscheiden, mit Regeln, die Sie schon haben

Die meisten Unternehmen haben bereits Befugnisregeln: wer Rechnungen ab einem bestimmten Betrag buchen darf, wer die Bankverbindung eines Lieferanten ändern darf, welche Änderungen eine zweite Person brauchen. Beginnen Sie dort. Ein Agent sollte nicht mehr Befugnisse haben als die am wenigsten erfahrene Person, die dieselbe Arbeit heute erledigt, und die Freigabepunkte sollten denselben Linien folgen.

Markieren Sie dann die Punkte ohne Rückweg. Die Microsoft-Leitlinie zu kompensierenden Transaktionen empfiehlt, festzustellen, welche Schritte sich rückgängig machen lassen und welche nicht, und unumkehrbare Schritte erst nach allen kritischen Prüfungen auszuführen. Die Spezifikation des Model Context Protocol gibt für Tools eine verwandte Empfehlung: Eine Person soll einen Tool-Aufruf ablehnen können, und Clients sollen bei sensiblen Operationen eine Bestätigung einholen.

Eine ausgearbeitete Freigabematrix

Für einen hypothetischen Agenten in der Kreditorenbuchhaltung ist die folgende Matrix ein typisches Ergebnis dieser Übung. Die Schwellen sind Platzhalter; Ihre ergeben sich aus Ihren eigenen Befugnisregeln.

• Rechnungen, Bestellungen und Wareneingänge lesen: keine Freigabe
• Einen Sperrvermerk oder eine Rückfrage an den Lieferanten entwerfen: keine Freigabe, aber die Nachricht versendet eine Person
• Eine vollständig abgeglichene Rechnung unter der Schwelle buchen, zum Beispiel 2.000 Euro: keine Freigabe, eine wöchentliche Stichprobe wird geprüft
• Eine Rechnung über der Schwelle oder mit Abweichung buchen: Freigabe durch eine Person aus der Kreditorenbuchhaltung
• Lieferantenstammdaten oder Bankverbindungen ändern: für den Agenten gar nicht verfügbar

Die letzte Zeile ist wichtig. Manche Aktionen entfernt man besser aus den Tools des Agenten, statt sie mit einer Freigabe abzusichern, denn eine Freigabe kann versehentlich erteilt werden, ein fehlendes Tool kann niemand aufrufen.

Was die freigebende Person sehen muss

• Die genaue Änderung: welcher Datensatz, welche Felder, alter und neuer Wert, der Betrag
• Die Belege, die der Agent verwendet hat, mit Links zu den Quelldokumenten
• Warum angehalten wurde: die Regel, Schwelle oder Abweichung, die die Pause ausgelöst hat
• Was Freigeben, Bearbeiten und Ablehnen jeweils als Nächstes auslösen

Speichern Sie die Entscheidung mit der Identität der freigebenden Person, dem Zeitpunkt und der Version des Vorschlags, den sie gesehen hat. Dieser Eintrag ist Ihr Entscheidungsnachweis, wenn später jemand fragt, warum eine Zahlung hinausging.

Wie die Pause im Code funktioniert

Agenten-Frameworks unterstützen das direkt. In LangGraph speichert interrupt() den Zustand des Graphen über einen Checkpointer und wartet, bis der Lauf mit Command(resume=...) fortgesetzt wird. Im OpenAI Agents SDK unterbricht ein Tool mit needs_approval den Lauf und gibt den ausstehenden Aufruf als Interruption zurück; der Laufzustand lässt sich serialisieren und nach Freigabe oder Ablehnung fortsetzen.

Drei Details entscheiden darüber, ob das sicher ist. Erstens führt LangGraph den unterbrochenen Knoten beim Fortsetzen von Anfang an aus, sodass jeder Seiteneffekt vor dem Interrupt erneut läuft. Zweitens muss die ausgeführte Aktion an die freigegebenen Argumente gebunden sein; ändert der Agent sie, fragen Sie erneut. Drittens sorgt ein gespeicherter Checkpoint nicht dafür, dass der externe Schreibvorgang genau einmal stattfindet. Fällt der Prozess nach dem Zahlungsaufruf, aber vor dem Speichern des Ergebnisses aus, kann ein Fortsetzen die Zahlung erneut senden, wenn das empfangende System die Anfrage nicht dedupliziert.

Damit Freigaben die Arbeit nicht aufhalten

Messen Sie die Wartezeit auf eine Freigabe getrennt von der Bearbeitungszeit des Agenten und geben Sie der Warteschlange eine verantwortliche Person und ein Ziel. Bündeln Sie ähnliche Freigaben, damit eine Sachbearbeiterin zehn abgeglichene Rechnungen eines Lieferanten in einer Ansicht erledigen kann. Legen Sie fest, was passiert, wenn niemand reagiert: Der Fall geht zurück in eine menschliche Warteschlange, er wird nie automatisch freigegeben.

Beobachten Sie dann, was die Freigebenden tun. Eine Kategorie, die über Monate fast immer unverändert freigegeben wird, kommt für Stichproben statt Einzelfreigaben in Frage, und die prozessverantwortliche Person entscheidet das anhand der Daten. Eine Kategorie mit häufigen Änderungen oder Ablehnungen zeigt, dass der Agent dafür noch nicht bereit ist.

Wann eine Freigabe falsche Sicherheit gibt

Freigaben versagen unbemerkt, wenn Freigebende nicht prüfen können, was ihnen gezeigt wird, wenn die Menge sie zum Durchklicken drängt oder wenn sensible Lesezugriffe, etwa ein Agent, der eine Personalakte abruft, nie abgesichert werden, weil nichts geschrieben wurde. Ob eine Entscheidung rechtlich einer Person vorbehalten ist, klären Ihre Rechtsberatung und gegebenenfalls Ihr Betriebsrat. Der technische Beitrag besteht darin, sichtbar zu machen, wo Menschen entscheiden, und jede Entscheidung nachvollziehbar zu speichern.