Agenten, die nicht mehr auf den Prompt warten

Innerhalb von gut einer Woche haben Ende April gleich drei Anbieter dasselbe Versprechen gemacht. OpenAI stellte am 22. April Workspace Agents in ChatGPT vor, Salesforce kündigte rund um den 29. April Agentforce Operations an, und Writer schaltete am 30. April eventbasierte Trigger für seine Agenten frei. Der gemeinsame Nenner: Der Agent soll nicht mehr warten, bis ein Mensch ihm eine Aufgabe gibt. Er soll selbst merken, dass etwas zu tun ist, und loslegen.

Das klingt nach einem kleinen Schritt, ist aber ein Wechsel im Bedienmodell. Und genau dieser Wechsel wirft für Teams im DACH-Raum Fragen auf, die mit dem Funktionsumfang wenig zu tun haben und mit Datenschutz und Mitbestimmung sehr viel.

Vom Auslöser zum Event

Bisher lief die Arbeit mit einem Agenten so: Ein Mensch tippt einen Prompt, der Agent arbeitet ihn ab, fertig. Der Mensch ist der Auslöser, jedes Mal.

Das neue Muster dreht das um. Nicht der Prompt verschwindet, sondern der Mensch als Auslöser. Der eigentliche Arbeitsauftrag ist weiterhin da, nur ist er vordefiniert und wird durch ein Ereignis gestartet: eine neue E-Mail, ein geänderter Deal-Status im CRM, ein frisches Meeting-Transkript. Statt "schreib mir eine Antwort auf diese Mail" heißt es jetzt "wenn eine Kundenmail eintrifft, entwirf eine Antwort nach diesem Muster".

Writer nennt konkrete Beispiele: Eine ungelesene Kundenmail löst einen Antwortentwurf aus, ein ins Stocken geratener Deal eine Nachfass-Notiz, ein neues Transkript eine Zusammenfassung in den Team-Kanal. Die Agenten lauschen dafür auf Signale aus Gmail, Slack, Google Drive, Microsoft SharePoint, Gong und dem Kalender.

Die abzuarbeitenden Abläufe sind dabei nicht neu. Writer nennt sie "Playbooks", vordefinierte Workflows in natürlicher Sprache, die die Teams seit Ende 2025 ohnehin schon bauen. Neu ist allein, dass der Mensch sie nicht mehr von Hand startet. Genau das beschreibt die Produktchefin als eigentlichen Hebel: Bisher seien die Menschen der Engpass gewesen, weil jemand die Playbooks von Hand anstoßen musste.

Die drei im Vergleich

So einheitlich das Versprechen klingt, so unterschiedlich ist der Reifegrad. Vor allem der Punkt "läuft wirklich ohne menschlichen Anstoß" ist ungleich verteilt.

OpenAI ist hier ehrlicherweise noch nicht so weit, wie die Schlagzeilen klingen. Die Workspace Agents sind geteilte Team-Agenten, die innerhalb der Rechte einer Organisation arbeiten. Das automatische Auslösen durch Trigger nennt OpenAI ausdrücklich als künftige Erweiterung, nicht als bestehende Funktion. Bis zum 6. Mai war die Vorschau kostenlos, seither läuft die Abrechnung über Credits.

Writer ist am weitesten, was die eigentliche Eventsteuerung angeht. Salesforce zielt mit Agentforce Operations vor allem auf Back-Office-Prozesse, die man als Blueprint hinterlegt oder hochlädt; das automatische Anstoßen über Flows steckt noch in der Beta.

Wo die Datenschutzfragen sitzen

Ein Agent, der unaufgefordert das Postfach, die Ablage und den Chat liest, um zu entscheiden, ob er handelt, ist datenschutzrechtlich etwas anderes als ein Tool, das nur auf Zuruf antwortet. Drei Punkte werden dadurch konkret.

Erstens die Zweckbindung. Wenn ein Agent dauerhaft mitliest, verarbeitet er auch personenbezogene Daten von Kollegen und Kunden, die mit der ursprünglichen Aufgabe nichts zu tun haben. Was er liest, um zu entscheiden, dass er nichts tut, hat er trotzdem gelesen.

Zweitens die Datensparsamkeit. Ein breit lauschender Agent steht im Spannungsfeld zum Grundsatz, nur so viele Daten zu verarbeiten wie nötig. "Hört auf alles und entscheidet dann" ist das Gegenteil davon.

Drittens die Protokollierung und Kontrolle. Wer hat wann was ausgelöst, welche Daten flossen ein, wer hat freigegeben? Genau hier liegen die Bordmittel, mit denen sich der Betrieb absichern lässt.

Die Anbieter haben das teils erkannt. Writer nennt Audit-Logs, Rechte auf Team-Ebene, eigene Verschlüsselungs-Keys und Freigabe-Checkpoints als die Mittel, mit denen sich solche Agenten in regulierten Bereichen überhaupt einsetzen lassen, und will festlegbar machen, welche Person was genehmigen muss. Für DACH-Teams ist das keine Kür, sondern die Voraussetzung dafür, dass ein autonomer Agent die DSGVO nicht im Vorbeilaufen verletzt. Wer Frontier-Agenten einsetzt, sollte ohnehin die Risiken agentischer KI kennen, denn ein Agent mit Schreibrechten, der auf manipulierbare Signale reagiert, ist eine größere Angriffsfläche als ein Chatfenster.

Mitbestimmung ist nicht optional

Es gibt noch eine Ebene, die im US-Marketing der Anbieter komplett fehlt: die Mitbestimmung. Sobald ein System das Verhalten oder die Leistung von Beschäftigten erfassen kann, greift in Deutschland die Mitbestimmung des Betriebsrats nach Paragraf 87 BetrVG. Ein Agent, der mitliest, wer wann auf welche Mail wie schnell reagiert hat, fällt potenziell genau darunter, auch wenn das gar nicht sein Zweck ist.

Das ist dieselbe Debatte, die wir beim Meta-Mitarbeiter-Tracking und bei der Frage nach der unsichtbaren Arbeit hinter KI-Systemen schon hatten. Autonome Agenten am Arbeitsplatz sind nicht nur ein IT-Thema, sondern eines für die Personalvertretung. Wer sie einführt, ohne den Betriebsrat einzubinden, riskiert, das Projekt später wieder anhalten zu müssen.

Einordnung

Die Welle ist real, das Tempo auch. Aber zwischen "Agent reagiert auf jedes Signal und handelt selbst" und dem, was Ende April tatsächlich ausgeliefert wurde, klafft eine Lücke. Bei OpenAI ist die Eventsteuerung noch Ankündigung, bei Salesforce Beta, nur Writer hat sie als Produkt. Und das alles trifft auf einen nüchternen Befund aus Writers eigener Umfrage unter 2.400 Führungskräften: 79 Prozent der Unternehmen kämpfen trotz hoher Investitionen mit der KI-Einführung, und in die Produktion schaffen es vor allem die mit gutem Change-Management. Mehr Autonomie auf der Technikseite löst dieses Problem nicht, sie verschiebt es nur.

Für die Praxis heißt das: Den Modus-Wechsel ernst nehmen, aber nicht dem Autonomie-Versprechen hinterherlaufen. Ein Agent, der ohne Anstoß handelt, braucht engere Leitplanken als einer, den man bei jedem Schritt selbst startet. Was ein Agent darf, was er liest, wer eine Aktion freigibt und ob ein Mensch im Zweifel "Stopp" sagen kann, gehört vor dem Rollout geklärt, nicht danach. Dass ein zu locker geführter Agent realen Schaden anrichten kann, hat der Fall gezeigt, in dem ein Coding-Agent eine Produktivdatenbank gelöscht hat.

Wer den Schritt geht, sollte Betriebsort, Datenkontrolle und Exit-Pfade kennen, so wie es der Artikel zur digitalen Souveränität für KI-Teams beschreibt, und die Auswahl zwischen den Plattformen anhand harter Governance-Kriterien treffen. Einen Überblick über die Anbieter gibt der Vergleich der Team-Agent-Plattformen.