Südkorea macht Regeln für autonome KI-Agenten

Wer heute einen KI-Agenten in Produktion nimmt, findet in keinem großen Regelwerk eine Antwort auf die naheliegendste Frage: Was darf das Ding eigentlich selbst tun? Der EU AI Act, das NIST AI Risk Management Framework, alle sind für Modelle geschrieben, die auf eine Eingabe antworten. Nicht für Software, die sich ein Ziel setzt, Werkzeuge aufruft und zwischendurch niemanden fragt.

Südkorea geht dieses Loch jetzt als eines der ersten Länder an. Die staatliche Korea Internet & Security Agency (KISA) arbeitet an einer neuen Fassung ihres "AI Security Guide", und der Schwerpunkt liegt diesmal auf agentischen Systemen. Das hat die Behörde am 15.09.2026 gegenüber Reuters bestätigt.

Was drinstehen soll

Laut KISA geht es um Sicherheitsprobleme, die entstehen, wenn Unternehmen agentische Dienste ausrollen. Herauskommen soll eine Checkliste, mit der Betreiber diese Risiken einordnen und eingrenzen können. Dazu kommt ein Punkt, der über Software hinausgeht: Der Leitfaden könnte erstmals auch gemeinsame Kontrollmaßnahmen für "physical AI" enthalten, also für Systeme, die mit Maschinen und Geräten in der echten Welt umgehen.

Einen Veröffentlichungstermin nennt KISA nicht. Das ist der erste Dämpfer.

Der zweite: Es bleiben Leitlinien. Eine Zulassungspflicht oder ein Bußgeld hängt daran nicht. Wer darauf hofft, dass hier ein Land vorprescht und Agenten verbindlich einhegt, liest die Meldung falsch.

Warum das trotzdem interessant ist

Südkorea reguliert KI nicht erst seit gestern. Der AI Basic Act gilt seit dem 22.01.2026 und verlangt unter anderem, dass Nutzer vorab erfahren, wenn KI im Spiel ist, und dass schwer unterscheidbare KI-Inhalte gekennzeichnet werden. Für "high-impact AI" kommen Folgenabschätzung, Risikomanagement über den Lebenszyklus, menschliche Aufsicht und Dokumentation dazu. Federführend ist das Wissenschafts- und IKT-Ministerium, die Bußgelder sind mit bis zu 30 Millionen Won (rund 21.000 US-Dollar) eher symbolisch, und es gibt ein Jahr Schonfrist.

Das klingt dem AI Act ähnlich, weil es dem AI Act ähnlich ist. Und genau deshalb fällt auf, was jetzt dazukommt: Die Pflichten oben adressieren ein System, das eine Entscheidung ausspuckt. Sie adressieren nicht den Fall, dass ein Agent über Stunden hinweg Dutzende Entscheidungen trifft, Werkzeuge kombiniert und Zustand aufbaut, den vorher niemand modelliert hat.

War es der Hugging-Face-Vorfall?

Hier lohnt genaues Lesen. Die deutschsprachige Aufbereitung bei wallstreetONLINE rückt den Juli-Vorfall in den Vordergrund, bei dem rund 700 von OpenAI gebaute Agenten an einem Angriff auf Hugging Face beteiligt waren. Wir haben das damals unter Der Hugging-Face-Angreifer war OpenAI aufgeschrieben, und was danach noch ans Licht kam, steht unter anderem in unseren News zu RubyGems.

KISA selbst sagt laut Reuters ausdrücklich, dass der Leitfaden nicht speziell als Reaktion auf OpenAI oder Hugging Face entsteht. Ziel sei ein allgemeiner Sicherheitsrahmen für agentenbasierte Systeme.

Beides kann stimmen. Behörden arbeiten selten in vier Wochen ein komplettes Dokument aus, und Südkorea hat schon im Juli ein Handbuch zu KI-Sicherheitsbedrohungen und einen Leitfaden für AI Red Teaming nachgelegt. Der Vorfall erklärt eher, warum gerade jetzt alle zuhören, als dass er das Projekt ausgelöst hätte.

Was Teams im DACH-Raum davon haben

Kurzfristig: nichts Verbindliches. Ein koreanischer Leitfaden bindet hier niemanden.

Mittelfristig schon etwas. Wenn ein staatlicher Akteur eine Betreiber-Checkliste für Agenten veröffentlicht, ist das eine Vorlage, die sich abschreiben lässt, und ein Signal an alle anderen Aufsichten, dass die Lücke erkannt ist. Wir haben zur deutschen Seite die Aufsicht durch die Bundesnetzagentur beschrieben und zu den europäischen Fristen den Stand beim AI Act. Ein agentenspezifischer Teil fehlt in beidem.

Bis so etwas kommt, bleibt die praktische Antwort dieselbe wie vorher: Das brauchbarste öffentliche Raster für Agentenrisiken ist die OWASP Top 10 für Agentic AI, und die Fragen, die ihr euch vor dem Rollout stellen solltet, sind unabhängig von jeder Behörde die gleichen.

• Welche Werkzeuge darf der Agent aufrufen, und wer hat diese Liste zuletzt angeschaut?
• Welche Aktionen sind unumkehrbar, und hängt an denen ein menschlicher Freigabeschritt?
• Läuft der Agent mit eigenen, eng geschnittenen Rechten oder mit denen des Nutzers?
• Gibt es ein Protokoll, aus dem sich hinterher rekonstruieren lässt, was er getan hat?
• Wer bemerkt es, wenn er etwas tut, nach dem niemand gefragt hat?

Wer diese fünf Punkte beantworten kann, ist besser aufgestellt als der Großteil dessen, was gerade in Produktion geht. Und wird von einer Checkliste aus Seoul wenig überrascht sein.