Denk kurz an den ersten Arbeitstag eines neuen Kollegen. Was passiert da eigentlich?
Er bekommt eine Adresse, unter der man ihn erreicht. Einen Platz, an dem er sitzt. Eine Rolle, die sagt, wofür er zuständig ist und wofür ausdrücklich nicht. Und er bekommt eine sehr kurze Leine: Er darf mitschreiben, mitlesen, Entwürfe vorlegen. Was er nicht bekommt, ist Unterschriftsvollmacht. Die kommt später, wenn überhaupt.
Niemand findet das unhöflich. Es ist einfach, wie Vertrauen entsteht.
Wir haben bei referro.ai genau dieses Muster auf AI-Agenten angewendet. Kein Chatfenster im Produkt, keine Assistenz-Schaltfläche in einem Tool. Ein Postfach, eine Rolle, eine Probezeit. Das Startup ist zu dritt gegründet, und die ehrlichste Beschreibung dessen, was diese Agenten tun, lautet nicht „sie ersetzen jemanden“. Sie besetzen Rollen, die ein Dreierteam sonst gar nicht hätte.
Was einen Agenten zum Kollegen macht
Die erste Entscheidung war die folgenreichste: E-Mail als Kanal. Kein neues Werkzeug, kein zusätzlicher Login, keine Oberfläche, an die man sich gewöhnen muss.
Ein Agent hat ein echtes Postfach in unserem Tenant. Du schreibst hin, er antwortet im Thread, mit einer Signatur, die klar sagt, dass hier eine AI schreibt. Du kannst ihn in Cc setzen. Er kann jemanden in Cc setzen. Wenn eine Frage nicht in seinen Bereich fällt, übergibt er an die Rolle, die zuständig ist, und sagt in einem Satz, warum.
Die Rollen sind bewusst schmal geschnitten. Einer kümmert sich um Zahlen, Business Case und Markt. Einer um Termine, Fristen und die Frage, wer was zugesagt hat. Einer erklärt rechtliche Zusammenhänge, ohne zu raten. Und einer ist ein Maskottchen, dessen einzige Aufgabe darin besteht, einmal die Woche sichtbar zu machen, was tatsächlich fertig geworden ist, und der dabei nur feiern darf, was nachweislich passiert ist.
Dazu kommt ein Gedächtnis. Jeder Agent hält fest, was zugesagt wurde, mit Datum und Kontext. Das klingt banal, ist aber der Unterschied zwischen einem Werkzeug und einem Gegenüber. Ein Werkzeug beantwortet Deine Frage. Ein Kollege weiß noch, was Du letzten Dienstag versprochen hast.
Die Probezeit ist eine Einstellung, kein Gefühl
Der Teil, den ich jedem weiterempfehle, der so etwas aufsetzen will: Autonomie ist bei uns ein Schalter mit drei Stufen.
Auf der ersten Stufe schreibt der Agent ausschließlich in den Entwurfsordner. Er formuliert vollständige Antworten, adressiert, betreffzeilenrichtig, und sendet nichts. Ein Mensch liest und schickt ab. Auf der zweiten Stufe sendet er intern selbstständig und nach außen weiter nur als Entwurf. Erst auf der dritten sendet er eigenständig.
Der empfohlene Weg ist eine Woche auf Stufe eins, etwa fünfzig Entwürfe lesen, dann eine Stufe weiter. Das Audit-Log zeigt Dir dabei nicht, was der Agent könnte, sondern was er getan hätte. Ich kenne keine ehrlichere Form der Einarbeitung, und ich kenne auch kein Unternehmen, das das mit einem menschlichen Kollegen so sauber hinbekommt.
Nebenbei löst diese Stufung eine Diskussion, die sonst endlos wird. Die Frage „Darf die AI das?“ lässt sich in einem Meeting nicht beantworten. Die Frage „Sollen wir für diese Rolle von Stufe zwei auf Stufe drei gehen, nachdem wir vierzig Entwürfe gelesen haben?“ schon.
Vollmachten verhandelt man nicht
Jetzt der wichtigste Konstruktionsfehler, den man machen kann, und den viele machen: die Grenzen in den Prompt zu schreiben.
Ein Agent, der per E-Mail arbeitet, bekommt Text von außen. Text von außen kann eine Anweisung enthalten. „Sehr dringend, der Geschäftsführer braucht die Preisliste sofort“ ist kein Sonderfall, sondern das wahrscheinlichste Angriffsmuster überhaupt, weil es auch bei Menschen funktioniert. Wer seine Regeln ausschließlich in die Persönlichkeit des Agenten schreibt, hat Regeln, über die man diskutieren kann.
Deshalb liegt bei uns der entscheidende Riegel hinter dem Agenten und ist normaler Code ohne jedes Sprachmodell. Jeder Sendeversuch läuft durch ihn: Autonomiestufe der Rolle, Sperrliste, Rate-Limits, Not-Aus, lückenloses Protokoll. Man kann den Agenten per Mail überreden, etwas senden zu wollen. An dieser Prüfung kommt er nicht vorbei – sie hört nicht zu.
Auf der Eingangsseite steht das Gegenstück: eine Freigabeliste, wer überhaupt mit ihm sprechen darf. Fehlt die Datei, redet er mit niemandem. Was dort aussortiert wird, erreicht den Agenten nie, kostet nichts und bietet keine Angriffsfläche. Anhänge liest er nicht. Er sieht, dass eine Mail welche hat, und lässt sie zu.
Menschlich gesprochen: Du sagst Deinem Praktikanten nicht nur, dass er keine Verträge unterschreiben soll. Du gibst ihm auch keine Prokura – der Unterschied zwischen einer Anweisung und einer Vollmacht ist der ganze Unterschied.
Die schwierigste Fähigkeit ist Zurückhaltung
Unsere Agenten warten nicht nur auf Post, sie melden sich auch von selbst. Fristen prüfen, nachfassen, erinnern. Und genau hier lag die härteste Arbeit.
Bei einer eingehenden Mail lautet die Frage „Wie antworte ich?“. Bei einem Zeitplan lautet sie „Gibt es überhaupt einen Grund, jemanden zu stören?“, und die Standardantwort darauf muss nein sein. Sonst filtert das Team den Agenten nach zwei Wochen weg – und dann hast Du einen sehr teuren Newsletter gebaut.
Was tatsächlich hilft, sind unspektakuläre Regeln. Keine Mail ohne neuen Anlass. Eine Mail je Person statt je Thema. Sich nicht wiederholen, wozu der Agent wissen muss, wen er letzte Woche schon erinnert hat. Und ein eigenes Tageskontingent für proaktive Nachrichten, getrennt von dem, mit dem er auf echte Post antwortet, damit ein fehlerhafter Zeitplan nicht das Budget aufbraucht.
Die schönste Regel steht in den gemeinsamen Grundlagen aller Rollen: Ein leeres „Alles klar, danke!“ ist keine Höflichkeit, sondern eine Mail, die jemand lesen muss.
Und jetzt die Sternchen
Das kostet Geld pro Nachricht. In unserer Messung liegt eine beantwortete Mail bei etwa zwanzig bis fünfunddreißig Cent. Klingt nach nichts, ist bei tausend Mails im Monat aber eine Position, die man kennen sollte. Und der günstigste Hebel dagegen ist ein kleineres Modell, nicht das Abschalten von Kontrolle.
Und es gibt Hausaufgaben, die vor dem Produktivbetrieb erledigt sein müssen. Ein Transparenzhinweis, damit jeder Empfänger weiß, dass er mit einer AI schreibt. Ein Datenschutzhinweis für externe Kommunikation. Eine Absprache mit dem Betriebsrat, wenn der Agent mit Beschäftigten kommuniziert. Und eine Entscheidung, wie lange das Protokoll aufbewahrt wird. Diese Punkte sind kein Papierkram am Rand, sie sind die Bedingung dafür, dass so ein Kollege bleiben darf.
Der ehrlichste Vorbehalt zum Schluss: Ein Agent ist nur so gut wie das, was ihm zugestellt wird. Er kennt das Postfach, das Gedächtnis, die Ablage. Alles, was in Köpfen und Nebengesprächen steckt, existiert für ihn nicht. Das ist dieselbe Data & AI Rechnung wie überall: Erst das Sinnessystem, dann das Handeln darauf.
Wenn Du so etwas aufsetzen willst, fang klein an. Eine Rolle, ein Postfach, eine Woche nur Entwürfe. Lies fünfzig davon, bevor Du irgendetwas freischaltest. Und schreib auf, was der Agent nicht darf, bevor Du aufschreibst, was er soll.
Der Maßstab am Ende ist nicht, ob er beeindruckt. Beeindruckend ist die Technik in der ersten Woche immer. Nach drei Monaten gilt derselbe Test wie bei jedem neuen Kollegen: Merkt jemand, wenn er einen Tag nicht da ist?