In zwei Jahren hat sich die agentische KI von einer Forschungs-Kuriosität zur Realität im Produktivbetrieb entwickelt. Bis Ende 2025 setzten achtzig Prozent der Fortune-500-Unternehmen mindestens einen KI-Agenten im täglichen Betrieb ein.[1] Diese Systeme unterscheiden sich qualitativ von der KI, die die Diskussionen dominierte, als das EU-KI-Gesetz (das „Gesetz“) zwischen 2021 und 2023 entworfen wurde. Während ein Chatbot Text generiert und ein Klassifikator Bezeichnungen zuweist, verfolgt ein agentisches System Ziele: Es plant, wählt Werkzeuge aus, führt Aktionen aus, beobachtet Ergebnisse und iteriert – oft über Dutzende von Schritten hinweg und mit minimalem menschlichen Eingriff.

Eine wachsende Zahl von Kommentaren argumentiert, dass das Gesetz für diese Ära ungeeignet sei. Jones hat argumentiert, dass der Compliance-Rahmen für Agenten, die autonom grenzüberschreitend Tools von Drittanbietern aufrufen, „strukturell unzureichend“ sei, und prägte das Konzept der „Agentic Tool Sovereignty“.[2] Das Europe Technology Policy Committee der ACM hat zu einem „grundlegenden Umdenken“ aufgerufen und argumentiert, dass das Gesetz davon ausgeht, dass sich KI wie traditionelle Software verhält – „vorhersehbar, begrenzt und unter menschlicher Kontrolle“.[3] The Future Society ist zu dem Schluss gekommen, dass die in der Entwicklung befindlichen technischen Standards „wahrscheinlich nicht in der Lage sein werden, die Risiken von Agenten vollständig zu adressieren“.[4]

Diese Kritiken sind ernst zu nehmen, und die von ihnen identifizierten operativen Schwierigkeiten sind real. Sie neigen jedoch dazu, die Angemessenheit des Gesetzes als eine einzige Frage zu behandeln, obwohl sie besser als zwei Fragen verstanden werden sollte. Dieser Artikel schlägt eine zweischichtige Analyse vor. Auf der Definitionsebene – ob agentische KI in den regulatorischen Anwendungsbereich des Gesetzes fällt – erweist sich das Gesetz als bemerkenswert widerstandsfähig. Auf der operativen Ebene – den Verpflichtungen, Bewertungsverfahren und Überwachungsanforderungen – haben die Kritiker die besseren Argumente.

Diese Unterscheidung ist wichtiger, als es zunächst den Anschein haben mag. Wäre die Definitionsebene fehlerhaft, müsste das Gesetz grundlegend überarbeitet werden. Da sie jedoch Bestand hat, verlagert sich die Herausforderung auf die operative Anpassung – und die sekundären Instrumente des Gesetzes bieten uns eine gute Arbeitsgrundlage.

Die Definitionsebene: Artikel 3(1) und seine Widerstandsfähigkeit

Artikel 3(1) definiert ein „KI-System“ als:

ein maschinengestütztes System, das für den Betrieb mit unterschiedlichem Grad an Autonomie ausgelegt ist und nach der Inbetriebnahme Anpassungsfähigkeit aufweisen kann und das für explizite oder implizite Ziele aus den erhaltenen Eingaben ableitet, wie Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert werden, die physische oder virtuelle Umgebungen beeinflussen können.

Diese Definition war das Ergebnis beträchtlicher Verhandlungen und spiegelt bewusste Entscheidungen über den Anwendungsbereich und den Abstraktionsgrad wider.[6] Um zu verstehen, wie sie sich auf agentische KI erstreckt, ist es hilfreich, die einzelnen Elemente nacheinander zu betrachten.

„Unterschiedlicher Grad an Autonomie“

Diese Formulierung sieht explizit ein Spektrum vor, das von Systemen, die ständige menschliche Eingaben erfordern, bis hin zu solchen reicht, die weitgehend unabhängig agieren. Erwägungsgrund 12 führt aus, dass sich Autonomie auf „ein gewisses Maß an Unabhängigkeit der Handlungen von menschlicher Beteiligung und auf Fähigkeiten zur Funktionsweise ohne menschliches Eingreifen“ bezieht.[7] Ein System, das Tool-Aufrufe plant, diese ausführt, Ergebnisse auswertet und seinen Ansatz anpasst – und das alles, ohne dass in jeder Phase ein Mensch eingreift –, arbeitet nach dieser Definition eindeutig mit einem hohen Maß an Autonomie.

„Explizite oder implizite Ziele“

Ein Chatbot arbeitet auf explizite Ziele hin: Beantworte diese Frage, klassifiziere dieses Bild. Agentische Systeme arbeiten oft auf Ziele hin, die implizit, unvollständig spezifiziert oder emergent sind. Eine Anweisung wie „Finde den besten Kandidaten für diese Rolle“ erfordert, dass der Agent das Ziel zerlegt, Werkzeuge auswählt und eigenständig Urteile fällt. Hätte die Definition bei „expliziten Zielen“ haltgemacht, könnten agentische Systeme, die emergente Teilziele verfolgen, durchaus außerhalb des Anwendungsbereichs liegen. Die Einbeziehung von „implizit“ schließt dieses Argument aus.

„Entscheidungen“ als Ergebniskategorie 

Unter den vier Ergebniskategorien der Definition – Vorhersagen, Inhalte, Empfehlungen und Entscheidungen – ist die letzte entscheidend. Eine „Entscheidung“ impliziert etwas Aktives: eine Wahl zwischen Alternativen mit Konsequenzen. Wenn ein Agent entscheidet, welches Werkzeug er aufruft oder wie er Ressourcen zuweist, trifft er in diesem Sinne ganz offensichtlich Entscheidungen.

„Physische oder virtuelle Umgebungen beeinflussen“ 

Diese letzte Klausel ist möglicherweise die folgenschwerste. Sie geht über das Input-Output-Paradigma hinaus und berücksichtigt explizit Systeme, deren Ergebnisse den Zustand der Welt verändern. Ein Agent, der E-Mails versendet, Code ausführt, Datenbanken modifiziert oder Aktoren steuert, beeinflusst seine Umgebung. Indem die Verfasser eher auf die „Beeinflussung der Umgebung“ als auf die bloße Generierung von Ergebnissen abzielten, haben sie eine Definition geschaffen, die von Natur aus mit handlungsfähigen Systemen kompatibel ist.

Zusammengenommen beschreibt die Definition eher, was KI-Systeme tun (ableiten, entscheiden, beeinflussen) und wie sie arbeiten (autonom, anpassungsfähig, zielgerichtet), als wie sie aufgebaut sind. Dieser funktionale, technologieneutrale Ansatz verleiht ihr ihre Widerstandsfähigkeit. Eine Definition, die sich an spezifischen Techniken – maschinelles Lernen, neuronale Netze – orientiert hätte, wäre an einen technologischen Moment gekettet gewesen. Eine Definition, die sich auf „automatisierte Entscheidungsfindung“ konzentriert (wie in Artikel 22 der DSGVO), hätte den autonomen, mehrschrittigen und umgebungsprägenden Charakter übersehen, der Agenten auszeichnet.

War diese Widerstandsfähigkeit beabsichtigt? Oder war sie ein glückliches Nebenprodukt verhandelter Abstraktion? Wahrscheinlich ein bisschen von beidem. Die Abkehr vom technisch spezifischeren ursprünglichen Entwurf der Kommission spiegelte den Druck aus verschiedenen Richtungen wider: Mitgliedstaaten, die Flexibilität forderten, das Parlament, das eine größere Reichweite anstrebte, und der OECD-Rahmen, der eine übergeordnete Vorlage bot.[8] Das Ergebnis ist möglicherweise eher der Logik des Kompromisses als einem vorausschauenden Design zu verdanken. Aber unabhängig von den Ursprüngen ist eine regulatorische Definition, die einem Paradigmenwechsel standhält, keine Kleinigkeit.

Die operative Ebene: Wo das Framework an seine Grenzen stößt

Während die Definitionsebene Bestand hat, liegen die eigentlichen Schwierigkeiten auf der operativen Ebene. Die Verpflichtungen des Gesetzes wurden für statischere und begrenztere Systeme konzipiert, und drei Probleme stechen dabei besonders hervor.

Statische Konformität versus dynamische Systeme

Die Hochrisiko-Architektur des Gesetzes stützt sich auf eine Konformitätsbewertung, die dem EU-Produktsicherheitsrecht entlehnt ist – ein Modell, bei dem Anbieter ihre eigenen Systeme vor dem Inverkehrbringen auf die Einhaltung der geltenden Anforderungen prüfen.[9] Das funktioniert gut genug, wenn die Fähigkeiten eines Systems zum Zeitpunkt der Bewertung weitgehend bekannt sind. Agentische KI stellt dies auf den Kopf. Ein Agent, der zur Laufzeit Werkzeuge aus dynamisch aktualisierten Registern auswählt, wird Fähigkeiten aufrufen, die bei seiner Bewertung schlichtweg noch nicht existierten. Das Konzept der „wesentlichen Änderung“ in Artikel 3(23) – eine Änderung, „die bei der ursprünglichen Konformitätsbewertung weder vorgesehen noch geplant war“[10] – verdeutlicht das Problem. Wenn ein Agent autonom einen neuen Dienst eines Drittanbieters aufruft, handelt es sich dann um eine wesentliche Änderung? Wenn ja, löst jeder neuartige Tool-Aufruf eine erneute Bewertung aus – was schlichtweg absurd ist. Wenn nein, bleiben wesentliche Änderungen am Risikoprofil des Systems gänzlich unberücksichtigt.

Die Binärität von Anbieter und Betreiber versus eine fragmentierte Wertschöpfungskette 

Das Gesetz teilt die Pflichten zwischen zwei Rollen auf: Anbietern und Betreibern.[11] Die agentische Wertschöpfungskette passt nicht in diese Aufteilung. Sie umfasst mindestens vier Akteure: den Anbieter des Basismodells, den Anbieter des Agenten-Frameworks, den Betreiber und die Tool-Anbieter, deren APIs zur Laufzeit aufgerufen werden, oft ohne deren Wissen. Artikel 25(4) erfordert schriftliche Vereinbarungen zwischen Anbietern und Drittanbietern,[12] was jedoch bereits etablierte Beziehungen voraussetzt – die einfach nicht existieren können, wenn Agenten Werkzeuge spontan auswählen. Wie Jones im Detail dokumentiert hat, fragmentiert die Verantwortung über die Kette hinweg, sodass niemand zu jedem Zeitpunkt ein vollständiges Bild der Entscheidungen, Datenflüsse oder des Compliance-Status des Agenten hat – was er treffend als „Problem der vielen Hände“ bezeichnet.[13]

Das Paradoxon der menschlichen Aufsicht

Artikel 14 verlangt Aufsichtsmaßnahmen, die „den Risiken, dem Grad der Autonomie und dem Verwendungskontext angemessen sind“.[14] Der eigentliche Zweck agentischer KI ist jedoch der autonome Betrieb mit minimalem menschlichen Eingriff. Ein Agent, der Dutzende von Mikroentscheidungen pro Sekunde trifft, agiert mit einer Geschwindigkeit, die jegliche sinnvolle menschliche Intervention schlichtweg überholen kann. Das Gesetz bietet keine Anleitung dazu, wie eine „angemessene“ Aufsicht am oberen Ende des Autonomiespektrums tatsächlich aussieht,[15] und der Ende 2025 fertiggestellte GPAI-Verhaltenskodex löst dies ebenfalls nicht vollständig.

Dies sind nicht die einzigen operativen Herausforderungen – die Überwachung nach dem Inverkehrbringen gemäß Artikel 72(2) steht vor ähnlichen Schwierigkeiten hinsichtlich Umfang, Zugriff und Zeitlichkeit[16] –, aber sie verdeutlichen den Kernkonflikt: Ein operativer Rahmen, der für vorhersehbare, begrenzte Systeme geschaffen wurde, steht nun einer Technologie gegenüber, die beides nicht ist.

Die sekundären Instrumente: Ein glaubwürdiger Weg nach vorne

Die operativen Herausforderungen sind real, aber sie sind nicht alle gleichermaßen unlösbar. Die sekundären Instrumente des Gesetzes bieten einen glaubwürdigen, wenn auch unvollständigen Weg zur Anpassung.

Harmonisierte Normen

CEN und CENELEC entwickeln Normen im Rahmen des Joint Technical Committee 21 unter einem im Juni 2025 geänderten Mandat, wobei beide Organisationen im Oktober 2025 außergewöhnliche Beschleunigungsmaßnahmen beschlossen haben.[17] Dies ist wohl der vielversprechendste Weg. Die Verhältnismäßigkeitsformulierung in Artikel 14 ist im Grunde eine offene Einladung, präzise zu definieren, wie eine angemessene Aufsicht für hochautonome Systeme aussieht – begrenzte Aktionsräume, strukturierte Kontrollpunkte, Audit-Trails und Interventionsmechanismen –, ohne bei jedem Schritt einen Menschen in der Schleife zu fordern.

Delegierte Rechtsakte 

Artikel 7 ermächtigt die Kommission, Anhang III – die Liste der Hochrisiko-Anwendungsfälle – durch delegierte Rechtsakte zu ändern, vorbehaltlich des Einspruchs von Parlament und Rat.[18] Dies bedeutet, dass spezifische Kategorien agentischer Systeme bei Auftreten von Risiken ohne Gesetzesänderung in den Hochrisiko-Rahmen aufgenommen werden können. Artikel 6(3) ermöglicht auch eine Kalibrierung in die andere Richtung.[19]

Leitlinien der Kommission und Verhaltenskodizes

Die Kommission hat bereits erläuternde Leitlinien zur Definition von KI-Systemen herausgegeben,[20] und weitere Leitlinien könnten sich damit befassen, wie sich der Rahmen für Anbieter und Betreiber auf agentische Wertschöpfungsketten übertragen lässt und wann ein Tool-Aufruf zur Laufzeit als „wesentliche Änderung“ gilt. Verhaltenskodizes gemäß Artikel 56 bieten einen weiteren Hebel, um agentenspezifische Risiken auf der Ebene des GPAI-Modells anzugehen – Kontrollfunktionen, Protokollierung der Tool-Nutzung und Einschränkungen des Aktionsraums – und Risiken an einem natürlichen Engpass in der Wertschöpfungskette zu bekämpfen.[21]

Der im November 2025 vorgeschlagene Digital Omnibus on AI der Kommission ist ein früher Beweis dafür, dass dieser Anpassungsmechanismus in der Praxis funktioniert.[22] Der Omnibus schlägt vor, die Hochrisikopflichten aufzuschieben, bis harmonisierte Normen tatsächlich verfügbar sind, die Fristen für Transparenzanforderungen bei generativer KI zu verlängern, die Konformität für KMU zu vereinfachen und die Durchsetzung von GPAI-basierten Systemen auf der Ebene des KI-Büros zu zentralisieren. All dies geschieht, ohne die Definition in Artikel 3(1) anzutasten – die Definitionsebene bleibt intakt, während die operative Ebene angepasst wird. Ebenso bezeichnend ist jedoch, dass der Omnibus nicht speziell auf agentische KI eingeht, was darauf hindeutet, dass die oben genannten sekundären Instrumente noch erhebliche Arbeit vor sich haben.

Zwei strukturelle Merkmale werden im Laufe der Zeit wahrscheinlich eine Gesetzesänderung erfordern. Die Binärität von Anbieter und Betreiber kann durch sekundäre Instrumente nicht so weit gedehnt werden, dass sie Tool-Anbieter zur Laufzeit abdeckt, die möglicherweise nicht einmal wissen, dass sie Teil eines agentischen Systems sind – dafür ist eine neue gesetzliche Grundlage erforderlich. Und ein echter Übergang von einer punktuellen zu einer kontinuierlichen Konformitätsbewertung geht über das hinaus, was Normen oder Leitlinien allein leisten können. Dies sind Bereiche, in denen sich das Gesetz weiterentwickeln muss, und seine eigenen Überprüfungsmechanismen – einschließlich Artikel 112 – bieten einen Weg dafür.[23]

Ein Rahmen, der sich biegt

Das vorherrschende Narrativ stellt das EU-KI-Gesetz als ein Relikt der vor-agentischen Ära dar. Dieser Artikel hat argumentiert, dass dieses Narrativ in wichtigen Punkten unvollständig ist.

Auf der Definitionsebene zeigt das Gesetz echte Widerstandsfähigkeit. Die Verweise in Artikel 3(1) auf unterschiedliche Autonomie, implizite Ziele, Entscheidungsfindung und Umgebungseinfluss ziehen eine regulatorische Grenze, die agentische KI problemlos einschließt. Auf der operativen Ebene haben die Kritiker recht, dass es echte Lücken gibt. Diese Lücken befinden sich jedoch in einem Rahmen, der bewusst mit Blick auf Anpassungsfähigkeit konzipiert wurde. Der Vorschlag für den Digital Omnibus zeigt bereits die Bereitschaft der EU, die operative Ebene anzupassen, während das definitorische Fundament unangetastet bleibt, und die umfassenderen sekundären Instrumente des Gesetzes können einen großen Teil der agentischen Herausforderung ohne vollständige Gesetzesänderung bewältigen.

Die EU sollte zwei Versuchungen widerstehen: (i) der Selbstgefälligkeit, indem sie davon ausgeht, dass der Rahmen ohne aktive Anpassung Bestand haben wird; und (ii) der Panik, indem sie den Schluss zieht, dass er komplett neu gestaltet werden muss. Das KI-Gesetz wurde nicht für agentische KI entwickelt. Aber es wurde gut genug konzipiert, um sie zu integrieren – und dieser Unterschied ist für die Zukunft der KI-Governance in Europa von enormer Bedeutung. Der Rahmen biegt sich. Er muss nicht brechen.

Für Organisationen, die heute agentische Systeme einsetzen, ist die praktische Konsequenz klar: Compliance ist kein Zukunftsproblem, das aufgeschoben werden kann, bis das Gesetz aufholt. Die regulatorische Grenze erfasst diese Systeme bereits, und die operativen Verpflichtungen treten in Kraft. Die Aufgabe besteht nun darin, Governance von Anfang an in agentische Workflows zu integrieren: KI-Systeme bei ihrer Bereitstellung zu inventarisieren, sie anhand sich entwickelnder Risikoklassifizierungen abzubilden und die Art von kontinuierlicher Aufsicht aufrechtzuerhalten, die die sekundären Instrumente des Gesetzes zunehmend fordern werden. Bei Enzai ist dies genau die Herausforderung, für deren Bewältigung unsere Plattform entwickelt wurde. Um mehr zu erfahren, setzen Sie sich hier mit uns in Verbindung.

Enzai ist die führende Plattform für Enterprise-KI-Governance, die speziell entwickelt wurde, um Organisationen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere KI-Risikomanagement-Plattform bietet die spezialisierte Infrastruktur, die erforderlich ist, um agentische KI-Governance zu verwalten, ein umfassendes KI-Inventar zu führen und die Einhaltung des EU-KI-Gesetzes sicherzustellen. Durch die Automatisierung komplexer Workflows versetzt Enzai Unternehmen in die Lage, die KI-Einführung vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST zu gewährleisten.

Referenzen

[1] Microsoft Security Blog, „80% of Fortune 500 use active AI Agents: Observability, governance, and security shape the new frontier“ (Februar 2026), verfügbar unter https://www.microsoft.com/en-us/security/blog/2026/02/10/80-of-fortune-500-use-active-ai-agents-observability-governance-and-security-shape-the-new-frontier/.

[2] L. Jones, „Agentic Tool Sovereignty“, European Law Blog (2025), verfügbar unter https://www.europeanlawblog.eu/pub/dq249o3c.

[3] ACM Europe Technology Policy Committee, „Systemic Risks Associated with Agentic AI: A Policy Brief“ (Oktober 2025), verfügbar unter https://www.acm.org/binaries/content/assets/public-policy/europe-tpc/systemic_risks_agentic_ai_policy-brief_final.pdf.

[4] M.L. Miller Nguyen, „How AI Agents Are Governed Under the EU AI Act“, The Future Society (Juni 2025), verfügbar unter https://thefuturesociety.org/aiagentsintheeu/.

[5] Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz), Art. 3(1).

[6] Die Definition des KI-Gesetzes baut auf der 2023 angenommenen OECD-Definition von KI-Systemen auf, weicht jedoch von dieser ab. Siehe die Leitlinien der Europäischen Kommission zur Definition eines KI-Systems (Februar 2025).

[7] KI-Gesetz, Erwägungsgrund 12.

[8] Siehe den ursprünglichen Vorschlag der Europäischen Kommission, COM(2021) 206 final, sowie die nachfolgenden Positionen von Rat und Parlament während der Trilog-Verhandlungen (2022-2023).

[9] Der Rahmen für die Konformitätsbewertung stützt sich auf den „Neuen Rechtsrahmen“ der EU für die Produktsicherheit, einschließlich des Beschlusses Nr. 768/2008/EG.

[10] KI-Gesetz, Art. 3(23).

[11] KI-Gesetz, Art. 16-27 (Pflichten der Anbieter) und Art. 26 (Pflichten der Betreiber).

[12] KI-Gesetz, Art. 25(4).

[13] Jones (Fn 2); KI-Gesetz, Erwägungsgrund 88, der lediglich die Zusammenarbeit in der Wertschöpfungskette „nahelegt“, ohne bindende Verpflichtungen zu schaffen.

[14] KI-Gesetz, Art. 14(1); Art. 14(4)(a) und (d).

[15] M. Fink, „Human Oversight under Article 14 of the EU AI Act“, SSRN (2025), verfügbar unter https://papers.ssrn.com/sol3/papers.cfm?abstract_id=5147196.

[16] KI-Gesetz, Art. 72(2). Siehe Jones (Fn 2), der die zeitliche Diskrepanz des Durchsetzungsmodells mit agentischen Abläufen diskutiert.

[17] Europäische Kommission, Normungsauftrag M/593, geändert durch M/613 (Juni 2025); CEN-CENELEC, „Update on CEN and CENELEC's Decision to Accelerate the Development of Standards for Artificial Intelligence“ (Oktober 2025).

[18] KI-Gesetz, Art. 7 und 97. Die Befugnisübertragung erfolgt für fünf Jahre ab dem 1. August 2024 mit einer dreimonatigen Einspruchsfrist.

[19] KI-Gesetz, Art. 6(3).

[20] Siehe Orrick, „EU Commission Clarifies Definition of AI Systems“ (April 2025). Das MdEP Lagodinsky hat die Kommission im September 2025 formell um Klarstellung zur Regulierung von Agenten gebeten, was das politische Interesse an weiteren Leitlinien signalisiert: siehe Jones (Fn 2).

[21] KI-Gesetz, Art. 56.

[22] Europäische Kommission, Vorschlag für eine Verordnung zur Änderung der Verordnungen (EU) 2024/1689 und (EU) 2024/1689 (Digital Omnibus on AI), 19. November 2025. Siehe auch European Parliament Think Tank, „Digital Omnibus on AI: EU Legislation in Progress“ (Februar 2026).

[23] KI-Gesetz, Art. 112.