Orchestration Layer: Fachagenten mit begrenztem Auftrag, Menschen mit Richtung

Serie Agentic Experience Platform für Banken · Teil 5 von 5. Der Leitartikel beschreibt die fünf Schichten, Teil 4 die Aktivierung. Dieser Teil schließt die Serie mit der Schicht, die Agenten koordiniert und begrenzt.

Die Vorstellung vom einen Agenten, der alles kann, ist in Banken nicht nur unrealistisch, sondern unzulässig. Ein Agent, der Segmente bildet, Angebote versendet, Servicefälle beantwortet und Modelle anpasst, hat keinen prüfbaren Auftrag, und was keinen prüfbaren Auftrag hat, kann weder freigegeben noch beaufsichtigt werden. Der Orchestration Layer der Acceleraid-Plattform geht den umgekehrten Weg: mehrere Fachagenten mit je einem begrenzten Auftrag, erlaubten Werkzeugen, Abbruchkriterien und einer definierten Übergabe an Menschen. Diese Schicht koordiniert, protokolliert und stoppt. Der Mensch setzt die Richtung.

Warum der begrenzte Auftrag die Grundeinheit ist

Treasure AI beschreibt seine Agentenschicht als Fachagenten, die Analysen und Kampagnen ausführen, und berichtet, dass ein Segmentierungsvorgang, der bislang drei Tage dauerte, nun in rund 60 Sekunden abgeschlossen sei (Treasure AI). Es sind Anbieterangaben, aber sie zeigen, worauf es ankommt: Geschwindigkeit entsteht durch Spezialisierung. Ein Agent, der eine Aufgabe gut kann, ist schneller und prüfbarer als einer, der zehn Aufgaben mittelmäßig erledigt.

Die Sicherheitsforschung zieht denselben Schluss aus der Gegenrichtung. Die OWASP-Liste der zehn wichtigsten Risiken agentischer Anwendungen für 2026 beginnt mit der Zielentführung, bei der ein Agent durch manipulierte Eingaben von seinem Auftrag abgebracht wird, und dem Werkzeugmissbrauch, bei dem er legitime Werkzeuge für unbeabsichtigte Zwecke nutzt. Microsoft fasst die Konsequenz in einem Satz zusammen: Agenten sollten als verwaltete, prüfbare Anwendungen behandelt werden, nicht als unverwaltete Automatisierung (Microsoft Security). Beide Risiken werden kleiner, je enger der Auftrag und je kürzer die Werkzeugliste eines Agenten ist. Der begrenzte Auftrag ist deshalb keine Vorsichtsmaßnahme, sondern die Grundeinheit der Architektur.

Drei Fachagenten, ein Auftrag je Agent

Wir beschreiben die Orchestrierungsschicht an drei Fachagenten. Der Zuschnitt ist vorläufig und wird mit dem laufenden Stand unserer Arbeit an dieser Schicht abgeglichen; die Struktur je Agent ist es nicht.

Der Marketing-Agent bereitet Segmente und Angebote vor, versendet aber nie selbst. Seine Werkzeuge sind Kontext lesen, Vorschlag erzeugen, Prüfung anstoßen. Er bricht ab, wenn die Eignung fehlt, das Kontaktbudget erschöpft oder die Unsicherheit der Prognose zu hoch ist. Die Übergabe heißt: Der Fachbereich gibt die Kampagne frei. Der Service-Agent ordnet Fälle ein, schlägt Hinweise vor und übergibt Fälle. Seine Werkzeuge sind Servicefall lesen, Kontext abrufen, Hinweis formulieren. Er bricht ab bei Beschwerde, Betrugsverdacht oder einer erkennbar emotionalen Lage. Die Übergabe heißt: Eine Mitarbeiterin übernimmt den Dialog. Der Analyse-Agent beantwortet Fragen des Fachbereichs, meldet Auffälligkeiten und verändert nichts. Seine Werkzeuge sind lesender Zugriff, Visualisierung und Bericht. Er bricht ab, sobald er personenbezogene Rohdaten außerhalb des Zwecks bräuchte. Die Übergabe heißt: Der Fachbereich entscheidet über die Maßnahme.

Jeder dieser Agenten hat also vier Bestandteile, die vor dem ersten Einsatz schriftlich vorliegen: Auftrag, Werkzeuge, Abbruchkriterien, Übergabe. Was nicht in diesen vier Punkten steht, darf der Agent nicht. Diese Umkehrung, erlaubt ist, was aufgeführt ist, unterscheidet einen Fachagenten von einem Assistenten mit allgemeinem Zugriff.

Autonomie je Aufgabe, nicht je Agent

Die häufigste Fehlannahme über Agenten ist, dass Autonomie eine Eigenschaft des Agenten sei. In einer Bank ist sie eine Eigenschaft der Aufgabe. Derselbe Marketing-Agent darf ein Segment vollständig selbst bilden, einen Hinweis innerhalb des Kontaktbudgets selbst auslösen, ein Angebot aber nur mit Freigabe ausspielen und eine Kreditentscheidung gar nicht treffen. Wir unterscheiden vier Stufen: vorbereiten, vorschlagen, ausführen im Limit, ausführen mit Freigabe.

Die Einstufung ist ein Vorschlag für die Diskussion mit Fachbereich und Compliance, kein Standard. Drei Eigenschaften sind aber in jeder Variante dieselben. Erstens erzeugt jede Stufe denselben Protokolleintrag; der Unterschied liegt in der Freigabe, nicht in der Nachvollziehbarkeit. Zweitens kann jede Stufe jederzeit zurückgenommen werden, für eine Aufgabe, für einen Agenten oder für alle. Drittens gibt es Aufgaben, bei denen die höchste Stufe nicht vorgesehen ist, etwa die Kreditentscheidung, bei der der Mensch entscheidet und der Agent vorbereitet. Die KI-Verordnung verlangt für solche Hochrisiko-Anwendungen ohnehin menschliche Aufsicht und die Aufbewahrung der Protokolle (EU AI Act, Artikel 26); die Autonomiematrix macht sichtbar, wo diese Pflicht in der Praxis greift.

Gartner begründete seine Prognose, dass über 40 Prozent der agentischen KI-Projekte bis Ende 2027 eingestellt werden, unter anderem mit unzureichenden Risikokontrollen (Gartner). Die Autonomiematrix ist die Risikokontrolle, die in diesen Projekten fehlt: nicht ein Verbot, sondern eine Festlegung je Aufgabe, die sich ändern lässt, wenn Erfahrung dazukommt.

Was die Orchestrierungsschicht selbst tut

Zwischen den Agenten liegt die Schicht, die ihnen den Namen gibt. Sie hat sechs Aufgaben. Sie legt die Reihenfolge fest, in der Agenten an einem Fall arbeiten, etwa dass der Service-Agent einen Fall einordnet, bevor der Marketing-Agent überhaupt gefragt wird. Sie klärt die Zuständigkeit, damit nicht zwei Agenten dieselbe Kundin ansprechen. Sie setzt Regeln zwischen Agenten, zum Beispiel dass ein Hinweis des Service-Agenten für sieben Tage jedes Angebot des Marketing-Agenten sperrt. Sie überwacht Zeit- und Ressourcenlimits, damit ein Agent nicht endlos Kontext abruft oder Werkzeuge aufruft. Sie führt das Agent-Protokoll, in dem jeder Auftrag, jeder Werkzeugaufruf, jeder Abbruch und jede Übergabe steht. Und sie hält den sicheren Stopp bereit: für einen Agenten, für eine Aufgabe, für alles.

Am Beispiel, das die Serie begleitet, hypothetisch wie bisher: Der Gehaltseingang einer Kundin bleibt aus, drei Wochen nach einem Servicefall. Die Orchestrierungsschicht gibt den Fall zuerst dem Service-Agenten, der ihn als mögliche Notlage einordnet und einen Hinweis über die Beraterin vorschlägt. Mit dieser Einordnung setzt die Schicht für sieben Tage eine Sperre für den Marketing-Agenten, der die Kundin wegen ihrer Kreditaffinität ohnehin auf einer Vorschlagsliste hatte. Der Analyse-Agent sieht den Fall nur als anonymisierte Zählung in seiner Wochenübersicht über ausgebliebene Gehälter. Alle drei Schritte stehen im Agent-Protokoll, inklusive der Sperre, die nie zu einer sichtbaren Aktion führt. Wer später fragt, warum die Kundin in dieser Woche kein Angebot bekam, findet die Antwort dort.

Dieser Stopp ist mehr als ein Schalter, wie wir im Beitrag zum Kill Switch ausgeführt haben. Ein gestoppter Agent muss seinen Fall in einem definierten Zustand hinterlassen, offene Übergaben müssen bei Menschen ankommen, und laufende Aktivierungen müssen zurückgenommen werden können. Das setzt voraus, dass die Orchestrierungsschicht zu jedem Zeitpunkt weiß, welcher Agent an welchem Fall mit welchem Stand arbeitet. Genau dafür ist das Agent-Protokoll da.

Zwei Runtimes, sechs Verbindungen

Eine Besonderheit der Acceleraid-Architektur ist, dass die Plattform und der Acceleraid AI Assistant getrennte Laufzeitumgebungen bleiben. Der Assistent führt den Kundendialog in App, Web und Telefon, hat eigene Agenten mit begrenztem Auftrag und eine eigene Protokollierung. Die Plattform hält Kontext, Entscheidung, Aktivierung und Orchestrierung. Verbunden sind beide nicht über eine gemeinsame Datenbank, sondern über sechs definierte Verbindungen.

Brain Contracts legen fest, was der Assistent fragen darf und was er zurückbekommt. APIs erlauben das Lesen von Kontext und die Übergabe von Entscheidungsdatensätzen. Events bringen Signale aus dem Dialog zurück in den Schritt Erfassen. Identity stellt sicher, dass auf beiden Seiten dieselbe Person in derselben Rolle mit demselben Zweck gemeint ist. Policy bedeutet eine Richtlinie mit zwei Durchsetzungspunkten, nicht zwei Richtlinien. Audit führt ein Protokoll über beide Runtimes hinweg. Jede Verbindung ist versioniert und prüfbar, und jede Runtime kann einzeln betrieben, geprüft und ausgetauscht werden.

Dass diese Trennung kein Selbstzweck ist, zeigt der Blick der Aufsicht. Der Finanzstabilitätsrat hat im Oktober 2025 einen Bericht zur Überwachung der KI-Nutzung im Finanzsektor vorgelegt, der an seine Arbeiten zu Abhängigkeiten von Drittanbietern anknüpft und Behörden Hinweise gibt, wie Datenlücken bei der Beobachtung geschlossen werden können (FSB). Eine Bank, die Dialogsystem und Entscheidungsplattform getrennt betreibt und über definierte Verbindungen verbindet, kann jede Komponente einzeln ausweisen, prüfen lassen und ersetzen. Eine Bank mit einem monolithischen Agenten kann das nicht.

Organisatorische Bereitschaft vor technischer

Die Euro Banking Association hat im Juni 2026 in einem Bericht ihrer Arbeitsgruppe zu Open Finance über 40 Anwendungsfälle für agentische KI im eingebetteten Finanzgeschäft gesammelt und fünf mit hohem Potenzial ausgewählt; der Vorsitzende der Arbeitsgruppe betont dabei, dass die organisatorische Bereitschaft Tempo und Erfolg der Einführung maßgeblich bestimmen werde (Financial IT). Für die Orchestrierungsschicht heißt das konkret: Bevor der erste Fachagent läuft, müssen Auftrag, Werkzeuge, Abbruchkriterien und Übergabe für jeden Agenten schriftlich vorliegen, die Autonomiematrix mit Fachbereich und Compliance abgestimmt sein und der sichere Stopp getestet. Keine dieser Voraussetzungen ist Software. Alle drei sind Entscheidungen von Menschen, und das ist der Grund, warum die Zeile über der Architektur lautet: Der Mensch setzt die Richtung.

Die Serie im Rückblick

Fünf Schichten, eine Governance-Spur, ein Kreislauf mit sechs Schritten. Der Kontext muss zuerst da sein, dann die Entscheidung mit ihrem Datensatz, dann die Aktivierung mit ihrem Rückweg, dann die Orchestrierung mit ihren Grenzen. Das Betriebsmodell aus Customer Lifecycle Management und Customer Value Management gibt den Rahmen. Eine Agentic Experience Platform ist die Betriebsform, in der all das zusammen schneller läuft als bisher, und zwar innerhalb der Grenzen, die eine Bank ohnehin einhalten muss.

Fünf Punkte zum Mitnehmen

1. Die Grundeinheit der Orchestrierung ist der begrenzte Auftrag: Auftrag, Werkzeuge, Abbruchkriterien und Übergabe liegen vor dem ersten Einsatz schriftlich vor; erlaubt ist, was aufgeführt ist.

2. Autonomie ist eine Eigenschaft der Aufgabe, nicht des Agenten; die Matrix aus Aufgabe und Stufe ist die Risikokontrolle, die in gescheiterten Projekten fehlt.

3. Die Orchestrierungsschicht legt Reihenfolge, Zuständigkeit, Regeln zwischen Agenten und Limits fest, führt das Agent-Protokoll und hält den sicheren Stopp bereit.

4. Plattform und Acceleraid AI Assistant bleiben getrennte Runtimes mit sechs definierten Verbindungen; jede Komponente lässt sich einzeln prüfen und ersetzen.

5. Organisatorische Bereitschaft geht der technischen voraus; die Entscheidungen, die vor dem ersten Agenten fallen, treffen Menschen.

Illustration: KI-generiert. KI-gestützte Inhalte: Bei der Erstellung unserer Beiträge setzen wir KI-Technologien und automatisierte Agenten ein, unter anderem von Microsoft, Google, OpenAI, Anthropic und weiteren Anbietern. Themen, fachliche Ausrichtung und finale Freigabe liegen bei unserem Team.