KI-Agenten für Unternehmen: Beispiele, Anwendungsfälle und wo sie scheitern

KI-Agenten für Unternehmen funktionieren heute am besten bei eng umrissenen Aufgaben mit hohem Volumen, und vor allem, was Geld bewegt oder sich nicht rückgängig machen lässt, steht ein Mensch oder eine fest programmierte Regel. Die öffentliche Beleglage ist dünner als das Marketing darum herum. Dieser Artikel nutzt nur Einsätze, die wir einer namentlich genannten Quelle zuordnen können. Stand November 2026 betrifft das Kundensupport, Bank- und Schadenprozesse sowie Softwarearbeit, darunter zwei Rückzieher, eine vor einem Tribunal verlorene Sache und eine gelöschte Datenbank. Für Vertrieb, HR und Einkauf haben wir keinen zuordenbaren Einsatz, der unsere Quellenprüfung bestanden hat. Diese Abschnitte beschreiben deshalb allgemeine Szenarien und sagen das offen.

Mehrere bekannte Beispiele sind gar keine Agenten. Die Tabelle kennzeichnet sie, denn der Unterschied entscheidet darüber, was sich aus dem jeweiligen Fall lernen lässt. Wenn Sie zuerst die Begriffe sortieren möchten, lesen Sie KI-Agenten und agentische KI im Vergleich.

Was öffentlich belegt ist

Zwei Dinge fallen auf. Die meisten positiven Zahlen stammen von der Partei, die davon profitiert, und diese Quellen nennen für keine davon eine unabhängige Prüfung. Und keine Zeile zeigt einen Agenten, der eigenständig Geld freigibt.

Zwei externe Bezugspunkte helfen, die Erwartungen einzuordnen. Gartner prognostizierte im Juni 2025, wie Reuters berichtete, dass mehr als 40 % der Projekte mit agentischer KI bis Ende 2027 eingestellt würden, wegen der Kosten und eines unklaren Nutzens. Das ist eine Vorhersage. Einer Messung am nächsten kommt ein Benchmark: In TheAgentCompany von Xu et al. erledigte der beste Agent in einem simulierten Unternehmen rund 30 % der Aufgaben autonom. Die von uns gelesene Fassung stammt vom September 2025, und ein Benchmark sagt wenig über den Produktivbetrieb.

Die Regel hinter jeder Liste „darf nicht allein“

OpenAIs „A practical guide to building agents“ (2025) nennt zwei Auslöser dafür, einen Menschen einzubeziehen: Der Agent überschreitet eine Fehlerschwelle, oder die Aktion ist hochriskant. Für den zweiten Fall lautet die Formulierung des Leitfadens: Aktionen, die „sensitive, irreversible, or have high stakes“ sind, und als Beispiele nennt er hohe Erstattungen und Zahlungen. Diesen Test wenden wir unten auf jede Funktion an, und wir ergänzen eine eigene Bedingung: Das Limit gehört in den Code und in die Zugangsdaten des Agenten. Ein Limit, das nur im Prompt steht, ist eine Bitte.

Vor alledem steht die Frage, ob die Aufgabe überhaupt einen Agenten braucht. In der Dokumentation des Microsoft Agent Framework heißt es: Wenn eine Funktion die Aufgabe erledigen kann, schreiben Sie die Funktion. Viele der folgenden Szenarien sind überwiegend normaler Code mit einem einzigen Agentenschritt dort, wo der Pfad davon abhängt, was das System vorfindet.

Kundensupport

Für den Support gibt es die meisten öffentlichen Belege und die meisten öffentlichen Blamagen, fast keine davon mit echten Agenten.

Klarna berichtete im Februar 2024, der KI-Assistent habe im ersten Monat 2,3 Millionen Gespräche und zwei Drittel der Service-Chats bearbeitet, die Arbeit von 700 Vollzeitkräften erledigt, die Lösungszeit von 11 auf unter 2 Minuten gesenkt, Wiederholungsanfragen um 25 % reduziert und werde den Gewinn um geschätzte 40 Mio. US-Dollar steigern. All das ist Klarnas eigene Darstellung eines einzigen Monats. Im Mai 2025 berichtete Fortune, der CEO habe Bloomberg gesagt, das Unternehmen stelle wieder ein, damit immer ein Mensch erreichbar ist, und die Fixierung auf die Kosten habe zu schlechterer Qualität geführt. Ein Sprecher erklärte, Klarna bleibe AI-first.

Die Commonwealth Bank durchlief dieselbe Wende schneller. Im Juli 2025 strich sie 45 Servicestellen, im Zusammenhang mit KI, und räumte am 21. August einen Fehler ein und entschuldigte sich. Die Gewerkschaft FSU sprach von einem großen Erfolg. Aus der Berichterstattung geht nicht hervor, um welche Art von System es sich handelte. Der Fall lehrt also etwas über Personalentscheidungen und nichts über das Design von Agenten.

Air Canada ist die rechtliche Wegmarke. In Moffatt v. Air Canada (2024 BCCRT 149) wurde die Fluggesellschaft wegen fahrlässiger Falschdarstellung (negligent misrepresentation) durch ihren Chatbot haftbar gemacht, und ihr Argument, der Bot sei eine eigenständige Einheit, scheiterte. Es handelt sich um eine Bagatellentscheidung zu einem Chatbot, hier gelesen über die Zusammenfassung von McCarthy Tétrault. Gäbe man demselben System Tools, würde das die Haftung kaum verringern.

Ein allgemeines Szenario: Ein Agent im Support liest ein Ticket, schlägt Bestellung und Kundenhistorie nach, prüft die geltende Richtlinie und entwirft dann eine Antwort oder führt eine Aktion mit geringem Wert aus, etwa eine Retoure anzulegen. Ist der Pfad immer gleich, handelt es sich um einen Workflow und sollte auch als solcher gebaut werden.

Allein darf der Agent keine Ausnahmen von Richtlinien gewähren, keine hohen Erstattungen veranlassen, keine Beschwerden schließen und den Weg zu einem Menschen nicht versperren. Er scheitert an vorhersehbaren Stellen: Er nennt eine Richtlinie, die die Dokumente nicht hergeben, er bearbeitet den Normalfall gut und den verärgerten Sonderfall schlecht, und seine Zahlen aus dem ersten Monat sehen besser aus als die späteren, weil das einfache Volumen zuerst abfließt. Letzteres ist unsere Schlussfolgerung; Klarnas Kehrtwende passt dazu, beweist sie aber nicht. Messen Sie Wiederholungskontakte und Beschwerdequoten über Monate hinweg, und halten Sie den Weg zum Menschen besetzt, bevor Sie ihn verkleinern.

Artikel 50 der KI-Verordnung (EU AI Act) gilt seit dem 2. August 2026. Unser Artikel zum Entwicklungsprozess von KI-Agenten erklärt, was das für kundennahe Systeme bedeutet, und behandelt auch Datenschutz und die Schritte mit dem Betriebsrat.

Vertrieb

Für diese Funktion haben wir keinen zuordenbaren Einsatz, der unsere Quellenprüfung bestanden hat. Das Folgende ist daher ein allgemeines Szenario, hinter dem kein reales Unternehmen steht.

Ein B2B-Hersteller erhält Anfragen über ein Webformular und ein gemeinsames Postfach. Ein Agent identifiziert das Unternehmen, prüft im CRM vorhandene Kontakte und offene Verkaufschancen, schlägt das Produkt in freigegebener Dokumentation nach, entwirft eine Antwort für den Account Manager und schlägt eine CRM-Aktualisierung vor. Der Pfad variiert je nach Fund, und genau das rechtfertigt einen Agenten.

Die Antwort verschickt der Account Manager. Allein darf der Agent keine Preise oder Rabatte nennen, keine Liefertermine zusagen, keine technischen Aussagen machen, die nicht in der Dokumentation stehen, und keine Outbound-Sequenzen an neue Kontakte starten. Veraltete CRM-Daten bringen ihn als Erstes aus dem Tritt: Er personalisiert eine Antwort selbstbewusst auf einen Kontakt, der vor zwei Jahren gegangen ist. Das Zweite sind seine eigenen Schreibzugriffe. Ein Agent, der Phasen und Felder ohne Prüfung ändert, kann den Pipeline-Bericht beschädigen, auf den sich das Management verlässt, und der Schaden bleibt womöglich ein Quartal lang unbemerkt. Eingehende E-Mails sind zudem nicht vertrauenswürdige Eingaben: In einer Nachricht versteckte Anweisungen können den Agenten steuern, wenn er Schreibrechte hat.

Manches davon braucht weit weniger als einen Agenten. Unsere Fallstudie Chatbot für die Terminplanung beschreibt einen NLP-Chatbot, und für eine so eng begrenzte Aufgabe ist ein Chatbot die richtige Größe.

Finanzen und Schadenbearbeitung

Das regulierte Finanzwesen liefert die sorgfältigsten öffentlichen Einsätze, und sie teilen eine Designentscheidung: Beim Geld bleibt ein Mensch. Unser Artikel zu KI-Agenten im Finanzwesen behandelt die Banken und die Regulierung ausführlich. Hier steht nur, was Leser außerhalb des Bankwesens daraus mitnehmen sollten.

Die Allianz ist der klarste Fall. Project Nemo ging in Australien im Juli 2025 mit sieben Agenten für Schäden durch verdorbene Lebensmittel unter 500 AUD live, und die Allianz berichtet von 80 % weniger Bearbeitungs- und Regulierungszeit. Eine unabhängige Prüfung haben wir nicht gefunden. Nachahmenswert ist ein Detail: Jede Auszahlungsentscheidung trifft ein Mensch, und das bei Schäden unter 500 AUD.

Banken zeigen dieselbe Vorsicht. CNBC berichtete im Februar 2026, dass BNY 134 von der Bank so genannte digitale Mitarbeitende für eng begrenzte, repetitive Aufgaben einsetzt, und der CFO sagte, der Personalrückgang habe bisher nichts mit KI zu tun. Ein Rückblick auf die Sibos 2026 aus dem Newsletter von R. Beri berichtet von BNY beim Payment Repair (über 10 % der Fälle, das ist eine Zahl von Microsoft), von BNP Paribas bei einem Trade Flow (80 bis 85 % der Arbeit) und von HSBC bei Dokumentenprüfungen und hält fest, dass kein Live-Einsatz Zahlungen ohne Aufsicht freigibt. Das ist eine einzige Quelle.

Für Unternehmen außerhalb des Bankwesens ist das nächstliegende allgemeine Szenario die Kreditorenbuchhaltung. Rechnungen, die zu Bestellung und Lieferschein passen, brauchen keinen Agenten, denn das erledigt eine Regel. Einen Agenten lohnen die Ausnahmen:

• Er ermittelt, warum eine Rechnung nicht passt, indem er die Bestellung, den Lieferschein und frühere Korrespondenz liest.
• Er entwirft eine Rückfrage an den Lieferanten oder einen Buchungsvorschlag.
• Die Buchhaltung bestätigt, bevor irgendetwas gebucht wird.

Allein darf er keine Zahlungen freigeben, keine Bankverbindungen von Lieferanten ändern und nichts oberhalb eines festen Betrags genehmigen. Er scheitert an Wiederholungsversuchen, die eine doppelte Buchung erzeugen würden, an Toleranzregeln, die nie jemand aufgeschrieben hat, und an Lieferanten-E-Mails, denn eine geänderte Bankverbindung in einer eingehenden Nachricht ist genau das, was ihm ein Angreifer unterzuschieben versuchen würde. Kreditentscheidungen über natürliche Personen sind nach Anhang III der KI-Verordnung hochriskant und gehören nicht auf die Liste für einen ersten Agenten.

HR

Auch hier gibt es keinen zuordenbaren Einsatz, und das Szenario ist allgemein. HR ist außerdem die Funktion, bei der wir am längsten abwarten würden.

Die risikoarme Variante ist kaum ein Agent. Beschäftigte fragen nach Urlaub, Reiserichtlinien oder Onboarding-Schritten, ein System antwortet aus den aktuellen Richtliniendokumenten mit Quellenangaben und öffnet ein Ticket, wenn es keine Antwort findet. Ein privater Chatbot wie AiSuperiorGPT, der auf einem eigenen LLM on-premises oder in einer Private Cloud läuft und seine Dokumente angibt, deckt das ganz ohne Autonomie ab. Vertretbar wird ein Agent, wenn dieselbe Anfrage mehrere Systeme berührt: ein Onboarding-Fall, der prüft, ob Laptop, Konten und Schulungsbuchung vorhanden sind, und dem Fehlenden nachgeht.

Allein darf er keine Bewerbungen sichten, einstufen oder ablehnen, keine Gehalts- oder Vertragsdaten anfassen und niemandes Leistung beurteilen. Die üblichen Bruchstellen sind alte Richtlinien-PDFs, die beantwortet werden, als wären sie aktuell, und ein Retrieval, das Berechtigungen ignoriert und einer Mitarbeiterin das Gehaltsband eines Kollegen zeigt.

Die Aufsicht sitzt womöglich auch an unerwarteter Stelle. Laut einem im Juli 2026 veröffentlichten BaFin-Interview fällt KI im HR-Bereich nach der KI-Verordnung in die Zuständigkeit der Bundesnetzagentur. Der oben verlinkte Prozessartikel behandelt die Einstufung nach der KI-Verordnung und die Beteiligung des Betriebsrats für deutsche Unternehmen. Planen Sie beides ein, bevor Sie etwas zuschneiden, das Beschäftigte betrifft.

IT und Softwarebetrieb

Der lehrreichste öffentliche Vorfall in dieser Funktion kam ohne Angreifer aus. Im Juli 2025, so berichtete Gizmodo, löschte ein Agent von Replit während eines Code Freeze eine Live-Datenbank, an Tag 8 eines 30-tägigen Projekts. Die Datenbank enthielt Datensätze zu mehr als 1.200 Führungskräften und fast 1.200 Unternehmen. Zunächst hieß es, eine Wiederherstellung sei unmöglich; später wurden die Daten zurückgeholt. Der CEO von Replit nannte die Löschung inakzeptabel.

Daraus folgen zwei praktische Schlüsse, beide von uns. Ein Code Freeze begrenzt einen Agenten nur, wenn seine Zugangsdaten den Freeze durchsetzen. Und die Aussage eines Agenten oder Tools darüber, was wiederherstellbar ist, ersetzt keinen Wiederherstellungstest, den Sie selbst durchgeführt haben.

Ein allgemeines Szenario für den Service Desk: Ein Agent liest ein Ticket, zieht Logs und Konfiguration über Read-only-Tools, vergleicht die Symptome mit Runbooks und früheren Tickets und schlägt einem Engineer Diagnose und Lösung vor. Reversible Aktionen aus einer freigegebenen Liste, etwa der Neustart eines benannten Nicht-Produktivdienstes, können von selbst laufen, sobald die Evaluierungsdaten das hergeben. Allein darf er nicht in die Produktion schreiben, nichts löschen, keine Berechtigungen vergeben und weder Monitoring noch Logging ändern.

Er scheitert, wenn die Runbooks veraltet sind, wenn er an einem fehlschlagenden Aufruf in einer Schleife hängt und wenn er etwas Feindseliges liest. Für Assistenten am Arbeitsplatz ist diese Angriffsfläche dokumentiert: EchoLeak (CVE-2025-32711, CVSS 9,3) zeigte, dass eine einzige präparierte E-Mail ohne Zutun des Nutzers Daten aus Microsoft 365 Copilot abfließen lassen konnte. Es war eine Schwachstelle, keine Sicherheitsverletzung. Aim Labs meldete sie, im Mai 2025 wurde sie serverseitig behoben, und Microsoft berichtete, es gebe keine Hinweise auf eine Ausnutzung. Unser Artikel zur Sicherheit von KI-Agenten enthält das Bedrohungsmodell und die Kontrollen.

Einkauf

Wieder haben wir keinen zuordenbaren Einsatz, also ist auch dies ein allgemeines Szenario. Das Einkaufsteam eines Herstellers erhält Bedarfsanforderungen, die unter bestehende Rahmenverträge fallen können oder auch nicht. Ein Agent gleicht die Anforderung mit Verträgen und Katalogen ab, sucht freigegebene Lieferanten, sammelt fehlende Zertifikate ein, markiert auslaufende Verträge und entwirft eine Angebotsanfrage. Der Wert liegt bei Fragen, die mehrere Abfragen über Dokumente hinweg erfordern, etwa welche Lieferanten in einem Land Verträge haben, die vor einem bestimmten Datum auslaufen.

Allein darf er nicht verhandeln, keine Zuschläge erteilen, nichts unterschreiben und keine Lieferantenstammdaten ändern. Autonomes Verhandeln würden wir vorerst gar nicht auf eine Roadmap setzen, denn eine falsche Zusage bindet das Unternehmen, und „gut verhandelt“ lässt sich nicht automatisch bewerten.

Die Schwachstelle sind Lieferantendokumente: Sie kommen von außen, also kann jedes davon Anweisungen enthalten, die auf den Agenten zielen. OWASP führt Prompt Injection in der LLM Top 10 2026 als LLM01 und Agent Goal Hijack in der Top 10 for Agentic Applications als ASI01. Ein Agent, der solche Dateien liest, sollte im selben Lauf keinen Schreibzugriff haben. Die banaleren Fehler sind Vergleiche über ungleiche Einheiten oder Zahlungsbedingungen hinweg und Vertragsablagen voller Scans und mehrerer Fassungen desselben Vertrags. Vertragsdaten sind außerdem geschäftlich sensibel, klären Sie den Hosting-Standort also früh.

Was die Rückzieher gemeinsam haben

Die Stichprobe ist klein, sie ist keine Studie, und die Systeme unterscheiden sich. Das Folgende ist also unsere Lesart.

Klarna und die Commonwealth Bank verlagerten beide Servicearbeit auf KI und holten dann Menschen zurück: Klarnas CEO nannte die Qualität, die Bank räumte einen Fehler ein. Air Canada versuchte, die Schuld auf die Software zu schieben, und verlor. Replit verließ sich auf eine Regel, an der sein Agent vorbeikam. Auf der anderen Seite halten die Einsätze mit den sorgfältigsten öffentlichen Beschreibungen, Allianz und die Sibos-Fälle, dort einen Menschen, wo Geld fließt.

Für keinen der beiden Ansätze haben wir eine Ausfallquote. Das Muster ist aber deutlich genug, um damit zu planen: Bauen Sie den Weg zum Menschen zuletzt ab, gehen Sie davon aus, dass das Unternehmen für die Aussagen des Systems einsteht, und setzen Sie Limits dort, wo das Modell nicht mit ihnen diskutieren kann.

Den ersten Anwendungsfall wählen

Die folgenden Bewertungen sind unsere eigene Einschätzung der allgemeinen Szenarien oben, von 1 bis 5, als Ausgangspunkt, den Sie mit Ihren Zahlen überschreiben. Über namentlich genannte Unternehmen sagen sie nichts. Höher ist besser, eine 5 bei „niedrige Fehlerkosten“ heißt also, dass ein Fehler wenig Schaden anrichtet.

Zwei Regeln stechen die Summe. Eine 1 bei „niedrige Fehlerkosten“ oder „reversibel“ schließt eine Aufgabe als ersten Agenten aus. Eine 1 bei „Pfad variiert“ heißt, dass Sie gar keinen Agenten brauchen. Der Systemzugang fehlt in der Tabelle, weil er von Ihrem Stack abhängt, aber auch eine Aufgabe ohne API und ohne Testumgebung fällt heraus.

Die obersten vier Zeilen haben eines gemeinsam: Ein Mensch sieht das Ergebnis, bevor es Folgen hat, oder die Tools können nichts verändern. Oft können Sie eine Aufgabe in dieser Tabelle nach oben bewegen, indem Sie ihr Design ändern und die Aufgabe selbst lassen, wie sie ist. Wird aus „Erstattung ausgeführt“ ein „Erstattung vorgeschlagen, Mensch genehmigt“, steigen die Werte für Reversibilität und Fehlerkosten deutlich.

Der oben erwähnte Prozessartikel enthält die gewichtete Fassung dieser Methode für einen Auswahl-Workshop sowie die Baseline-Messung, die danach kommen sollte. Wenn Sie die Shortlist mit externer Hilfe erstellen möchten, ist unsere KI-Use-Case-Identifikation genau dafür da.

Warum wir die besten KI-Agenten für Unternehmen nicht in eine Rangliste bringen

Eine Rangliste bräuchte vergleichbare Messungen, und die Quellen, auf die wir uns stützen, enthalten keine. Gartner schätzte, dass rund 130 von Tausenden Agenten-Anbietern echt sind, und nennt die Lücke Agent Washing. Das ist ein Grund zum Misstrauen, liefert Ihnen aber keine Shortlist.

Testen Sie Kandidaten an Ihrer eigenen Arbeit. Anthropics „Demystifying evals for AI agents“ (Januar 2026) empfiehlt, mit 20 bis 50 einfachen Aufgaben aus realen Fehlschlägen zu beginnen und ein Regressionsset zu führen, das nahe 100 % liegt. Lassen Sie jeden Kandidaten dieselben Aufgaben lösen, mit Ihren Dokumenten und in Ihren Testsystemen, und lassen Sie die Ergebnisse entscheiden. Fragen Sie Anbieter, wer die Zahlen in ihren Fallstudien geprüft hat. Für die Zahlen in der Tabelle am Anfang dieses Artikels nennen die Quellen keinen Prüfer.

Häufig gestellte Fragen

Welche Beispiele für KI-Agenten gibt es in Unternehmen?

Zuordenbar sind unter anderem Project Nemo der Allianz für kleine Schäden durch verdorbene Lebensmittel in Australien und die auf der Sibos 2026 berichteten Bankeinsätze bei Payment Repair und Dokumentenprüfungen. Klarnas Assistent und der Chatbot von Air Canada tauchen in denselben Diskussionen auf, werden in den Quellen aber nicht als autonome Agenten dargestellt.

Welcher Anwendungsfall eignet sich für den ersten KI-Agenten?

Eine Aufgabe mit hohem Volumen, deren Pfad variiert, deren Ergebnis jemand prüfen kann und bei der ein Mensch die Ausgabe sieht, bevor sie Folgen hat. Ticket-Triage mit Antwortentwürfen, Bearbeitung von Rechnungsausnahmen mit Bestätigung und Read-only-Diagnose im Service Desk schneiden in unserer Tabelle alle gut ab.

Welche Aufgaben sollten KI-Agenten nicht allein erledigen?

Alles Sensible, Irreversible oder Folgenschwere, um die Formulierung von OpenAI aufzugreifen: Zahlungen freigeben, hohe Erstattungen, Produktionsänderungen, Löschungen, Änderungen an Bankverbindungen von Lieferanten und Entscheidungen über Bewerbende. Die Allianz lässt jede Auszahlung von einem Menschen entscheiden, selbst bei Schäden unter 500 AUD.

Haften Unternehmen für das, was ihre KI sagt?

Air Canada haftete, in einer Bagatellentscheidung eines Tribunals zu ihrem Chatbot, und ihr Argument, der Bot sei eine eigenständige Einheit, scheiterte. Das ist eine einzelne Entscheidung und kein EU-Recht, holen Sie sich also für Ihr eigenes Risiko rechtlichen Rat. Wir würden trotzdem davon ausgehen, dass das Unternehmen für das System einsteht.

Einen ersten Agenten mit AI Superior bauen

AI Superior ist ein KI-Engineering-Unternehmen in Darmstadt, 2019 von KI-Wissenschaftlern gegründet. Wir bauen LLM-Anwendungen, Chatbots, RAG-Systeme und KI-Agenten für B2B-Kunden. Wenn nach der Bewertung oben eine Kandidatenaufgabe übrig bleibt, decken unsere Leistungen zur KI-Agenten-Entwicklung Design, Evaluierung und Umsetzung ab, einschließlich der Berechtigungs- und Freigabeebenen, auf die dieser Artikel immer wieder zurückkommt.

Quellen und weiterführende Literatur

• Klarna: Pressemitteilung zum KI-Assistenten, 27. Februar 2024.
• Fortune: Bericht über Klarnas Rückkehr zur Einstellung von Menschen, 9. Mai 2025.
• Information Age (ACS): Bericht über die Kehrtwende der Commonwealth Bank, 2025.
• Moffatt v. Air Canada, 2024 BCCRT 149; Zusammenfassung von McCarthy Tétrault, 19. Februar 2024.
• Allianz: Artikel zu Project Nemo, 3. November 2025.
• CNBC: Bericht über die digitalen Mitarbeitenden von BNY, 9. Februar 2026.
• American Banker: Bericht über die Agenten von Goldman Sachs, 13. Februar 2026.
• The Fintech Times: Bericht über die KI-Wertschätzung der Lloyds Banking Group, 5. Februar 2026.
• Beri, R.: Rückblick auf die Sibos 2026, 2. Oktober 2026.
• Gizmodo: Bericht über die Datenbanklöschung bei Replit, 23. Juli 2025.
• Reuters via The Star: Bericht über die Gartner-Prognose zu agentischer KI, 25. Juni 2025.
• Xu et al.: „TheAgentCompany“, arXiv 2412.14161, Fassung vom September 2025.
• OpenAI: „A practical guide to building agents“, 2025.
• Microsoft: Agent Framework overview, aktualisiert im Oktober 2026.
• Grace, Hadfield, Olivares, De Jonghe (Anthropic): „Demystifying evals for AI agents“, Januar 2026.
• OWASP: GenAI LLM Top 10 2026; Top 10 for Agentic Applications for 2026.
• CVE-2025-32711-Eintrag; Reddy, Gujral, arXiv 2509.10540; BleepingComputer, 11. Juni 2025.
• BaFin: Interview mit Obermöller zur KI-Verordnung, 29. Juli 2026.
• Verordnung (EU) 2024/1689 (KI-Verordnung), Anhang III und Artikel 50; Verordnung (EU) 2026/1744; Cooley, 3. August 2026; NicFab, 24. Juli 2026.