KI-Agenten als Kunden: Was der Kundenservice jetzt braucht

Interview

Meta und Sierra entwickeln mit Partnern wie NiCE einen offenen Standard, über den persönliche KI-Agenten im Auftrag von Kunden beim Kundenservice anfragen. Unternehmen müssen diese Agenten erkennen, ihre Rechte begrenzen und Übergaben an Mitarbeitende regeln, sagt Sascha Poggemann, COO von NiCE Cognigy.

Im Interview

Sascha Poggemann

COO, NiCE Cognigy

Porträtfoto: NiCE Cognigy

Das Wichtigste in Kürze

Verwandt:Cloudflare: Trennung von Bot und Mensch gilt als überholt

Was das Protokoll festlegt

Meta und Sierra haben das Personal Agent Protocol am 6. Oktober 2026 angekündigt. Seit dem 9. Oktober liegt ein Entwurf vor, an dessen Entwicklung auch NiCE beteiligt ist.

Die Fassung 0.3 ist weiterhin ein Entwurf und kann sich vor einer stabilen Version noch ändern. Sascha Poggemann ist COO von NiCE Cognigy. NiCE hat Cognigy im September 2025 übernommen. Poggemann spricht im schriftlichen Interview als Vertreter eines am Protokoll beteiligten Herstellers.

Das Personal Agent Protocol (PAP) beantwortet praktische Fragen, etwa wo ein Agent Kontakt aufnehmen soll, wie er die Identität und Berechtigungen des Kunden übermittelt und wie ein Unternehmen ihn zum passenden Website-Prozess, zur richtigen API oder zum zuständigen Unternehmensagenten weiterleitet. Verwandte Ansätze setzen dagegen andere Schwerpunkte. Das Personal Agent Consent & Trust Protocol (PACT) setzt auf nachweisbare Kundenfreigaben, Visas Trusted Agent Protocol (TAP) auf vertrauenswürdige Agenten im Handel, MCP auf die Anbindung von Werkzeugen und Daten und A2A auf die Kommunikation zwischen Agenten.

Wir beteiligen uns gemeinsam mit Meta und weiteren Branchenpartnern an der Entwicklung von PAP. Dabei bringen wir konkrete Anforderungen aus dem Kundenservice ein. Wenn eine Anfrage menschliches Urteilsvermögen erfordert, soll ein Mitarbeiter in die Unterhaltung einsteigen können und den vollständigen Kontext erhalten. Ebenso wichtig sind klar begrenzte Zugriffsrechte, um Missbrauch zu verhindern. Die Berechtigung, einen Bestellstatus abzufragen, darf einem Agenten beispielsweise nicht automatisch erlauben, eine Lieferadresse zu ändern oder eine Auszahlung auszulösen.

Identität und Rechte des Agenten

Ein Unternehmen muss drei Dinge klären: Welcher Agent stellt die Verbindung her, welchen Kunden vertritt er und wozu hat dieser Kunde ihn berechtigt? Technisch lässt sich das über OAuth-basierte Sitzungen und vom Kunden ausdrücklich erteilte, jederzeit widerrufbare Berechtigungen umsetzen. Die Erlaubnis, eine Bestellung zu prüfen, ist etwas anderes als die Erlaubnis, eine Lieferadresse zu ändern oder eine Auszahlung anzufordern. Auch wenn solche weiterführenden, risikoreichen Aktionen mit dem ursprünglichen Auftrag zusammenhängen, darf das Unternehmen die Berechtigung dafür nicht einfach voraussetzen.

Aktionen mit höherem Risiko erfordern eine zusätzliche Überprüfung oder die ausdrückliche Bestätigung des Kunden. Kunden müssen einem Agenten seine Befugnisse außerdem wieder entziehen können. Unternehmen müssen zudem berücksichtigen, dass Sicherheitsfragen, Geburtsdaten oder Stimmbiometrie im Umgang mit KI-Agenten zunehmend unzuverlässig sind.

Grenzen im Backend gegen Betrug

Der wichtigste Hebel ist, dass Unternehmenssysteme Grenzen durchsetzen. KI-Agenten führen das Gespräch. Das System dahinter liefert die Fakten und führt die Aktion aus. Eine Erstattungsgrenze muss auch dann gelten, wenn ein externer Agent versucht, den Unternehmensagenten dazu zu überreden, sie zu umgehen.

Auch Agenten, die sich nicht an das vereinbarte Protokoll halten, dürfen diese Grenzen nicht aushebeln. Zu den praktischen Schutzmaßnahmen gehören eng begrenzte Zugriffsrechte, der Abgleich mit maßgeblichen Unternehmensdaten, eine Begrenzung der Anfragerate, die Überwachung ungewöhnlichen Verhaltens und der Schutz vor doppelten Transaktionen und Prompt Injection. Audit Trails dokumentieren nachvollziehbar, welcher Agent auf welche Daten zugegriffen und welche Aktionen ausgelöst hat. Ein einmaliger Test reicht dafür nicht aus. Agenten sollten vor der Inbetriebnahme mit realistischen Missbrauchsszenarien getestet und danach laufend überwacht werden, auch weil sie sich weiterentwickeln.

Übergabe an Mitarbeitende mit Kontext

Kunden sollten immer einen klaren Weg zu einem persönlichen Ansprechpartner haben. Ein menschlicher Agent sollte übernehmen, wenn eine Anfrage die Befugnisse des KI-Agenten überschreitet, wenn sich die verfügbaren Informationen widersprechen, wenn Betrugsverdacht besteht oder wenn die Situation ein Urteilsvermögen erfordert, das ein automatisierter Prozess nicht zuverlässig bieten kann. Ein KI-Agent kann beispielsweise eine routinemäßige Erstattung innerhalb einer vereinbarten Grenze bearbeiten. Bei einem strittigen Anspruch mit widersprüchlichen Unterlagen muss ein Mitarbeiter übernehmen.

Bei der Übergabe an einen Kundenservicemitarbeiter müssen das Ziel des Kunden, der relevante Gesprächsverlauf, verifizierte Informationen, Berechtigungen, bereits ausgeführte Aktionen und der Grund für die Eskalation kommuniziert werden. Außerdem muss der Mitarbeiter sehen, welche Fragen noch offen sind und welche Prüfungen bereits abgeschlossen wurden. So muss der Kunde nach einer Weiterleitung nicht mehr sein komplettes Anliegen erneut erzählen. Genau das gehört zu den frustrierendsten Erfahrungen im Kundenservice.

Haftung und Vorbereitung

Die Regulierung deckt noch nicht jeden technisch möglichen Fall ab. Dazu gehört auch die Frage, wer die Verantwortung trägt, wenn etwas schiefgeht. Wenn ein Agent des Kunden die falsche Transaktion anfordert, hat er dann den Kunden missverstanden, seine Befugnisse überschritten oder auf Grundlage falscher Unternehmensinformationen gehandelt? Ein Verbindungsprotokoll allein kann das nicht klären.

Beim Datenschutz stellen sich ähnliche Fragen. Was muss jeder Beteiligte wissen? Wer entscheidet, wie die Daten genutzt werden? Dürfen Beteiligte sie speichern, an einen anderen Anbieter weitergeben oder für das Modelltraining verwenden?

Europäische Unternehmen haben hier eine gute Ausgangsposition, weil die Arbeit unter der DSGVO und dem EU AI Act bereits verlangt, sich mit diesen Fragen auseinanderzusetzen. Unternehmen sollten verstehen, dass die Zustimmung eines Kunden zu einer Aufgabe keine pauschale Erlaubnis für jede spätere Nutzung seiner Daten ist. Wer diese Unterscheidung von Anfang an berücksichtigt, gewinnt einen Vertrauensvorsprung, den andere erst aufholen müssen.

Persönliche Agenten können heute schon Websites, Formulare, Chats und Sprachkanäle nutzen. Anfragen von Agenten können ein Unternehmen also erreichen, bevor es eine eigene Schnittstelle dafür anbietet. Mein Rat lautet, klein anzufangen. Unternehmen sollten in den nächsten zwölf Monaten einige häufige Serviceaufgaben identifizieren und klare Grenzen festlegen.

Welche Aktionen darf ein KI-Agent anstoßen und wann braucht er die Bestätigung eines Mitarbeiters oder des Kunden? Anschließend sollten sie diese Agenten über sichere, kontrollierte Schnittstellen an vertrauenswürdige Unternehmenssysteme anbinden. Die Hürden sollten dabei zum jeweiligen Risiko passen. Eine Statusabfrage sollte reibungslos funktionieren, eine Auszahlung oder Vertragsänderung die ausdrückliche Bestätigung des Kunden erfordern.

Unternehmen sollten diese Grenzen vor der Inbetriebnahme testen und im laufenden Betrieb überwachen. Schließlich sollten Unternehmen einen zentralen Zugang für KI-Agenten schaffen. Dieser kontrollierte Einstiegspunkt sollte die Identität und Befugnisse jedes Agenten überprüfen und jede Anfrage nach einheitlichen Regeln weiterleiten, unabhängig davon, ob sie von einem Menschen oder einem KI-Agenten kommt.

Häufige Fragen

Bildquelle: KI-generiert (November 2026)