FPF fordert einheitliche Taxonomie, um zu definieren, was KI „agentisch“ macht

Zwei Gesetzentwürfe, zwei Definitionen

Laut FPF haben Gesetzgeber in den USA in diesem Sommer zwei der ersten Gesetzesvorschläge zur Regulierung von „KI-Agenten“ vorgelegt: den bundesweiten AI AGENT Act und den kalifornischen SB 1106. Ihre rechtlichen Definitionen unterscheiden sich deutlich, da sie auf unterschiedliche Zwecke zugeschnitten sind.

Der AI AGENT Act soll einen Rahmen für verbraucherorientierte Agenten schaffen und definiert Agenten über ihre Beziehung zu einem Nutzer. Der kalifornische SB 1106 zielte auf den Aufbau öffentlicher Infrastruktur für Cybersicherheit ab und definiert Agenten über ihre technische Architektur und ihre Fähigkeiten.

Das FPF weist darauf hin, dass das Wort „Agent“ noch viele weitere Bedeutungen hat. Für manche steht es für die leistungsstarken „Agentenschwärme“, über die zuletzt in Meldungen zu führenden KI-Laboren berichtet wurde. Andere meinen damit simple automatisierte Systeme, etwa ein LLM-gestütztes Web-Scraping-Tool. Manche bemessen den agentischen Charakter am Grad der menschlichen Beteiligung, wie bei den Autonomiestufen im Fahrzeugbereich, oder daran, wie weit sich Verhalten einem Eigentümer oder Nutzer zurechnen lässt, wie im Recht der Stellvertretung (Principal-Agent-Recht). Der Begriff „authorized agent“ (bevollmächtigter Vertreter) im California Consumer Privacy Act verweist auf einen Rechtsstatus, der weit über KI hinausreicht.

Warum die fehlende gemeinsame Sprache ein Problem ist

Nach Angaben des FPF arbeiten nahezu alle großen Unternehmen, von Banken bis zum Einzelhandel, daran, wie sie KI-Agenten intern und im Kundenkontakt einsetzen können, um wiederkehrende, arbeitsintensive Aufgaben zu automatisieren. Ohne einheitliche Definitionen würden Kommunikation und Governance schwieriger, so das FPF, besonders wenn rechtliche Rahmenwerke Pflichten an einen binären Geltungsbereich („drin oder draußen“) knüpfen.

Der Beitrag merkt zudem an, dass die lockere Verwendung des Begriffs die Grenze zwischen Agenten und bestehenden KI-Systemen verwischt habe, sodass manche scherzen, Agenten seien bloß „drei (LLMs/Bots/Prompts) im Trenchcoat“. Das FPF hält dagegen, dass es reale, substanzielle Unterschiede zwischen Frontier-Agenten und automatisierten Tools oder LLMs im Allgemeinen gebe.

Fähigkeiten und Zugriff als die zwei Säulen

Das FPF stellt fest, dass ein Großteil der technischen und Governance-Literatur auf zwei Faktoren hinausläuft: Fähigkeiten und Zugriff. Es zitiert OpenAI, das agentische KI-Systeme durch „die Fähigkeit“ charakterisiert, „Handlungen auszuführen, die über einen längeren Zeitraum konsequent zur Erreichung von Zielen beitragen, ohne dass ihr Verhalten vorab festgelegt wurde“. Das World Economic Forum betont Autonomie und Befugnis, Letztere definiert als „die erteilten Berechtigungen und Zugriffsrechte, um bestimmte Handlungen innerhalb festgelegter Grenzen auszuführen“.

Bei den Fähigkeiten gliedert das FPF das Konzept in Autonomie, Anpassungsfähigkeit und Handlungsfähigkeit. Ein geskripteter Bot, der vorgegebene Schritte ausführt, sei nicht agentisch, da er nur tue, wofür er konfiguriert wurde. Ein System, das ein offenes Ziel erhält, es in Teilaufgaben zerlegt, diese priorisiert und seinen Plan anhand von Zwischenergebnissen anpasst, sei dagegen agentisch. Das FPF zitiert den Rechtswissenschaftler Noam Kolt: LLMs seien „Copiloten“, Agenten seien „Autopiloten“.

Die meisten eingesetzten Systeme liegen zwischen diesen Polen. Viele planen mehrstufige Aufgaben, holen aber vor folgenreichen Schritten die Zustimmung des Nutzers ein, andere arbeiten eigenständig in einem engen Bereich wie der Erkennung von Softwarefehlern. Das sei für die Governance relevant, so das FPF, weil Autonomie und Anpassungsfähigkeit das Verhalten schwerer vorhersagbar und prüfbar machen und Aufsichtsmodelle, die für deterministische Automatisierung gebaut wurden, sich nicht zwangsläufig auf nicht deterministische Systeme übertragen lassen. Zudem betont es, dass Handlungen unterschiedlich schwer wiegen: Ein Agent, der nach starren Kriterien Inhalte in sozialen Medien veröffentlicht, berge womöglich weniger Risiko als einer, der Geschäftssysteme verwaltet, Finanzentscheidungen trifft oder Entscheidungen mit rechtlicher Wirkung wie bei Einstellungen fällt. Das FPF empfiehlt einen risikobasierten, verhältnismäßigen Ansatz.

Beim Zugriff grenzt das FPF Agenten von Systemen mit Retrieval-Augmented Generation (RAG) ab. Klassisches RAG gewährt nur Lesezugriff, während stärker agentische Systeme in der Regel Daten oder Dateien eines Nutzers schreiben oder darauf einwirken können. Ein LLM mit RAG könnte ein Postfach als Kontext lesen, ein Agent könnte dagegen eine E-Mail entwerfen und versenden. Dass Agenten Zugang zu authentifizierten Konten erhalten, etwa bei Banken oder Online-Händlern, hat zu Rechtsstreitigkeiten darüber geführt, ob Plattformen Agenten sperren dürfen, die ihre Seiten ohne Erlaubnis auslesen. Governance-Rahmen könnten das Niveau privilegierten Zugriffs, sowohl lesend als auch schreibend, berücksichtigen sowie den Umstand, dass die Zusammenführung von Daten aus zuvor getrennten Systemen Agenten zusätzliche Macht verleihen kann, so das FPF.

Was das für Regulierer und Unternehmen bedeutet

Die zentrale These des FPF lautet, dass eine wirksame Steuerung von Agenten eine gemeinsame Sprache für Agenten und agentisches Verhalten voraussetzt. Da agentische Systeme auf einem Spektrum liegen, solle ein gemeinsames Verständnis unterschiedliche Grade an Autonomie, Anpassungsfähigkeit, Handlungsfähigkeit und Datenzugriff abbilden, statt ein einfaches Ja-oder-Nein-Etikett zu vergeben. Für Unternehmen, die Agenten einsetzen, und Gesetzgeber, die Geltungsbereiche definieren, sei die Bewertung von Fähigkeiten und Zugriff laut dem Beitrag ein praktischer Weg, Risiken vorherzusehen.

Der Beitrag kündigt außerdem einen Workshop on Advanced Issues in Agentic Deployment am 21. Oktober in Kalifornien an.