Agenten ohne Entwicklungsteam

Worum es geht

Wenn in einem Betrieb ohne IT-Abteilung von KI-Agenten die Rede ist, meinen die Beteiligten selten dasselbe. Die Fachdebatte dreht sich um gebaute Systeme: n8n-Abläufe, Frameworks, MCP-Server. Was in diesen Betrieben tatsächlich ankommt, ist eine andere Klasse von Werkzeugen – Oberflächen, die auf dem eigenen Rechner Ordner durchsehen, im Browser Formulare ausfüllen oder in Microsoft 365 Dokumente zusammenstellen. Ohne Installation, ohne Terminal, ohne Projekt.

Anthropic gibt an, dass im Juli 2026 über 90 Prozent der Cowork-Nutzung nicht auf Softwareentwicklung entfiel, sondern auf Büro- und Inhaltsarbeit. Das ist eine Anbieterangabe, aber sie passt zur Beobachtung: Diese Werkzeuge werden gerade von Menschen benutzt, die nie vorhatten, etwas zu bauen.

Diese Seite ordnet die vier Werkzeuge ein, die dafür in Frage kommen, und sagt, wo ihre Grenze verläuft. Die vorgelagerte Frage – Workflow oder Agent – steht in KI-Automatisierung & Agenten.

Die vier Werkzeuge

Claude Cowork ist seit dem 9. April 2026 allgemein verfügbar und in allen Bezahlplänen enthalten; die Pläne unterscheiden sich in der Nutzungsmenge, nicht im Funktionsumfang. Es ist dieselbe Modell-Engine wie in Claude Code, aber ohne Terminal: Der Arbeitsgegenstand sind Dokumente, Tabellen, Ordner und verbundene Anwendungen, das Ergebnis ist ein fertiges Dokument oder eine ausgeführte Aktion. Wiederkehrende Aufgaben lassen sich zeitgesteuert einplanen.

Claude in Chrome ist seit dem 1. Juli 2026 allgemein verfügbar und adressiert den Fall, für den es keine Schnittstelle gibt: eine Anwendung im Browser bedienen, aus der sich nichts exportieren lässt.

ChatGPT Agent ist der Nachfolger des eingestellten Operator. Für Häuser, in denen ChatGPT ohnehin läuft, ist es der Weg mit der geringsten Hürde – und der mit der schwächsten Datenschutzposition, siehe unten.

Copilot Studio ist ein Sonderfall, weil dort keine fertige Oberfläche bedient, sondern ein eigener Agent zusammengeklickt wird. Für interne Agenten fällt kein Aufpreis an, sie stecken in den Copilot-Lizenzen. Das ist relevant, weil Copilot laut Bitkom 2026 mit 47 Prozent das meistgenutzte KI-Werkzeug in deutschen Unternehmen ist (sekundär) – der Baukasten steht in vielen Häusern bereits ungenutzt bereit.

Welche Daten hineingehören

Hier trennen sich die vier deutlich, und die Trennlinie verläuft nicht dort, wo die Werbung sie zieht.

Cowork läuft ausschließlich gegen Anthropics US-Infrastruktur; ein offenes Issue im Anthropic-Repository fordert EU-Residenz, umgesetzt ist sie nicht. Damit gilt dieselbe Einschränkung wie für die Anthropic-API direkt. Bei ChatGPT gibt es EU-Inferenz seit Januar 2026, aber nur für Enterprise-Verträge und nur in neu angelegten Workspaces – für ein KMU mit Business-Plan ist das keine Option. Copilot Studio liegt in der EU Data Boundary, mit zwei Ausnahmen, die in die Toolfreigabe gehören: „Flex Routing“ kann seit April 2026 bei Lastspitzen außerhalb der EU rechnen und gehört im Admin Center abgeschaltet, und die eingebundenen Claude-Modelle liegen außerhalb der Boundary.

Welche Route überhaupt welchen Nachweis trägt, steht in der Entscheidungskarte Wo rechnet mein Modell.

Ein zweiter Punkt, der bei diesen Werkzeugen schwerer wiegt als bei einem Chat: Sie greifen auf Ordner, Postfächer und Anwendungen zu. Die Prüfung verschiebt sich damit von der Frage, wo Daten verarbeitet werden, auf die Frage, worauf das Werkzeug überhaupt zugreifen darf. Eine allgemeine Freigabe für ein Sprachmodell deckt einen Agenten mit Dateizugriff nicht ab – das ist eine eigene Entscheidung, bei besonders schützenswerten Beständen mit eigener Folgenabschätzung.

Was das kostet, wenn niemand hinsieht

Der Lizenzpreis ist bei diesen Werkzeugen selten das Problem. Cowork steckt in Plänen, die ohnehin bezahlt werden; interne Copilot-Studio-Agenten kosten keinen Aufpreis. Was auffällt, ist der Verbrauch: Eine Cowork-Aufgabe verbraucht ein Vielfaches der Token eines Chats, weil der Agent liest, plant, Werkzeuge aufruft und prüft. Für den kleinsten Bezahlplan reicht das bei täglicher Nutzung nach übereinstimmenden Berichten nicht (sekundär; die kursierende Angabe „50- bis 100-fach“ ist unbelegt und steht hier deshalb nicht). Bei ChatGPT ist das Kontingent explizit gedeckelt, rund 40 Agent-Nachrichten pro Monat im Plus-Plan.

Das ist kein Argument gegen die Werkzeuge, sondern eines gegen die Annahme, ein vorhandenes Abo decke den Agentenbetrieb mit ab. Die vier Kostenebenen – Lizenz, Verbrauch, Integration, Governance – gelten hier wie überall.

Wo die Grenze zum gebauten Ablauf liegt

Die verbreitete Erwartung lautet, ein Desktop-Agent erspare das Bauen. Das stimmt für den ersten Durchgang und nicht für den Betrieb.

Nehmen wir die Eingangspost-Triage: Ein Agent kann heute ein Postfach durchsehen, Vorgänge sortieren und Vorschläge formulieren – einmal, angestoßen von einem Menschen, mit einem Menschen, der das Ergebnis ansieht. Genau so fängt man sinnvollerweise an, weil man in zwei Stunden weiß, ob die Aufgabe überhaupt trägt. Was der Case darüber hinaus beschreibt, ist der Weg zu einem Ablauf, der ohne Anstoß läuft, jeden Vorgang protokolliert und bei Ausfall etwas Sinnvolles tut. Das ist die Arbeit, die ein Desktop-Agent nicht abnimmt.

Die Faustregel, die sich daraus ergibt:

• Einmalig, unregelmäßig, mit Sichtprüfung → Desktop- oder Browser-Agent. Die Einrichtung kostet Minuten, der Erkenntnisgewinn ist sofort da.
• Wiederkehrend, unbeaufsichtigt, nachweispflichtig → gebauter Ablauf. Der Agent bleibt dann die Ausnahmebehandlung, nicht der Normalbetrieb.

Diese Grenze ist auch ein Einkaufsargument. Gartner erwartet, dass über 40 Prozent der Agentenprojekte bis Ende 2027 abgebrochen werden, und hat für die Ursache den Begriff Agent Washing geprägt. Wer für einen Desktop-Agenten Erwartungen an einen Produktionsablauf formuliert, bereitet genau diesen Abbruch vor.

Die Sicherheitsfrage, die dazugehört

Sobald ein Agent beliebige Webinhalte liest, ist er angreifbar. Versteckter Text auf einer Seite kann ihn anweisen, etwas anderes zu tun als beauftragt – und er tut es mit den Rechten der Person, die ihn gestartet hat. Der Fall ist nicht theoretisch: Bei einem Browser-Agenten brachte eine präparierte Seite das Werkzeug dazu, Einmalpasswörter aus dem Postfach des Nutzers auszulesen. OpenAI selbst beschreibt das Problem als nicht vollständig lösbar.

Für die Praxis folgt daraus nichts Dramatisches, aber etwas Konkretes: enge Grenzen statt breiter Rechte. Welche Anwendungen, welche Ordner, welche Aktionen – und alles mit Außenwirkung erst nach menschlicher Freigabe. Das ist derselbe Grundsatz, der für gebaute Agenten gilt, siehe Agenten-Sicherheit, nur dass er hier leichter übersehen wird, weil das Werkzeug wie eine App aussieht und nicht wie ein System.

Zum Reifegrad gehört die nüchterne Zahl: In einem Benchmark mit realistischen Web-Aufgaben liegt die Erfolgsquote solcher Agenten bei rund 61 Prozent. Kurze, strukturierte Aufgaben laufen zuverlässig, lange Ketten mit vielen abhängigen Schritten nicht.

Ein vertretbarer Einstieg

1. Eine Aufgabe auswählen, die heute regelmäßig anfällt, keine personenbezogenen Daten oberhalb von Ampel 1 berührt und deren Ergebnis jemand in fünf Minuten prüfen kann.
2. Das Werkzeug nehmen, das ohnehin da ist. In einem M365-Haus ist das Copilot Studio, in einem Haus mit Claude-Abo ist es Cowork. Ein neues Abo ist selten der erste Schritt.
3. Zugriff eng setzen. Ein Ordner, ein Postfach, eine Anwendung. Nicht das Laufwerk.
4. Zwei Wochen mitlaufen lassen und mitschreiben, was der Agent falsch macht. Diese Liste ist die Spezifikation für alles, was danach gebaut wird.
5. Dann entscheiden, ob es beim Werkzeug bleibt oder ein Ablauf daraus wird. Beides ist ein gutes Ergebnis; nur das Weitermachen ohne Entscheidung ist keines.