Know Your Agent in Deutschland: KI-Agenten prüfen

Das Wichtigste in Kürze

Know Your Agent prüft, ob ein KI-Agent für eine Handlung befugt war, mit nachrechenbarem Nachweis.
Automatisiert erzeugte Erklärungen werden nach herrschender Auffassung dem Einsetzenden zugerechnet.
Die DSGVO gilt für Agenten, die personenbezogene Daten verarbeiten, ergänzt durch das BDSG.
Die EUDI-Wallet nach eIDAS 2.0 kann künftig den Auftraggeber eines Agenten belegen.

Was Know Your Agent in Deutschland bedeutet

Deutsche Unternehmen setzen KI-Agenten zunehmend in Einkauf, Vertrieb, Kundendienst und Verwaltung ein. Handelt ein Agent mit Wirkung nach aussen, muss nachvollziehbar sein, wofür er eingesetzt war. Know Your Agent macht diese Frage prüfbar: Wer ist der Agent, für wen handelt er, was durfte er, und passte die Handlung dazu?

knowyouragent.ch prüft Nachweise neutral und lokal im Browser. Es werden keine Daten übertragen, und es braucht kein Konto. Die Seite steht auf Deutsch und Englisch zur Verfügung.

Computererklärung und Stellvertretung nach BGB

Automatisiert erzeugte Erklärungen werden nach herrschender Auffassung dem zugerechnet, der das System einsetzt; man spricht von Computererklärungen. Daneben wird diskutiert, die Regeln der Stellvertretung nach §§ 164 ff. BGB entsprechend anzuwenden. Ein Vertrag ohne Vertretungsmacht ist schwebend unwirksam, bis er genehmigt wird (§ 177 BGB), und der Vertreter haftet nach § 179 BGB, sofern er seine Vertretungsmacht nicht nachweist.

Die Rechtsprechung zur Anscheins- und Duldungsvollmacht schützt Dritte, die auf einen zurechenbar gesetzten Anschein vertrauen durften. Ein vorgelegtes Mandat mit Grenzen schafft hier Klarheit für beide Seiten. Vertiefung im Artikel Haftung bei KI-Agenten.

Datenschutz nach DSGVO

Bearbeiten Agenten personenbezogene Daten, gelten die DSGVO und ergänzend das Bundesdatenschutzgesetz. Wichtig sind die Grundsätze nach Art. 5 DSGVO, Datenschutz durch Technikgestaltung (Art. 25 DSGVO), die Sicherheit der Verarbeitung (Art. 32 DSGVO), Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) und die besonderen Regeln für automatisierte Einzelentscheidungen (Art. 22 DSGVO).

Eine Prüfung, die lokal im Browser läuft und keine Nachweise an Dritte überträgt, erleichtert die datenschutzrechtliche Bewertung. Mit selektiver Offenlegung lassen sich Angaben in Nachweisen auf das Erforderliche beschränken.

Identität: Online-Ausweis und EUDI-Wallet

Deutschland verfügt mit der Online-Ausweisfunktion des Personalausweises über eine etablierte staatliche Identifizierung. Mit der Verordnung (EU) 2024/1183, bekannt als eIDAS 2.0, sind die EU-Staaten verpflichtet, ihren Bürgerinnen und Bürgern eine europäische Brieftasche für die digitale Identität anzubieten, die EUDI-Wallet.

Die EUDI-Wallet nutzt wie die Schweizer E-ID Nachweise mit selektiver Offenlegung, unter anderem im Format SD-JWT VC, und Protokolle wie OID4VP. Für Agenten eröffnet das die Möglichkeit, ein Mandat an einen staatlich belegten Auftraggeber zu binden.

Zahlungen und Agentic Commerce

Bei elektronischen Zahlungen verlangt die Zahlungsdiensterichtlinie PSD2 grundsätzlich eine starke Kundenauthentifizierung. Wie Zahlungen durch Agenten damit umgehen, regeln die Verfahren der Zahlungsnetze, etwa über Tokenisierung und signierte Kaufabsichten wie Verifiable Intent.

Für Händler im deutschen Onlinehandel heisst das: Agenten-Käufe sollten an einen prüfbaren Nachweis von Absicht und Rahmen geknüpft werden. Der Artikel Agentic Commerce erklärt beschreibt Ablauf und Prüfpunkte.

Europäische Regulierung

Für Unternehmen in Deutschland gilt die europäische Verordnung über künstliche Intelligenz unmittelbar. Sie regelt KI-Systeme nach Rolle und Risiko; einen eigenen Begriff für Agenten kennt sie nicht. Eine sachliche Einordnung der Pflichten und Fristen bietet der Artikel EU AI Act und KI-Agenten: was für Agenten gilt.

Unabhängig von der Regulierung lohnt sich ein Grundsatz: Was ein Agent darf, sollte festgelegt, geprüft und belegt sein. Das schützt Unternehmen bei Streitfällen ebenso wie bei Prüfungen durch Aufsicht oder Revision.

Begriffe im deutschen Kontext

Im deutschen Recht spricht man von Vollmacht und Vertretungsmacht; KYA verwendet für die maschinenlesbare Form den Begriff Mandat. Gemeint ist der Rahmen, in dem ein Agent für seinen Auftraggeber handeln darf.

Häufige Fragen

Was bedeutet Know Your Agent in Deutschland?

Die Prüfung, ob ein KI-Agent für eine Handlung befugt war, mit einem unabhängig nachrechenbaren Nachweis. In Deutschland verbindet sie sich mit der Zurechnung nach BGB, der DSGVO und der EUDI-Wallet.

Werden Erklärungen eines KI-Agenten dem Unternehmen zugerechnet?

Nach herrschender Auffassung werden automatisiert erzeugte Erklärungen dem zugerechnet, der das System einsetzt. Entscheidend bleibt, ob die Handlung im eingesetzten Rahmen lag und ob sich das belegen lässt.

Ist die Prüfung mit KYA datenschutzfreundlich?

Die Prüfung läuft vollständig im Browser und überträgt keine Nachweise an Dritte. Das erleichtert die Bewertung, ersetzt aber keine eigene datenschutzrechtliche Prüfung.

Unterstützt KYA die EUDI-Wallet?

KYA prüft Nachweise im Format SD-JWT VC, das auch in der EUDI-Wallet verwendet wird. Ein eigenes Profil für staatliche Wallets als Herkunftsnachweis ist vorgesehen.

Gibt es in Deutschland besondere Regeln für Agenten-Zahlungen?

Es gelten die allgemeinen Regeln für Zahlungsdienste, insbesondere die starke Kundenauthentifizierung nach PSD2. Wie Agenten-Zahlungen damit umgehen, regeln die Verfahren der Zahlungsnetze.

Allgemeine Information, keine Rechtsauskunft. Massgebend sind die Gesetzestexte und die Umstände des Einzelfalls.

Quellen

Bürgerliches Gesetzbuch (BGB), § 164: https://www.gesetze-im-internet.de/bgb/__164.html
Datenschutz-Grundverordnung (EU) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
Verordnung (EU) 2024/1183 (eIDAS 2.0): https://eur-lex.europa.eu/eli/reg/2024/1183/oj
Richtlinie (EU) 2015/2366 (PSD2): https://eur-lex.europa.eu/eli/dir/2015/2366/oj