Start/AI im Controlling/Framework
AI im Controlling · Framework
AI wird im Konzern erst steuerbar, wenn Unternehmen, Prozesse und Technik einem gemeinsamen Framework folgen.
Finance steuert darin Wert und Kosten der AI, verankert die AI im internen Kontrollsystem und setzt sie in den eigenen Prozessen ein.
Ein Fall, drei Ebenen
Bereits ein einzelner Agent für Forecast-Kommentare berührt alle drei Ebenen; steuerbar wird sein Einsatz erst durch ihr Zusammenspiel.
Das Controlling möchte einen Agenten einsetzen, der die Kommentare zu den Abweichungen im Forecast entwirft. Der Fall zeigt, welche Ebene in welchem Schritt beteiligt ist, was dort entschieden wird und von wem.
Anders liegt der Fall, wenn eine Controllerin aus demselben Team mit einem zugelassenen Schreibassistenten eine E-Mail formuliert. Das ist Mitarbeiter-AI: Diese Nutzung muss nicht registriert werden, ist aber auf zulässige Daten beschränkt.
Die Illustration zeigt den Fall in acht Schritten; ein Schritt kann mehrere Ebenen berühren.
-
1 Einordnung Unternehmen
Was geschieht Der Agent soll jeden Monat Aussagen für das Management entwerfen. Damit wird er als registrierte AI-Lösung eingeordnet, nicht als Mitarbeiter-AI.
Wer entscheidet AI-Programmleitung
Zusammenspiel Governance-Vorgabe: Ob eine Lösung entsteht, entscheidet die Unternehmensebene.
-
2 Bewertung Unternehmen
Was geschieht Die Lösung erhält eine mittlere Risikoklasse; ihr Spielraum darf höchstens bis zum Vorschlag mit Einzelfreigabe reichen.
Wer entscheidet AI-Programmleitung mit Business Owner und Data Owner
Zusammenspiel Governance-Vorgabe: Die Obergrenze bindet den Prozess.
-
3 Entwurf Unternehmen · Technik
Was geschieht Ist- und Plandaten stammen aus einem geprüften Datenprodukt, und der Modellzugang ordnet die Kosten diesem Anwendungsfall zu. Der Lösungsentwurf hält außerdem die Werthypothese und die erwarteten Kosten fest.
Wer entscheidet Data Owner; Finance als Kostenverantwortlicher
Zusammenspiel Technische Durchsetzung: Datenprodukt und Modellzugang machen Herkunft und Kosten des Falls nachvollziehbar.
-
4 Prüfung Prozess · Technik
Was geschieht Der Agent wird an abgeschlossenen Fällen der Vormonate und gegen Manipulationsversuche getestet; anschließend läuft er im Parallelbetrieb, ohne dass seine Entwürfe in den Bericht eingehen.
Wer entscheidet Process Owner; Informationssicherheit
Zusammenspiel Leistungsnachweis: Die erste Qualitätsmessung liegt vor, bevor der Agent auf den Bericht wirkt.
-
5 Freigabe für den Betrieb Unternehmen
Was geschieht Die Zweitfreigabe erteilt eine Person, die an der Entwicklung nicht beteiligt war; die IT übernimmt die Betriebsverantwortung.
Wer entscheidet Eine an der Entwicklung nicht beteiligte Person; IT
Zusammenspiel Governance-Vorgabe: Die Freigabe erteilt nie, wer die Lösung entwickelt hat.
-
6 Laufender Monat Prozess
Was geschieht Ein freigegebener Rechenservice ermittelt die Abweichungen. Der Agent sucht die Ursachen und entwirft die Kommentare; jeder Kommentar geht erst nach Freigabe in den Bericht.
Wer entscheidet Controlling
Zusammenspiel Technische Durchsetzung: Der Agent greift nur über einen einzigen Zugang auf Daten zu und erhält kein Werkzeug zum Buchen. Jeder Lauf liefert Qualitäts- und Kostendaten.
-
7 Monatliche Steuerung Unternehmen
Was geschieht Grundlage für Ausbau, Anpassung oder Stilllegung sind die Kosten je korrekt kommentierter Position im Vergleich zum bisherigen Prozess, die Qualität und die Zahl der Eskalationen.
Wer entscheidet Finance; bei wesentlichen Schritten der Lenkungskreis
Zusammenspiel Leistungsnachweis: Finance belegt den Nutzen mit den Messwerten des Prozesses.
-
8 Erweiterung des Spielraums Unternehmen · Prozess
Was geschieht Wenn die Qualität stabil bleibt, kann der Process Owner weiteren Tätigkeiten des Agenten mehr Spielraum geben, höchstens bis zur Obergrenze. Jede Erweiterung über die Obergrenze hinaus, etwa die regelgebundene Ausführung von Routinefällen, gilt als wesentliche Änderung und wird auf Unternehmensebene neu bewertet.
Wer entscheidet Process Owner; über die Obergrenze hinaus die AI-Programmleitung
Zusammenspiel Governance-Vorgabe: Die bei der Bewertung gesetzte Obergrenze bleibt verbindlich.
Governance-Vorgabe
Die Unternehmensebene entscheidet über Zulassung, Risikoklasse und die Obergrenze des Spielraums; der Prozess arbeitet innerhalb dieser Grenze.
Leistungsnachweis
Der Prozess liefert Messwerte zu Qualität, Eskalationsquote und Kosten je korrekt erledigtem Fall; auf sie stützt sich die Entscheidung über Ausbau oder Stilllegung.
Technische Durchsetzung
Zugang, Datenregeln und Notabschaltung setzen die Governance-Vorgaben technisch um; Nutzungs- und Kostendaten fließen an Finance.
Die Festlegungen hinter diesem Ablauf, etwa die Kriterien der Risikoklassen, die Nachweise je Freigabepunkt und die Regeln für mehr Spielraum, richten sich nach der Risikobereitschaft und dem internen Kontrollsystem des jeweiligen Konzerns. Wie sie für das eigene Haus aussehen, ist Gegenstand eines Gesprächs. Zum Erstgespräch
Ebene Unternehmen
Ein Steuerungsmodell legt fest, welche AI-Lösungen im Konzern mit welchem Risiko und zu welchen Kosten entstehen, und richtet die Kontrolle an Risikoklasse und Handlungsspielraum aus.
Eine AI-Programmleitung steuert das Portfolio, setzt Standards und nimmt die Risikoeinstufung vor; die fachliche Verantwortung bleibt in den Bereichen. Ein Lenkungskreis mit einem Sponsor aus der Geschäftsleitung legt Ambitionsniveau und Risikobereitschaft fest. Die Freigabe erteilt nie, wer die Lösung entwickelt hat.
Nicht jede AI-Nutzung ist eine AI-Lösung. Jede AI-Idee wird an einer einzigen Stelle erfasst und einem von drei Wegen zugeordnet: registrierte AI-Lösung, Mitarbeiter-AI oder Vorhaben ohne AI-Kern. Damit beschränkt sich das Register auf Lösungen, die eine eigene Steuerung erfordern, und die Kontrolle setzt dort an, wo AI tatsächlich wirkt.
Risikoklasse und Handlungsspielraum werden getrennt bewertet. Ein großer Handlungsspielraum schließt eine niedrige Risikoklasse aus, und mit dem Risiko steigen die Anforderungen an den Nachweis.
Im Detail: Verantwortung, Rollen von Finance, Wege und Freigabepunkte
Steuerung
Wie lässt sich AI im Konzern steuern?
Die fachliche Verantwortung für jede Lösung liegt bei benannten Rollen in den Bereichen.
Der Business Owner verantwortet Nutzen und Einsatz im Prozess, der Data Owner Zweck, Zugriff und Qualität der Daten. Die IT verantwortet Identitätsverwaltung, Sicherheit und Betrieb. Kontrollfunktionen wie Datenschutz, Informationssicherheit und Recht sowie die Arbeitnehmervertretung werden anlassbezogen beteiligt.
Rolle von Finance
Welche Rolle hat Finance dabei?
Das Framework weist Finance drei Rollen zu, unabhängig davon, wo die AI-Programmleitung angesiedelt ist.
- Wert und Kosten. Jede registrierte Lösung hat eine Werthypothese und einen Kostenverantwortlichen. Ein Ausbau setzt einen Kosten- und Nutzennachweis voraus; wenn Kosten oder Nutzung den vorgesehenen Rahmen überschreiten, wird die Lösung angepasst oder angehalten.
- Internes Kontrollsystem. Wesentliche Finanzaussagen werden erst nach Freigabe wirksam. Quellen, Vorschläge, Freigaben und alle Arbeitsschritte werden wie Belege abgelegt, und die Revision prüft auch Agentenkonfigurationen und Laufprotokolle.
- Eigene Prozesse. Controlling, Abschluss und Forecast sind selbst Anwendungsfelder. Der Process Owner aus Finance entscheidet über den Spielraum der Agenten in seinem Prozess, innerhalb der Obergrenze der Unternehmensebene.
Aktivitäten
Welche AI-Aktivitäten gibt es?
Nur einer der drei Wege führt ins Register; die beiden anderen werden über Werkzeuge und Zuständigkeiten geregelt.
| Weg | Was dazugehört | Wie gesteuert wird |
|---|---|---|
| Registrierte AI-Lösung | AI ist dauerhaft Teil der Lösung, etwa bei wiederkehrender Nutzung, Anbindung an Systeme oder Relevanz für Entscheidungen | Register mit Verantwortlichen, Risikoklasse, Spielraum, Freigabepunkten und Kosten |
| Mitarbeiter-AI | einzelne, gelegentliche Nutzung eines zugelassenen Werkzeugs | zugelassene Werkzeuge, technische Datenschutzregeln und Schulung |
| Vorhaben ohne AI-Kern | Dashboards, Data Warehouse und regelbasierte Automatisierung, auch wenn sie mit AI-Hilfe entstehen | die zuständige Funktion, etwa IT oder BI |
Wer mit AI-Hilfe eine Formel oder ein Programm schreibt, schafft keine AI-Lösung; das Werkzeug selbst bleibt trotzdem geregelt.
Kontrolle
Wie werden die AI-Aktivitäten kontrolliert?
Freigabepunkte begleiten eine registrierte Lösung von der Einordnung bis zur Stilllegung.
- Einordnung
- Entwurf
- Prüfung
- Freigabe für den Betrieb
- Betrieb, Ausbau oder Stilllegung
Sobald AI selbst Aktionen ausführt, statt nur Text zu liefern, sind zwei Kontrollen Pflicht: eine getestete Notabschaltung, die diese Aktionen unterbricht, ohne den gesamten Dienst anzuhalten, und Tests gegen Manipulation über Dokumente, Nachrichten und angebundene Quellen. Wesentliche Änderungen lösen eine neue Bewertung aus, und die Einordnung nach dem EU AI Act wird je Anwendungsfall bereits bei der Erfassung abgefragt.
Ebene Prozess
Im Finance-Prozess arbeitet ein Agent in einem festen Rahmen, dessen Grenzen technisch durchgesetzt werden; sein Spielraum wächst nur mit gemessener Qualität.
Der Agent greift auf Daten und Werkzeuge nur über einen einzigen Zugang zu. Dieser prüft bei jedem Aufruf, ob der Agent für die betroffene Gesellschaft berechtigt ist und das Budget ausreicht; ein Werkzeug zum Buchen erhält der Agent nicht. Der Bearbeitungsstand jedes Falls wird von der Erfassung bis zum Abschluss lückenlos geführt; wo regelbasierte Verfahren genügen, haben sie Vorrang vor dem Agenten.
Verbindliche Zahlen entstehen in freigegebenen Rechenservices. Das Modell verweist auf diese Werte und berechnet sie nicht selbst. Eine Freigabe gilt genau für den geprüften Inhalt; unmittelbar vor der Ausführung werden Rechte und Buchungsperiode erneut geprüft, und jeder Schritt wird im Nachweisarchiv dokumentiert.
Der Spielraum wächst in drei Stufen. Sie reichen von Recherche und Entwurf über den Vorschlag mit Einzelfreigabe bis zur regelgebundenen Ausführung von Routinefällen. Eine höhere Stufe wird nur nach gemessener Qualität vergeben, bei Qualitätsverlust wird automatisch zurückgestuft; für Zahlungen, Stammdaten und wesentliche Bilanzierungsurteile gilt eine feste Obergrenze.
Im Detail: Obergrenze, Rollen im Prozess und Arbeiten mit Agenten
Spielraum
Wer entscheidet über mehr Spielraum?
Der Process Owner erweitert den Spielraum nur bis zu der Obergrenze, die die Unternehmensebene für die Lösung gesetzt hat.
Jede Erweiterung über die Obergrenze hinaus gilt als wesentliche Änderung und wird auf Unternehmensebene neu bewertet. Jede Tätigkeit eines Agenten ist einer der drei Stufen zugeordnet oder unzulässig.
Rollen
Wer trägt im Prozess Verantwortung?
Benannte Rollen tragen die Verantwortung im Prozess, und Stichproben durch eine zweite Person sichern die Wirksamkeit der Freigaben.
Dazu gehören Process Owner, fachlich Verantwortliche für den Agenteneinsatz, Prüfende im Fachbereich, Plattform-Owner in der IT und die Revision. Damit Freigaben nicht zur Formalie werden, hebt eine Prüfansicht Unstimmigkeiten und fehlende Belege hervor.
Rollen und Führung im hybriden Team: Hybride Controlling-Organisation
Arbeiten mit Agenten
Wie arbeitet ein Team täglich mit Agenten?
Ein Auftrag an einen Agenten ist erst vollständig, wenn er neben Ziel und Leitplanken ein prüfbares Abnahmekriterium nennt.
Der Agent arbeitet danach selbstständig. Geprüft wird das Ergebnis gegen die Abnahmekriterien; Berechtigungen, Kontrollen und Laufprotokolle bleiben zusätzlich prüfbar. Ein Agent prüft nie sein eigenes Ergebnis, und jede Korrektur wird als Regel festgeschrieben.
Wo Agenten im Controlling arbeiten:Monatsbericht & Group Reporting Rolling Forecast Planung & Budget
Ebene Technik
Als gemeinsames technisches Fundament setzen geprüfte Daten, ein gesteuerter Modellzugang und ein überwachter Betrieb die Governance-Vorgaben durch und machen die Kosten je Fall messbar.
Daten
Jede Quelle hat einen Verantwortlichen, geprüfte Datenprodukte beruhen auf gemeinsamen Definitionen, und Zugriffsrechte gelten auch für abgeleitete Datenbestände. AI greift nicht schreibend auf das ERP zu.
Modellzugang
Ein gesteuerter Modellzugang verwaltet die Modellversionen, bewertet sie und ordnet die Kosten je Anwendungsfall zu; direkte Zugangsschlüssel zu den Modellen gibt es nicht.
Anwendungen und Agenten
Mitarbeiter-AI und registrierte Agenten werden getrennt geführt, jeweils nach den für sie geltenden Regeln.
Betrieb und Sicherheit
Der Betrieb sichert Identitäten und Zugangsdaten, überwacht die Dienste und hält erprobte Ausweichlösungen für den Ausfall eines Modellanbieters bereit; Nutzungs- und Kostendaten gehen an Finance.
Im Detail: Architektur und Verlässlichkeit der Zahlen, Grundsätze, Vertiefung
Architektur und Verlässlichkeit der Zahlen
Wie entsteht eine verlässliche Zahl?
Verbindliche Zahlen entstehen in einem deterministischen Rechenkern, auf dessen Werte sich das Sprachmodell nur bezieht.
Deterministisch heißt: Bei gleichen Eingaben entsteht immer dasselbe Ergebnis; jeder Wert ist mit Quelle und Rechenweg belegt. Das Sprachmodell erklärt und kommentiert auf Basis freigegebener Werte und weist auf Auffälligkeiten hin; Zahlen in seinen Texten werden anschließend gegen den deterministischen Rechenkern geprüft.
Sprachmodell
Kommentierung Anomalie-Analyse Management-Kommentare
Deterministischer Rechenkern
GuV KPIs Abweichungen Prüfpfad
Grundsätze
Wie bleibt die Architektur beweglich?
Architekturentscheidungen werden mit den Auslösern ihrer Neubewertung dokumentiert, und ein Wechsel des Modellanbieters ist von Beginn an eingeplant.
Zuerst wird die benötigte Fähigkeit beschrieben, danach das Produkt gewählt.
Vertiefung: was technisch geschieht, wenn ein Agent eine Aktion ausführt
Technischer Hintergrund
Was ein Agent ausführen kann, legt die Software um das Sprachmodell fest.
Ein Sprachmodell schreibt Text. Erst die Software um das Modell herum, der sogenannte Harness, macht daraus eine Aktion auf dem Rechner: Sie liest den Werkzeugaufruf, also die Anfrage des Modells, ein bestimmtes Werkzeug zu starten, prüft ihn gegen Regeln und startet echte Programme.
Vier Kapitel zeigen das an einem Rolling Forecast auf einem einzelnen Rechner. Für die Steuerungsfragen der Seite sind sie nicht erforderlich.
Zwischen dem Auftrag und der fertigen Datei liegen neun Stationen; erst der Harness löst eine Aktion aus.
Als Beispiel dient ein Rolling Forecast für das vierte Quartal. Der Auftrag lautet: „Erstelle einen Rolling Forecast für Q4 auf Basis von ist_2026.csv und speichere ihn als Excel.“ Am Ende liegt die Datei forecast_Q4_2026.xlsx im Arbeitsordner.
Daraus folgt für die Kontrolle: Was ein Agent tun kann, bestimmen die Werkzeuge und Rechte, die ihm zugewiesen sind.
Sprache
1 Eingabe
Der Auftrag geht zusammen mit dem Systemprompt (den festen Regeln für das Modell), den Werkzeugbeschreibungen und dem bisherigen Verlauf an das Modell. Das Modell sieht immer nur diesen einen langen Text.
2 Tokenisierung
Der Text wird in Bausteine zerlegt, die Tokens; jedes Token erhält eine feste Nummer aus dem Vokabular des Modells. Ab hier gibt es keinen Text mehr, nur noch Nummern.
Sprachmodell
3 Vektoren (Embedding)
Jede Token-Nummer wird in einer Tabelle nachgeschlagen und durch einen Vektor ersetzt, eine Liste mit mehreren tausend Zahlen; dieser Schritt heißt Embedding. Dazu kommt die Information, an welcher Stelle das Token steht.
4 Schichten des Modells
Heutige Sprachmodelle sind als Transformer gebaut: Dutzende Schichten verrechnen die Vektoren miteinander. Attention, der Abgleich jedes Tokens mit den vorherigen, stellt den Zusammenhang her; weitere Rechenschritte bringen gelerntes Wissen ein. In diesen Schichten liegen die Milliarden Parameter, also die beim Training gelernten Gewichte.
5 Wahrscheinlichkeiten
Die letzte Schicht liefert einen Wert für jedes Token im Vokabular. Aus diesen Werten werden Wahrscheinlichkeiten berechnet; anschließend wird ein Token gezogen und an den Text angehängt. Dann beginnt die Berechnung für das nächste Token.
6 Ausgabe: Text oder Werkzeugaufruf
Wenn nach den gelernten Mustern ein Werkzeugeinsatz der passende nächste Schritt ist, schreibt das Modell einen strukturierten Werkzeugaufruf mit Werkzeugnamen und Parametern. Danach hält die Schnittstelle an und meldet, dass ein Werkzeug gebraucht wird. Bis hierhin ist nichts ausgeführt.
Harness: Software um das Modell
7 Aufruf lesen und prüfen
Der Harness liest den Werkzeugaufruf und prüft ihn gegen Regeln: erlauben, nachfragen oder blockieren.
8 Ausführen im Betriebssystem
Der Harness startet einen echten Prozess, etwa das Python-Programm forecast.py. Python liest die Tabellendatei ist_2026.csv, rechnet und schreibt forecast_Q4_2026.xlsx auf die Festplatte.
9 Ergebnis zurück in den Verlauf
Ausgabe, Fehlermeldungen und Exit-Code (die Statusmeldung des Programms über Erfolg oder Fehler) werden an den Verlauf angehängt. Der gesamte Verlauf geht erneut an das Modell, und die Schleife wiederholt sich ab Station 2, bis das Modell meldet, dass es fertig ist.
Bis zur sechsten Station entsteht ausschließlich Text; erst ab der siebten wirkt der Agent auf dem Rechner.
Ein Sprachmodell verarbeitet Zahlen als Textbausteine und rechnet deshalb nicht verlässlich.
Ein Tokenizer, das Zerlegungsprogramm vor dem Modell, teilt Text nach gelernten Regeln in häufige Zeichenfolgen. Ein häufiges Wort ist ein einzelnes Token, seltene Wörter und Zahlen werden in mehrere Stücke geteilt. Für das Modell ist „2026“ deshalb keine Zahl, sondern eine Folge von Ziffernstücken. Das ist ein Grund, warum es unzuverlässig rechnet.
- Leerzeichen gehören dazu. „Forecast“ mit vorangestelltem Leerzeichen ist ein anderer Baustein als am Satzanfang; im Bild zeigt eine kleine Klammer vor dem Wort das Leerzeichen.
- Deutsch kostet mehr Tokens. Lange Wörter wie „Abschlussbuchung“ zerfallen in mehrere Stücke, und abgerechnet wird je Token.
Vereinfachter Tokenizer zur Veranschaulichung. Echte Tokenizer nutzen gelernte Vokabulare mit typischerweise hunderttausend und mehr Einträgen; ihre Zerlegung weicht ab. Die Bausteinnummern sind illustrativ.
Erstelle einen Rolling Forecast für Q4 auf Basis von ist_2026.csv und speichere ihn als Excel.
25 Tokens94 Zeichen3,8 Zeichen je Token
Was das Modell tatsächlich bekommt: eine Folge von Bausteinnummern
[89044, 30529, 90975, 22262, 80434, 14193, 24509, 1069, 10682, 65979, 70312, 47731, 1112, 2619, 1071, 1063, 52425, 53010, 18951, 89187, 1118, 46284, 9516, 80878, 1063]
Die Werte sind illustrativ. Die Nummern werden in Vektoren übersetzt, Dutzende Schichten verrechnen sie, und am Ende steht für jedes mögliche nächste Wort eine Wahrscheinlichkeit.
„Der Umsatz im dritten Quartal …“
Das Modell wählt die plausible Fortsetzung. Ob der Umsatz tatsächlich gestiegen ist, weiß es nur, wenn die geprüfte Zahl als Text im Verlauf steht.
Jede Aktion eines Agenten durchläuft die Prüfung des Harness, bevor sie auf dem Rechner wirkt.
Ein Werkzeugaufruf folgt einer vereinbarten Struktur im Datenformat JSON, einer festen Schreibweise für strukturierte Daten: Die Software beschreibt dem Modell, welche Werkzeuge es gibt, das Modell antwortet mit Namen und Parametern, und die Schnittstelle hält an. Die Ausführung übernimmt der Harness selbst. Er hängt das Ergebnis an den Verlauf an und fragt das Modell erneut; so entsteht die Schleife.
Beispiel: Antwort der Messages-Schnittstelle von Anthropic, gekürzt.
{
"role": "assistant",
"content": [
{ "type": "text", "text": "Zuerst die Ist-Daten prüfen." },
{ "type": "tool_use", "id": "toolu_01A", "name": "bash",
"input": { "command": "head -5 ist_2026.csv && wc -l ist_2026.csv" } }
],
"stop_reason": "tool_use"
} - tool_use ist ein strukturierter Block, der Werkzeug, Parameter und eine Kennung enthält.
- stop_reason „tool_use“ bedeutet: Die Antwort des Modells endet mit dem Werkzeugaufruf. Damit ist noch nichts ausgeführt.
- bash ist ein Werkzeug, das Befehle auf dem Rechner ausführt. Ob ein Befehl laufen darf, entscheidet der Harness, nicht das Modell.
- Ein Satz im Systemprompt wie „Arbeite nur im Ordner /finance/forecast“ ist eine Bitte an das Modell, keine technische Sperre.
Der Ablauf ist realistisch, die Daten sind illustrativ.
Auftrag: „Erstelle einen Rolling Forecast für Q4 auf Basis von ist_2026.csv und speichere ihn als Excel.“ Im Arbeitsordner liegt nur ist_2026.csv.
-
Runde 1Daten ansehen
- Modell schreibt
- „Zuerst die Ist-Daten prüfen.“ und den Aufruf
bash: head -5 ist_2026.csv && wc -l ist_2026.csv - Harness
- Regel „nur lesend im Arbeitsordner“: erlaubt; der Befehl läuft.
- Zurück an das Modell
- Spalten monat, konto, betrag; 27 Datenzeilen für drei Konten.
-
Runde 2Programm schreiben
- Modell schreibt
- den Aufruf
write_file: forecast.pymit einem kurzen Python-Programm: Ist-Daten lesen, je Konto den Durchschnitt der letzten drei Monate für Oktober bis Dezember fortschreiben und den Forecast als Excel-Datei speichern. - Harness
- Regel „Schreiben im Arbeitsordner“: erlaubt; die Datei wird angelegt.
- Zurück an das Modell
- Bestätigung: forecast.py angelegt.
-
Runde 3Programm ausführen
- Modell schreibt
- den Aufruf
bash: python3 forecast.py - Harness
- Regel „Python im Arbeitsordner“: erlaubt. Der Harness startet einen Prozess mit den Rechten des Benutzers; Python rechnet genau nach dem Programm aus Runde 2, also nach der Methode, die das Modell gewählt hat, und schreibt forecast_Q4_2026.xlsx.
- Zurück an das Modell
- „9 Forecast-Zeilen geschrieben“, Exit-Code 0.
-
Runde 4Ergebnis kontrollieren
- Modell schreibt
- einen Aufruf, der die Excel-Datei zur Kontrolle zurückliest.
- Harness
- nur lesend: erlaubt.
- Zurück an das Modell
- die ersten Zeilen des Forecasts je Konto und Monat.
-
Runde 5Fertig melden
- Modell schreibt
- eine Zusammenfassung ohne Werkzeugaufruf.
- Harness
- kein Aufruf, die Schleife endet.
- Ergebnis
- Die Datei liegt im Arbeitsordner, jeder Schritt steht im Verlauf.
Kosten wachsen mit jeder Runde. Das Modell hat kein Gedächtnis zwischen zwei Aufrufen. Feste Regeln, Werkzeugbeschreibungen und der gesamte bisherige Verlauf gehen bei jedem Aufruf erneut an das Modell; bei fünf Runden verarbeitet das Modell fünfmal die gesamte, mit jeder Runde wachsende Eingabe.
Der Agent hat die Rechte des Benutzers. Was der Harness ausführt, läuft mit den Rechten des Benutzers, der den Harness gestartet hat. Alles, was der Benutzer auf dem Rechner darf, darf der Agent technisch auch, sofern keine weitere Kontrolle dazwischengeschaltet ist.
Die Kontrolle greift an fünf Stellen außerhalb des Modells.
Weil das Modell nur vorschlägt, lässt sich jede Ausführung vorher prüfen. Eine Anweisung im Prompt ist keine dieser Kontrollstellen.
- Stelle 1
Werkzeugauswahl
Was nicht als Werkzeug existiert, kann nicht aufgerufen werden.
- Stelle 2
Berechtigungsregeln
Je Aufruf wird entschieden: erlauben, nachfragen oder blockieren.
- Stelle 3
Sandbox
Ein abgeschotteter Bereich begrenzt über das Betriebssystem Dateizugriff und Netzwerk, gleich was der Prozess versucht.
- Stelle 4
Hooks
Eigene Prüfprogramme laufen vor und nach jedem Werkzeugaufruf.
- Stelle 5
Protokoll
Jeder Aufruf und jedes Ergebnis wird nachvollziehbar abgelegt.
| Ebene | Auf dem eigenen Rechner | Im Unternehmen |
|---|---|---|
| Werkzeuge | Befehle auf dem Rechner, Dateien lesen und schreiben | eng geschnittene Fachwerkzeuge wie „Salden abfragen“, etwa über MCP, das Model Context Protocol, einen offenen Standard, über den Systeme Werkzeuge für Agenten bereitstellen |
| Identität und Rechte | die Rechte des Benutzers | eigene Identität des Agenten, Rechte je Werkzeug und Gesellschaft |
| Ausführung | lokaler Prozess | ein Fachdienst prüft erneut und bucht nur nach Freigabe des Inhalts oder der Regel durch einen Menschen |
| Methode | das Modell wählt sie | vom Process Owner freigegeben, das Modell wendet sie an |
| Nachweis | Verlauf im Befehlsfenster | Nachweisarchiv mit Quellen, Freigaben und jedem Schritt |
Auf dem eigenen Rechner hat der Agent einen Generalschlüssel. Im Unternehmen erhält er eng geschnittene Werkzeuge, und jede Grenze ist in Software verankert, die er nicht umschreiben kann. Für das Controlling folgt daraus, dass verbindliche Zahlen außerhalb des Modells entstehen und keine Buchung ohne menschliche Freigabe des Inhalts oder der zugrunde liegenden Regel erfolgt.
Häufige Fragen und Einwände
Fallen Finance-Anwendungen unter die Hochrisiko-Regeln des EU AI Act?
Die Verordnung nennt als Hochrisiko-Bereich unter anderem die Kreditwürdigkeitsprüfung natürlicher Personen; Buchhaltung und Abschluss nennt sie dort nicht. Dennoch wird jeder Anwendungsfall einzeln eingeordnet, und zwar bereits bei der Erfassung; die rechtliche Einstufung nehmen Rechtsabteilung und Datenschutz vor. Dieser Hinweis ersetzt keine Rechtsberatung.
Wie wird Mitarbeiter-AI gesteuert, ohne jede Nutzung einzeln zu erfassen?
Gesteuert wird sie über zugelassene Werkzeuge, technische Datenschutzregeln und Schulungen. Nutzungsdaten werden nur zusammengefasst ausgewertet, nie zur Leistungskontrolle einzelner Personen. Unternehmensdaten dürfen nicht in private AI-Konten gelangen.
Dürfen AI-Agenten buchen?
Agenten erhalten kein Werkzeug zum Buchen. Gebucht wird über einen Fachdienst, der unmittelbar vorher Rechte und Buchungsperiode prüft. Er bucht nur freigegebene Inhalte, auf der dritten Stufe zusätzlich Routinefälle nach freigegebenen Regeln. Bankverbindungen liegen ganz außerhalb des Spielraums der Agenten.
Zehrt der Prüfaufwand den Nutzen nicht auf?
Maßstab sind die Kosten je korrekt erledigtem Fall einschließlich Prüfung und Nacharbeit im Vergleich zum heutigen Prozess. Im Parallelbetrieb wird vor jedem Ausbau die Prüfzeit gemessen, und ausgebaut wird nur bei belegtem Nutzen.
Was geschieht, wenn sich das Verhalten des Modells beim Anbieter ändert?
Auch eine neue Modellversion des Anbieters ist eine wesentliche Änderung und löst eine neue Bewertung aus. Vorher laufen Tests an Referenzfällen, deren richtiges Ergebnis bekannt ist; bei Qualitätsverlust wird automatisch zurückgestuft.
Lassen sich Agenten über Dokumente manipulieren?
Inhalte aus Rechnungen, E-Mails oder angebundenen Quellen verleihen Agenten keine Rechte, und auf Zahlungsstammdaten haben sie keinen Zugriff. Sobald AI selbst Aktionen ausführt, gehören Tests gegen solche Manipulation zur Prüfung vor dem Betrieb.
Brauchen wir zuerst eine große AI-Plattform?
Nicht zwingend. Zuerst wird die benötigte Fähigkeit an einem Anwendungsfall beschrieben, dann das Produkt gewählt. Ausgebaut wird erst nach belegtem Nutzen.
Woran zeigt sich, ob ein Anbieter die Grenzen tatsächlich einhält?
Ein Anbieter muss vorführen, dass die Grenze hält, wenn das Modell einen unzulässigen Schritt vorschlägt. Eine Präsentation der Oberfläche reicht nicht.
Was gilt, wenn Daten und Schnittstellen die Voraussetzungen noch nicht erfüllen?
Die Voraussetzungen werden vorab geprüft. Begonnen wird mit einem Teilprozess, der sich ohne Sonderentwicklung anbinden lässt.
Kontakt
Wie ist AI in Ihrem Konzern heute gesteuert, und welche Rolle übernimmt Finance?
Das Erstgespräch gleicht das Framework mit der eigenen Ausgangslage ab: Steuerungsmodell, ein geeigneter erster Anwendungsfall und die Voraussetzungen in Daten und Technik.