KI-Agenten am Computer: Was ChatGPT dots und Co. können und was die DSGVO sagt

Bisher haben KI-Assistenten geantwortet. Die neue Generation handelt. Sie öffnet Webseiten, klickt auf Knöpfe, füllt Formulare aus und kopiert Daten von einem Programm ins nächste. Ende September 2026 hat OpenAI mit dots Agenten vorgestellt, die dauerhaft im Hintergrund arbeiten.[1] Anthropic, Google und Microsoft haben vergleichbare Funktionen im Angebot.

Für Unternehmen klingt das verlockend, gerade für Abläufe ohne Schnittstelle. Gleichzeitig zögern viele. Unter den Unternehmen, die KI erwogen, aber noch nicht eingeführt haben, nennen 62 Prozent Unklarheit über die rechtlichen Folgen und 60 Prozent Bedenken beim Datenschutz.[2] Und selbst dort, wo KI schon läuft, ist der Datenschutz mit 66 Prozent das meistgenannte Hindernis.[3] Bei Agenten, die einen Bildschirm sehen, sind diese Bedenken besonders berechtigt. Dieser Artikel zeigt, was es gibt, was die Agenten können und worauf Sie nach DSGVO und EU AI Act achten sollten.

Was ein Computer-Agent ist

Ein Computer-Agent arbeitet wie ein Mensch am Bildschirm. Er macht ein Bildschirmfoto, erkennt darauf Felder und Knöpfe, entscheidet über den nächsten Schritt und schickt Mausklicks oder Tastatureingaben. Dann folgt das nächste Bildschirmfoto. Das BSI beschreibt KI-Agenten als Systeme, die auf Basis eines Sprachmodells eigenständig Aktionen ausführen und dafür oft weitreichende Zugriffsrechte brauchen.[4]

Wichtig ist, wo der Agent arbeitet. Es gibt zwei Varianten:

• In der Cloud des Anbieters: Der Agent bedient einen virtuellen Rechner oder Browser im Rechenzentrum des Anbieters.
• Auf Ihrem eigenen Gerät: Der Agent steuert Ihren Browser oder Ihren Desktop direkt, mit allem, was dort geöffnet und angemeldet ist.

Die Angebote im Überblick

OpenAI: dots und ChatGPT Work

dots sind dauerhaft aktive Agenten in ChatGPT. Sie laufen auf dem Modell GPT-6 Astra, haben einen eigenen Cloud-Computer und lassen sich über ChatGPT, Slack oder Microsoft Teams ansprechen.[1] Auf Wunsch arbeiten sie auch auf dem eigenen Laptop. Dieser Zugriff ist anfangs ausgeschaltet. dots legen eigene Erinnerungen an, auch aus verbundenen Apps. Trennt man eine App, bleiben die gewonnenen Daten beim dot. Löschen lassen sie sich nur, indem man den ganzen dot zurücksetzt.[5]

Für Unternehmen in der EU gibt es dots mit Premium-Plätzen in ChatGPT Business. Der Pro-Tarif ist im Europäischen Wirtschaftsraum, in der Schweiz und in Großbritannien ausgenommen. Enterprise-Kunden können eine Beta nutzen, die der Administrator freischalten muss.[5] Daneben gibt es in ChatGPT Work einen Cloud-Browser, der Seiten liest, klickt und Formulare ausfüllt.[6] Den früheren Agent-Modus und Operator hat OpenAI eingestellt.[7]

Anthropic: Claude in Chrome, Cowork und Computer Use

Claude in Chrome arbeitet im Browser des Nutzers. Seit Dezember 2025 steht die Erweiterung allen bezahlten Tarifen offen, auch Team und Enterprise.[8] In Claude Cowork kann Claude seit März 2026 in einer Vorschau auch den eigenen Desktop bedienen. Anthropic schreibt dazu selbst, dass es keine Sandbox zwischen Claude und Ihren Programmen gibt.[9] Für Entwickler gibt es Computer Use in der API. Dort führt die eigene Software die Klicks in einer selbst kontrollierten Umgebung aus.[10]

Google: Computer Use für Entwickler und Unternehmen

In der Gemini-API ist Computer Use ein Werkzeug im Vorschau-Status. Das Modell schlägt Aktionen vor, die eigene Anwendung führt sie aus.[11] Für Unternehmen ist seit September 2026 eine Sandbox mit isoliertem Browser in der Gemini Enterprise Agent Platform allgemein verfügbar.[12] Die Funktion „auto browse“ in Chrome gibt es dagegen nur in den USA.[13]

Microsoft: Copilot Studio und Researcher

In Copilot Studio sind Agenten mit Computer Use seit Mai 2026 allgemein verfügbar.[14] Sie laufen auf eigenen Windows-Rechnern oder in einer von Microsoft verwalteten Umgebung, die noch Vorschau ist.[15] Researcher in Microsoft 365 Copilot nutzt für Computer Use eine eigene, isolierte Umgebung je Gespräch, getrennt vom Firmennetz.[16] Ein Detail mit Folgen: Modelle von Anthropic sind in Microsofts Angeboten von der EU-Datengrenze ausgenommen und in der EU standardmäßig abgeschaltet.[17]

Was die Agenten heute können und was nicht

Die Agenten recherchieren, vergleichen Angebote, füllen Webformulare aus und übertragen Daten zwischen Webanwendungen.[6] Das hilft vor allem dort, wo es keine Schnittstelle gibt.

Fehlerfrei sind sie nicht. Im Test OSWorld zur Computerbedienung melden die Hersteller für ihre besten Modelle je nach Testversion Werte zwischen gut 70 und gut 80 Prozent, Teilerfolge eingerechnet.[18][19] Umgekehrt heißt das: Ein guter Teil der Aufgaben gelingt nicht vollständig. OpenAI schreibt selbst, dass dots Fehler machen können.[1] In einem eigenen Test hat OpenAI geprüft, ob dots über mehrere Aufgaben hinweg im erlaubten Rahmen bleiben. Schwere Verstöße gab es nicht. Bei zehn Zwischenaufgaben überschritt der dot aber in knapp 20 Prozent der Stichproben seinen Auftrag in moderatem Umfang. Als Beispiel nennt OpenAI, Informationen zwischen Aufgaben weiterzutragen, die nichts miteinander zu tun haben.[20]

Das größte Risiko: versteckte Anweisungen

Ein Agent liest alles, was auf einer Seite steht. Auch Text, den ein Angreifer dort versteckt hat. Solche Anweisungen heißen Prompt Injection. Sie können den Agenten dazu bringen, Daten weiterzugeben oder etwas zu tun, das niemand wollte. In einem externen Test gelangen Angreifern bei GPT-6 Astra in 8,5 Prozent der Szenarien solche Angriffe, bei 15 Versuchen je Szenario.[20] Anthropic schreibt, das Risiko sei auch mit Schutzmaßnahmen nicht null.[21] Microsoft warnt in seiner Dokumentation ausdrücklich vor solchen Angriffen und empfiehlt vertrauenswürdige, isolierte Umgebungen.[22] Bei Google ist die Erkennung solcher Angriffe in der API ein Zusatz, der erst eingeschaltet werden muss.[11]

Warum der Einsatz nach DSGVO heikel ist

Alles auf dem Bildschirm wird verarbeitet

Ein Computer-Agent fotografiert den Bildschirm. Was dort sichtbar ist, landet beim Anbieter: Kundennamen im CRM, Mails im Posteingang, Gehaltsdaten in einer offenen Tabelle. Anthropic weist darauf hin, dass alles in den Screenshots landet, was in den bearbeiteten Tabs sichtbar ist.[21] Die DSGVO verlangt aber, nur die nötigen Daten zu verarbeiten und Systeme datenschutzfreundlich zu gestalten (Art. 5 und Art. 25).[23]

Der Anbieter verarbeitet Daten in Ihrem Auftrag

Setzen Sie eine KI-Anwendung eines externen Anbieters ein, ist dieser nach Auffassung der Datenschutzkonferenz häufig Auftragsverarbeiter. Dann brauchen Sie einen Vertrag nach Art. 28 DSGVO.[24] OpenAI bietet einen solchen Vertrag für ChatGPT Business, Enterprise und die API an.[25] Die Datenschutzkonferenz empfiehlt zudem, Beschäftigten betriebliche Konten und Geräte bereitzustellen, statt private Konten nutzen zu lassen.[24]

Daten liegen oft in den USA

Bei OpenAI können neue Enterprise- und Edu-Kunden sowie berechtigte API-Kunden ihre Daten in Europa speichern lassen. Das gilt nur für die ausdrücklich genannten Funktionen. Neue Funktionen sind ausgenommen, dots stehen nicht auf der Liste.[26] Für ChatGPT Business führt OpenAI die Wahl des Speicherorts gerade schrittweise ein. Sie regelt nur, wo Daten liegen, nicht wo sie verarbeitet werden. Und eine Kopie jeder Eingabe und Antwort bleibt zur Missbrauchskontrolle zeitweise in den USA.[27] Anthropic speichert die Daten seiner Geschäftskunden in den USA.[28] Für Übermittlungen in die USA gilt seit Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework.[29] Das Gericht der EU hat ihn im September 2025 bestätigt.[30] Gegen das Urteil läuft aber ein Rechtsmittel beim Europäischen Gerichtshof.[31] Planen Sie deshalb eine Rückfallebene ein, etwa Standardvertragsklauseln.

Speichern, Löschen, Zweckbindung

Fragen Sie, wie lange Screenshots und Verläufe gespeichert werden. Anthropic löscht Screenshots aus Computer Use in der API standardmäßig nach 30 Tagen.[32] Eine eigene Frist für dots haben wir in OpenAIs Unterlagen nicht gefunden. Dass dots Daten aus getrennten Apps behalten, erschwert Löschkonzepte. Und wenn ein Agent Informationen zwischen Aufgaben weiterträgt, berührt das den Grundsatz der Zweckbindung (Art. 5 Abs. 1 lit. b).[23]

Datenschutz-Folgenabschätzung

Bei neuen Technologien mit hohem Risiko verlangt die DSGVO eine Datenschutz-Folgenabschätzung (Art. 35).[23] Die Datenschutzkonferenz hält eine solche Abschätzung beim Einsatz von KI-Anwendungen vielfach für erforderlich.[24] Bei einem Agenten, der Bildschirme mit Kundendaten sieht und selbst handelt, sollten Sie davon ausgehen.

Beschäftigte und Betriebsrat

Ein Agent, der auf Arbeitsplatzrechnern mitliest und alles protokolliert, kann unter die Mitbestimmung des Betriebsrats fallen. Das Betriebsverfassungsgesetz gibt ihm ein Mitbestimmungsrecht bei technischen Einrichtungen, die Verhalten oder Leistung der Beschäftigten überwachen sollen.[33] Binden Sie den Betriebsrat deshalb früh ein.

Was der EU AI Act verlangt

Seit Februar 2025 verlangt der AI Act von Unternehmen, die KI einsetzen, Maßnahmen zur KI-Kompetenz ihrer Beschäftigten (Art. 4). Der Digital Omnibus hat diese Pflicht 2026 neu gefasst: Seitdem geht es darum, die KI-Kompetenz zu fördern, nicht mehr darum, ein bestimmtes Niveau sicherzustellen.[34][35] Ein Agent für normale Büroarbeit ist in der Regel kein Hochrisiko-System. Das ändert sich etwa bei der Auswahl von Bewerbern oder der Prüfung von Krediten. Dann gelten strengere Pflichten, zum Beispiel zur Protokollierung. Diese greifen nach der Verschiebung durch den Digital Omnibus ab dem 2. Dezember 2027.[34][35] Unabhängig davon müssen Sie nach DSGVO nachweisen können, dass Sie die Regeln einhalten (Art. 5 Abs. 2).[23] Ein Protokoll, was der Agent gesehen und getan hat, gehört deshalb dazu.

Was ein Mittelständler konkret tun sollte

1. Nur Business-Tarife nutzen. Mit Vertrag zur Auftragsverarbeitung, ohne Training mit Ihren Daten und mit betrieblichen Konten.
2. Den Einsatz eng schneiden. Ein Ablauf, wenige freigegebene Webseiten. Wo es eine Schnittstelle gibt, ist sie meist die bessere Wahl als ein Agent, der klickt. Mehr dazu im Artikel Automatisierung ohne KI.
3. Eine eigene Umgebung schaffen. Der Agent arbeitet in einer abgeschotteten Umgebung mit eigenen Zugängen und minimalen Rechten, nicht auf dem Laptop der Geschäftsführung. Auch Anthropic empfiehlt für Computer Use eine eigene virtuelle Maschine, keine Zugangsdaten für das Modell und eine Liste erlaubter Domains.[10]
4. Freigaben einbauen. Bevor etwas gesendet, gekauft, gelöscht oder bestätigt wird, entscheidet ein Mensch. Automatische Freigaben schalten Sie ab.
5. Sensible Daten fernhalten. Anthropic rät, dem Agenten keinen Zugriff auf sensible Programme wie Onlinebanking oder Gesundheitsanwendungen zu geben.[9] Schließen Sie Fenster, die der Agent nicht braucht.
6. Dokumentieren. Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzung, Löschfristen und technische Maßnahmen nach Art. 32.[23]
7. Menschen mitnehmen. Betriebsrat einbinden, Beschäftigte schulen, klare Regeln für den Einsatz festlegen. Das BSI rät, wichtige Aktionen erst nach Bestätigung ausführen zu lassen und die Protokolle der Agenten regelmäßig zu prüfen.[4]
8. Klein testen. Erst mit Testdaten, dann mit einem echten, risikoarmen Ablauf. Erst danach ausweiten.

Fazit

Computer-Agenten sind ein echter Fortschritt für Aufgaben, bei denen es keine Schnittstelle gibt. Sie sehen aber alles, was auf dem Bildschirm steht, und sie handeln mit Ihren Zugängen. Im Unternehmen brauchen sie deshalb denselben Rahmen wie ein neuer Dienstleister mit Zugriff auf Ihre Systeme: einen Vertrag, klare Aufgaben, begrenzte Rechte und jemanden, der freigibt. Wer so startet, kann die Vorteile nutzen, ohne Kundendaten und Haftung aus der Hand zu geben.