Wenn KI-Agenten selbst handeln, reicht die Richtlinie im Wiki nicht mehr Once AI agents act on their own, a policy in the wiki is no longer enough
Eine self-hostbare Control Plane, die jede Aktion eines KI-Agenten vor der Ausführung prüft, riskante Vorgänge stoppt oder zur Freigabe anhält – und den Nachweis dafür im selben Arbeitsschritt erzeugt. Nicht als Quartalsbericht, sondern je Einzelvorgang, hash-verkettet und maschinell prüfbar.
A self-hostable control plane that checks every action an AI agent takes before it executes, stops risky operations or holds them for human approval – and produces the evidence in the same step. Not as a quarterly report, but per individual transaction, hash-chained and machine-verifiable.
Entwickelt und betrieben von Buchta AI Systems. Aus Vertraulichkeitsgründen ohne Produkt- und Kundennennung dargestellt – die Substanz zeige ich Ihnen gerne live.
Built and operated by Buchta AI Systems. Presented without product or client names for confidentiality reasons – I am happy to show you the substance in a live session.
Vier Lücken, die beim Agenten-Rollout gleichzeitig aufgehen Four gaps that open up at once when agents go live
Ein Chatbot beantwortet Fragen. Ein Agent handelt: er ruft Werkzeuge auf, schreibt in Systeme, löst Zahlungen aus. Ab diesem Punkt verschiebt sich Governance von der einmaligen Bewertung eines Modells zur laufenden Steuerung einer Flotte.
A chatbot answers questions. An agent acts: it calls tools, writes into systems, triggers payments. From that point on, governance shifts from a one-off model assessment to the continuous supervision of a fleet.
Kein Inventar No inventory
Niemand im Haus kann verlässlich sagen, welche Agenten produktiv laufen, wem sie gehören und auf welche Werkzeuge sie zugreifen dürfen.
Nobody in the organisation can reliably say which agents are running in production, who owns them and which tools they are allowed to touch.
Keine Leitplanken zur Laufzeit No guardrails at runtime
Die Richtlinie steht im Intranet. Der Agent hat sie nie gelesen – und selbst wenn sie im Prompt stünde, wäre sie eine Bitte, keine Kontrolle.
The policy lives in the intranet. The agent has never read it – and even inside the prompt it would be a request, not a control.
Keine Beobachtbarkeit No observability
Fehlverhalten fällt erst auf, wenn der Schaden sichtbar wird. Was zwischen Anfrage und Buchung passiert ist, lässt sich hinterher nicht mehr rekonstruieren.
Misbehaviour only surfaces once the damage does. What happened between request and booking can no longer be reconstructed after the fact.
Kein Nachweis No evidence
Im Prüffall fehlt der lückenlose Beleg. Screenshots und Selbstauskunft sind kein Audit-Trail – und nachträglich lässt er sich nicht mehr herstellen.
When an auditor asks, the complete record is missing. Screenshots and self-declaration are not an audit trail – and it cannot be produced retroactively.
Verlässlichkeit entsteht nicht im Prompt, sondern an der Aktionsgrenze Reliability is not created in the prompt, but at the action boundary
Der Agent legt jede Aktion vor der Ausführung zur Entscheidung vor. Das Gate antwortet in Millisekunden mit erlaubt, Freigabe nötig oder blockiert – deterministisch, ohne Sprachmodell im Entscheidungspfad, damit dieselbe Situation morgen dieselbe Antwort bekommt.
The agent submits every action for a decision before executing it. The gate replies within milliseconds with allow, approval required or block – deterministically, with no language model in the decision path, so the same situation gets the same answer tomorrow.
Not-Aus je Agent Kill switch per agent
Jeder Agent ist einzeln anhaltbar – ein Klick, und die nächste Aktion wird abgewiesen statt ausgeführt. Die Umschaltung wird selbst protokolliert und überlebt einen Neustart.
Every agent can be halted individually – one click, and the next action is rejected instead of executed. The switch itself is logged and survives a restart.
Deny by default Deny by default
Was einem Agenten nicht ausdrücklich zugewiesen ist, kann er nicht ausführen. Unumkehrbare Vorgänge – Zahlung, Stammdatenänderung, Versand – werden grundsätzlich zur menschlichen Freigabe angehalten.
Whatever is not explicitly assigned to an agent cannot be executed. Irreversible operations – payments, master-data changes, dispatch – are always held for human approval.
Lernphase statt Blockadewelle A learning phase instead of a wall of blocks
Am ersten Tag ist jede Freigabeliste leer – strikte Kontrolle würde alles stoppen. Im Beobachtungsmodus läuft der Betrieb weiter, das System protokolliert mit und schlägt die Freigabeliste aus dem tatsächlichen Verhalten vor. Not-Aus und Freigabepflicht bleiben dabei jederzeit scharf.
On day one every allowlist is empty – strict enforcement would stop everything. In observation mode operations continue, the system records along and proposes the allowlist from actual behaviour. The kill switch and approval requirement stay armed throughout.
Hash-verkettete Nachweiskette Hash-chained evidence
Jeder Eintrag trägt eine Prüfsumme über seinen Vorgänger. Wer nachträglich etwas ändert, bricht die Kette sichtbar. Ein täglicher Zeitstempel einer unabhängigen Stelle bindet den Stand an einen Zeitpunkt – nachprüfbar mit Standardwerkzeugen, ohne unsere Software.
Every entry carries a checksum over its predecessor. Anyone altering something afterwards visibly breaks the chain. A daily timestamp from an independent authority binds the state to a point in time – verifiable with standard tools, without our software.
Die eigene Lücke wird gemessen The system measures its own gap
Ein Agent, der das Gate umgeht, wäre der blinde Fleck. Deshalb gleicht das System die beobachteten Werkzeugaufrufe gegen die Nachweiskette ab und weist ungeprüfte Aktionen als eigenen Befund aus – statt Vollständigkeit zu behaupten.
An agent bypassing the gate would be the blind spot. So the system reconciles observed tool calls against the evidence chain and reports ungated actions as findings of their own – instead of claiming completeness.
Läuft bei Ihnen Runs on your side
Die Aufzeichnungen eines Agenten sind mit das Sensibelste, was ein Unternehmen hat – sie enthalten Kundendaten, Preise, interne Abläufe. Der gesamte Stapel läuft self-hosted auf eigener Infrastruktur; nichts davon muss das Haus verlassen.
An agent's records are among the most sensitive data a company holds – customer data, prices, internal processes. The entire stack runs self-hosted on your own infrastructure; none of it has to leave the building.
Von der Norm zum prüfbaren Control – in sechs Schritten From regulation to testable control – in six steps
Der eigentliche Aufwand liegt nicht im Programmieren. Er liegt darin, Gesetzestexte, Verwaltungsanweisungen und Normen so zu zerlegen, dass am Ende eine Maschine im richtigen Moment eingreifen kann – und ein Prüfer nachvollziehen kann, warum.
The real effort is not in the coding. It lies in breaking down statutes, administrative guidance and standards so that in the end a machine can intervene at the right moment – and an auditor can retrace why.
- Quellen- und Lizenzlage klären Welche Fassung gilt, und darf sie überhaupt verarbeitet werden? EU-Rechtsakte und amtliche Schreiben sind frei zugänglich, ISO-Normen dagegen urheberrechtlich geschützt – deren Text landet nie in einem Repository, sondern wird referenziert und in eigenen Worten wiedergegeben.
- Anforderungen mit Fundstelle isolieren Jede einzelne Pflicht wird mit ihrer Randziffer bzw. Artikelnummer herausgezogen. Ein Sprachmodell darf hier einen Entwurf liefern, niemals ein Ergebnis: gegengelesen wird gegen den Originaltext.
- Operationalisierbarkeits-Triage Die entscheidende Frage je Anforderung: Kann Software das im Moment der Aktion erzwingen oder nachweisen? Daraus folgen vier Kategorien – erzwingbar, beobachtbar, nachweispflichtig, organisatorisch. Ein Werkzeug, das behauptet, es „operationalisiere eine Norm vollständig“, fällt beim ersten Prüfer durch.
- Controls entwerfen und rückverfolgbar machen Je erzwingbarer Anforderung entsteht eine Regel mit Auslöser und Herkunftsangabe. Das Ergebnis ist eine Traceability-Matrix: Anforderung → Control → Auslöser → Nachweisort. Genau dieses Dokument will ein Auditor als Erstes sehen.
- Fachliche Freigabe im Vier-Augen-Prinzip Die Technik liefert den Mechanismus, die fachliche Autorität bleibt beim Reviewer. Umgesetzt als Git-Review: Autor, Freigebender, Diff und Zeitstempel bilden zusammen den Freigabenachweis. Der Prozess, der die Regeln erzeugt, ist damit selbst auditierbar – mit denselben Mitteln, die das System dem Kunden anbietet.
- Test und Freigabe als Version Zu jedem Regelwerk gehört eine Testsuite: Beispielereignisse hinein, erwartete Treffer heraus. Ändert sich die Norm, ändert sich eine versionierte Datei – kein Software-Release, sondern ein nachvollziehbarer Diff.
- Clarify sources and licensing Which version applies, and may it be processed at all? EU legal acts and official guidance are freely available, ISO standards are copyrighted – their text never enters a repository; it is referenced and paraphrased instead.
- Isolate requirements with their citation Every single obligation is extracted together with its paragraph or article number. A language model may produce a draft here, never a result: everything is checked against the original text.
- Triage for operationalisability The decisive question per requirement: can software enforce or evidence this at the moment of the action? That yields four categories – enforceable, observable, evidence-bearing, organisational. A tool claiming to „fully operationalise a regulation“ fails with the first auditor.
- Design controls and make them traceable Each enforceable requirement becomes a rule with a trigger and a provenance record. The result is a traceability matrix: requirement → control → trigger → place of evidence. This is the very document an auditor asks for first.
- Sign-off under the four-eyes principle Engineering provides the mechanism, subject-matter authority stays with the reviewer. Implemented as a Git review: author, approver, diff and timestamp together form the approval record. The process that creates the rules is therefore itself auditable – by the same means the system offers its customers.
- Test and release as a version Every rule set comes with a test suite: sample events in, expected hits out. When the regulation changes, a versioned file changes – not a software release, but a reviewable diff.
Der ehrlichste Teil dieser Pipeline ist die Liste der Anforderungen, die nicht automatisierbar sind. Sie bleibt sichtbar stehen – als Arbeitsteilung zwischen System und Organisation, und als klarer Anschlusspunkt für Beratung. „Nicht alles automatisiert“ ist etwas grundlegend anderes als „nicht alles betrachtet“.
The most honest part of this pipeline is the list of requirements that cannot be automated. It stays visible – as the division of labour between system and organisation, and as a clear entry point for advisory work. „Not everything automated“ is fundamentally different from „not everything considered“.
Vier Ebenen – jedes Haus bekommt nur, was für es gilt Four layers – every company only gets what applies to it
Regelwerke werden nicht in einen Topf geworfen, sondern gestapelt. Ein Handwerksbetrieb bekommt keine Bankenaufsicht aufs Auge gedrückt, und ein Institut verliert den Querschnitt nicht aus dem Blick. Trifft ein Vorgang mehrere Ebenen, entstehen mehrere Nachweise – das ist gewollt, nicht doppelt.
Rule sets are not thrown into one pot, they are stacked. A trade business is not saddled with banking supervision, and a regulated institution does not lose sight of the cross-cutting rules. If one operation hits several layers, several records are produced – that is intended, not duplicated.
Welche Ebenen für ein Unternehmen gelten, entscheidet ein geführter Fragebogen – regelbasiert, nicht per Sprachmodell, damit die Auswahl reproduzierbar und erklärbar bleibt. Festgehalten wird auch, welche Regelwerke bewusst nicht aktiviert wurden. Damit ist die erste Prüferfrage „Warum haben Sie Norm X nicht berücksichtigt?“ bereits beantwortet, bevor sie gestellt wird.
Which layers apply is decided by a guided questionnaire – rule-based, not by a language model, so the selection stays reproducible and explainable. It also records which rule sets were deliberately not activated. That answers the first auditor question – „why did you not consider regulation X?“ – before it is asked.
Was Konzerne mit einer Stabsstelle lösen, muss im Mittelstand das System leisten What large groups solve with a governance department, the system has to do for an SME
Der Anlass für dieses Projekt kam aus einem stark regulierten Umfeld. Der Bedarf ist es nicht. Wer keine Compliance-Abteilung hat, braucht die Nachweisführung nicht weniger – er braucht sie nur so, dass sie im Betrieb nebenher entsteht.
The trigger for this project came from a heavily regulated environment. The need does not. A company without a compliance department does not need evidence any less – it just needs it to emerge alongside daily operations.
Die Querschnittsregeln treffen jede GmbH Cross-cutting rules apply to every company
Bankenaufsicht gilt nur für Institute. Zahlungen, Buchungen, Stammdatenänderungen und ein funktionierendes internes Kontrollsystem hat dagegen jedes buchführungspflichtige Unternehmen. Ein Agent, der eine Überweisung auslöst, berührt dieselben Ordnungsvorschriften – ob in der Bank oder im Handwerksbetrieb.
Banking supervision only applies to institutions. Payments, bookings, master-data changes and a functioning system of internal controls, however, exist in every company that keeps books. An agent triggering a transfer touches the same rules – in a bank or in a trade business.
Der Sanktionsrahmen kennt keine Mittelstandsschwelle Penalties have no SME threshold
Die allgemeinen Pflichten des EU AI Act gelten seit dem 2. August 2026, samt Aufsichtsstruktur und Bußgeldrahmen. Verschoben sind nur die Kataloge für Hochrisiko-Anwendungen. Wer heute Agenten produktiv einsetzt, ist im Geltungsbereich – unabhängig von der Mitarbeiterzahl.
The general obligations of the EU AI Act have applied since 2 August 2026, including supervisory structures and fines. Only the high-risk catalogues were postponed. Anyone running agents in production today is in scope – regardless of headcount.
Ein Server statt eines Lizenz-Zoos One server instead of a licence zoo
Der gesamte Stapel läuft als ein Container-Verbund auf einer einzigen Maschine – Größenordnung 4 Kerne, 8 GB, EU-Rechenzentrum, ein Mandant. Kein Nutzerlizenzmodell, kein Datenabfluss zu einem Anbieter, keine zweite Fachabteilung für den Betrieb.
The entire stack runs as one container group on a single machine – roughly 4 cores, 8 GB, EU data centre, single tenant. No per-seat licensing, no data flowing to a vendor, no second department to run it.
Der Nachweis entsteht im Betrieb, nicht im Projekt Evidence emerges from operations, not from a project
Kein Quartals-Assessment, keine Fragebogenrunde durch die Fachbereiche. Jede gestoppte Aktion erzeugt den Beleg im selben Moment und ordnet ihn den betroffenen Regelwerken zu. Der Auswahlprozess dauert etwa eine Viertelstunde, danach läuft es mit.
No quarterly assessment, no questionnaire round through the departments. Every stopped action creates its record in the same moment and maps it to the affected rule sets. Scoping takes about fifteen minutes; after that it simply runs along.
Kein Konzeptpapier – ein laufendes System Not a concept paper – a running system
Die folgenden Zahlen stammen aus der betriebenen Referenzinstanz, nicht aus einer Planung.
The figures below come from the reference instance in operation, not from a plan.
Momentaufnahme August 2026. Die Vorgänge in der Kette stammen aus nachgestellten Geschäftsfällen – aber es sind echte Durchläufe durch das echte System: jede Entscheidung hat das Gate wirklich getroffen, jeder Zeitstempel ist echt und maschinell nachprüfbar. Der externe Zeitanker wurde mit Standard-Kryptowerkzeugen unabhängig verifiziert.
Snapshot as of August 2026. The transactions in the chain come from simulated business cases – but they are real runs through the real system: every decision was genuinely made by the gate, every timestamp is real and machine-verifiable. The external time anchor was independently verified with standard cryptographic tooling.
Was das System leistet – und was ausdrücklich nicht What the system does – and what it explicitly does not
Kein Werkzeug kann eine Norm vollständig erfüllen, und eines, das es verspricht, täuscht. Diese Aufzählung gehört zum Produkt, nicht ins Kleingedruckte.
No tool can fully satisfy a regulation, and one that promises to is misleading. This list is part of the product, not of the small print.
Das leistet es What it does
- Riskante Aktionen werden vor der Ausführung gestoppt oder zur Freigabe angehalten – deterministisch und reproduzierbar.
- Zu jedem Vorgang entsteht ein Nachweis, der auf die konkrete Fundstelle im Regelwerk zeigt.
- Die Nachweiskette ist manipulationsevident: Hash-Verkettung plus täglicher, unabhängiger Zeitstempel.
- Prüfer bekommen drei Flughöhen: ein maschinelles Integritätsurteil, ein exportierbares Belegpaket und eine lesbare Ansicht der Kette.
- Regeländerungen sind versioniert und mit Autor, Freigabe und Zeitstempel belegt.
- Risky actions are stopped or held for approval before execution – deterministically and reproducibly.
- Every operation produces a record pointing to the specific citation in the rule set.
- The evidence chain is tamper-evident: hash chaining plus a daily, independent timestamp.
- Auditors get three altitudes: a machine verdict on integrity, an exportable evidence bundle and a readable view of the chain.
- Rule changes are versioned and documented with author, approval and timestamp.
Das leistet es nicht What it does not
- Es erzeugt Nachweisfähigkeit, keine Zertifizierung. Die Compliance-Aussage trifft weiterhin Ihr Managementsystem oder Ihr Prüfer.
- Die Regelwerks-Mappings sind fachlich angelehnt und ausdrücklich keine Rechts- oder Steuerberatung; solange keine fachliche Freigabe dokumentiert ist, steht das auch maschinenlesbar im Paket.
- Die Kette ist heute manipulationsevident, aber noch nicht unveränderbar gespeichert – revisionssicherer Speicher ist der nächste Ausbauschritt, kein erledigter.
- Das Gate wirkt nur, wo ein Agent es anfragt. Diese Lücke wird gemessen und ausgewiesen, nicht wegargumentiert.
- Es ist kein Buchhaltungs- oder Archivsystem und ersetzt keines. Zehn von 33 geprüften Anforderungen sind ausdrücklich Sache Ihrer Fachverfahren.
- Ein externer Penetrationstest hat noch nicht stattgefunden.
- It produces the ability to evidence, not a certification. The compliance statement still belongs to your management system or your auditor.
- The regulatory mappings are professionally derived and explicitly not legal or tax advice; as long as no expert sign-off is documented, the package states so in machine-readable form.
- The chain is tamper-evident today, but not yet stored immutably – write-once storage is the next step, not a completed one.
- The gate only works where an agent asks it. That gap is measured and reported, not argued away.
- It is not an accounting or archiving system and replaces none. Ten of 33 assessed requirements are explicitly the job of your business applications.
- An external penetration test has not yet been carried out.
Nicht nachbauen, orchestrieren Do not rebuild, orchestrate
Bewährte Open-Source-Bausteine hinter austauschbaren Schnittstellen; die eigene Wertschöpfung ist die Klammer – ein einziger Datenvertrag nach den OpenTelemetry-Konventionen für generative KI, das Gate, das Regulatorik-Mapping und die Nachweiskette. Was den Vertrag nicht erfüllt, wird gar nicht erst aufgenommen.
Proven open-source building blocks behind replaceable interfaces; the value added is the bracket around them – a single data contract following the OpenTelemetry conventions for generative AI, the gate, the regulatory mapping and the evidence chain. Whatever does not satisfy the contract is never ingested.
Ich zeige Ihnen das System live Let me show you the system live
In etwa 30 Minuten sehen Sie den vollständigen Durchlauf: ein Agent löst eine Zahlung aus, das Gate hält sie an, mehrere Regelwerke greifen gleichzeitig – und am Ende steht ein Beleg, dessen Integrität Sie sich vor Ort bestätigen lassen. Termin auf Anfrage, gerne mit Ihrem eigenen Anwendungsfall im Gepäck.
In about 30 minutes you will see the full run: an agent triggers a payment, the gate holds it, several rule sets fire at once – and at the end there is a record whose integrity you can have confirmed on the spot. Appointment on request, ideally bringing your own use case.