Shadow AI, Agenten, Governance: Wie Unternehmen die Kontrolle behalten

 Diese Agenten greifen auf Daten zu, führen Aufgaben selbstständig aus, interagieren mit Systemen und treffen teilweise eigenständige Entscheidungen. Genau deshalb rückt eine neue Frage in den Mittelpunkt: Wie lassen sich AI-Agenten sicher, nachvollziehbar und kontrolliert betreiben?

 Microsoft hat dazu im aktuellen „Agent 365 AMA“ erstmals tiefere Einblicke gegeben und deutlich gemacht, wohin die Reise geht. 

AI-Agenten brauchen Governance

Mit Agent 365 baut Microsoft eine zentrale Plattform für Governance, Sicherheit und Transparenz rund um AI-Agenten auf.

Dabei geht es nicht darum, neue Agenten zu entwickeln. Vielmehr soll Agent 365 Unternehmen dabei unterstützen, bestehende und zukünftige AI-Agenten kontrollierbar zu machen — unabhängig davon, ob diese aus Microsoft 365 Copilot, Copilot Studio oder Drittanbieter-Plattformen stammen.

Im Fokus stehen dabei vor allem:

• zentrale Sichtbarkeit aller Agenten,
• Sicherheits- und Risikobewertungen,
• Richtlinien und Zugriffskontrollen,
• Nachvollziehbarkeit von Aktivitäten
• sowie Governance-Prozesse für den gesamten Agent-Lifecycle.

Microsoft positioniert Agent 365 damit als zentrale Steuerungsebene für den produktiven Einsatz von AI-Agenten im Unternehmen. 

Warum Identitäten für Agenten entscheidend werden

Ein zentrales Thema des AMA war die Frage nach digitalen Identitäten für AI-Agenten. Denn sobald Agenten eigenständig handeln, Daten verarbeiten oder Prozesse ausführen, reicht die klassische Benutzeridentität nicht mehr aus. Unternehmen müssen künftig nachvollziehen können, ob eine Aktion von einem Mitarbeitenden oder durch einen Agenten ausgeführt wurde.

Microsoft empfiehlt deshalb klar, Agenten mit einer eigenen Entra Agent ID auszustatten.

Erst dadurch werden:

• granulare Berechtigungen,
• Conditional Access,
• Audit-Trails
• und Governance-Richtlinien

vollständig möglich.

Ohne eigene Identität bleiben Agenten zwar sichtbar, lassen sich jedoch nur eingeschränkt kontrollieren. Gerade in regulierten Branchen dürfte dieser Punkt künftig eine zentrale Rolle spielen.

Shadow AI wird zur Governance-Herausforderung

Besonders relevant für viele Unternehmen dürfte der neue Fokus auf „Shadow AI“ sein. Denn parallel zur schnellen Verbreitung von AI entstehen in vielen Organisationen bereits heute unkontrollierte Strukturen:

• lokale AI-Tools,
• nicht freigegebene Agenten,
• externe Modelle,
• individuelle Automatisierungen
• oder angebundene Drittanbieter-Services.

Mit Agent 365 möchte Microsoft genau diese Transparenzlücke schließen.

Über Defender- und Intune-Signale sollen Unternehmen künftig erkennen können, welche AI-Plattformen und Agenten innerhalb der Organisation genutzt werden — auch außerhalb offiziell freigegebener Systeme.

Damit entwickelt sich AI-Governance zunehmend zu einem strategischen Thema, vergleichbar mit früheren Herausforderungen rund um Shadow IT oder Cloud Governance.

MCPs und Tool-Zugriffe rücken in den Fokus

Ein weiterer Schwerpunkt des AMA lag auf sogenannten MCPs (Model Context Protocols). Diese ermöglichen es AI-Agenten, externe Tools, Datenquellen und Systeme anzubinden. Dadurch entstehen deutlich leistungsfähigere Agentenszenarien — gleichzeitig wächst jedoch auch die Komplexität bei Governance und Sicherheitskontrolle.

Microsoft plant deshalb zentrale Freigabe- und Steuerungsmechanismen:

• Entwickler können eigene MCP-Server einreichen,
• IT-Abteilungen prüfen und genehmigen diese,
• anschließend stehen sie kontrolliert für Agenten und Fachbereiche zur Verfügung.

Damit etabliert Microsoft einen Governance-Ansatz, der Innovation ermöglicht, ohne die Kontrolle über Datenzugriffe und Sicherheitsrichtlinien zu verlieren.

Microsoft denkt Agenten zunehmend als Unternehmensressource

Das AMA hat deutlich gezeigt: Microsoft betrachtet AI-Agenten nicht mehr als experimentelle Erweiterung von Copilot, sondern als eigenständige Unternehmensressourcen mit Governance-, Sicherheits- und Compliance-Anforderungen.

Besonders interessant dabei:
Microsoft spricht ungewöhnlich offen über aktuelle Grenzen und kommende Funktionen. Themen wie:

• automatisierte Governance-Regeln,
• feinere Shadow-AI-Kontrollen,
• Multi-Tenant-Management
• oder zusätzliche Drittanbieter-Integrationen

befinden sich aktuell noch auf der Roadmap für Sommer 2026.

Das zeigt gleichzeitig, wie dynamisch sich der Markt rund um AI-Agenten derzeit entwickelt.

Fazit

Mit Agent 365 adressiert Microsoft eine der zentralen Herausforderungen der nächsten AI-Phase: Governance.

Während viele Unternehmen aktuell noch über einzelne AI-Tools oder Copilot-Szenarien diskutieren, wird künftig vor allem entscheidend sein, wie sich autonome Agenten sicher, nachvollziehbar und regelkonform betreiben lassen.

Die eigentliche Herausforderung liegt dabei nicht nur in der Einführung von AI, sondern in der Kontrolle, Transparenz und Governance einer wachsenden Agentenlandschaft.

Unternehmen sollten sich deshalb frühzeitig mit Themen wie:

• Agent Identity,
• AI-Governance,
• Shadow AI,
• Sicherheitsrichtlinien
• und Lifecycle-Management

auseinandersetzen.

Denn mit zunehmender Verbreitung autonomer AI-Agenten wird Governance schnell zur Voraussetzung für einen produktiven und sicheren Unternehmenseinsatz.

Sie möchten den Einsatz von Microsoft Copilot und AI-Agenten strategisch uns sicher gestalten? 

HanseVision unterstützt Unternehmen bei Governance, Security und Compliance rund um Microsoft 365, Agent 365, Purview und Entra. Kontaktieren Sie uns, um Ihre KI-Agenten sicher, nachvollziehbar und regelkonform einzusetzen.  Wir unterstützen Sie dabei, Governance-Strategien zu entwickeln, Risiken zu überwachen und Prozesse umzusetzen – von Compliance über Zugriffskontrollen bis hin zu Audit-Fähigkeit.