KI-Agenten am Computer: Kosten, Grenzen und Praxis

KI-Agenten mit Computer Use sind dann sinnvoll, wenn eine notwendige Aufgabe keine nutzbare API – also keine direkte Softwareschnittstelle – bietet und sich das Ergebnis überprüfen lässt. Microsoft Copilot Studio berechnet pro Modellschritt 5 oder 15 Copilot Credits. Zum tatsächlichen Budget gehören aber auch Beaufsichtigung, Wiederholungsversuche und der Rechner, auf dem der Auftrag läuft. Die Computer-Use-Dokumentation von Microsoft definiert diese Abrechnungseinheit.

Ein Lieferantenportal, das den Export nur per Schaltfläche erlaubt, kommt dafür durchaus infrage. Ein älteres ERP-System, in dem Aufträge und Lagerbestände verwaltet werden, kann eine Steuerung des Desktops erfordern. Bei einem Behördenformular müssen die Grenzen deutlich enger gezogen werden: Angaben vorzubereiten und eine Erklärung einzureichen sind unterschiedliche Aufträge, selbst wenn die Schaltflächen direkt nebeneinanderliegen.

Die Regel für die Auswahl: Die Lösung sollte mit möglichst wenigen Zugriffsrechten auskommen und die Aufgabe trotzdem erledigen können. Nur weil ein Modell jede Schaltfläche auf dem Bildschirm anklicken kann, braucht es nicht sämtliche Befugnisse des verwendeten Kontos.

Wie KI-Agenten den Computer bedienen

Ein Computer Use Agent macht aus einer sichtbaren Benutzeroberfläche einen wiederkehrenden Ablauf: Bildschirm erfassen, Aktion auswählen, klicken oder tippen, den veränderten Bildschirm prüfen und fortfahren. Das Modell trifft die Entscheidungen; eine Ausführungskomponente setzt seine Befehle mit Maus und Tastatur um. Die aktuelle Anleitung von OpenAI beschreibt sowohl strukturierte Computeraktionen als auch Code, der die Oberfläche bedient. OpenAI Computer Use

Diese Trennung erklärt, wo der Aufwand bei der Umsetzung entsteht. Der Zugang zu einem Modell liefert nicht zwangsläufig auch einen laufenden Browser, ein angemeldetes Konto, eine Zeitsteuerung oder ein Verfahren zur Wiederaufnahme nach Fehlern. Diese Bausteine muss das umgebende Produkt oder die eigene Anwendung bereitstellen.

Für einen wöchentlichen Lieferantenbericht könnte der Agent das Berichtsmenü erkennen, den gewünschten Zeitraum auswählen und die Exportfunktion auch nach einer Änderung des Seitenlayouts finden. Ob dabei das richtige Lieferantenkonto und der richtige Berichtszeitraum ausgewählt wurden, muss weiterhin geprüft werden. Eine heruntergeladene Datei belegt zunächst nur den Download, nicht die Richtigkeit des Berichts.

Welche Aufgaben eignen sich für Computer Use?

Visuelle Steuerung gehört in den Teil des Arbeitsablaufs, der das Erfassen eines Bildschirms erfordert. Sobald der Bericht als Datei vorliegt, kann herkömmliche Software die Spalten prüfen, Datumsangaben auslesen und die Datei an ein freigegebenes Ziel verschieben. Den Agenten auch diese späteren Schritte über den Bildschirm erledigen zu lassen, erzeugt zusätzliche Entscheidungen, ohne zwangsläufig einen Mehrwert zu schaffen.

Auch reine Browsersteuerung und vollständige Desktopsteuerung sind zu unterscheiden. Ein Browser erreicht ein Webportal, aber nicht automatisch ein ERP-System, das ausschließlich als native Windows-Anwendung läuft. Vor dem Vergleich der Modellanbieter muss deshalb feststehen, in welcher Umgebung die Aufgabe ansteht.

Was sich bei der Auswahl geändert hat

Zur Wahl stehen derzeit Entwicklerwerkzeuge, Assistenten im Abonnement und Automatisierungsplattformen mit einer eigenen Verbrauchsabrechnung. Ihre Sicherheitsmechanismen und Kostenmodelle lassen sich nicht ohne Weiteres gleichsetzen.

Am 13. Oktober 2026 anhand der aktuellen Herstellerdokumentation überprüft. Grundlage sind eine Dokumentationsrecherche und eine Kostenanalyse, kein Test in einem angemeldeten Portal und kein Benchmark.

Die folgenreichste Namensänderung betrifft OpenAI: Auf der Hilfeseite zum ChatGPT agent steht inzwischen, dass das Produkt nicht mehr verfügbar ist. Stattdessen verweist sie auf ChatGPT Work und cloud browser. Weiter unten finden sich noch ältere Angaben zu Tarifen und Nachrichtenlimits. Diese überholten Grenzen eignen sich nicht als Kalkulationsgrundlage für eine neue Einführung. Status von ChatGPT agent

Zu vergleichen sind die Umgebung, die Abrechnungseinheit, das Verhalten bei Freigaben und die Zuständigkeit, wenn der Ablauf stehen bleibt. Tokens messen die Ein- und Ausgabe des Modells einschließlich codierter Screenshots; sie zählen keine abgeschlossenen Aktionen. Die Rangfolge der Modelle ist eine eigene Frage. Unser Beitrag über multimodale Modelle für Computer-Use-Agenten behandelt diese Abwägungen ausführlicher.

OpenAI Computer Use: API oder ChatGPT Work?

Computer Use über die Responses API von OpenAI richtet sich an Entwickler, die die Ausführungsumgebung selbst kontrollieren wollen. Das aktuelle Beispiel für strukturierte Aktionen verwendet GPT-6.1 Sol. Für GPT-6 Astra empfiehlt OpenAI außerdem eine Integration mit Codeausführung: Generierter Code bedient die Oberfläche über die eigene Laufzeitumgebung. Das sind unterschiedliche Integrationswege, keine unterschiedlichen Abonnements. Aktuelle API-Anleitung

Abrechnung: OpenAI kennzeichnet die Modellpreise mit „Prices per 1M tokens.“ Die Standardpreise von GPT-6.1 Sol bei kurzem Kontext liegen bei $2 für Eingaben und $10 für Ausgaben je Million Tokens. Für zwischengespeicherte Eingaben und das Schreiben in den Cache gelten separate Preise. Das sind Modellkosten, keine Preise für eine fertig erledigte Portalaufgabe. Die aktuelle Preistabelle weist keine gesonderte Gebühr pro Computerklick aus; die Position mit $2.50 je tausend Tool-Aufrufe gehört zur Dateisuche. OpenAI-API-Preise

Sicherheit: OpenAI fordert Entwickler dazu auf, Browser oder virtuelle Maschine zu isolieren, Websites und Aktionen einzuschränken, Bildschirminhalte als nicht vertrauenswürdig zu behandeln und folgenreiche Aktionen bestätigen zu lassen. Eine virtuelle Maschine ist ein separater, per Software nachgebildeter Computer. Wie gut sie schützt, hängt davon ab, welche Konten, Dateien und Netzwerke darin erreichbar sind. Die Beschränkungen müssen neben den Modellanweisungen auch in der Ausführungskomponente verankert sein. Hinweise zu Ausführung und Einwilligung

Die gehostete Alternative: Die Agents API von OpenAI stellt einen Browser bereit und verlangt für jede neue Website-Origin eine Freigabe. Die Origin ist die Adressgrenze, anhand derer eine Website identifiziert wird. Die Dokumentation unterscheidet ausdrücklich: Eine Freigabe für den Websitezugriff erzwingt keine Bestätigung einzelner Aktionen. Muss eine Aktion ohne Freigabe technisch unmöglich sein, sind die für den Browser erreichbaren Ressourcen einzuschränken oder eine selbst kontrollierte Laufzeitumgebung zu verwenden. Dokumentation zum gehosteten Browser

Die Agents API rechnet Modellnutzung zu API-Preisen, Tools zu deren regulären Preisen und gehostete Sandboxen zu Containerpreisen ab. Eine Schätzung, die nur das Modell berücksichtigt, lässt sich auf diesen Weg erst übertragen, wenn die Kosten für Umgebung und Tool-Nutzung hinzukommen. Abrechnungsregeln der Agents API

ChatGPT Work: der aktuelle Weg ohne eigene Entwicklung

ChatGPT Work cloud browser ist das derzeit relevante OpenAI-Produkt, um unterstützte Websiteaufgaben zu delegieren. Es arbeitet auf einem separaten Rechner in der Cloud statt in der bereits geöffneten eigenen Browsersitzung. Der Zugang hängt vom unterstützten Bezahltarif, der Region und den Berechtigungen im Arbeitsbereich ab. Dokumentation zu cloud browser

Abrechnung: Laut OpenAI wird bei berechtigten persönlichen Tarifen zunächst die enthaltene Nutzung verbraucht. Darüber hinausgehende unterstützte Nutzung kann auf gekauftes Guthaben zugreifen. Work kann dieses Kontingent mit anderen agentischen Funktionen teilen. Bei Business und Enterprise erfolgt die guthabenbasierte Work-Abrechnung auf Tokenbasis; die Preise hängen vom Modell und der Vereinbarung ab. Daraus ergibt sich in keinem Fall ein allgemeingültiger Dollarpreis pro Download. Nutzungsregeln für persönliche Tarife, Guthabenpreisliste für Unternehmen

Sicherheit: cloud browser fragt standardmäßig nach einer Freigabe für neue Websites, bietet Einstellungen zum Erlauben und Sperren von Seiten und soll bei folgenreichen Aktionen eine Bestätigung einholen. Die Anmeldung erfolgt über ein sicheres Formular. Websitebetreiber können automatisierten Zugriff dennoch blockieren. Wenn ein Lieferantenportal im eigenen Browser funktioniert, ist damit seine Funktionsfähigkeit in diesem Cloud-Browser noch nicht belegt. Sicherheitsmechanismen von cloud browser

Dieser Weg eignet sich für einen von einer Person begleiteten Ablauf, dessen Ergebnis sich überprüfen lässt. Eine API-Integration ist angebracht, wenn die Anwendung verbindliche Haltepunkte, strukturierte Protokolle oder ein vom Unternehmen verantwortetes Wiederherstellungsverfahren benötigt.

Claude Computer Use: Tool oder Claude in Chrome?

Das Computer Use Tool von Anthropic stellt Claude Funktionen für die Bildschirmerfassung und Eingaben bereit; die eigene Anwendung führt die Aufrufe aus. Das aktuelle clientseitige Toolset kann mehrere Aktionen in einem Durchgang zurückgeben und unterstützt unter anderem Claude Sonnet 5.5. Innerhalb von Claude Managed Agents ist es derzeit nicht verfügbar. Das ist besonders relevant, wenn bei einem verwalteten Produkt auch eine bereitgestellte Desktopumgebung erwartet wurde. Anthropic-Dokumentation zu Computer Use

Abrechnung: Laut Anthropic gelten für Computer Use die regulären Preise der Tool-Nutzung. Das aktuelle Standardtoolset verursacht zusätzlich etwa 4 500 Eingabetokens; Screenshots und Tool-Ergebnisse kommen als weitere Eingaben hinzu. Der Grundpreis von Claude Sonnet 5.5 beträgt $2 für Eingaben und $10 für Ausgaben je Million Tokens. Wiederholte Bildschirmaufnahmen und der Gesprächsverlauf erklären, warum eine Aufgabe mehr kostet, als die ursprüngliche Anweisung vermuten lässt. Tool-Kosten, Modellpreise

Sicherheit: Anthropic prüft Tool-Rückgaben wie Screenshots auf mögliche Prompt Injection, also auf Anweisungen in Seiteninhalten, die den Agenten umlenken sollen. Bei einem Verdacht wird Claude dazu angehalten, zu prüfen, ob die Anweisung vom Nutzer stammt. Anthropic verlangt weiterhin eine Abschottung gegenüber sensiblen Daten und Aktionen sowie die Zustimmung des Nutzers. Der Klassifikator ist eine Schutzmaßnahme, ersetzt aber keine Berechtigungsgrenze. Entwickler müssen einschränken, welche Websites aus der Ausführungsumgebung erreichbar sind. Sicherheit bei Computer Use

Für Aufgaben, die sich auf Webseiten beschränken, verweist Anthropic auf das separate Browser Use Tool. Es kann neben Screenshots auch die Seitenstruktur nutzen. Allein das Fehlen einer Portal-API rechtfertigt daher noch keine vollständige Desktopumgebung. Browser Use Tool

Unsere Kostenanalyse zu Computer Use mit mehreren Aktionen erklärt, wann sich das Bündeln von Aktionen rechnet. Die praktische Grenze ist klar: Ein Aktionspaket darf keinen Punkt überschreiten, an dem ein Mensch den Zustand prüfen und den nächsten Schritt freigeben muss.

Claude in Chrome: gemeinsames Kontingent und Browserberechtigungen

Claude in Chrome ist die Browsererweiterung von Anthropic, die beim Lesen, Klicken und Navigieren auf Websites unterstützt. Sie ist in den Tarifen Pro, Max, Team und Enterprise verfügbar. Die Chrome-Seitenleiste befindet sich in der Beta; die Cowork-Funktionen hängen vom Einführungsstand und den Administratoreinstellungen ab. Claude in Chrome einrichten

Abrechnung: Anthropic beschreibt die Chrome-Nutzung als „count against the same plan limits“: Sie wird auf dieselben Tariflimits wie Claude oder Claude Code angerechnet. Browserinteraktionen verbrauchen mehr Kontingent als normale Chats. Im Modus Automatically approve wird für Sicherheitsprüfungen zusätzliches Kontingent benötigt. Ein fester Preis pro heruntergeladenem Bericht ist nicht angegeben. Nutzungslimits in Chrome

Sicherheit: Im Modus Manually approve werden die geplanten Zugriffe und Aktionen geprüft. Laut Berechtigungsleitfaden bleiben Downloads auch bei einer dauerhaft freigegebenen Website geschützt; für sensible Informationen und Autorisierungen sind Freigaben erforderlich. Zu den untersagten Aktionen zählen Käufe, das Anlegen von Konten, endgültiges Löschen und nicht vertrauenswürdige Downloads. Organisationen können Listen erlaubter und gesperrter Websites vorgeben. Die Modi unterscheiden sich: Bei einem unbeaufsichtigten Modus darf nicht vorausgesetzt werden, dass sämtliche manuellen Prüfpunkte erhalten bleiben. Chrome-Berechtigungen

Der Zugriff auf den eigenen Browser ist praktisch, macht aber auch Daten angemeldeter Sitzungen erreichbar. Anthropic empfiehlt ein separates Profil und rät von sensiblen oder regulierten Seiten ab. Enthält ein Lieferantenportal vertrauliche Unternehmensdaten oder personenbezogene Daten, muss die Eignung vor der Entscheidung für diesen Weg geklärt werden. Sicherheitshinweise für Claude in Chrome

Microsoft Copilot Studio: Windows automatisieren, nach Schritten bezahlen

Microsoft Copilot Studio computer use liegt nahe, wenn eine Aufgabe sowohl Windows-Desktopanwendungen als auch Websites umfasst. Ein Agent bedient den eingerichteten Rechner mithilfe generativer Orchestrierung. Dieses System wählt seine Tools aus und koordiniert sie. Microsoft Computer Use

Abrechnung: Microsoft rechnet pro Modellschritt ab: 5 Copilot Credits für ein Standardmodell oder 15 für ein Premiummodell. Ein Schritt kann mehrere Klicks oder andere elementare Aktionen enthalten. Die Anzahl der Schaltflächen im Ablauf lässt deshalb keinen zuverlässigen Rückschluss auf die Rechnung zu. Lizenzierung von Computer Use

Sicherheit: Die Zugriffskontrolle muss aktiviert werden, um Websites und Anwendungen einzuschränken; standardmäßig gelten keine solchen Beschränkungen. Laut Microsoft werden dadurch Interaktionen außerhalb der Liste blockiert. Das Öffnen dieser Websites wird jedoch nicht verhindert. Empfohlen sind ein dedizierter, isolierter Rechner und eine Prüfung der Identität, die die Verbindung verwendet. Zugriffskontrollen

Die Funktion zur menschlichen Beaufsichtigung kann Rückfragen stellen. Microsoft erklärt jedoch ausdrücklich, dass diese Anfragen probabilistisch erfolgen: Sie garantieren weder einen Sicherheitsstopp noch die Durchsetzung eigener Regeln. Eine Einkaufsfreigabe braucht deshalb eine separat erzwungene Grenze im Arbeitsablauf. Eine Anweisung an das Modell, vorher nachzufragen, reicht nicht aus. Grenzen der menschlichen Beaufsichtigung

Für die technische Leitung eines mittelständischen Unternehmens ist der Betrieb innerhalb einer vorhandenen Windows- und Automatisierungsumgebung attraktiv. Neben den Credits müssen Rechnerverwaltung, Berechtigungen und die Behandlung von Ausnahmefällen einkalkuliert werden. Für ein junges Unternehmen, das lediglich einen Bericht im Browser abruft, kann dieser Infrastrukturaufwand zu groß sein.

Weitere Entwickleroptionen von Google und Amazon

Google Gemini Computer Use

Google Gemini Computer Use unterstützt Browser-, Mobilgeräte- und Desktopumgebungen über eine selbst implementierte Ausführungskomponente. Die aktuelle Anleitung von Google empfiehlt Gemini 3.8 Flash. Gemini Computer Use

Abrechnung: Google beschreibt Computer Use mit „Charged as regular tokens per model pricing.“ Es gelten also die regulären Tokenpreise des Modells. Bei Gemini 3.8 Flash kostet der kostenpflichtige Standardtarif bis zum 31. Dezember 2026 je Million Tokens $0.75 für Eingaben und $3.75 für Ausgaben einschließlich Thinking. Ab dem 1. Januar 2027 nennt die Seite $1.50 und $7.50. Computer Use selbst ist im kostenlosen Tarif nicht verfügbar. Gemini-Preise

Sicherheit: Der Client muss Bestätigungsanfragen und blockierte Aktionen beachten. Google empfiehlt eine Sandbox sowie Listen erlaubter und gesperrter Navigationsziele. Die Erkennung von Prompt Injection anhand von Screenshots muss ausdrücklich aktiviert werden und ist standardmäßig ausgeschaltet. Diese Schutzmechanismen müssen bewusst eingerichtet werden. Die Tool-Deklaration allein bedeutet nicht, dass sie bereits aktiviert sind. Sicherheitsmechanismen von Gemini

Auch dies ist eine Option für Entwickler, keine sofort einsatzbereite Arbeitskraft für den laufenden Betrieb. Der attraktive Tokenpreis deckt weder das Hosting des Browsers noch die Prüfung der Ergebnisse ab.

Amazon Nova Act

Amazon Nova Act verbindet natürlichsprachlich beschriebene Browseraktionen mit einer Ablaufsteuerung in Python. Es kommt infrage, wenn die Entwicklung die Browserarbeit des Agenten in explizite Programmlogik einbetten will. Überblick zu Nova Act

Abrechnung: AWS nennt „$4.75 per agent hour.“ Gemeint ist die verstrichene Zeit, während der Agent arbeitet; parallel laufende Agenten erzeugen jeweils eigenen Verbrauch. Wartezeit auf einen Menschen wird ausgenommen, wenn der dafür vorgesehene Human-in-the-Loop-Mechanismus implementiert ist. Die Kostenformel lautet: aktive Agentenstunden multipliziert mit $4.75, zuzüglich separat anfallender Infrastrukturkosten. Nova-Act-Preise

Sicherheit: Das SDK unterstützt URL-Beschränkungen über State Guardrails und blockiert lokale Dateizugriffe und Uploads, sofern die Pfade nicht freigegeben sind. Menschliche Freigaben müssen mit dem SDK selbst implementiert werden; ein betreuter Prüfservice ist damit nicht verbunden. Auch die umgebende Browserumgebung muss eingeschränkt bleiben. Eine URL-Regel erteilt keine Befugnis zur Ausführung einer Aufgabe. SDK-Sicherheit, Human-in-the-Loop implementieren

Was kostet ein Computer Use Agent pro Aufgabe?

Ein allgemeingültiger Preis pro Portaldownload lässt sich nicht seriös angeben. Die Anbieter rechnen Tokens, Schritte, aktive Zeit oder ein gemeinsam genutztes Abokontingent ab. Ein Preisangebot pro Aufgabe setzt den konkreten Ablauf und eine gemeinsame Definition dafür voraus, wann die Aufgabe abgeschlossen ist.

Für ein nachvollziehbares Rechenbeispiel übernehmen wir die 50 000 Eingabetokens und 15 000 Ausgabetokens aus dem veröffentlichten Abrechnungsbeispiel von Anthropic. Dieses Beispiel misst keinen Computer-Use-Einsatz; es liefert lediglich dokumentierte Mengen als Rechengrundlage. Angenommen werden reguläre, nicht zwischengespeicherte Eingaben, keine Cache-Schreibvorgänge und keine zusätzlichen Tools oder Hostingkosten. Quelle der beispielhaften Tokenmengen

Dies sind eigene Berechnungen anhand der verlinkten Preise von OpenAI, Anthropic und Google. Gleiche Tokenmengen bedeuten nicht, dass Aufgabenaufwand, Geschwindigkeit oder Zuverlässigkeit gleich sind. Maßgeblich ist der gesamte abgerechnete Tokenverbrauch eines Durchlaufs einschließlich berechnetem Verlauf und Screenshots, nicht die Wortzahl des Ausgangsprompts.

Microsoft liefert ein anderes Rechenbeispiel: Ein Ablauf zur Arbeitszeiterfassung mit vier Modellschritten verbraucht 20 Standard- oder 60 Premium-Credits. Beim dokumentierten nutzungsabhängigen Preis von $0.01 pro Credit ergeben sich $0.20 oder $0.60 für die Computer-Use-Schritte. Das ist Microsofts Beispiel zur Arbeitszeiterfassung, keine Vorhersage, dass ein beliebiges Portal mit vier Schritten auskommt. Schrittbeispiel, Preis pro Credit

Ein Assistent im Abonnement verlangt eine andere Rechnung. Zusätzliche Nutzung kann durch das Restkontingent bereits bezahlt sein und trotzdem Kapazität verbrauchen, die für andere Aufgaben benötigt wird. Auch den Abopreis durch ein beworbenes Nachrichtenlimit zu teilen, würde eine Anfrage mit einem erfolgreich geprüften Bericht verwechseln.

Entscheidend sind die Kosten pro abgenommenem Ergebnis

Für den Betrieb eignet sich folgende Rechnung:

Kosten pro abgenommenem Bericht = (Gebühren aller Durchläufe + anteilige Ausführungskosten + Personalkosten für Prüfung und Wiederherstellung) ÷ Anzahl abgenommener Berichte.

Auch fehlgeschlagene Durchläufe gehören in den Zähler. Ein Bericht gilt erst dann als abgenommen, wenn Konto, Zeitraum, Dateiinhalt und Ziel den Anforderungen entsprechen. Andernfalls belohnt ein niedriger Preis pro Downloadversuch das falsche Verhalten.

Bei einer wöchentlichen Aufgabe lässt sich der Arbeitsaufwand ebenso konkret vergleichen: Zeit für die manuelle Bearbeitung minus Zeit für Freigaben, Prüfung und Wiederherstellung. Die tatsächlich eingesparte Zeit wird mit den eigenen Personalkosten einschließlich Nebenkosten bewertet; anschließend werden die Automatisierungskosten abgezogen. Deckt das Ergebnis Einrichtung und laufende Wartung innerhalb des gewählten Amortisationszeitraums nicht ab, bleibt der manuelle Prozess oder eine einfachere Automatisierung die bessere Wahl.

Hier werden weder ein Personalkostensatz noch eine Erfolgsquote oder Bearbeitungsdauer unterstellt. Diese Werte muss das Unternehmen selbst ermitteln; der Tokenpreis eines Anbieters liefert sie nicht.

Wann sind API, MCP-Server oder Browserautomatisierung besser?

Ein direkter Weg ist vorzuziehen, wenn er genau die benötigte Operation ausführen kann. Erste Anlaufstelle ist meist eine API: eine Schnittstelle, die Software ohne Navigation durch Bildschirmoberflächen aufrufen kann. Vor der Beauftragung eines visuellen Agenten sollte der Lieferant nach Berichtsendpunkten, zeitgesteuerten Exporten oder unterstützter Dateizustellung gefragt werden.

Ein MCP-Server stellt einer KI-Anwendung über das Model Context Protocol Tools und Daten mit einer gemeinsamen Schnittstelle bereit. Dahinter kann eine API stehen, aber auch eine Browsersteuerung. MCP ist deshalb nicht automatisch eine Alternative zu Computer Use: Das dahinterliegende Tool bestimmt, wie die Arbeit ausgeführt wird. MCP-Architektur

Ein aufgabenspezifisches MCP-Tool ist vorzuziehen, wenn es die erlaubte Operation direkt anbietet, etwa den Abruf eines freigegebenen Berichts. Dadurch kann der Handlungsspielraum des Modells kleiner ausfallen als bei einer vollständigen Bildschirmoberfläche. Eine Exportfunktion, die der Lieferant nie zugänglich gemacht hat, kann es allerdings nicht herbeizaubern.

Ein gepflegtes Browserskript ist vorzuziehen, wenn dieselben stabilen Bedienelemente und Prüfungen wiederholt benötigt werden. Ein Skript kann den Zeitraum auswählen und auf den Download warten, ohne dass ein Modell jeden Schritt neu interpretieren muss. Wartung und Kontrollen bleiben nötig; der Vorteil liegt darin, bekanntes Verhalten ausdrücklich festzulegen.

Ein Agent mit Browsertools eignet sich, wenn der Ablauf Urteilsvermögen erfordert und die Seite zugleich eine nutzbare Struktur bietet. Playwright MCP von Microsoft nutzt Accessibility-Snapshots, also eine strukturierte Darstellung der Bedienelemente einer Seite. Dafür müssen keine Screenshots interpretiert werden. Die Verantwortlichen weisen zugleich darauf hin, dass das Tool keine Sicherheitsgrenze bildet. Unser Leitfaden zur Einrichtung und zu den Grenzen von Playwright MCP erläutert die praktischen Abwägungen. Offizielles Playwright-MCP-Repository

Visuelle Computersteuerung ist sinnvoll, wenn die Aufgabe eine native Anwendung, eine visuelle Oberfläche ohne nutzbare Struktur oder einen Navigationsweg voraussetzt, der sich mit den verfügbaren direkten Tools nicht vernünftig abbilden lässt. Ihr Einsatz sollte auf diesen Abschnitt beschränkt bleiben. Danach geht die Datei zurück an herkömmliche Software.

Praxisbeispiel: den wöchentlichen Lieferantenbericht herunterladen

Der sicherste sinnvolle Einstieg ist ein Abrufprozess mit geprüftem Ergebnis und einer Freigabe durch einen Menschen. Der folgende Entwurf veranschaulicht einen Ablauf für ein Lieferantenportal; er beschreibt keinen Test mit angemeldetem Konto. Vorausgesetzt wird, dass das Portal den Ablauf erlaubt, die Daten für das gewählte Produkt geeignet sind und das Konto den Bericht exportieren darf.

Das Ziel ist klar eingegrenzt: Den vereinbarten wöchentlichen Lieferbericht für das freigegebene Lieferantenkonto und den abgeschlossenen Berichtszeitraum abrufen, in einem Zwischenablageordner speichern und die Geschäftsdaten unverändert lassen.

1. 1

   Auftrag und Zugriff freigeben

   Die verantwortliche Person legt die genaue Portaladresse, das Konto, den Berichtszeitraum, den Berichtstyp und den Zwischenablageordner fest. Das Konto sollte ausschließlich die für diesen Auftrag nötigen Zugriffsrechte besitzen. Vor dem ersten Durchlauf wird dieser Umfang von einem Menschen freigegeben. Ein neues Lieferantenkonto oder Ablageziel erfordert eine erneute Prüfung und darf nicht aus Seitentexten abgeleitet werden.

2. 2

   Den vorgesehenen Anmeldeweg verwenden

   Falls erforderlich, übernimmt ein Mensch die Anmeldung oder Mehrfaktorauthentifizierung. In ChatGPT Work ist dafür der sichere Anmeldeablauf vorgesehen; Zugangsdaten gehören nicht in den Chat. Bei einer API-Implementierung bleibt die Verarbeitung der Zugangsdaten außerhalb des Modellprompts. Bei einem CAPTCHA, einem unerwarteten Anmeldeziel oder einer Zugriffssperre muss der Ablauf auf die zuständige Person warten. Daraus ergibt sich keine Befugnis für den Agenten, das Hindernis zu umgehen.

3. 3

   Zum Bericht navigieren und die Auswahl vorbereiten

   Der Agent öffnet den Berichtsbereich, wählt den freigegebenen Bericht und Zeitraum aus und dokumentiert den gewählten Zustand. Bei einem unklaren Zeitraum, einem abweichenden Konto oder einem fehlenden Bericht muss er stoppen. Das Modell darf die Beschriftung einer Schaltfläche lesen. Ein Banner, das zum Hochladen von Daten an einen anderen Ort auffordert, darf es jedoch nicht als neuen Auftrag behandeln.

4. 4

   Vor dem Download die menschliche Freigabe einholen

   Der verantwortlichen Person werden Konto, Berichtsname, Datumsbereich, Quelle und Ziel angezeigt. Bis zu ihrer Freigabe pausiert der Ablauf. Bei manueller Freigabe in Claude in Chrome entspricht dies der dokumentierten Downloadberechtigung. In einer eigenen Implementierung muss die Anwendung diesen Prüfpunkt erzwingen. Die probabilistische Beaufsichtigung von Copilot Studio allein garantiert diese Pause nicht.

5. 5

   In die Zwischenablage herunterladen und die Datei prüfen

   Der Agent startet den freigegebenen Download. Zunächst wird geprüft, ob eine Datei angekommen ist und das erwartete Format hat. Anschließend werden Konto und Berichtszeitraum in der Datei kontrolliert. Ist das Exportschema bekannt, prüft herkömmliche Software die erforderlichen Spalten. Ein leerer Bericht kann korrekt sein; fehlende Zeilen dürfen nicht erfunden werden, nur damit eine Prüfung erfolgreich ausfällt.

6. 6

   Weitergabe freigeben und Ergebnis protokollieren

   Ein Mensch prüft das Validierungsergebnis, bevor die Datei in den betrieblich genutzten Ordner verschoben wird. Diese Freigabestufe gehört zu unserem vorgeschlagenen Ablauf; damit ist nicht behauptet, dass jeder Anbieter sie bereitstellt. Protokolliert werden die abgenommene Datei, Quelle, Zeitraum, Eingriffe, abgerechneter Verbrauch und alle fehlgeschlagenen Versuche. Ein unpassender Bericht bleibt zur Prüfung im Zwischenablageordner.

Die beschriebenen Anmelde- und Downloadabläufe folgen der jeweiligen Dokumentation zu OpenAI cloud browser und den Berechtigungen bei Anthropic. Die zusätzlichen Prüfpunkte für Auftragsumfang, Validierung und Weitergabe sind Teil unseres eigenen Ablaufentwurfs.

Ein wöchentlicher Zeitplan soll den Prozess starten, ohne neue Befugnisse zur Änderung seines Umfangs zu erteilen. Bei einer abgelaufenen Anmeldung, einem veränderten Bericht, einer fehlenden Datei oder einer ausstehenden Freigabe muss der Ablauf auf einen Menschen warten können, ohne stillschweigend eine andere Aufgabe zu übernehmen.

Bei einem Behördenformular liegt der Haltepunkt früher: Vorbereitung und Einreichung lassen sich trennen. Bei einem ERP-System sollte sich der erste Auftrag nach Möglichkeit auf den Abruf beschränken. Ein Ablauf, der Bestandskorrekturen buchen oder Erklärungen einreichen kann, braucht ein anderes Berechtigungskonzept als ein Download.

Welche Versprechen gehen zu weit?

„Keine API nötig“ beschreibt den Zugang, nicht die Zuverlässigkeit. Auch der Weg über den Bildschirm erfordert eine Anmeldung, erlaubte Automatisierung, eine nutzbare Oberfläche und die Möglichkeit, ein korrektes Ergebnis zu erkennen. Ein Agent kann eine verschobene Schaltfläche wiederfinden und trotzdem übersehen, dass das Portal den Datumsfilter zurückgesetzt hat.

„Fragt bei Bedarf nach“ ist schwächer als eine erzwungene Freigabe. Die gehostete API von OpenAI unterscheidet Websiteberechtigungen von Aktionsbestätigungen. Microsoft garantiert die Rückfragen der menschlichen Beaufsichtigung nicht. Für die Beschaffung folgt daraus eine konkrete Anforderung: Die Umsetzung muss zeigen, wo eine unerlaubte Aktion verhindert wird. Eine Stelle im Prompt, die davon abrät, genügt nicht.

„Eine Aufgabe kostet nur wenige Cent“ kann den teuren Teil ausblenden. Muss jemand bei einem erneuten Versuch den Durchlauf öffnen, den Zustand verstehen und den Ablauf wiederherstellen, entsteht Arbeitsaufwand – auch bei niedrigen Modellkosten. Sinnvoll vergleichen lässt sich das abgenommene Ergebnis bei bekanntem Prüfaufwand.

„Funktioniert mit jeder App“ ersetzt keinen Abnahmetest. Eine Vorführung an einem Beispielformular belegt nicht, dass Anmeldung, Berichtsauswahl oder Dateiexport des eigenen Lieferanten funktionieren. Gefragt sind Nachweise für den tatsächlich einzukaufenden Ablauf. Diese müssen von Herstellerbenchmarks getrennt betrachtet werden.

Wer sollte jetzt einsteigen, wer besser abwarten?

Für Anwender im Betrieb: Der Einstieg sollte ein freigegebener Abrufauftrag sein, dessen Ergebnis sich mit bekannten Verfahren prüfen lässt. Für Ausnahmefälle bleibt eine Person verantwortlich. Wenn die manuelle Erledigung weniger Arbeit verursacht als die Beaufsichtigung der Automatisierung, spricht wenig für die Einführung.

Für Entwickler: Mit der engsten geeigneten Integration beginnen und Bildschirmsteuerung nur dort ergänzen, wo sie nötig ist. Haltebedingungen, Protokolle, Validierung und Wiederherstellung liegen in der eigenen Verantwortung. Das Modell ist ein Baustein; geliefert wird ein dauerhaft gepflegter Arbeitsablauf.

Für Gründer und Einkauf: Das Angebot muss Einrichtung, laufende Softwarekosten, Ausführung und Prüfung getrennt ausweisen. Zu klären ist, was nach einer Portaländerung passiert und wer die Wiederherstellung bezahlt. Abwarten ist angebracht, wenn der vorgeschlagene Ablauf folgenreiche Änderungen vornehmen kann, sein einziger Freigabemechanismus aber eine natürlichsprachliche Anweisung ist.

Für Teams mit funktionierender API oder zuverlässigem Export: Möglicherweise besteht kein Handlungsbedarf. Eine verlässliche Integration durch zusätzliche Bildschirmnavigation zu ersetzen, bringt für sich genommen keinen betrieblichen Vorteil.

Häufige Fragen aus dem Betrieb

Kann ein Agent unser Lieferantenportal ohne API bedienen?

Möglicherweise – sofern das gewählte Produkt das Portal erreichen und bedienen kann, die Website den Ablauf erlaubt und sich das Ergebnis prüfen lässt. Eine fehlende API begründet den Bedarf an einem anderen Zugangsweg. Sie belegt weder Browserkompatibilität noch die Erlaubnis zur Automatisierung.

Kann der Ablauf jede Woche ohne erneute Anmeldung laufen?

Das hängt davon ab, wie lange die Sitzung erhalten bleibt und welche Anmelderegeln das Portal vorgibt. Der Zeitplan muss pausieren, sobald eine Anmeldung oder Freigabe erforderlich ist. Nur weil ein Produkt Aufgaben zeitgesteuert starten kann, lässt sich daraus kein unbeaufsichtigter Abschluss versprechen.

Welcher Computer Use Agent eignet sich für ein älteres Windows-ERP?

Ausgangspunkt ist die benötigte Umgebung. Copilot Studio unterstützt eingerichtete Windows-Rechner; eine von Entwicklern kontrollierte Computer-Use-Integration kann eine eigene Desktopumgebung bereitstellen. Ein reiner Browserassistent eignet sich nur, wenn der ERP-Ablauf in einem von ihm unterstützten Browser verfügbar ist. Danach sind Berechtigungen, Zuständigkeit bei Störungen und die Kosten pro abgenommenem Ergebnis zu vergleichen.

Darf der Agent ein Behördenformular nach dem Ausfüllen auch einreichen?

Aus der Erlaubnis zur Vorbereitung folgt keine Befugnis zur Einreichung. Die konkreten Angaben und die Erklärung müssen von einem Menschen geprüft werden. Zudem sind die Beschränkungen des gewählten Produkts einzuhalten und eine ausdrückliche Freigabestufe vorzusehen. Lässt sich diese Grenze nicht erzwingen, sollte die Person das Formular selbst einreichen.

Der nächste Schritt für Montag: Für den wöchentlichen Download Lieferantenkonto, Berichtszeitraum, erlaubtes Ablageziel, Abnahmekriterien und zuständige Person für die Freigabe festhalten. Bevor eine beaufsichtigte Umsetzung über die Bildschirmoberfläche geplant wird, sollte der Prozessverantwortliche prüfen, ob ein unterstützter Export oder eine Integration verfügbar ist.

Weitere praktische Entscheidungshilfen zum KI-Einsatz gibt es im Newsletter.