ChatGPT Work und die Falle des generischen Ausführungs-Agenten

OpenAI positioniert ChatGPT Work als Partner für die anspruchsvollste Arbeit – ein Agent, der Aufgaben über Apps, Dateien und Web-Ressourcen hinweg autonom ausführt, statt nur auf Prompts zu antworten. Die Zahlen, die kursieren, klingen verlockend: 30 bis 40 Prozent Produktivitätsgewinne in realen Workflows, bis zu 90 Prozent weniger Wartezeit bei der Informationsbeschaffung, teils 25 bis 40 Prozent mehr Umsatz durch schnellere, personalisierte Kundeninteraktionen.

Das MIT-x-BCG-Report liefert ähnliche Größenordnungen: 40 bis 50 Prozent Zeitersparnis bei textbasierten Aufgaben mit GPT-4. Für einen Operator, der zwischen Gmail, Linear und dem Kalender pendelt, ist das eine attraktive Aussicht. Endlich ein Assistent, der nicht nur Text generiert, sondern handelt.

Der Haken zeigt sich nicht in der Demo. Er zeigt sich, wenn der Agent auf die tatsächliche Unordnung eines Unternehmens trifft.

ChatGPT-Agenten operieren aus Sicherheitsgründen in einer Sandbox-Umgebung. Das begrenzt potenziellen Schaden – aber es begrenzt auch, was der Agent überhaupt kann. Viele Websites blockieren Bot-Traffic oder verlangen interaktive Authentifizierung wie CAPTCHAs oder Multi-Faktor-Verfahren. Genau solche Hürden kann der Agent nicht zuverlässig überwinden.

Konkret berichten Analysen von gescheiterten Preisvergleichen, veralteten Informationen und Kaufempfehlungen, die das vorgegebene Budget um mehr als 50 Prozent überschritten. Das ist kein OpenAI-spezifisches Problem – ähnliche Fehlerbilder zeigen sich bei konkurrierenden Agentenplattformen wie Manus.

Übertragen auf den Alltag eines Operators heißt das: Ein Agent, der ohne Anbindung an HubSpot oder Pipedrive versucht, einen Lead-Status zu aktualisieren, arbeitet mit veralteten oder unvollständigen Annahmen. Er kann etwas ausführen – aber er kann nicht wissen, ob es das Richtige war. Ohne strukturierten, hochwertigen Datenzugriff sind Agenten anfällig für Hallucinations, Faktenfehler und Fehlinterpretationen. Genau das ist die Falle: Tempo wird zur Priorität, Verlässlichkeit bleibt auf der Strecke.

Ein Agent, der Aufgaben über Apps hinweg ausführen soll, aber keinen echten, strukturierten Zugriff auf die Systeme hat, in denen die Wahrheit eines Unternehmens liegt, arbeitet im luftleeren Raum. Wenn Kundendaten in HubSpot liegen, Deals in Pipedrive, Tickets in Linear und die Kommunikation in Gmail oder Slack verteilt ist, reicht ein generischer Blick auf ein Chatfenster nicht.

Deployment von Agenten auf ineffizienten oder schlecht definierten Prozessen bringt keinen echten Produktivitätsgewinn – es automatisiert lediglich die bestehende Ineffizienz. Ein Agent, der einen unvollständigen CRM-Eintrag liest und daraus eine Kundenantwort formuliert, produziert eine Antwort, die schneller da ist, aber nicht richtiger.

Das ist der Kernpunkt, den viele Operatoren übersehen, wenn sie ChatGPT Work testen: Die Frage ist nicht ‚Kann der Agent das ausführen?‘, sondern ‚Hat der Agent Zugriff auf den Kontext, der die Ausführung überhaupt sinnvoll macht?‘. Ohne Integration testet man Geschwindigkeit. Mit Integration testet man Verlässlichkeit. Das sind zwei unterschiedliche Fragen, und die meisten Evaluierungen beantworten die falsche.

Je eigenständiger ein Agent handelt, desto größer wird die Angriffsfläche. Anders als klassische Chatbots können Agenten Aktionen initiieren, auf APIs zugreifen und Daten über Systeme hinweg manipulieren. Das macht sie zu einem attraktiven Ziel für Angreifer, die Schwachstellen für Datenexfiltration oder Sabotage ausnutzen wollen.

Besonders relevant: Prompt-Injection-Angriffe, bei denen bösartige Anweisungen in Webinhalten versteckt sind. Trifft ein Agent auf solche Inhalte, kann er manipuliert werden, sensible Daten zu leaken oder unautorisierte Aktionen auszuführen. Bereits dokumentierte Vorfälle – etwa die Offenlegung von Nutzer-Chats in Suchmaschinenergebnissen – zeigen, wie real dieses Risiko ist.

Für einen Operator, dessen Agent Zugriff auf E-Mails, Verträge und Kundendaten hat, ist das kein abstraktes Risiko. Ein Agent, der ohne saubere Governance auf das Postfach zugreift, um Termine im Kalender zu koordinieren, ist gleichzeitig ein Agent, der ohne saubere Governance Angriffsfläche für genau diese Daten schafft. Governance-Fragen – Zugriffskontrollen, Audit-Trails, regelmäßige Sicherheitsbewertungen – müssen vor der Skalierung geklärt sein, nicht danach.

Meine konkrete Einschätzung: ChatGPT Work ist derzeit am besten geeignet für klar definierte, wiederholbare Aufgaben in kontrollierten Umgebungen – nicht als universelle Automatisierungslösung für ein ganzes Unternehmen. Die Versuchung, es als Allzwecklösung zu behandeln, führt zu Ineffizienz, Sicherheitslücken und organisatorischem Frust.

Wer einen KI-Stabschef testen will, sollte die Reihenfolge umdrehen: Erst die Systemanbindung klären – welche Daten aus Gmail, Calendly, Stripe oder Notion tatsächlich in Echtzeit verfügbar sind – und erst dann die Frage stellen, wie gut ein Agent damit arbeitet. Ein Agent, der auf saubere, strukturierte Daten aus dem echten Stack zugreift, trifft andere Entscheidungen als einer, der im Sandkasten mit veralteten Annahmen operiert.

Genau darin liegt der Unterschied zwischen einem Aufgaben-Ausführer und einem Chief of Staff. Ein Aufgaben-Ausführer macht das, was im Prompt steht, so schnell wie möglich. Ein Chief of Staff – menschlich oder KI-gestützt – kennt den Kontext: welcher Deal in Pipedrive gerade kippt, welches Linear-Ticket überfällig ist, welche E-Mail-Antwort seit drei Tagen wartet. Ohne diese Anbindung bleibt jede Autonomie Show. Mit ihr wird sie erst nützlich. Domain-spezifische Anpassung, kuratierte Datenquellen und Human-in-the-Loop-Kontrolle sind keine Nice-to-haves – sie sind die Voraussetzung dafür, dass Ausführung überhaupt etwas mit guter Entscheidung zu tun hat.