ECOSIRE-Plattform

Was ist Agentic ERP?

Agentic ERP ist ein ERP, in dem KI-Agenten vollwertige Konten sind statt eines Chatfensters. Ein ECOSIRE-Agent hat einen eigenen Datensatz: die explizite Liste der Tools, die er aufrufen darf, die höchste Risikostufe, auf der er ohne Menschen handeln darf, und ein Stundenlimit für Aktionen. Jede versuchte Aktion nimmt genau einen Weg — Vorschlag, Policy-Prüfung, Freigabe wo nötig, dauerhafte Ausführung, Journaleintrag — und kein Agentenschreibzugriff kann diesen Weg umgehen. Als kritisch bewertete Aktionen, etwa eine Buchung zu erfassen oder eine Zahlung zu registrieren, verlangen auf jeder Autonomiestufe einen Menschen, auch auf der höchsten.

Policy: 110; low · medium · high · critical
Die Autonomieleiter: 3; L0 · L1 · L2
Eigene Agenten über MCP anbinden: POST /api/mcp; eco_live_…

Der eine Weg, den jede Agentenaktion nimmt

Einen zweiten Weg gibt es nicht. Ein Agent kann nicht direkt in die Datenbank schreiben, und ein Tool lässt sich nicht am Gateway vorbei aufrufen — das Gateway ist die einzige Tür, und es ist zugleich das, was das Journal schreibt.

Vorschlagen
Der Agent nennt ein Tool und liefert dessen Argumente. Ein unbekannter Tool-Name oder Argumente, die am Schema scheitern, werden sofort abgewiesen — bevor überhaupt ein Journaleintrag existiert. Das Journal hält Entscheidungen über gültige Vorschläge fest, nicht fehlerhafte Aufrufe.
Policy
Drei Prüfungen können direkt ablehnen: Ist der Agent aktiv, steht dieses Tool auf seiner Allowlist, und liegt er noch in seinem Stundenbudget. Eine Ablehnung wird mit Begründung ins Journal geschrieben. Eine vierte Prüfung ist keine Ablehnung — liegt die Risikobewertung des Tools über der Obergrenze des Agenten oder ist sie kritisch, wird der Vorschlag an einen Menschen weitergeleitet statt abgewiesen.
Freigeben
Alles oberhalb der Obergrenze des Agenten — und alles als kritisch Bewertete, immer — landet als offener Vorschlag in einem Freigabe-Posteingang und hinterlässt eine Notiz in der Timeline des Datensatzes. Ein Mensch gibt frei oder lehnt ab, und seine Identität wird mit der Entscheidung gespeichert.
Ausführen
Freigegebene Arbeit geht in eine dauerhafte Queue unter einer aus der Aktion abgeleiteten Id, sodass ein Retry sie nicht doppelt ausführen kann. Der Worker prüft erneut, ob der Agent noch aktiv ist und das Tool noch existiert, bevor er irgendetwas anfasst; ein unterwegs gestorbener Job wird eingesammelt statt hängen gelassen.
Journal
Ob Erfolg oder Fehlschlag: Das Ergebnis wird mit dem Entscheidungsgrund gespeichert — und, sofern ein Modell beteiligt war, mit Modell und Prompt-Version, den verbrauchten Tokens und den Kosten in ganzzahligen Mikro-Dollar, nie als Fließkommazahl. Einträge werden im Normalbetrieb weder bearbeitet noch soft-gelöscht; das Entfernen eines Agentenkontos entfernt dessen Historie mit. Exportieren Sie als JSON für den vollständigen Datensatz oder als CSV für die Entscheidungsfelder. Auch die Timeline des Datensatzes erhält das Ergebnis, sodass die Personen, die daran arbeiten, sehen, was der Agent getan hat, ohne einen Admin-Bildschirm zu öffnen.

Die Autonomieleiter

Ein Regler pro Agent, drei Stufen. Was der Regler tatsächlich setzt, ist eine einzige Zahl: die Risikostufe, oberhalb derer ein Mensch freigeben muss. Starten Sie jeden Agenten auf L0, lesen Sie eine Woche lang sein Journal und entscheiden Sie dann, ob Sie ihn anheben.

Die Autonomieleiter	Freigeben
L0 Suggest	führt selbstständig aus bis none
L1 Assist	führt selbstständig aus bis low
L2 Operate	führt selbstständig aus bis high

Keine Stufe bildet eine kritische Obergrenze ab, denn Kritisches führt sich nie selbst aus. Die höchste wählbare Stufe ist L2 — den Regler anzuheben erweitert, was unbeaufsichtigt läuft, hebt aber nie die Freigabepflicht für kritische Aktionen auf.

Eigene Agenten über MCP anbinden

POST /api/mcp implementiert das Model Context Protocol über zustandsloses, streambares HTTP. Authentifizieren Sie sich mit einem in der Admin-Konsole ausgestellten Agenten-Key — der Rohwert wird genau einmal angezeigt — und der Server listet die Business-Tools aus der Allowlist dieses Agenten sowie vier eingebaute Steuerungen zum Auslesen des Aktionsstatus und zum Fahren von Loop-Läufen. Nichts außerhalb der Allowlist wird angeboten. Ein tools/call geht durch dasselbe Gateway wie unsere eigenen Agenten: dieselben Policy-Prüfungen, derselbe Freigabe-Posteingang, dasselbe Journal. GET wird bewusst mit 405 beantwortet; MCP ist hier ausschließlich POST.

Ein durchgerechnetes Beispiel: der Collections-Agent

Er ist pro Organisation opt-in: kein Collections-Agentenkonto, kein Scan. Jeden Morgen prüft er überfällige Rechnungen und schlägt je Rechnung eine Mahnung zur 7-, 14- oder 30-Tage-Stufe vor, mit einem Schlüssel, der einen zweiten Lauf am selben Tag am Duplizieren hindert. Unterhalb von L2 kann er überhaupt nicht senden — der Vorschlag bleibt im Freigabe-Posteingang. Der Versand hängt an der Sperrliste, und ein Fehler in dieser Prüfung bedeutet: nicht senden. Einen Zahlungsabgleich vorzuschlagen ist als kritisch bewertet und bleibt daher für immer ein Vorschlag, auf jeder Stufe.

Was einen Agenten davon abhält, Unfug zu machen

Ein Agenten-Key ist von jedem Benutzer-Key-Pfad abgeschottet und kann daher nie als Person handeln. Jede Abfrage wird im Anwendungscode auf Ihre Organisation eingegrenzt — das ist die primäre Kontrolle; Row-Level Security in der Datenbank ist auf den zentralen Geschäftstabellen eingerichtet, läuft während der Einführung aber weiterhin fail-open und ist damit Verteidigung in der Tiefe, nicht die Linie selbst. Einen Agenten zu sperren stoppt ihn am Gate und mitten im Flug: Der Executor prüft vor dem Ausführen einer bereits freigegebenen Aktion erneut, ob er noch aktiv ist. Ausgehende Nachrichten scheitern gegenüber der Sperrliste geschlossen. Unbeaufsichtigte Loop-Läufe haben zusätzlich einen Not-Aus: ein Flag für die gesamte Flotte, ein Feld je Agent.

Möchten Sie es an Ihren eigenen Daten sehen?

Sagen Sie uns, auf welchen Prozess Sie zuerst einen Agenten setzen würden, und wir gehen ihn gemeinsam die Leiter hinauf — beginnend bei L0, wo er vorschlägt und nichts ausführt.