KI Agenten in PowerPoint: Sichere Workflows, Kontrollen und Anwendungsfälle

Ein KI Agent in PowerPoint ist ein System, das mehrstufige Arbeit an einer Präsentation plant und ausführt, statt auf einen einzelnen Prompt zu antworten. Er liest ein Briefing, ruft freigegebenes Unternehmenswissen ab, entscheidet über eine Struktur, erstellt oder bearbeitet native Objekte, führt Prüfungen aus und berichtet, was er geändert hat.

Das wichtige Wort in diesem Satz ist nicht Intelligenz. Es ist Aktion. Ein Agent tut Dinge mit Ihren Daten und Ihren Dateien, in einer Schleife, schneller als jemand zusehen kann.

Ich baue solche Systeme, deshalb sage ich klar, was das bedeutet. Der größte Teil der Entwicklungsarbeit an einem guten Agenten fließt nicht in seine Fähigkeiten. Er fließt in seine Grenzen. Fähigkeit ist inzwischen fast geschenkt. Die Grenzen sind das Produkt.

Generator gegen Agent, und warum der Unterschied zählt

Ein Foliengenerator nimmt einen Prompt und erzeugt in einem Durchgang ein Ergebnis. Vorhersehbar, begrenzt, gut nachvollziehbar. Erzeugt er etwas Falsches, erhalten Sie ein falsches Artefakt.

Ein Agent arbeitet in einer Schleife. Er plant, ruft ein Werkzeug auf, betrachtet das Ergebnis, passt an, ruft das nächste Werkzeug auf. Genau diese Schleife macht ihn bei echten Decks nützlich, denn dort ist Arbeit nie eine einzelne Transformation. Genau deshalb ist auch das Risikoprofil anders: Jede Iteration ist eine neue Gelegenheit, das falsche Dokument abzurufen, das falsche Objekt zu beschreiben oder einen Fehler in den nächsten Schritt zu tragen.

Die letzte Zeile würde ich auf ein Plakat drucken. Einen Agenten steuert man nicht über einen besseren Systemprompt. Man steuert ihn über die Werkzeuge, die man ihm gibt, und die Berechtigungen, unter denen diese Werkzeuge laufen.

Die wichtigste Berechtigungsregel

Ein Agent sollte mit den Berechtigungen der beauftragenden Person laufen. Niemals mit mehr.

Das klingt selbstverständlich und wird ständig verletzt, weil es die bequeme Abkürzung ist. Eine Dienstidentität mit breitem Lesezugriff lässt das Retrieval in der Demo großartig aussehen. Sie bedeutet auch, dass jede Person, die eine Anfrage formulieren kann, Inhalte erreicht, für die sie nie berechtigt war. Sie haben dann keinen Assistenten gebaut, sondern einen Pfad zur Rechteausweitung mit freundlicher Oberfläche.

Konkret müssen Retrieval und Schreibvorgänge des Agenten Folgendes respektieren:

• Mandant. Vollständige Trennung zwischen Kunden, ohne gemeinsamen Index.
• Workspace. Trennung nach Mandat, Kunde oder Projekt innerhalb eines Mandanten.
• Rolle. Was diese Person tun darf, nicht nur, was sie sehen darf.
• Dokument. Berechtigungen auf Objektebene, einschließlich vererbter Einschränkungen.

Und dann testen. Nicht den glücklichen Pfad. Legen Sie eine bewusst eng berechtigte Nutzerin an, fragen Sie den Agenten nach Inhalten außerhalb dieser Grenze und bestätigen Sie, dass er nichts findet, statt hilfsbereit zusammenzufassen, was er gefunden hat. Wiederholen Sie das über jede Oberfläche: Chat, Suche, Export und jede Programmierschnittstelle. Nach meiner Erfahrung leckt es genau hier. Die Hauptoberfläche setzt Berechtigungen korrekt durch, ein Suchindex oder ein Exportpfad nicht.

Die Aktion begrenzen

Die zweite Kontrolle ist der Umfang. Vergleichen Sie zwei Aufträge.

Verbessere diese Präsentation.

Nicht steuerbar. Nicht testbar. Der Agent darf mit guter Begründung den Haftungshinweis umschreiben, Diagrammtypen ändern oder den Master umbauen. Nichts in diesem Satz verbietet es.

Aktualisiere Folien 6 bis 9 aus der freigegebenen Arbeitsmappe für das zweite Quartal. Bewahre alle anderen Folien, Masterlayouts, Rechtstexte und Quellenfußnoten. Nutze die bestehenden Diagrammtypen. Berichte jedes geänderte Objekt und jeden ungeklärten Wert.

Fünf Elemente sind enthalten: Umfang, Autorität, unveränderliche Bestandteile, erwartetes Ergebnis und der Umgang mit Ausnahmen. Für einen solchen Auftrag lässt sich ein automatischer Test schreiben, und damit bemerken Sie eine Regression vor Ihren Nutzerinnen.

Bauen Sie diese fünf Elemente in die Prozessdefinition ein, statt darauf zu hoffen, dass Nutzer sie tippen. Unter Zeitdruck tippt das niemand.

Wo Agenten sich wirklich rechnen

Ich gebe lieber eine Liste, die im Produktivbetrieb hält, als eine Liste beeindruckender Demos.

Eine freigegebene Vorlage befüllen. Bekannte Struktur, kontrollierte Inhaltsblöcke, prüfbares Ergebnis. Das beste Verhältnis von Nutzen zu Risiko in der gesamten Kategorie.

Credentials abrufen und zusammenstellen. Die passenden CVs und freigegebenen Projektreferenzen für eine konkrete Zielgruppe, aus Datensätzen mit Berechtigungsmetadaten. Spart von allen Punkten die meiste Zeit.

Wiederkehrende Reportingfolien aktualisieren. Stabiler Umfang, autoritative Quelle, abgleichbares Ergebnis. Der Agent liest die freigegebene Arbeitsmappe, aktualisiert die kontrollierten Felder, baut native Diagramme neu und meldet, was sich bewegt hat.

Marken und Formatregeln anwenden. Deterministische Prüfungen mit beobachtbarem Ergebnis. Schriften, Farben, Abstände, Platzhalternutzung, Mastertreue.

Native Diagramme aus einer freigegebenen Tabelle bauen. Weil das Ergebnis gegen die Quelle abgeglichen werden kann, ist es auf eine Weise überprüfbar, wie erzeugter Fließtext es nie ist.

Qualitätsprüfungen vor der Auslieferung. Nur lesend oder nur empfehlend. Kaputte Links, fehlende Quellen, uneinheitliche Einheiten, verwaiste Platzhalter, überlaufender Text, unbeschriftete Diagramme, Barrierefreiheit.

Ein freigegebenes Deck übersetzen und lokalisieren. Mit gesperrten geschützten Formulierungen und marktspezifischen Rechtstexten, die aus Datensätzen stammen statt übersetzt zu werden.

Womit ich nicht anfangen würde: autonome Veröffentlichung, unbeschränkter Datenraumzugriff, wesentliche Rechtsauslegung und alles, wofür niemand im Raum ein korrektes Ergebnis definieren kann. Wer die richtige Antwort nicht beschreiben kann, kann nicht feststellen, ob das System sie geliefert hat, und schon gar nicht testen.

Werkzeuge, MCP und die Integrationsfläche

Moderne Agenten erreichen externe Systeme über Werkzeugschnittstellen, zunehmend über das Model Context Protocol. Das ist tatsächlich nützlich. Es ist auch die Stelle, an der Ihr Bedrohungsmodell am schärfsten sein muss, denn ein Werkzeug ist eine Fähigkeit, die Sie ausgehändigt haben.

Drei technische Regeln, an die ich mich halte.

Minimale Fähigkeit je Werkzeug. Ein Werkzeug, das eine bestimmte Arbeitsmappe liest, ist sicherer als eines, das jede Datei liest, auf die die Nutzerin zugreifen kann. Verengen Sie die Schnittstelle, nicht nur die Berechtigung.

Ausdrückliche Schreibgrenzen. Lesende und schreibende Werkzeuge gehören getrennt, und schreibende Werkzeuge sollten genau erklären, was sie verändern dürfen. Ein Agent, der jedes Objekt einer Datei bearbeiten kann, ist schwerer zu beurteilen als einer, der einen benannten Inhaltsbereich bearbeitet.

Nicht vertrauenswürdige Inhalte bleiben nicht vertrauenswürdig. Alles, was der Agent abruft, ist Datum und keine Anweisung. Ein Dokument mit Text, der wie ein Befehl aussieht, darf nicht als Befehl behandelt werden. Prompt Injection über abgerufene Inhalte ist in genau dieser Kategorie ein realer Angriffsweg, weil Agenten konstruktionsbedingt auf große Dokumentbestände gerichtet werden.

Was protokolliert gehört und was nicht

Ein Audit Trail rechtfertigt seinen Speicher nur, wenn er eine Frage beantwortet, die jemand stellt. Für Agentenprozesse erfassen Sie:

• die beauftragende Person und den Workspace;
• die Aufgabendefinition und das ausgewählte Quellenset;
• jeden Werkzeugaufruf, dessen Umfang und dessen Ergebnisstatus;
• Datei und Versionskennung vor und nach dem Lauf;
• jedes erzeugte, geänderte oder gelöschte Objekt;
• Validierungsergebnisse und offene Punkte;
• Prüfer und Freigabestatus;
• das Export oder Freigabeereignis.

Jetzt der Teil, den die meisten Teams falsch machen. Protokollieren Sie nicht standardmäßig jeden Prompt und jedes abgerufene Dokument. Solche Protokolle werden selbst zu sensiblen Datenbeständen, landen häufig in einem System mit schwächeren Kontrollen als die Quelldaten, und ein unbegrenztes Promptprotokoll ist ein Datenschutzproblem, das Sie absichtlich gebaut haben. Geben Sie Protokollen Zweck, Zugriffsmodell und Frist, genau wie jedem anderen Speicher.

Einen Agenten testen, bevor Sie ihm vertrauen

Übliche Softwaretests reichen hier nicht, weil die Fehlerbilder andere sind. Das ist das Testset, auf dem ich vor jedem Rollout in einer regulierten Umgebung bestehen würde.

Kann ein Anbieter Sie diese Tests nicht vor dem Rollout an einer nicht sensiblen Kopie fahren lassen, haben Sie Ihre Antwort darüber, wie sich das Produkt im Betrieb verhalten wird.

Native Ergebnisse sind eine Sicherheitseigenschaft

Ich möchte ein Argument machen, das üblicherweise unter Bedienkomfort abgelegt wird, aber in den Sicherheitsteil gehört.

Wenn ein Agent native Objekte schreibt, kann ein Mensch genau prüfen, was er getan hat. Datei öffnen, Form anklicken, Text lesen, Diagrammdaten kontrollieren, Quellenfußnote ansehen. Artefakt und Nachweis sind dieselbe Sache.

Wird das Ergebnis in Bilder überführt, in einem proprietären Viewer dargestellt oder als statische Datei exportiert, ist diese Prüfung unmöglich. Beschriftungen, die sich nicht markieren lassen. Diagrammwerte, die sich nicht verifizieren lassen. Layoutfehler, die erst auf einem anderen Rechner auftauchen. Sie haben die Prüfung genau an der Stelle erschwert, an der sie die letzte verbleibende Kontrolle ist.

Native Ergebnisse sind außerdem der sichere Fehlerfall. Jede Automatisierung stößt irgendwo an ihre Grenze. Dann übernimmt der Mensch im gewohnten Werkzeug, statt zwei Stunden vor einer Vorstandssitzung ein Deliverable neu zu bauen.

Wo offgen passt

Wir haben die Agentenebene von offgen entlang der oben genannten Grenzen gebaut. Retrieval läuft innerhalb bestehender Berechtigungen für Mandant, Workspace, Rolle und Dokument. Skills, die über den Structured Skill Builder definiert werden, erklären, welche Abschnitte variieren dürfen, welche Quellen erlaubt sind und welche Elemente gesperrt bleiben. Sperrbare Elemente setzen geschützte Inhalte durch, statt höflich darum zu bitten. Das Ergebnis ist native, bearbeitbare PowerPoint Datei.

Für Teams, die eigene Systeme anbinden, beschreiben unsere MCP Unterstützung und die Entwicklerdokumentation die Werkzeugfläche und ihre Grenzen. Die Security Übersicht und das Trust Center decken die Verarbeitungskette ab.

Die Frage, die ich jedem Anbieter in dieser Kategorie stellen würde, uns eingeschlossen: Was kann Ihr Agent tun, das ich nicht ausdrücklich erlaubt habe? Bleibt die Antwort vage, ist das Produkt für Ihr vertrauliches Material nicht bereit, egal wie gut die Demo aussah.