KI-Assistent im Kundenkonto: personalisiert antworten

Der Unterschied zwischen einem öffentlichen Assistenten und einem Konto-Assistenten ist keine Frage der Technik im Hintergrund, sondern eine Frage des Kontexts. Der öffentliche Assistent kennt die Inhalte der Website, die Preisliste, die Versandbedingungen und die häufigen Fragen. Er antwortet für alle gleich, weil er über alle dasselbe weiß. Der Konto-Assistent kennt zusätzlich die Person, die gerade schreibt: welchen Tarif sie gebucht hat, wann ihr Vertrag ausläuft, ob eine Rechnung offen ist, an welche Adresse zuletzt geliefert wurde und wie weit ihr Kontingent im laufenden Monat aufgebraucht ist. Damit verschiebt sich die Antwort von einer Auskunft zu einer Entscheidungsgrundlage, und aus einem Gespräch über Möglichkeiten wird ein Gespräch über den eigenen Fall.

Dass dieser Schritt lohnt, zeigt das Verhalten der Kundschaft. 73 Prozent (Gartner) nutzen auf ihrem Lösungsweg an irgendeinem Punkt einen Self-Service-Kanal, 81 Prozent (Harvard Business Review 2017) versuchen ein Problem zuerst selbst zu lösen, und 67 Prozent (Nuance 2012) bevorzugen eine Selbstauskunft gegenüber dem Gespräch mit einer Mitarbeiterin oder einem Mitarbeiter. Abgeschlossen wird dort allerdings wenig: Nur 14 Prozent (Gartner) der Anliegen kommen im Self-Service vollständig zum Ziel, und selbst bei Anliegen, die Nutzer selbst als sehr einfach einstufen, sind es lediglich 36 Prozent (Gartner). Der häufigste Grund ist banal und teuer zugleich: In 43 Prozent (Gartner) der Fälle findet sich kein Inhalt, der zur eigenen Lage passt. Eine allgemeine Hilfeseite kann diese Lücke kaum schließen, weil sie den Fall des Einzelnen nicht kennt. Ein Assistent im Kundenkonto kennt ihn.

Ein Konto-Assistent bekommt keine Generalvollmacht, sondern eine Liste erlaubter Werkzeuge. Jedes Werkzeug hat eine feste Aufgabe, eine feste Datenmenge und eine feste Richtung: Es liest, oder es schreibt. Diese Trennung ist der wichtigste Hebel, denn ein Lesefehler ist unangenehm, ein Schreibfehler dagegen folgenreich. Wer beides in einem einzigen Werkzeug bündelt, verliert die Möglichkeit, unterschiedlich streng zu prüfen. In der Praxis bewährt sich eine Abstufung in drei Klassen: frei lesbar, lesbar mit zusätzlicher Prüfung, und schreibend ausschließlich nach ausdrücklicher Bestätigung durch die angemeldete Person.

Die Rollen selbst kommen aus dem bestehenden System und werden im Assistenten nicht neu erfunden. In einem Geschäftskundenkonto darf eine Einkaufsleitung Bestellungen freigeben, eine Fachkraft sie aber nur vorbereiten; in einem Mitgliederbereich darf der Vorstand Stammdaten ändern, ein Mitglied dagegen nur die eigenen. Der Assistent übernimmt diese Rollenlogik unverändert und stellt Werkzeuge nur dort bereit, wo die Rolle sie ohnehin erlaubt. Fehlt ein Recht, sagt er das offen und bietet den passenden Weg an, statt eine Antwort zu erfinden oder still zu scheitern. Wie sich Rollen und Rechte in einer internen Umgebung ordnen lassen, vertieft der Beitrag über den internen KI-Assistenten für Mitarbeitende.

Sobald echte Kontodaten im Spiel sind, wird aus einem Ärgernis ein Risiko. Die OWASP Foundation führt Prompt Injection in ihrer Top 10 für LLM-Anwendungen als LLM01 und damit auf Platz 1 (OWASP) von insgesamt zehn Risikokategorien (OWASP); direkt dahinter steht die Offenlegung sensibler Informationen als LLM02 (OWASP), und übermäßige Handlungsvollmacht folgt als LLM03 (OWASP). Genau diese drei Kategorien beschreiben das Konto-Szenario: Jemand versucht, den Assistenten mit Text zu einer Auskunft oder einer Handlung zu bewegen, die ihm nicht zusteht. Auch die weitere Entwicklung wird nüchtern eingeschätzt. Gartner rechnet damit, dass bis 2029 15 Prozent (Gartner) der KI-Anwendungen in Unternehmen mindestens einen schwerwiegenden Sicherheitsvorfall pro Jahr verzeichnen, ausgehend von 3 Prozent (Gartner) im Jahr 2025.

Keine dieser Maßnahmen wirkt für sich allein; sie greifen als Kette ineinander, weil jede einzelne umgangen werden kann. Diese gestaffelte Absicherung ist schon bei einem öffentlichen Assistenten sinnvoll, im Kundenkonto aber unverzichtbar, denn der mögliche Schaden besteht dort nicht mehr in einer falschen Auskunft, sondern in einem fremden Datensatz. Wie die einzelnen Leitplanken im Detail aufgebaut sind, beschreibt der Beitrag zur Absicherung gegen Prompt Injection; wie sich das Ergebnis vor dem Start prüfen lässt, zeigen die Testfälle für die Abnahme eines Assistenten.

Ein personalisierter Verlauf ist etwas anderes als ein anonymer Chat. Sobald Vertragsdaten, Adressen und Rechnungsnummern darin auftauchen, entsteht ein Datensatz mit Personenbezug, für den dieselben Regeln gelten wie für das Kundenkonto selbst. Die Verordnung verlangt Zweckbindung und Datenminimierung (DSGVO, Art. 5), Datenschutz durch Technikgestaltung samt datenschutzfreundlicher Voreinstellungen (DSGVO, Art. 25) sowie angemessene technische und organisatorische Maßnahmen (DSGVO, Art. 32). Praktisch heißt das: Festgehalten wird, was für Nachvollziehbarkeit und Abrechnung nötig ist, und nicht der vollständige Wortlaut auf Vorrat. Wer diesen Unterschied früh trifft, spart sich später eine schwierige Aufräumarbeit.

Der Ort der Verarbeitung gehört ebenfalls zur Architektur. Für 64 Prozent (Bitkom Cloud Report) der Unternehmen ab 20 Beschäftigten gehören Rechenzentrums-Standorte in Deutschland oder der EU zu den Kriterien bei der Wahl eines Cloud-Anbieters, und 76 Prozent (Cisco Consumer Privacy Survey 2022) der Verbraucher kaufen nicht bei einem Unternehmen, dem sie ihre Daten nicht anvertrauen. Für einen Assistenten mit Vertrags- und Rechnungsdaten ist das keine Nebensache, sondern eine Voraussetzung dafür, dass die Funktion überhaupt genutzt wird. Ein Verstoß gegen die Verordnung kann im Übrigen bis zu 20 Millionen Euro (DSGVO, Art. 83) oder vier Prozent des weltweiten Jahresumsatzes kosten. Die datenschutzrechtlichen Grundlagen im Detail behandelt der Beitrag zum datenschutzkonformen Betrieb eines KI-Assistenten.

Der Weg beginnt nicht bei der Technik, sondern bei einer Liste: Welche Fragen stellen angemeldete Kundinnen und Kunden heute am häufigsten, und welche davon lassen sich aus vorhandenen Daten beantworten? Daraus entstehen die Werkzeuge, die der Assistent bekommt, samt Rolle, Datenumfang und Richtung. Anschließend werden Sitzung und Rechteprüfung angebunden, die Bestätigungsstrecke für schreibende Aktionen festgelegt und der Assistent auf Ihre Fälle und Ihren Ton trainiert. Welche Funktionen sich dabei eigens umsetzen lassen, zeigt die Seite zu den individuellen Funktionen. Beispiele aus der Praxis stehen bei den Referenzprojekten, eine Übersicht nach Einsatzbereich bei den Branchenlösungen und die Rahmenbedingungen bei den Preisen und Paketen. Wenn Sie Ihren eigenen Fall durchspielen möchten, ist eine unverbindliche Demo der schnellste Weg.