Mehrere Großunternehmen haben begonnen, KI-Agenten aktiv auszusperren. Delta Airlines beschränkt externe Agenten vom Buchen von Flügen. JPMorgan, Citi und Charles Schwab wehren sich gegen Agenten, die auf Konten zugreifen und Geld bewegen wollen. Teile der Tech-Branche reagieren darauf mit einem bemerkenswerten Erstaunen – was seinerseits erstaunt.

Zunächst zu den eigentlichen News: Immer mehr Unternehmen wie Delta, Yelp und verschiedene Banken schränken den Einsatz von KI-Agenten ein. Recherchen ergeben, dass die Beschränkung von KI-Agenten kein Nischenphänomen mehr ist:

• Genannt werden auch Unternehmen wie cloudflare, Pizza Hut und adidas.
• Microsoft bietet offenbar neue Techniken zum Blockieren von KI-Agenten an.
• Sogar das Government scheint sich mit dem Blockieren von KI-Agenten zu beschäftigen.

Die Motivationen sind vielfältig:

• Sie reichen von Sicherheitsbedenken im Finanzsektor über den Schutz von Geschäftsmodellen und Daten
• bis hin zu ungeklärten Haftungsfragen und dem Wunsch, die Kontrolle über die Kundenbeziehung zu behalten.

Es ist eine Entwicklung, die gerade die agentischen Enthusiasten erstaunt. Das wiederum erstaunt, weil die Blockaden klaren ökonomischen Regeln folgen.

Wer weshalb erstaunt ist

Ein LinkedIn-Post von Linas Beliūnas faßt die Stimmung der erstaunten Tech-Optimisten anschaulich zusammen: „The biggest paradox in tech: We’re building AI agents that can do everything for us. Meanwhile, the world’s biggest companies are now doing everything they can to stop them.“

Wer sich allerdings derart „wundert“, offenbart eine gewisse Blindheit, wenn nicht ökonomische Naivität: Die Blockade ist keine Technologiefeindschaft. Sie ist die rationale Immunreaktion eines Systems, das auf die Unkontrollierbarkeit der neusten Agenten-Generationen trifft.

Warum nicht jede Agenten-Generation willkommen ist

Um die wachsende Skepsis gegenüber KI-Agenten zu verstehen, muss man beachten, dass diese erst mit der dritten und vor allem der vierten Generation von Commerce-Agenten aufgekommen ist:

• Generation 1 waren deterministische Skripte.
• Generation 2 umfaßte probabilistische Einzel-Agenten.
• Generation 3 ermöglicht eine multi-agentische Orchestrierung
• Generation 4 sind etwas völlig Neues: Sie sind emergent.

Ein Gen-4-Agent (wie etwa Meta’s „Muse“) besitzt persistente Erinnerung, macht proaktiv Vorschläge und arbeitet weiter, nachdem die App geschlossen wurde. Der Nutzer gibt ein vages Ziel vor („besorge mir X“), aber der Agent bestimmt zur Laufzeit, welche Schritte er unternimmt – über einen längeren Zeitraum, ohne dass ein menschlicher Impuls den konkreten Erklärungsinhalt (Produkt, Preis, Lieferant) abschließend festlegt. Der menschliche Willensakt ist zeitlich und kausal entkoppelt.

Ausführlich zu den vier Generationen von Commerce-Agenten dieser Artikel: Automated Contracting: Lässt sich Agentic Commerce technikneutral bewerten?

Die Blockade betrifft die Architektur der Autorisierung

Selbst Amazons viel diskutierte Blockade von Muse richtet sich nicht pauschal gegen „KI“. Die von Amazon und anderen Plattformen genannten Gründe sind viel tiefgreifender:

1. Fehlende Offenlegung der Identität: Amazon wirft der neusten Generation von Agenten vor, sich beim Browsen nicht als KI zu erkennen zu geben. Bei einem Gen-2-Agenten wäre die Identität des Handelnden (der Nutzer, der den Prompt gab) theoretisch rekonstruierbar. Bei einem Gen-4-Agenten ist die Autorisierungskette intransparent.
2. Das Haftungs- und Beweislast-Vakuum: Wie TechCrunch treffend anmerkt: „If Muse makes a bad order, Amazon is going to be the one to clean it up – dealing with both the angry customer and the angry vendor.“ Bei Gen 4 fehlt der Bezugspunkt. Amazon müsste im Streitfall beweisen, dass der Nutzer die konkrete Bestellung gewollt hat. Genau das ist bei einem ambient-proaktiven Agenten strukturell unmöglich.
3. Die Grenzen der Nutzungsbedingungen (TOS): Die TOS binden den Menschen, nicht den Agenten. Ein Gen-4-Agent, der ohne spezifischen, zeitnahen Auftrag handelt, operiert außerhalb dessen, was der Mensch durch seine Zustimmung zu den TOS „autorisiert“ hat. Es ist kein Mandat, sondern ein Identity Hijacking durch Proaktivität.

Der Fall Amazon v. Perplexity

Dass diese generationelle Differenzierung juristisch relevant ist, zeigt auch die neueste US-Rechtsprechung. Im August 2026 entschied der Ninth Circuit im Fall Amazon v. Perplexity, dass der Comet-Browser ein „tool, not a person“ sei und der Nutzer – nicht der Agenten-Entwickler – der rechtlich Handelnde sei.

Für Generation 2 ist diese Konstruktion plausibel:

• Der Nutzer gibt den Prompt, der Agent führt aus, der Nutzer bleibt der „Herr des Verfahrens“.
• Für Generation 4 gilt diese Konstruktion jedoch nicht: Wenn der Agent proaktiv und ohne konkreten Impuls handelt, ist der Nutzer zwar formal noch der „Zugreifende“, aber nicht mehr der Steuernde.

Das Gericht hat diese Spannung offenbar schon gesehen und seine Entscheidung ausdrücklich auf den konkreten Fall beschränkt („careful to cabin its holding to the specific facts presented“).

Das deutet darauf hin, dass die US-Gerichte die Differenzierung verschiedener Generationen von Agenten durchaus erkannt haben – auch wenn sie sie noch nicht in eine kohärente Dogmatik übersetzt wurde. Die neuesten Blockaden der Plattformen sind die praktische Vorwegnahme dieser dogmatischen Zerreißprobe.

Viele Kommentatoren durchdringen das Problem

Während der LinkedIn-Post von Beliūnas in etwas naiv wirkendem Erstaunen verharrt, zeigen die Antworten vieler User eine vergleichsweise realistische Einschätzung.

Bernardo Meireles Correa, Experte für Machine-Identitäten, erklärt eines der Kernprobleme:

Er sagt sinngemäß, dass Agenten mittlerweile mit den eigenen Zugangsdaten des Nutzers auftauchen. Für die Bank sieht die Sitzung exakt so aus, als wäre der Kunde es selbst. Protokolle würden keine delegierte Autorität mit klar definiertem Umfang und Verfallsdatum mitbringen.

Auch Finanzexperte Joseph Sweeney bringt die fehlende Zurechnung auf den Punkt:

Er verdeutlicht das Risiko: Meta würde niemals für die Aktionen seines ‚Muse‘-Agenten geradestehen. Am Ende haftet niemand … The buck stops with no one.

Morten Rand-Hendriksen stellt ebenfalls klar: „AI agents break the core premise our digital infrastructure is built on: that the critical interaction is done by an accountable person.

Und Dylan ODell (Double-Oh) trennt die Architektur von der Absicht: „The banks didn’t ban agents, they banned the borrowed password … What’s being demanded is identity: whose agent is this, what is it allowed to do, and where’s the record?“ – dies ist nichts anderes als die Forderung nach dem Prinzip des „Know your agent.“

Diese und andere Kommentare belegen: Die Industrie weiß offenbar genau, was passiert. Sie erkennt, dass mit der dritten und vierten Agenten-Generation die Zurechnungs- und Architekturprobleme nicht mehr zu ignorieren sind. Das Blockieren ist demnzufolge auch keine primitive „KI-Angst“: Es ist eine rationale – und auch differenzierte Entscheidung!

Fazit: Schwere Zeiten für undifferenzierten Optimismus

Für Akteure, die den digitalen Handel weiterhin ausschließlich durch die Brille des Slogans „Ask your AI to do it“ betrachten und dabei die generationellen Unterschiede ignorieren, dürften härtere Zeiten anbrechen.

• Die Blockaden von Delta, JPMorgan und Amazon können jedenfalls nicht erstauen. Sie sind die strukturelle, praktische Konsequenz aus einer theoretischen Lücke: Dem Zurechnungsvakuum, das Gen-3 und vor allem Gen-4-Agenten bewirken.
• Die bestehenden Regelwerke, die für Gen-1 und Gen-2 gerade noch so funktioniert haben, stoßen bei Gen-3 und 4 an ihre Grenzen. Die Kette zwischen menschlichem Willen und konkreter Transaktion wird durch neue Generationen endgültig unterbrochen.

Wer glaubt, man könne rechtliche Anforderungen und ökonomische Risiken von Agentic Commerce einfach so „weg-automatisieren“ oder mit CAPTCHA-Simulationen überlisten, wird an der zunehmend höher werdenden Mauer berechtigter institutioneller Skepsis scheitern.

Die Debatte um die Vertrauenswürdigkeit von Agentic Commerce ist damit an einem entscheidenden Punkt angekommen:

• Die Frage, ob Agentic Commerce überhaupt kommt, wird immer stärker durch die Frage des wie beeinflusst. Je autonomer Agenten werden, desto mehr beginnt das Wie zum Problem für das Ob zu werden.
• Wichtig ist, verlässliche rechtliche und technische Protokolle für die Zurechnung von KI-Handeln zu etablieren. Gerade Europa (nicht nur die EU) ist aufgrund von Infrastrukturen wie eIDAS 2.0 und European Business Wallet (EBW) etc. in der Lage, hier entsprechende Maßstäbe zu setzen.
• Erforderlich ist aber nicht nur technische Infrastruktur: Es benötigt auch neue Rechtsnormen, die mit dazu passenden Brückenprotokollen zusammenspielen – nicht nur im B2C-Bereich: Vor allem im B2B-Sektor!

Wie eine Lösung aussehen kann, wird in Teil 1 und 2 des Gutachtens zu rechtsverbindlichen Verträgen dargestellt.

Details zu Teil 1 des Gutachtens „Agentic Commerce – wie können rechtsverbindliche Verträge entstehen?“ finden sich hier:
Download als PDF (Deutsche Version)
Download as PDF (English Version)

Bezug zum Skript „Grundwissen-KI-Recht“: Randnummern 326 ff.

Inhalte des Beitrags, u.a.:

• Agentic Commerce
• Blockieren von KI-Agenten
• Überschreiten von Mandat

PDF-Download:

• Gutachten PDF-Teil 1 (Deutsch)
• Assessement PDF-Part 1 (English)