Ein Sprachmodell kann Texte verstehen und formulieren – aber von sich aus nichts tun. Es versendet keine E-Mail, legt keinen Datensatz an und trägt keinen Termin ein. Genau diese Fähigkeit, aus einer Erkenntnis eine Handlung zu machen, verleiht dem Agenten ein Mechanismus namens Function Calling (auch Tool-Nutzung genannt). Er ist der Übergang vom Reden zur Tat – und damit das, was einen Agenten von einem bloßen Chatbot unterscheidet.
Dieser Artikel vertieft den dritten Baustein aus dem Überblick Wie funktioniert ein KI-Agent?. Dass das zugrunde liegende Sprachmodell selbst nur Text erzeugt, ist dabei der entscheidende Ausgangspunkt: Function Calling ist die Brücke von diesem Text zur echten Aktion in Ihren Systemen.
Vom Reden zum Handeln: was ein Werkzeug ist
Ein Werkzeug (englisch tool) ist eine klar umrissene Fähigkeit, die man dem Agenten zur Verfügung stellt – etwa „E-Mail versenden“, „Kundendatensatz anlegen“, „Termin im Kalender eintragen“ oder „Lagerbestand abfragen“. Jedes Werkzeug hat einen Namen, eine Beschreibung, was es tut, und eine Liste von Angaben, die es benötigt (beim E-Mail-Werkzeug etwa Empfänger, Betreff und Text). Der Agent verfügt also nicht über beliebige Macht, sondern über genau die Werkzeuge, die man ihm gibt – nicht mehr und nicht weniger.
Wie Function Calling funktioniert: der Ablauf in vier Schritten
Der Mechanismus klingt komplizierter, als er ist. Im Kern läuft er in vier Schritten ab:
- 1. Werkzeuge anbieten: Dem Sprachmodell wird mitgeteilt, welche Werkzeuge es gibt und wofür sie da sind – samt der jeweils nötigen Angaben.
- 2. Entscheiden und formulieren: Erkennt das Modell, dass für die Aufgabe ein Werkzeug nötig ist, gibt es nicht einfach Fließtext aus, sondern eine strukturierte Anforderung: den Namen des Werkzeugs und die passenden Parameter, sauber ausgefüllt.
- 3. Ausführen: Nicht das Modell führt die Aktion aus, sondern eine umgebende Software – die Laufzeitumgebung. Sie prüft die Anforderung, führt die eigentliche Aktion in Ihrem System durch und holt bei Bedarf vorher eine Freigabe ein.
- 4. Ergebnis zurückgeben: Das Resultat – „E-Mail versendet“, „kein Datensatz gefunden“, eine abgefragte Zahl – wandert zurück zum Modell, das damit weiterarbeitet oder die Aufgabe abschließt.
Dieser wichtigste Punkt sei betont: Das Sprachmodell schlägt eine Aktion nur vor; ausgeführt wird sie von der Laufzeitumgebung. Genau diese Trennung macht es möglich, Kontrollen, Rechteprüfungen und Freigaben zwischen Vorschlag und Ausführung einzuziehen.
Ein Beispiel aus dem Alltag
Eine Kundenanfrage trifft ein: „Wann kann meine Bestellung geliefert werden?“ Der Agent versteht das Anliegen über das Sprachmodell, schlägt das Werkzeug „Bestellstatus abfragen“ mit der Bestellnummer als Parameter vor, die Laufzeitumgebung liefert das Lieferdatum zurück. Anschließend schlägt der Agent das Werkzeug „E-Mail-Entwurf erstellen“ mit einer freundlichen Antwort vor – die je nach Autonomiegrad direkt versendet oder einem Mitarbeiter zur Freigabe vorgelegt wird. Aus Verstehen, Nachschlagen und Handeln wird so ein durchgängiger Vorgang.
Bei komplexeren Aufgaben wiederholt sich dieses Muster mehrfach: Der Agent ruft ein Werkzeug auf, betrachtet das Ergebnis, entscheidet über den nächsten Schritt und ruft das nächste Werkzeug auf – so lange, bis die Aufgabe erledigt ist. Diese Schleife aus Denken und Handeln ist es, die aus einzelnen Werkzeugen einen selbstständig arbeitenden Agenten macht; wie weit diese Selbstständigkeit reichen soll, behandelt der Artikel Autonomiegrade von KI-Agenten.
Werkzeuge sind die Stelle, an der Rechte zählen
Weil Werkzeuge tatsächlich etwas bewirken, sind sie der sicherheitskritische Teil eines Agenten. Bewährt hat sich das Minimalprinzip: Jedes Werkzeug erhält nur die Rechte, die seine Aufgabe zwingend erfordert. Ein Agent, der Anfragen beantwortet, braucht kein Werkzeug, das Zahlungen auslöst. Und Aktionen mit Tragweite – Geld, Verträge, unwiderrufliche Änderungen – werden an eine menschliche Freigabe gebunden, die der Agent technisch nicht umgehen kann. Wie man diese Freigaben im Alltag staffelt, beschreibt der Ratgeber Mensch-in-the-Loop; die technische Absicherung der Zugriffe vertieft der Artikel Datensicherheit bei KI-Agenten.
Function Calling, Integration und RPA – die Abgrenzung
Drei Begriffe werden hier oft vermischt. Das Function Calling ist die Entscheidung des Modells, welches Werkzeug mit welchen Angaben aufzurufen ist – die Logik davor. Die Integration ist die eigentliche technische Verbindung dahinter, über die das Werkzeug an Ihr E-Mail-System, Ihr CRM oder Ihre Warenwirtschaft andockt; sie behandelt der Artikel KI-Agenten integrieren: Schnittstellen und Datenquellen. Und RPA ist nur eine von mehreren Arten, ein Werkzeug umzusetzen – nämlich das Bedienen einer Oberfläche, wenn ein System keine saubere Schnittstelle bietet; der Unterschied zu einem lernenden Agenten wird im Vergleich KI-Agent vs. RPA deutlich.
Warum strukturierte Ausgaben so wichtig sind
Dass der Agent ein Werkzeug nicht in Prosa, sondern in einer festen, strukturierten Form aufruft, ist kein technisches Detail, sondern eine Sicherheitsschicht. Strukturierte Angaben lassen sich vor der Ausführung prüfen: Ist eine gültige Bestellnummer dabei? Ist der Empfänger erlaubt? Fehlt eine Pflichtangabe, wird gar nicht erst gehandelt. So fängt man einen Teil möglicher Fehler ab, bevor sie Wirkung entfalten. Trotzdem kann das Modell die falschen Angaben wählen – warum das passiert und wie man gegensteuert, erklärt der Artikel Halluzinationen und Guardrails.
Kurz-Check: sichere Werkzeuge für einen Agenten
- Hat jedes Werkzeug nur die Rechte, die seine Aufgabe zwingend braucht?
- Sind Aktionen mit Tragweite an eine nicht umgehbare Freigabe gebunden?
- Werden die Angaben vor der Ausführung auf Gültigkeit geprüft?
- Wird jede ausgeführte Aktion protokolliert und ist nachvollziehbar?
- Gibt es einen klaren Not-Aus, um ein Werkzeug im Zweifel abzuschalten?
Häufige Fragen zu Function Calling und Werkzeugen
Führt das Sprachmodell die Aktionen selbst aus?
Nein. Das Sprachmodell schlägt nur vor, welches Werkzeug mit welchen Angaben genutzt werden soll. Ausgeführt wird die Aktion von der umgebenden Software, der Laufzeitumgebung. Diese Trennung ist bewusst gewählt: Zwischen dem Vorschlag des Modells und der tatsächlichen Ausführung lassen sich Rechteprüfungen und Freigaben einziehen, sodass nichts Kritisches ungeprüft passiert.
Kann ein Agent Dinge tun, die ich nicht erlaubt habe?
Nur im Rahmen der Werkzeuge, die Sie ihm geben. Ein Agent hat keine allgemeine Macht über Ihre Systeme, sondern genau die abgegrenzten Fähigkeiten, die eingerichtet wurden – jede mit eng gesetzten Rechten. Aktionen mit Folgen bindet man zusätzlich an eine menschliche Freigabe. Wird ein Werkzeug nicht bereitgestellt, kann der Agent die entsprechende Handlung auch nicht auslösen.
Was ist der Unterschied zwischen Function Calling und einer klassischen Schnittstelle?
Eine Schnittstelle (API) ist die technische Verbindung, über die eine Aktion ausgeführt wird. Function Calling ist die Ebene darüber: die Entscheidung des Modells, dass und wie diese Aktion aufgerufen werden soll. Vereinfacht liefert das Function Calling den begründeten Auftrag, die Schnittstelle führt ihn aus. Beide arbeiten zusammen – das eine ersetzt das andere nicht.
Woher weiß der Agent, wann er welches Werkzeug nutzt?
Aus der Beschreibung der Werkzeuge und dem Verständnis der Aufgabe. Jedem Werkzeug ist hinterlegt, wofür es gedacht ist; das Sprachmodell wählt anhand der Anfrage das passende aus. Weil diese Wahl nicht unfehlbar ist, prüft die Laufzeitumgebung die Anforderung vor der Ausführung und legt kritische Fälle einem Menschen vor – so bleibt eine falsche Werkzeugwahl folgenlos.