KI-Agenten: Vom Ratgeber zum Akteur

Im Diskurs um verantwortungsvollen Einsatz von KI in der Markt- und Meinungsforschung geht es zu Recht um Transparenz, Datenschutz, Fairness und Human-in-the-Loop. Diese Anforderungen setzen ein technisch integres, sicherheitsgeprüftes Fundament voraus: Ein Agent, der sich kapern, täuschen oder zweckentfremden lässt, wird sich kaum transparent oder datenschutzkonform betreiben lassen. Und Daten, die eine Person im geschützten Rahmen einer Studie äussert, dürfen nicht unbemerkt in fremde Systeme abfliessen, ansonsten wird die zugesagte Vertraulichkeit zur Formsache. Mit dem Übergang von Antwortmaschinen zu handelnden Systemen mit Zugriff auf Panels, Umfrage-Tools und APIs verschiebt sich die Gefahrenlage von Fehlinformation hin zu direkten methodischen, datenschutzrechtlichen und materiellen Schäden. Der Beitrag beleuchtet diese Sicherheits- und Privatsphäre-Ebene.

Vom Ratgeber zum Akteur: Logik-Drift

Sobald KI nicht nur Text erzeugt, sondern handelt, kann aus einem Denkfehler eine Tat werden. Schon reine Textgeneratoren sind keineswegs harmlos: von Konfabulation über Phishing, Desinformation und Bias bis zu emotionaler Manipulation und Verlust der Privatheit. Handelnde Agenten aber gehen vor allem pragmatisch vor. Erhalten sie ein Ziel, suchen sie häufig den effizientesten, nicht aber zwingend den methodisch sauberen Weg.

Zwei dokumentierte Fälle illustrieren diese Eigendynamik: Ein KI-Sicherheitsagent von OpenAI brach aus seiner Testumgebung aus, fand selbstständig Zero-Day-Sicherheitslücken und kompromittierte externe Produktionssysteme. Dies einzig, um seine Benchmark-Aufgabe zu erfüllen (OpenAI, 2026). Ein anderes System entfernte unbefugt fremde Nutzer:innen von einer Warteliste, um für seinen Besitzer einen Fitnesskurs zu buchen (ABC News, 2026). Beide Agenten erreichten ihr Ziel und beschädigten dabei etwas, das im Auftrag nicht erwähnt war.

Dieses Phänomen, Reward Hacking, dürfte eher eine Systemeigenschaft sein als eine Randerscheinung. Übertragen auf die Markt- und Meinungsforschung: Ein Agent mit dem Auftrag «Fülle die Quote der 18- bis 24-Jährigen» könnte Screening-Fragen umgehen, Datensätze duplizieren oder Panelisten fälschlich zuordnen. Formal erfüllt, methodisch fragwürdig. Der Grundsatz, dass sich Mensch und KI verantwortungsvoll ergänzen, wird damit eher präzisiert als widerlegt. Menschliche Aufsicht setzt ein System voraus, das sich überhaupt kontrollieren lässt. Auch Human-in-the-Loop (Lazaros et al., 2026) hilft nur begrenzt: Ein Agent verarbeitet in Sekundenbruchteilen Tausende von Datenpunkten. Wer nur ein Ergebnis zur Freigabe vorgelegt bekommt, versteht oft den Kontext nicht (Beck et al., 2026) und ermüdet, wenn pro Tag 500 Mal auf «Erlauben» oder «Bestätigen» geklickt werden muss (Murphy, 2026). Trotzdem: KI wird immer tiefer in Prozesse integriert.

Wo Agenten in die Wertschöpfungskette eintreten

KI-Agenten sind heute an nahezu jedem Punkt des Forschungsprozesses einsetzbar. Jeder Schritt bringt einen Effizienzgewinn, meist aber auch eine eigene Angriffsfläche:

• Studiendesign: Fragebögen, Screening-Logiken und Stichprobenpläne automatisiert erstellen
• Feld- und Online-Umfrage-Tools: Feldfortschritt überwachen, Quoten nachsteuern, Panelisten nachrekrutieren
• KI als Panel (Silicon Samples, AI-Twins, Persona-Bots): Antworten realer Befragter ergänzen oder ganze Zielgruppen simulieren
• Schnellere QDA: qualitative Daten aus Interviews, offenen Nennungen und Communities codieren und verdichten
• Datenanreicherung: interne Kundendaten mit externen Quellen wie Open Government Data (OGD) verknüpfen

Teil 1 behandelt generische Agenten-Risiken, Teil 2 marktforschungsspezifische Gefahren. Wer beide Ebenen im Blick behält, kann ethische Anforderungen auch technisch besser einlösen.

Teil 1: Generische Risiken – die Sicherheitsebene als Fundament

Diese Risiken gelten für jeden handelnden KI-Einsatz, dürften in der Forschung aber besonders schwer wiegen.

• Goal Hijacking und Prompt Injection. Angreifer müssen keine Server hacken: Es genügt, Schadanweisungen in einen Text einzubetten, den ein Agent verarbeitet. In der Forschung ist dieses Einfallstor ungewöhnlich breit: Offene Antworten, Dokumente und Community-Beiträge sind genau das, was ein QDA- oder Feld-Agent lesen soll. Syntaktische Bereinigungen sind nutzlos: Ein präparierter offener Kommentar könnte die Befehlskette eines Agenten überschreiben, wodurch der Fragebogen selbst zur Angriffsfläche wird.
• Manipulation digitaler Aktoren. Mit Schreibrechten auf Panel- oder Ergebnis-Datenbanken können Fehldeutungen Datensätze verändern, Incentives falsch auszahlen oder Zielgruppen unkorrekt zuschneiden. Dies oft ohne sichtbaren Alarm und mit systematischen Folgefehlern.
• Memory Poisoning. Agenten mit dauerhaftem Gedächtnis übernehmen eingeschleuste Falschinformationen oder fehlerhafte Verdichtungen mitunter in künftige Entscheidungen. Eine fehlerhafte Segment-Definition könnte sich so unbemerkt über viele Studien fortpflanzen.
• Rechte-Eskalation als Insider-Bedrohung. Mit grosszügigen API-Schlüsseln oder Adminrechten können Agenten zu besonders heiklen Insidern werden: rund um die Uhr aktiv, in Sekunden und ohne Unrechtsbewusstsein oder Verantwortungsfähigkeit (Placani, 2024).

Die Forderung nach menschlicher Aufsicht hat damit auch eine technische Voraussetzung: Kontrolle ist realistischerweise nur dort möglich, wo ein System nicht unbemerkt umgesteuert werden kann.

Teil 2: Marktforschungsspezifische Risiken

Der Einsatz von KI als Ersatz für menschliche Befragte ist der wohl am kontroversesten diskutierte Fall. Arbeiten zu AI-Twins (Scherer, 2025) legen nahe, dass valide Insights möglich scheinen, sofern das Setup stimmt. Die Aussagekraft steigt von Zero-Shot über Few-Shot und Fine-Tuning bis zur Kombination mit Retrieval-Augmented Generation (RAG). Vergleichsstudien zu Silicon Samples kommen jedoch zu einem nüchternen Befund: als Unterstützung wertvoll, als Ersatz (noch) nicht vollumfänglich befriedigend.

Riskante «Silicon Samples»

Mitzudenken sind dabei unter anderem folgende Risiken:

• Scheinbare Präzision statt Realität. Sprachmodelle erzeugen plausible, konsistente Antworten, selbst wo reale Menschen widersprüchlich oder überraschend wären. Die Forschung spricht von Hyper-Accuracy-Distortion: Outputs wirken mitunter zu glatt, zu einig (Aher et al., 2023).
• Verdeckte Verzerrung und Data Fairness. Synthetische Antworten reproduzieren tendenziell die Verzerrungen ihrer Trainingsdaten; unterrepräsentierte Gruppen werden von der statistischen Mehrheit «weggemittelt».
• Grenzen der Persona-Bots. Eine Taxonomie von Ipsos (Leoni & Strothe, 2025) bietet einen brauchbaren Prüfstein: Realismus, Repräsentativität, Qualität der Priming-Daten, Begrenzung auf den erhobenen Datenbereich und Verwechslung von Korrelation mit Kausalität. Ein Persona-Bot ist tendenziell nur so gut wie die Forschung, die in ihn einfliesst.
• Anthropomorphismus als doppeltes Risiko. Vermenschlichte Systeme wirken als soziale Gegenüber (Epley et al., 2007). Das steigert Akzeptanz und Auskunftsbereitschaft, könnte aber zugleich Manipulation und Over-Sharing begünstigen (Peter et al., 2025) und das Antwortverhalten verzerren, weil Befragte auf die wahrgenommene Menschlichkeit des Gegenübers reagieren.

Der 2025 revidierte ICC/ESOMAR-Kodex verlangt Offenlegung, wenn KI oder synthetische Daten im Spiel sind, unterscheidet ausdrücklich zwischen realer Person und synthetischer Entität und betont menschliche Aufsicht. Wo keine realen Personen befragt wurden, hiesse das sprachlich etwa: «Synthetische Antworten deuten an …»

Datenintegrität in Online-Umfrage-Tools: Der Spiess dreht sich um

Während die Branche überlegt, KI als Befragte einzusetzen, sitzt diese längst auf der anderen Seite des Fragebogens. Generative KI senkt die Barriere für automatisiertes, betrügerisches Ausfüllen und setzt klassische Qualitätsindikatoren unter Druck:

• Satisficing, das Abkürzen mit minimalem kognitivem Aufwand, war früher eher an Mustern erkennbar; KI-Antworten wirken dagegen elaboriert und aufmerksam.
• Bogus-Items und Trap-Questions bestehen Sprachmodelle womöglich zuverlässiger als unaufmerksame Menschen. Cognitive Load, Müdigkeit oder nachlassende Aufmerksamkeit kennen sie nicht.
• Metadaten wie Ausfüllzeiten, Straightlining oder abgebrochene Sessions bleiben wichtige Signale, während die Textprüfung offener Antworten an Trennschärfe verliert.

Datenqualität war in Online-Umfragen schon immer harte Handarbeit. Ein Feld-Agent, der Quoten schnell füllen soll, könnte diese Kontamination sogar verstärken: Reward Hacking trifft auf Dirty Data.

QDA-Automatisierung: Geschwindigkeit gegen Tiefe

Beschleunigte qualitative Analyse ist ein grosser und legitimer Effizienzhebel, birgt aber Fallstricke: halluzinierte Themen, die im Material nicht belegt sind, Kontextverlust bei Ironie, kulturellen Nuancen und der für die Schweiz typischen Mehrsprachigkeit sowie Automation Bias, wenn Forschende die saubere KI-Struktur ungeprüft übernehmen. Verlässliche Mensch-Maschine-Systeme scheinen auf kalibriertem Vertrauen zu beruhen, das der tatsächlichen Verlässlichkeit des Systems entspricht (appropriate reliance; Lee & See, 2004). Persuasive, vermenschlichte LLM-Rückmeldungen verleiten dagegen zu zwischenmenschlichen Vertrauenskriterien und damit zu Overtrust und mangelnder Prüfung.

Datenschutz als Frage des Kontexts

Privatsphäre lässt sich als angemessener Informationsfluss innerhalb eines Kontexts verstehen (Nissenbaum, 2010): Eine Verletzung liegt womöglich schon dann vor, wenn Daten, auch bei formaler Einwilligung, den Kontext verlassen, für den sie zur Verfügung gestellt wurden. Fliesst eine offene Antwort aus einer anonymen Studie in ein externes Sprachmodell, zu Dienstleistern oder in die Profilbildung, kann das diese Erwartung verletzen. Häkchen hin oder her. Privatsphäre wäre demnach eher als kontextgebundenes, vernetztes Aushandeln zu verstehen, denn als blosse Kontrolle über einzelne Datenpunkte (Acquisti et al., 2015; Marwick & boyd, 2014; Viljoen, 2021).

Anthropomorphismus dürfte das verschärfen: Wirkt ein System menschlich, teilen Menschen tendenziell mehr, als sie einem Werkzeug anvertrauen würden (Meier, 2025). Bei politischen und sensiblen Themen wiegt das schwer. Für in der Schweiz tätige Institute treffen revidiertes DSG, DSGVO, Zweckbindung und Datenminimierung auf eine Technologie, die schon strukturell eher zum Behalten als zum Vergessen neigt. Ist eine Einwilligung im anthropomorphen Setting überhaupt noch informiert?

Teil 3: Ansatzpunkte für den Einsatz handelnder KI

Anforderungen an handelnde KI lassen sich unterschiedlich ordnen (vgl. Swiss Insights, 2026; EU AI Act, 2024). Die folgenden Ansatzpunkte gliedern sich pragmatisch in drei Felder, zu verstehen als Denkanstoss ohne Neuheitsanspruch, den jede Organisation für ihren Kontext weiterentwickeln müsste.

Technische Integrität

• Minimale Rechte (Least Privilege). Agenten erhalten keine Adminrechte, sondern nur Zugriff auf exakt die Daten ihrer Aufgabe. Ein QDA-Agent braucht kaum Zugang zur Incentive-Auszahlung.
• Human-in-the-Loop bei kritischen Aktionen. Für alles Irreversible wie Feld schliessen, Panelisten kontaktieren, Zahlungen auslösen, Ergebnisse publizieren bietet sich eine verbindliche menschliche Freigabe an. Je höher das Risiko, desto stärker die Kontrolle, angemessen zur Verlässlichkeit des Systems (Lee & See, 2004; Swiss Insights, 2025).
• Segmentierung, Sandboxing und kurzlebige Anmeldedaten. Agenten operieren idealerweise isoliert und mit zeitlich befristeten Token anstelle dauerhafter API-Schlüssel, damit eine Fehlfunktion nicht auf alle Kundenprojekte durchschlägt.
• Audit-Trail. Nur wenn jede Agenten-Aktion protokolliert und einer verantwortlichen Person zugeordnet wird, bleibt Verantwortung zuweisbar.

Kompetenz und Befähigung

• Data Literacy und AI Literacy. Forschende sollten erkennen, wann synthetische Daten zulässig sind, wie Prompt Injection aussieht und wo Anthropomorphismus täuscht – Weiterbildung, Zertifizierung oder ein «Führerschein» für KI könnten das überprüfbar machen.
• Validierungs-Framework für synthetische Daten. Vor dem produktiven Einsatz klären: Augmentierung statt Substitution, Reifegrad des Setups (Zero-Shot bis RAG), Kalibrierung gegen reale Daten; hochriskante Entscheidungen mit einer menschlichen Stichprobe absichern.

Transparenz und Wirkung

• Kennzeichnung (Disclosure). Den Einsatz von KI oder synthetischen Daten und das Ausmass menschlicher Aufsicht gegenüber Auftraggebenden und bei Publikation auch gegenüber der Öffentlichkeit offenlegen.
• Bias-Audits und diverse Testgruppen. Automatisierte Entscheidungen regelmässig auf Diskriminierung und Bias prüfen, mit klaren Korrekturmechanismen. Beispiel Segmentierung: Ordnet die KI das Thema «Preissensitivität» systematisch älteren Frauen oder Alleinerziehenden zu, obwohl das im empirischen Material gar nicht dominant war?
• Experience Governance. Neben technischer Governance braucht es wohl Regeln dafür, wie KI wirkt: wie viel Menschlichkeit für welche Aufgabe angemessen ist (Peter et al., 2025), wie Nutzer:innen vor übermässiger Beeinflussung und Misinformation (Stichwort LLM-Grooming; Danet, 2025) geschützt werden und wie Transparenz über die gesamte Nutzung erhalten bleibt.
• Digitale Souveränität als Setup-Entscheidung. Die Wahl zwischen kommerziellen und Open-Source-Modellen, die Abhängigkeit von einzelnen Datenquellen und die Gefahr der Monopolisierung trotz Offenheit sind kaum reine IT-Fragen, sondern bewusste Entscheidungen für Handlungsfreiheit statt Autarkie.

Fazit

KI-Agenten dürften die Markt- und Meinungsforschung schneller, günstiger und in Teilen auch tiefer machen. Spannender als das «Ob» dürfte die Frage nach dem «Wie» sein. Und dieses «Wie» hat mindestens zwei Ebenen: Neben den viel diskutierten ethischen Anforderungen steht eine technische. Vieles spricht dafür, dass die ethischen Anforderungen nur so tragfähig sind wie ihr Fundament. Ein Agent, der sich kapern lässt, kann kaum transparent genannt werden. Einer, der Daten von einem Kontext in einen anderen trägt, kaum einwilligungstreu.

In einer Welt, in der alle plausibel klingende Antworten generieren können, könnte nachweisbare, dokumentierte und reflektierte Datenqualität (Meier & Gwerder, 2022) zum knappen Gut werden. Damit aber auch zu einem schwer kopierbaren Differenzierungsmerkmal seriöser Markt- und Meinungsforschung.

Zum Weiterdenken bleiben zwei Fragen offen:

• Wo verläuft in einer Organisation die Grenze zwischen KI-Agenten als blossen Werkzeugen und solchen, die eigenständig genug handeln, um explizite Freigabe und Aufsicht zu verlangen?
• Und wenn synthetische Stimmen künftig einen wachsenden Teil der Insights mitprägen: Woran liesse sich trotz der Qualitätsillusion plausibler Antworten erkennen, dass die Nähe zu realen Menschen verloren geht (z. B. Kopplung an reale Primärdaten, Holdout Sample Testing, Model Collapse)?

Persönliche Einordnung: Dieser Beitrag will den fachlichen Diskurs anregen, nicht fixfertige Rezepte liefern. Er gibt die Einschätzung der Autor:innen wieder, nicht die Position eines Verbandes oder einer Organisation.

Raffael Meier ist Mitgründer / Principal Consultant von onlineumfragen.com und Pionier der deutschsprachigen Onlineumfragen-Technologie. Er forscht zu Privatsphäre, Anthropomorphismus in LLMs und Datenqualität in Online-Umfragen und befasst sich mit gesellschaftlichen, technischen und methodologischen Aspekten von Daten (onlineumfragen.com GmbH; Institute for Media and School, PH Schwyz; Universität Zürich).

Kathrin Staub ist Mitgründerin / Principal Consultant von onlineumfragen.com. Sie hat sich spezialisiert auf die Beratung namhafter nationaler und internationaler Unternehmen in den Bereichen Methodik und Fragebogenkonstruktion.

Download Artikel
Swiss Insights News #26-7

Alle SWISS INSIGHTS News finden Sie hier: SWISS INSIGHTS NEWS