„Wer kontrolliert eigentlich, wenn die KI selbst arbeitet?“ Das ist längst keine Nischenfrage für KI-Labore mehr. Wer lokale Assistenten wie Hermes, Claude Code, Codex & Co. einsetzt, stellt sie jeden Tag: Das Modell liest Dateien, ändert Code, ruft Schnittstellen auf, führt Prüfungen aus — und manchmal tut es genau das, was niemand beauftragt hat. Die Debatte um lokale KI kreist dabei meist um Daten: Alles bleibt auf dem eigenen Gerät, nichts geht an einen Dienstleister. Richtig ist das — und unvollständig zugleich. Wo das Modell lokal läuft und die Daten beim Nutzer bleiben, verschiebt sich die eigentliche Frage: Wer sagt dem Modell, dass es fertig ist? Wer erkennt, dass es denselben Fehler zum dritten Mal wiederholt — und wer entscheidet, ob das Ergebnis wirklich dem Auftrag entspricht? Genau hier kommen die Supervisoren ins Spiel.
Im Kern geht es um eine alte Frage in neuem Gewand: Aufsicht. Beim klassischen Rechnerprogramm ist die Kontrolle explizit – jeder Zwischenschritt ist festgelegt, jede Abzweigung definiert. Ein KI-Agent arbeitet da nach einem anderen Prinzip. Er trifft Entscheidungen, formuliert um, wählt Werkzeuge aus und erklärt sich im Zweifel selbst für erledigt. Ohne externe Kontrolle ist genau das das Problem. Der Witz liegt nicht darin, dass das Modell zu dumm wäre — oft ist es erstaunlich gut. Der Witz liegt darin, dass „plausibel“ und „korrekt“ zwei verschiedene Dinge sind, und ein Agent ohne Aufsicht kann beides liefern — leider nicht immer dasselbe.
Lokale KI: Was sie anders macht und was sie nicht löst
Zunächst das, was Lokal wirklich bringt: Die Daten bleiben dort, wo sie hingehören, und es gibt keinen Cloud-Dienst, der mitliest. Wer ein lokales Modell auf dem eigenen Rechner oder Mac Mini laufen lässt, entscheidet, welche Dokumente es sehen darf. Die Abrechnung ist kalkulierbar, die Latenz oft kürzer, und — das wird zu wenig gesagt — man kann das System jederzeit anhalten und prüfen, was es tut. Für den Datenschutz ist das ein Vorteil, der über die reine Rechtslage hinausgeht: Es geht nicht nur um Art. 6 DSGVO, sondern um die tatsächliche Möglichkeit, Kontrolle auszuüben.
Aber: Lokale KI löst nicht das Kontrollproblem — sie verlagert es nur näher zum Nutzer. Das Modell liest trotzdem jede Datei im Arbeitsverzeichnis, es kann trotzdem denselben falschen Codeblock drei Mal schreiben und es behauptet trotzdem mit voller Inbrunst: „Erledigt.“ Der Datenschutz ist damit kein Argument mehr für Selbstläufe. Eher das Gegenteil: Wer sein Modell lokal hat, muss die Aufsicht auch selbst organisieren. Da gibt es niemanden mehr, an den man die Verantwortung abgeben kann.
Ebene 1: Technisch verankerte Wächter
Die billigste und häufig unterschätzte Aufsicht ist die Architektur: Der Agent arbeitet in einem abgegrenzten Ordner, sieht nur die Dateien, die er braucht, und kann im Zweifel nichts außerhalb beschädigen. Dazu kommen Regeln, die nicht verhandelbar sind — Schreiboperationen lassen sich nicht blind wiederholen, Löschungen sind erst möglich, nachdem sie archiviert wurden, und Prüfungen laufen gegen festgelegte Kriterien statt gegen das Selbstbild des Modells. Ein guter Wächter antwortet auf die Frage „Was hat sich wirklich verändert?“ mit einem Nachweis: Dateipfad, Prüfsumme, Testausgabe. Ein schlechter meldet „erledigt“, weil das Modell es gesagt hat.
Ebene 2: KI, die KI beaufsichtigt — die ehrliche Grenze des Meta-Supervisors
Und jetzt die umstrittenste Ebene: Ein zweites Modell, das die Arbeit des ersten prüft — der sogenannte Supervisor. Das funktioniert besser, als sein Ruf, und schlechter, als es angepriesen wird. Ein Supervisor-Modell erkennt zuverlässig, dass eine Datei existiert, dass ein Test gelaufen ist, dass eine Berechnung nachgerechnet wurde. Es erkennt deutlich schlechter, ob das Design stimmig war, ob der Text im richtigen Ton liegt oder ob eine fachliche Entscheidung vertretbar ist. Und es kann dieselben blinden Flecken teilen wie das Modell, dem es die Arbeit abnimmt — denn beide hängen an denselben Trainingsdaten. Ehrlich formuliert: Der Meta-Supervisor ist kein zweites Gehirn. Er ist ein billiger erster Filter, der offensichtliche Fehler fängt und Lesezeit spart. Er ersetzt nicht die Stelle, an der Sie selbst entscheiden müssen.
Ebene 3: Der Mensch bleibt die letzte Instanz
Viele wollen den Agenten „einfach durchlaufen lassen“ und erst am Ende gucken. Im Ernstfall ist der Mensch trotzdem die Signatur im Protokoll. Ein Assistent kann plausibel berichten, dass „alles veröffentlicht wurde“ — und damit falsch liegen. Wer ein Ergebnis nicht selbst geprüft hat, hat es nicht übernommen. Das ist keine Dramatik, sondern Verantwortung: kleine, überprüfbare Schritte mit echten Abnahmekriterien schlagen einen langen Autopilot-Lauf, dessen Abschluss man blind abnickt. Umgekehrt ist der Mensch auch die billigste Aufsicht der Welt. Ein einziger Satz in der Beauftragung — „Prüfe nach dem Schreiben die Datei und zeig mir die Differenz“ — verhindert mehr Fehlschläge als jede Zahl konfigurierter Guardrails.
Was das in der Praxis heißt
Die drei Supervisor-Ebenen sind nicht nur Theorie, sondern praktische Werkzeuge zur Risikosteigerung bei moderatem Aufwand:Ebene 1 (Technische Wächter) ist das Fundament. Ein sandboxierter Workspace mit klaren Pfaden und vordefinierbaren Regeln sorgt dafür, dass ein Agent nicht „wild wuchert“ zwischen Projektordner und Systemdateien. Er prüft selbstständig sein Handeln gegen einen Guard-Status vor jeder Schreiboperation — so weiß man am Ende tatsächlich, welche Dateien sich geändert haben und welche unverändert blieben.Ebene 2 (Meta-Supervisor) addiert einen weiteren Filter hinzu: Ein zweites Modell prüft die Arbeit des ersten nicht nur syntaktisch (fehlende Pfade, falsche Parameter), sondern auch semantisch (Stimmt der Kontext? Wurde die richtige Quelle herangezogen?). Der Meta-Supervisor ist kein Volltreffer-Ringträger, aber er fängt die typischen Fehler ab: falsche Quellenangaben, unpassende Referenzen und das beliebte „Erledigt“, obwohl noch etwas fehlt.Ebene 3 (Der Mensch) liefert den letzten Validierungsschritt — bewusst eingebaut, nicht als After-the-Face-Bestätigung, sondern als aktive Prüfung. Ein kurzer Blick in die Datei-Differenz, ein Abgleich gegen den Originalauftrag, eine kritische Zwischenfrage zur richtigen Reihenfolge der Schritte.Was das am Schluss bringt: Eine nachvollziehbare Prüfkette für jede Arbeitsphase, vom ersten Lesen bis zum fertigen Ergebnis. Nicht perfekt, aber messbar besser als blindes Durchgehen lassen.
Was siehst du anders?
Widerspruch ist willkommen. Schreib klar, bleib beim Thema und bring ein Argument mit. Deine E-Mail-Adresse wird nicht veröffentlicht.