Was ändert die IL5-Freigabe für KI-Agenten im Pentagon?

KI-Agenten von Salesforce dürfen seit dem 5. August 2026 Personaldaten des US-Militärs auswerten. Das Human Resources Command der US-Armee öffnet den Agenten zuerst die Akten von 9,2 Millionen Soldaten, Veteranen und Angehörigen. Den Ausschlag gab eine Prüfstufe für Cloud-Sicherheit, die Salesforce erst jetzt erreicht hat.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Rund 1.500 Fälle bearbeitet dieses Kommando jeden Tag: Versetzungen, Beförderungen, Beihilfen, Aktenauskünfte. Ein Teil davon läuft künftig über KI-Agenten, die Routinefragen beantworten und Fallverläufe zusammenfassen.^[1] Die Technik dafür stand längst bereit, die Zulassung nicht.

Das Wichtigste in Kürze

Das Human Resources Command der US-Armee setzt als erste Organisation des Verteidigungsministeriums KI-Agenten auf geschützte Personaldaten an.
Möglich macht das die Freigabestufe IL5, die Salesforce am 5. August 2026 für sein Agentenpaket Agentforce 360 erhalten hat.
Salesforce beziffert die erwartete Ersparnis auf 5,2 Millionen Euro im Jahr, rechnet sie aber der Zusammenlegung der Altsysteme zu, nicht den Agenten.
Über die Bewilligung von Leistungen entscheiden weiterhin die rund 3.000 Sachbearbeiter des Kommandos.

Warum entscheidet eine Freigabestufe über den Einsatz von KI-Agenten?

Ordner — KI-Agenten im US-Verteidigungsministerium benötigen IL5-Clearance, um auf geschützte Personaldaten zuzugreifen

Ohne die Stufe IL5 darf ein KI-Agent im US-Verteidigungsministerium zwar antworten, aber keine geschützten Personaldaten lesen. IL5 bezeichnet im Sicherheitskatalog des Ministeriums für Cloud-Dienste die Ebene für Controlled Unclassified Information und für nicht als Verschlusssache eingestufte Daten nationaler Sicherheitssysteme, also die Stufe direkt unterhalb der Geheimhaltung. Betrieben wird die Plattform auf AWS GovCloud, einer abgeschotteten Region, die ausschließlich von US-Personal bedient wird.^[2]

Nicht die Modellgüte begrenzt den Einsatz in Behörden, sondern die Frage, welche Datenklasse ein Agent überhaupt anfassen darf. Dieselbe Logik traf Anthropic aus der Gegenrichtung, als das Pentagon den Anbieter als Lieferkettenrisiko einstufte.

Der Zuschnitt wiederholt sich: Im Juli schloss Salesforce mit der US-Veteranenbehörde einen Vertrag über 1,39 Milliarden Euro, für die Armee liegt ein Rahmenvertrag über 4,87 Milliarden Euro vor.^[1] Auch in der Wirtschaft laufen Agenten zuerst auf Verwaltungsvorgängen, etwa bei DHL in der Speditionsdisposition.

Woher stammen die 5,2 Millionen Euro Ersparnis?

Aus dem Datenumbau, nicht aus der KI. Salesforce rechnet die 5,2 Millionen Euro jährlich mit kürzeren Bearbeitungszeiten, besserer Fallverteilung und dem Abschalten doppelter Altsysteme vor, ausdrücklich bevor der erste Agent produktiv läuft.^[1] Zuvor mussten die Sachbearbeiter für einen einzigen Vorgang mehrere getrennte Fachverfahren durchsuchen. Die neue Plattform bündelt 600.000 Fälle im Jahr an einer Stelle.

Genau dort liegt die übertragbare Erkenntnis. Silos kosten mehr als fehlende Intelligenz: Salesforce verweist auf einen Bericht des US-Rechnungshofs GAO, wonach 74 Prozent der Flugzeuge der US-Luftwaffe ihre Werfttermine verfehlten, überwiegend wegen unbemerkter Teileengpässe und getrennter Datenbestände.^[2] Ein Agent auf zerfaserten Daten liefert schnellere Auskünfte über einen unklaren Stand.

Im Vollausbau erwartet Salesforce über 55 Millionen Agentengespräche pro Monat.^[1] Bill Pessin, Senior Vice President von Missionforce National Security, nennt als Zweck: „Mit vertrauenswürdiger KI geben wir den Beschäftigten des HRC mehr von ihrer wertvollsten Ressource, nämlich Zeit.“^[1] Feste Leitplanken begrenzen dabei den Spielraum: Die Agenten greifen nur auf freigegebene Quellen zu und folgen vorgegebenen Abläufen. Wie brüchig solche Vorgaben sein können, zeigte ein Test, nach dem lange Regelwerke KI-Agenten nicht zuverlässig steuern.

Was die Freigabestufe IL5 aufschließt

Das Personalkommando der US-Armee ist die erste Stelle im Verteidigungsministerium, die KI-Agenten an geschützte Personaldaten lässt. Die Größenordnungen dahinter.

9,2 Mio.

Soldaten, Veteranen, zivile Beschäftigte und Angehörige betreut das Human Resources Command

1.500

Fälle am Tag, deren Zusammenfassung künftig ein Agent übernimmt

55 Mio.

Agentengespräche pro Monat im Vollausbau, projiziert von Salesforce

5,2 Mio. €

erwartete Ersparnis im Jahr, gerechnet vor dem ersten produktiven Agenten

Wo die Grenze zwischen Agent und Sachbearbeiter verläuft

Der Agent übernimmt

Routineauskünfte rund um die Uhr, aus freigegebenen Quellen der Armee
Zusammenfassungen langer Fallverläufe und die Weiterleitung an die Fachstelle

Der Mensch behält

Die Entscheidung über Leistungen und alle sensiblen Vorgänge
Die Auswahl der Datenquellen, auf die ein Agent zugreifen darf

2. Dezember 2027

Ab diesem Tag gelten die Pflichten der KI-Verordnung für Hochrisiko-Systeme nach Anhang III. Personalverwaltung fällt darunter. Rein militärische Anwendungen bleiben nach Artikel 2 Absatz 3 vom Anwendungsbereich ausgenommen.

Über den Einsatz von KI-Agenten in der Verwaltung entscheidet die Prüfstufe, auf der die Daten liegen. Behörden, die 2027 so weit sein wollen, sortieren deshalb besser jetzt ihre Datenklassen als ihre Modellanbieter.
— Michael Dobler, Herausgeber Dr. Web

Was folgt daraus für Behörden im DACH-Raum?

Derselbe Personalagent unterliegt in Europa zwei völlig verschiedenen Regelwerken. Nach Artikel 2 Absatz 3 der KI-Verordnung gilt das Regelwerk nicht für Systeme, die ausschließlich militärischen Zwecken, Verteidigungszwecken oder der nationalen Sicherheit dienen.^[3] Ein Agent der Bundeswehr bliebe damit außen vor. Derselbe Agent in einer zivilen Behörde fiele unter Anhang III Nummer 4 der Verordnung. Beschäftigung und Personalmanagement zählen dort zur Hochrisiko-Klasse.

Menschliche Aufsicht verlangt Artikel 14 der Verordnung dann verbindlich. Der Zuschnitt der Armee entspricht dieser Vorgabe bereits: Auskünfte kommen vom Agenten, Bewilligungen von Menschen. Zeit bleibt bis zum 2. Dezember 2027, weil die Pflichten für Hochrisiko-Systeme verschoben wurden. Die Transparenzpflichten laufen dagegen bereits, wie das Beispiel SAP Joule zeigt.

Für die Vorbereitung zählen drei Punkte:

Klären Sie zuerst die Datenklasse. In Deutschland übernimmt der Kriterienkatalog BSI C5 die Rolle, die IL5 in den USA spielt. Ohne passendes Testat bleibt jeder Agent bei den unkritischen Beständen.
Trennen Sie Auskunft und Entscheidung schriftlich, bevor der erste Agent läuft. Diese Grenze trägt später die Dokumentation nach Artikel 14.
Holen Sie die Mitbestimmung früh dazu. In Unternehmen greift § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz bei Systemen, die Verhalten oder Leistung überwachen können, in Behörden das jeweilige Personalvertretungsrecht.

Der erste Schritt kostet dabei nichts an Lizenzen. Prüfen Sie, aus wie vielen getrennten Fachverfahren ein Sachbearbeiter heute einen einzigen Vorgang zusammensucht. Diese Zahl entscheidet über den Nutzen eines Agenten mehr als jedes Modell. Wie schwer Freigaben im Alltag fallen, zeigt daneben der Befund, dass Menschen jede dritte Bedrohung übersahen.

Häufige Fragen

Was bedeutet die Freigabestufe IL5?

IL5 steht für Impact Level 5 und bezeichnet im Sicherheitskatalog des US-Verteidigungsministeriums für Cloud-Dienste die Stufe für besonders schutzbedürftige, aber nicht als Verschlusssache eingestufte Daten. Ein Anbieter ohne dieses Testat darf solche Bestände nicht verarbeiten, unabhängig von der Qualität seiner Software.

Was sind Controlled Unclassified Information?

Controlled Unclassified Information, kurz CUI, ist in den USA die Sammelkategorie für Behördendaten, die zwar keiner Geheimhaltungsstufe unterliegen, aber trotzdem geschützt werden müssen. Personalakten, Gesundheitsdaten und Vertragsunterlagen fallen typischerweise darunter.

Was ist Agentforce von Salesforce?

Agentforce ist die Plattform, mit der Salesforce-Kunden eigene KI-Agenten bauen, mit Rechten versehen und überwachen. Die Agenten arbeiten auf den Daten des jeweiligen Kunden und folgen vorgegebenen Abläufen, statt frei zu antworten.

Wann gilt ein KI-System nach Anhang III als hochriskant?

Anhang III der KI-Verordnung listet acht Anwendungsbereiche auf, in denen ein KI-System als hochriskant gilt. Nummer 4 erfasst Beschäftigung und Personalmanagement, also etwa Systeme für Auswahl, Beförderung, Aufgabenzuweisung oder Leistungsbewertung.

Was prüft der BSI-Kriterienkatalog C5?

C5 steht für Cloud Computing Compliance Criteria Catalogue und ist der Prüfkatalog des Bundesamts für Sicherheit in der Informationstechnik für Cloud-Dienste. Ein Wirtschaftsprüfer testiert darin unter anderem Betrieb, Zugriffskontrolle und Standorte. Viele deutsche Behörden setzen dieses Testat als Mindestanforderung.

Quellen

[1] Salesforce: „U.S. Army Human Resources Command Deploys Agentforce to Deliver 24/7 AI-Powered Support to 9.2 Million Soldiers, Veterans, and Military Families“

[2] Salesforce: „Missionforce National Security Unveils IL5-Authorized AI Agents and Apps to Drive Decision Advantage, Readiness, and Enhanced Warfighter Support“

[3] Amt für Veröffentlichungen der EU: Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 2, Artikel 14 und Anhang III