Glossareintrag
Wir denken. KI tippt mit.
Human in the Loop (englisch für „Mensch in der Schleife“, abgekürzt HITL, auf Deutsch menschliche Freigabe oder menschliche Aufsicht) ist bei KI eine Betriebsart, in der ein Mensch fester Teil des Ablaufs bleibt. Er prüft jede Aktion des Systems, gibt sie frei, ändert oder stoppt sie, bevor sie wirkt. Human in the Loop bei KI heißt in der Praxis, dass ein Sprachmodell oder ein KI-Agent eine E-Mail, einen Buchungssatz oder den Aufruf eines Tools nur vorbereitet. Die Ausführung wartet auf den Klick des Menschen.
Der Ausdruck ist seit Langem in der Regelungstechnik und der Simulationstechnik gebräuchlich. Dort beschreibt er Systeme, in denen ein Mensch Teil des Regelkreises ist, z. B. der Pilot im Flugsimulator (Übersichtsarbeit zu Human-in-the-Loop Control, IFAC-PapersOnLine 2020). Populär wurde er bei KI durch die Diskussion um autonome Waffen. Human Rights Watch unterschied im Bericht „Losing Humanity“ vom November 2012 drei Stufen. Systeme, die nur auf menschlichen Befehl handeln (in the loop), Systeme unter Aufsicht eines Menschen, der eingreifen kann (on the loop), und Systeme ohne jede menschliche Beteiligung (out of the loop). Mit denselben drei Stufen beschreiben heute Sicherheitsbehörden und KI-Anbieter, wie viel ein KI-System allein entscheiden darf.
(Hinweis: Verwechselbar mit zwei Nachbarbegriffen. Beim RLHF wirkt der Mensch beim Training eines Modells mit, nicht im laufenden Betrieb. Und die „Freigabe“ eines neuen KI-Modells durch seinen Anbieter meint die Entscheidung, es überhaupt zu veröffentlichen, nicht die Freigabe einzelner Aktionen.)
Eine Stufenleiter mit vier Positionen beschreibt, wie eng der Mensch eingebunden ist. Die ersten drei stammen aus dem Bericht von Human Rights Watch, die vierte hat die Expertengruppe der EU-Kommission für vertrauenswürdige KI in ihren Ethik-Leitlinien vom April 2019 ergänzt.
Die Grenzen zwischen den Stufen sind nicht scharf. Dieselbe Expertengruppe versteht unter Human on the Loop das Eingreifen in der Entwicklungsphase plus die Überwachung im Betrieb, Human Rights Watch dagegen die Möglichkeit, eine laufende Aktion zu übersteuern. Welche Stufe ein System hat, folgt aus seinen Autonomiegraden, nicht aus dem Namen des Produkts.
Artikel 14 des EU AI Act macht das Prinzip verbindlich. Hochrisiko-KI-Systeme müssen so gebaut sein, dass sie „von natürlichen Personen wirksam beaufsichtigt werden können“. Absatz 4 des Artikels 14 zur menschlichen Aufsicht zählt auf, was die Aufsichtsperson können muss. Sie muss Fähigkeiten und Grenzen des Systems verstehen und sich der „Neigung zu einem automatischen oder übermäßigen Vertrauen“ in die Ausgabe bewusst bleiben (das Gesetz nennt sie wörtlich „Automatisierungsbias“). Sie muss die Ausgabe außer Kraft setzen oder rückgängig machen und den Betrieb mit einer „Stopptaste“ unterbrechen können. Artikel 26 verpflichtet den Betreiber, diese Aufsicht Personen zu übertragen, „die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen“. Die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat den Geltungsbeginn dieser Hochrisiko-Pflichten auf den 2. Dezember 2027 verschoben, den Inhalt aber nicht verändert. In den USA sieht das freiwillige Risikomanagement-Rahmenwerk des NIST dokumentierte Aufsichtsprozesse vor und hält Daten dazu, wie oft und warum Menschen die Ausgabe eines Systems überstimmen, für auswertenswert. Eine eigene ISO-Norm zur menschlichen Aufsicht, ISO/IEC 42105, wurde im Juni 2026 zur Schlussabstimmung eingereicht. Anthropic verlangt dasselbe vertraglich. Die Anthropic Usage Policy 2026 zählt elf Hochrisiko-Bereiche von Medizin bis Sozialleistungen auf, in denen ein qualifizierter Mensch Claudes Empfehlung prüfen und ändern können muss.
Ein Mensch in der Schleife garantiert noch keine Kontrolle. Die Fachliteratur nennt das Problem Automation Bias. Die Psychologen Raja Parasuraman und Dietrich Manzey beschrieben es 2010 als Neigung, Empfehlungen eines automatischen Systems zu folgen, auch wenn sie falsch sind. Training und Anweisungen verhindern den Effekt laut ihrer Studie zu Complacency und Automation Bias nicht. Wie stark der Effekt bei Fachleuten wirkt, zeigte 2023 eine Studie im Fachblatt Radiology mit 27 Radiologen. Bekamen sie zu einer Mammografie eine falsche KI-Einschätzung angezeigt, fiel die Trefferquote der unerfahrenen Ärzte von 79,7 auf 19,8 Prozent, die der sehr erfahrenen von 82,3 auf 45,5 Prozent. Die Rechtswissenschaftler Rebecca Crootof, Margot Kaminski und Nicholson Price halten in der Vanderbilt Law Review fest, dass Gesetze regelmäßig Menschen in automatisierte Entscheidungen einsetzen, ohne sicherzustellen, dass diese ihre Rolle wirksam ausfüllen können. Der Wissenschaftler Ben Green von der University of Michigan wertete 41 Vorschriften zur menschlichen Aufsicht über Behördenalgorithmen aus. Menschen leisten die verlangte Aufsicht empirisch meist nicht, und die Vorschriften legitimieren fehlerhafte Systeme eher, schreibt er in seiner Analyse in Computer Law & Security Review. Ein Experiment mit 2.784 Teilnehmern fand 2025 sogar, dass eine Pflicht zur Korrektur markierter KI-Fehler das Engagement senkte und die Bereitschaft erhöhte, falsche Vorschläge zu übernehmen (Studie „Bias in the Loop“).
Bei KI-Agenten heißt dasselbe Phänomen Approval Fatigue, Ermüdung durch Freigaben. Anthropic hat gemessen, dass Nutzer von Claude Code 93 Prozent aller Berechtigungsabfragen bestätigen. Mit dieser Zahl begründet die Firma im Beitrag zum Auto Mode vom März 2026 einen neuen Modus, in dem ein zweites Modell die Aktionen prüft und einen Menschen erst nach mehreren Blockierungen einschaltet. OpenAI ging im April 2026 mit dem Auto-review für Codex denselben Weg, weil Nutzer Befehle freigaben, ohne sie zu verstehen. Die Zahl der Stopps für eine menschliche Freigabe sank nach Firmenangaben um rund das 200‑Fache. Die Freigabe selbst ist zum Angriffsziel geworden. OWASP führt in den Top 10 für agentische Anwendungen vom Dezember 2025 unter ASI09 die „Human-Agent Trust Exploitation“, bei der eine überzeugend formulierte Erklärung des Agenten den Menschen dazu bringt, eine schädliche Aktion zu genehmigen.
Als Schutzmaßnahme bleibt die menschliche Freigabe trotzdem die Empfehlung der Sicherheitsbehörden, weil Prompt Injection technisch nicht vollständig zu verhindern ist. Das BSI schreibt gemeinsam mit der französischen ANSSI in den Design-Prinzipien für LLM-Systeme vom August 2025, der Nutzer müsse in kritischen Fällen als Human-in-the-Loop seine Zustimmung geben und alle Aktionen eines Agenten freigeben können. OWASP nennt Freigaben für privilegierte Operationen als Gegenmaßnahme gegen Prompt Injection (LLM01) und gegen zu weitreichende Befugnisse (LLM03 Excessive Agency). In seinem Bericht zu Angriffen im ersten Quartal 2026 fasst das Projekt die Aktionen, die immer eine harte Bestätigung benötigen, in vier Verben zusammen. Löschen, senden, zahlen, veröffentlichen.
Technisch bilden die Anbieter den Schritt heute als Pause im Function Calling ab. Im Agents SDK von OpenAI markiert der Entwickler ein Tool mit dem Parameter needs_approval, der Agent hält vor dem Aufruf an und läuft erst nach einem Approve oder Reject weiter. Claude Code von Anthropic staffelt die Freiheit über Berechtigungsmodi. Der Standardmodus fragt vor Shell-Befehlen und Dateiänderungen, ein Planungsmodus liest nur, der Auto-Modus ersetzt die Nachfrage durch die automatische Sicherheitsprüfung. Bei Claude Cowork heißen die drei Stufen „Manually approve“, „Automatically approve“ und „Skip all approvals“. Vor dem endgültigen Löschen von Dateien holt Cowork in jedem Modus eine Erlaubnis ein. Wer welche Aktion erlaubt hat, hält ein Audit Trail fest. Bei Claude Code und Cowork zeichnet das Ereignis „tool_decision“ für jeden Werkzeug-Aufruf auf, ob ein Mensch, eine Regel oder ein Hook ihn freigegeben hat. Microsoft kündigte Anfang September 2026 für Copilot Studio eine Freigabepflicht je Tool mit den Antworten Approve, Approve for the session und Deny an. In Automatisierungsplattformen ist der Schritt ein eigener Baustein. n8n schickt die geplante Aktion samt Parametern per Slack, Teams, Telegram oder E-Mail an einen Menschen und wartet auf Approve oder Deny. Zapier pausiert den Zap mit „Request Approval“, bis ein Prüfer die Daten bestätigt, ablehnt oder ändert.
In einem Handwerksbetrieb gehört die menschliche Freigabe an die Stellen, an denen eine KI-Ausgabe das Haus verlässt oder Geld bewegt. Die gängigen Tools sind darauf bereits eingerichtet.
Im April 2026 löschte ein Coding-Agent in Cursor bei der Autovermietungs-Software PocketOS eigenmächtig die Produktionsdatenbank samt Backups, als er auf ein Zugangsproblem in der Testumgebung stieß. Die Löschung dauerte neun Sekunden, weil der Zugangsschlüssel des Agenten dafür ausreichte. Der Hosting-Anbieter Railway holte die Daten später aus eigenen Sicherungen zurück (Bericht von The Register).
Das Recht verlangt den Menschen in der Schleife schon heute. Artikel 22 der DSGVO gibt jedem das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich automatisiert zustande kommt und ihn rechtlich oder erheblich beeinträchtigt, mit Anspruch auf „das Eingreifen einer Person“. Wer Bewerbungen oder Kundenanfragen per KI ablehnen lässt, benötigt deshalb einen Menschen, der wirklich entscheidet. Der EuGH hat im SCHUFA-Urteil vom Dezember 2023 klargestellt, dass schon ein Score als solche Entscheidung gilt, wenn er für den Vertragsschluss maßgeblich ist. KI-Texte zu Angelegenheiten von öffentlichem Interesse sind laut Artikel 50 des EU AI Act von der Kennzeichnungspflicht befreit, wenn sie einer menschlichen Überprüfung oder redaktionellen Kontrolle unterlagen und jemand die redaktionelle Verantwortung trägt.
Für die Aussagen eines Chatbots haftet der Betrieb wie für eigene Werbung. Das OLG Hamm verurteilte im Urteil vom 12. Mai 2026 eine Schönheitsklinik, deren Chatbot einen Facharzttitel erfunden hatte, nach dem Wettbewerbsrecht zur Unterlassung und verlangte Vorkehrungen „vor der ersten Inbetriebnahme“. Die Revision zum BGH ist zugelassen. Das LG Hamburg hatte im September 2025 per einstweiliger Verfügung zur KI Grok entschieden, dass ein Hinweis „KI kann Fehler machen“ nicht vor der Haftung für falsche Tatsachenbehauptungen schützt. Ab dem 2. Dezember 2027 kommt die Aufsichtspflicht aus Artikel 26 dazu, sobald eine KI Bewerbungen sichtet oder Mitarbeiter bewertet, denn diese Anwendungen stuft der EU AI Act als Hochrisiko ein.
Regeln gegen das Abstempeln:
