Organisation: Faehigkeiten statt Anschluesse, Kontrollpflicht der Leitung (#693, #694)

Korrektur der vorigen Fassung: Plattformen werden NICHT angebunden, auch
nicht als MCP-Server je Plattform - das verlagert die Pflege nur nach
aussen. Das Produkt gibt Faehigkeiten (API, Webseite, Datenbank, Mail); was
spezifisch ist, schreibt sich die Instanz selbst. Damit sind Sandbox (#654),
Shell (#196) und Skriptpruefung (#657) nicht nur Sicherheitsvorhaben,
sondern der eigentliche Werkzeugkasten. Die Reihenfolge bleibt zwingend:
erst die Sandbox, dann das Schreiben.

Neu: Eine Leitung delegiert nicht nur, sie prueft stichprobenartig (#693) -
gegen AuditLog und Transkripte, nie gegen die Selbstauskunft, denn ein
Modell hat am 14.09. dreizehn Werkzeugantworten erfunden. Aus einem Befund
folgen abgestufte Mittel: meist ein schaerferer Auftragstext, seltener ein
anderes Modell, zuletzt Stilllegung. Vorgeschlagen von der Leitung,
ausgefuehrt nach Freigabe.

Dazu der A/B-Vergleich im Betrieb (#694), gemessen an Dingen, die das
Modell nicht selbst behauptet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/Organisation-Konzept.md

@@ -301,30 +301,131 @@ RocketChat.
 Für den Beispielfall trägt das schon weit: Die Auftragsbestätigung kommt per **Mail**, die
 Bestellung steht in der **Datenbank**, der Marktplatz hängt an **DirectAPI**.
 
-**Was fehlt, ist weniger als es scheint — und etwas anderes.** Die Versuchung ist, fünfzig
+### Keine Plattformen anbinden — auch nicht als MCP
-Einzelanbindungen zu bauen: Amazon, eBay, Shopify, DHL, DATEV. Das ist die Falle. Jede
-Einzelanbindung veraltet, und keine trifft die Firma, die als Nächstes kommt.
 
-Der Baukasten braucht stattdessen drei Dinge:
+Die Versuchung ist, fünfzig Einzelanbindungen zu bauen: Amazon, eBay, Shopify, DHL,
+DATEV. Das ist die Falle. Jede veraltet, und keine trifft die Firma, die als Nächstes
+kommt.
 
-1. **Einen guten generischen Weg nach außen.** DirectAPI gibt es; die offene Frage ist
+Ein MCP-Server je Plattform ist dieselbe Falle mit einem anderen Etikett. Er verlagert
-   der MCP-Client (#197). Damit hängt jede Anbindung, die es als MCP-Server gibt, ohne
+die Pflege nur nach außen: Man ist weiterhin darauf angewiesen, dass jemand genau diese
-   eine Zeile Code an der Instanz. Für einen Baukasten ist das die weitaus wichtigste
+Anbindung schreibt und aktuell hält.
-   Einzelinvestition — sie ersetzt die fünfzig Anbindungen durch eine.
+
-2. **Zugangsdaten je Einheit.** Heute hängen sie am Agenten. Ein Einkauf mit sechs
+**Das Produkt gibt dem Agenten Fähigkeiten, keine Anschlüsse.** Eine API aufrufen. Eine
-   Agenten braucht sie einmal, nicht sechsmal — und die Buchhaltung darf den
+Webseite abrufen. Eine Datenbank befragen. Eine Mail lesen. Was daraus eine
-   Marktplatz-Schlüssel nicht sehen. Das gehört an die Einheit (#683), mit demselben
+Amazon-Anbindung macht, ist die Kenntnis des Agenten über Amazon — und die steht in
-   Vererbungsgedanken wie die Rechte.
+seinem Auftrag, seinem Gedächtnis und in Skripten, die er selbst schreibt.
-3. **Das Lesen dessen, was wirklich hereinkommt.** Eine Auftragsbestätigung ist ein
+
+### Wo Spezifisches hingehört: in Skripte, die die Instanz selbst schreibt
+
+Braucht der Marktplatz-Agent eine wiederkehrende, exakt zugeschnittene Operation, schreibt
+er sich ein Skript und pflegt es. Ändert Amazon etwas, ändert er das Skript — ohne
+Produktfassung, ohne uns.
+
+Das ist bereits geplant, und zwar vollständig ausgearbeitet:
+
+| Item | Was |
+|---|---|
+| #654 | Sandbox-Runner (bwrap): jede Codeausführung außerhalb des Hauptprozesses |
+| #196 | Shell-Tool mit echter Sandbox |
+| #657 | Skriptprüfung: Agenten schreiben Skripte, ausgeführt wird nur die freigegebene Fassung — gebunden an den Hash von Skript, Manifest und Interpreter; jede Änderung, auch ein Bugfix, braucht eine neue Prüfung |
+
+**Diese drei sind nicht nur Sicherheitsvorhaben — sie sind der eigentliche
+Werkzeugkasten.** Sie stehen heute unter SEC, weil sie dort aus der Sicherheitsseite
+gedacht wurden. Aus der Baukastenseite betrachtet sind sie die Antwort auf „wie bedient
+eine Instanz Amazon?", und ihr Rang sollte das widerspiegeln.
+
+Die Reihenfolge bleibt dabei zwingend: **erst die Sandbox, dann das Schreiben.** Ein Agent,
+der Code schreiben und ausführen darf, ohne dass die Ausführung eingesperrt ist, ist kein
+Werkzeug, sondern ein Loch. Das ist keine Bürokratie, sondern der Unterschied zwischen
+beidem.
+
+### Was darüber hinaus fehlt
+
+1. **Zugangsdaten je Einheit.** Heute hängen sie am Agenten. Ein Einkauf mit sechs Agenten
+   braucht sie einmal, nicht sechsmal — und die Buchhaltung darf den Marktplatz-Schlüssel
+   nicht sehen. Gehört an die Einheit (#683), mit demselben Vererbungsgedanken wie die
+   Rechte.
+2. **Das Lesen dessen, was wirklich hereinkommt.** Eine Auftragsbestätigung ist ein
    PDF-Anhang, eine Preisliste eine Tabelle. Text aus Anhängen zu holen ist die
-   unspektakulärste und am häufigsten gebrauchte fehlende Fähigkeit.
+   unspektakulärste und am häufigsten gebrauchte fehlende Fähigkeit. Ein PDF vom
+   Lieferanten ist dabei so wenig vertrauenswürdig wie eine Webseite (#193).
+3. **Der MCP-Client (#197) bleibt nützlich** — aber als *eine* Fähigkeit unter anderen,
+   für Dienste, die ohnehin als Server bereitstehen. Nicht als Anbindungsstrategie.
 
-Und quer dazu: Jedes neue Werkzeug bringt seine Eignungsproben mit
+Und quer dazu: Jedes Werkzeug bringt seine Eignungsproben mit
 ([Werkzeugproben-Konzept](Werkzeugproben-Konzept.md), #681). Bei fünfzehn Werkzeugen ist
 das angenehm; bei fünfzig ist es die einzige Art, den Überblick zu behalten, welches
 Modell womit umgehen kann.
 
-## 8 — Was eine Organisation braucht und ein Agentenhaufen nicht
+## 8 — Kontrolle: eine Leitung delegiert nicht nur
+
+Modelle machen Fehler. Das ist keine Randbedingung, sondern die Arbeitsgrundlage — vier
+Tage Testbetrieb haben es viermal vorgeführt (#662, #673, #674, #676). Eine Organisation,
+die das nicht einplant, verteilt Fehler nur schneller.
+
+**Delegieren ohne Nachsehen ist deshalb keine Leitung.** Zur Rolle gehört die Stichprobe:
+Arbeitet der Agent sauber? Nicht bei jedem Lauf — stichprobenartig, und dichter bei einem
+neuen Agenten, einem neuen Modell oder nach einem Fehlschlag.
+
+### Was eine Stichprobe ist
+
+Nicht: den Agenten fragen, ob alles gut lief. Genau das ist als Kontrollinstrument wertlos
+— ein Agent, der seine Aufgabe verfehlt, berichtet das nicht zuverlässig, und im
+Prüfdurchgang vom 14.09. hat ein Modell dreizehn Werkzeugantworten frei erfunden.
+
+Sondern: Ergebnis gegen Auftrag halten, und beides gegen das, was die Engine gestempelt
+hat — `AuditLog`, `RunReceipts`, `RunTranscripts` (#660). Genau die Datenbasis des
+AgentInspector (#204). Eine Leitung, die prüft, ist ein **viertes Profil** desselben
+Unterbaus, mit dem Blick auf die eigene Einheit statt auf die ganze Instanz.
+
+### Was aus einem Befund folgt
+
+Hier kommt die Personalseite ins Spiel, und sie braucht abgestufte Mittel statt eines
+Schalters:
+
+| Befund | Mittel |
+|---|---|
+| Aufgabe unklar formuliert | Auftragstext schärfen — häufigster Fall, siehe #663 |
+| Modell überfordert | Eignungsprobe (#681), dann anderes Modell |
+| Rechte zu weit oder zu eng | Werkzeugrechte anpassen (#641) |
+| Wiederholte Fehlschläge trotz allem | Agent stilllegen, Aufgaben umhängen |
+| Verdacht auf Manipulation von außen | Security-Agent (#658), Quarantäne |
+
+Die ersten vier sind **Personalentscheidungen** und gehören zum Personalmanager
+([Basisagenten-Konzept](Basisagenten-Konzept.md)). Der letzte gehört zur Sicherheit, und
+die Trennung ist wichtig: Ein Agent, der schlecht arbeitet, ist ein Personalfall. Ein
+Agent, der vielleicht ferngesteuert wird, ist keiner — da hilft kein besseres Modell.
+
+**Keines dieser Mittel darf die Leitung allein ziehen.** Ein Modell, das ein anderes
+Modell stilllegt oder umkonfiguriert, verändert die Organisation ohne menschliche
+Beteiligung. Die Leitung *schlägt vor* und begründet; ausgeführt wird nach Freigabe —
+Linie von #205, #641, #687.
+
+### A/B: welches Modell macht es besser oder billiger?
+
+Die Eignungsprobe (#681) beantwortet „kann dieses Modell dieses Werkzeug bedienen?" —
+einmal, vor der Inbetriebnahme. Die Frage der Leitung ist eine andere: **Arbeitet der
+Amazon-Marketing-Agent mit Gemini Flash 3.8 zuverlässig, oder macht Sonnet oder ein
+GPT-Modell es besser — oder billiger?**
+
+Das lässt sich im laufenden Betrieb beantworten, weil die Datenbasis schon da ist (#694):
+dieselbe Rolle, dieselben Aufträge, zwei Modelle über einen Zeitraum. Verglichen werden
+Ausgang, Schritte, Kosten, Fehlschläge, Nacharbeit.
+
+Drei Dinge machen den Unterschied zwischen einer Messung und einem Gefühl:
+
+- **Vergleichbare Aufträge.** Wiederkehrende Aufgaben eignen sich, einmalige nicht.
+- **Ein Erfolgsmaß, das nicht die Selbstauskunft ist.** „ERGEBNIS: ok" sagt nichts.
+  Messbar sind: Lauf abgeschlossen, Werkzeugfehler je Lauf, Nacharbeit nötig, Eskalation
+  ausgelöst, Kosten.
+- **Genug Läufe.** Zwei Läufe sind kein Vergleich. Bei wiederkehrenden Aufgaben ist das
+  kein Problem — eine Woche reicht.
+
+Das Ergebnis ist wieder eine Empfehlung, keine Umstellung: Der Personalmanager legt sie
+vor, entschieden wird mit Freigabe.
+
+## 9 — Was eine Organisation braucht und ein Agentenhaufen nicht
 
 Der Punkt, der beim Bauen am leichtesten übersehen wird: **Eine Organisation lebt von
 gemeinsamem, dauerhaftem Wissen, das in keinem Kopf steckt.**
@@ -347,7 +448,7 @@ Daraus drei Festlegungen:
 
 ---
 
-## 9 — Was sich am Menschen ändert
+## 10 — Was sich am Menschen ändert
 
 Bei fünf Agenten ist der Mensch der Koordinator. Bei fünfzig kann er es nicht sein, und
 der Versuch macht ihn zum Flaschenhals.
@@ -364,7 +465,7 @@ der Versuch macht ihn zum Flaschenhals.
 
 ---
 
-## 10 — Reihenfolge
+## 11 — Reihenfolge
 
 Nichts davon muss auf einmal entstehen. Die Reihenfolge ist so gewählt, dass jede Stufe
 für sich schon nützt und keine die nächste blockiert.
@@ -380,11 +481,17 @@ für sich schon nützt und keine die nächste blockiert.
 | **6** | Entscheidungsinstanz an der Spitze (#690) | Der Betrieb läuft weiter, wenn der Mensch schläft |
 | **7** | Freigabe durch die Leitung innerhalb von Grenzen | Der Mensch hört auf, Flaschenhals zu sein |
 | **8** | Oberfläche: Organigramm statt Agentenliste, Lage je Abteilung | Bei fünfzig Agenten ist eine flache Liste keine Übersicht |
-| **9** | Organisationsvorlagen (#691) | Ein Haus lässt sich weitergeben statt nachbauen |
+| **9** | Kontrollpflicht der Leitung, abgestufte personelle Mittel (#693) | Fehler findet die Leitung, nicht erst der Mensch |
+| **10** | Organisationsvorlagen (#691) | Ein Haus lässt sich weitergeben statt nachbauen |
 
-Quer dazu, unabhängig von der Reihenfolge: der Werkzeugkasten (#692) und die
+Quer dazu, unabhängig von der Reihenfolge: der Werkzeugkasten (#692), der A/B-Vergleich
-Schemaauskunft (#676) — letztere ist Vorbedingung für Stufe 4, weil eine Eskalation
+von Modellen (#694) und die Schemaauskunft (#676) — letztere ist Vorbedingung für
-einen belastbaren Negativbefund braucht.
+Stufe 4, weil eine Eskalation einen belastbaren Negativbefund braucht.
+
+**Nicht in dieser Liste, aber davor:** Die Sandbox (#654) und die Skriptprüfung (#657).
+Sie stehen unter SEC, sind aber die Grundlage dafür, dass eine Instanz sich ihre
+plattformspezifischen Werkzeuge selbst baut — und damit für den Baukasten ebenso
+tragend wie die Einheiten.
 
 Stufe 1 ist die einzige, die wirklich weh tut, weil sie Konfiguration, Werkzeuge,
 Arbeitsbereiche und Oberfläche gleichzeitig berührt. Sie zuerst zu bauen ist trotzdem
@@ -393,7 +500,7 @@ wächst, wird der Umzug teurer.
 
 ---
 
-## 11 — Offene Entscheidungen
+## 12 — Offene Entscheidungen
 
 - **Ist eine Einheit ein Agent?** Eine Leitung könnte ein gewöhnlicher Agent mit
   besonderen Rechten sein — oder die Einheit hat eine Leitungsrolle, die auch unbesetzt
@@ -411,7 +518,7 @@ wächst, wird der Umzug teurer.
 
 ---
 
-## 12 — Items
+## 13 — Items
 
 | Item | Vorhaben |
 |---|---|
@@ -424,6 +531,9 @@ wächst, wird der Umzug teurer.
 | #690 | Entscheidungsinstanz an der Spitze: Mensch, Agent oder beides mit Frist |
 | #691 | Organisationsvorlagen: eine Struktur als importierbare Datei |
 | #692 | Werkzeugkasten: generischer Weg nach außen statt Einzelanbindungen |
+| #693 | Kontrollpflicht der Leitung: Stichproben gegen das Audit, abgestufte Mittel |
+| #694 | A/B-Vergleich von Modellen im laufenden Betrieb |
 | #676 | Schemaauskunft der Datenbank — Vorbedingung für den Negativbefund |
+| #654, #196, #657 | Sandbox, Shell, Skriptprüfung — der eigentliche Werkzeugkasten |
 | #687 | Freigabe durch die Leitung innerhalb von Grenzen |
 | #688 | Organigramm in Oberfläche und WebUI |