KI an das ERP anbinden, auch SAP Business One: Lesen, Rechte, geprüfte Freigaben

Wer KI an das ERP anbinden will, auch SAP Business One, muss zuerst eine einfache Frage mit großer Wirkung beantworten: Was darf das KI-Modell sehen, und was darf es verändern? Ein ERP (Enterprise Resource Planning, also die Software für Aufträge, Einkauf, Lager und Buchhaltung) enthält die verbindlichen Zahlen Ihres Unternehmens. Ein Fehler dort landet in Bestellungen, Rechnungen und Abschlüssen.

Dieser Leitfaden beschreibt einen Weg in drei Stufen: zuerst klar abgegrenzte Lesezugriffe, dann geregelte Berechtigungen, zuletzt Schreibaktionen, die ein Mensch prüft. Als Beispiel dient Claude, das KI-Modell von Anthropic, und als ERP SAP Business One, das ERP von SAP für kleine und mittlere Unternehmen. Die Grundsätze lassen sich auf andere ERP-Systeme übertragen.

Am Ende finden Sie eine Checkliste in Tabellenform und ein Rechenbeispiel mit Bestellungen, das zeigt, warum der gewählte technische Weg die laufenden Kosten bestimmt. Wenn Sie zunächst einen Überblick suchen, welche Abläufe sich überhaupt für KI eignen, hilft unsere Seite zur KI-Automatisierung für den Mittelstand.

Jede belastbare ERP-Anbindung ruht auf drei Bausteinen. Fehlt einer davon, ist die Anbindung entweder nutzlos oder riskant.

Lesemodell

Das Lesemodell ist die festgelegte Auswahl an Objekten und Feldern, die das KI-Modell lesen darf, etwa Kundenaufträge, Artikel und Lagerbestände, aber keine Personal- oder Gehaltsdaten. Es legt außerdem fest, in welcher Form die Daten beim Modell ankommen. Auf der Seite von Claude können Sie einen Anwendungsfall in einem Projekt bündeln: Projekte in Claude Cowork fassen Aufgaben mit eigenen Dateien, eigenem Kontext, eigenen Anweisungen und eigenem Gedächtnis zusammen, und dieses Gedächtnis gilt nur für das jeweilige Projekt.

Freigabe

Die Freigabe ist die Bestätigung durch eine berechtigte Person, bevor eine von der KI vorbereitete Änderung im ERP wirksam wird. Das Modell schlägt vor, der Mensch entscheidet. Welche Vorgänge eine Freigabe brauchen und wer sie erteilen darf, gehört schriftlich festgelegt.

Prüfpfad

Der Prüfpfad ist die lückenlose Aufzeichnung, welcher Benutzer oder Assistent wann welche Daten gelesen oder welche Änderung vorgeschlagen hat, wer sie freigegeben hat und mit welchem Modell das geschah. Ohne Prüfpfad können Sie einen Fehler weder erklären noch zurückverfolgen. Er ist auch die Grundlage, um später zu entscheiden, ob eine Stufe erweitert werden darf.

Eine API (Programmierschnittstelle) ist ein definierter Zugang, über den Software Daten abfragt und ändert. Bei SAP Business One ist das der Service Layer, der REST/OData v4 über alle Objekte bereitstellt; angemeldet wird per Sitzung mit Firmendatenbank, Benutzer und Passwort. Die ältere DI-API gilt als Altschnittstelle.

MCP (Model Context Protocol) ist ein offenes Protokoll, über das KI-Anwendungen kontrolliert mit externen Systemen und Werkzeugen verbunden werden. Einen produktspezifischen MCP-Server für Business One bietet SAP nach den uns vorliegenden Quellen bislang nicht an; es gibt quelloffene Community-Server, die Daten ausschließlich lesend bereitstellen. Eine Integrationsplattform bündelt mehrere Systeme: Im API Management der SAP Integration Suite lassen sich beliebige APIs als MCP-Werkzeuge bereitstellen. Das lohnt sich, wenn neben dem ERP weitere Systeme beteiligt sind, etwa Zoho CRM für den Vertrieb.

Die Bildschirmsteuerung heißt bei Anthropic Computer use: ein Werkzeugsatz mit 17 Einzelwerkzeugen wie screenshot, left_click, type und zoom. Warum sie für Massenvorgänge teuer wird, zeigt das Rechenbeispiel weiter unten.

Bevor Sie eine eigene Anbindung bauen, lohnt der Blick auf die eingebauten Funktionen im Web Client. Laut der Dokumentation Enabling AI for Web Client verbindet die KI-Funktion drei Schichten: den Web Client, den Dienst SAP AI Core auf der SAP Business Technology Platform (BTP) und ein großes Sprachmodell, typischerweise ein GPT-Modell von OpenAI wie GPT-5.

SAP AI Core ist eine Zwischenschicht in der Cloud, die Anmeldung, Weiterleitung der Anfragen und Bereitstellung der Modelle übernimmt. Anfragen werden über den eingerichteten Service Key authentifiziert und anhand der Einstellung Resource Group an die passende Modellbereitstellung geleitet. SAP begründet den Aufbau damit, dass Zugangsdaten, Datenhaltung und Steuerung zentral in der BTP bleiben, statt direkt mit einem fremden KI-Anbieter zu verbinden.

Zwei Funktionen stehen im Mittelpunkt: Mit Ask AI stellen Nutzer Fragen in natürlicher Sprache zu ausgewählten Kontextdaten, und benutzerdefinierte Abfragen (UDQs) lassen sich mit KI-Unterstützung erzeugen. Für die Einrichtung brauchen Sie ein Pay-As-You-Go-Konto auf der BTP; die Einstellungen liegen unter Main Menu > Administration > Configuration > General > Company Settings > Generative AI.

Wichtig für die Datenverarbeitung: Die KI-Modelle laufen in den Rechenzentren der Region, die Sie für das BTP-Unterkonto wählen, und diese Wahl lässt sich später nicht ändern. Einzelheiten nennt SAP Note 3437766. Ob Sie nach dem kostenlosen Plan für SAP AI Launchpad einrichten, regelt SAP Note 3735945.

Beginnen Sie mit einer einzigen, eng gefassten Frage, die heute Zeit kostet. Ein durchgängiges Beispiel: Der Innendienst möchte wissen, welche Kundenaufträge überfällig sind und bei welchen Artikeln der Lagerbestand für offene Aufträge nicht reicht. Die Zahlen kommen aus dem ERP, das Modell formuliert daraus eine verständliche Übersicht.

Technisch sieht das so aus:

1. Sie legen in SAP Business One einen eigenen technischen Benutzer an, der nur die Objekte Kundenaufträge, Artikel und Lagerbestände lesen darf.
2. Ein kleines Programm meldet sich mit diesem Benutzer über den Service Layer an und ruft nur diese Objekte ab.
3. Das Programm übergibt dem Modell die abgerufenen Datensätze und die Anweisung, ausschließlich daraus zu antworten.
4. Jede Abfrage wird mit Zeitpunkt, Benutzer und Ergebnisumfang protokolliert.

Ein lesender Community-Server über MCP kann diesen Schritt verkürzen, ersetzt aber nicht die Frage, welche Tabellen er freigibt. Prüfen Sie vor dem Einsatz, dass das Lesemodell über die Rechte des ERP-Benutzers begrenzt ist und nicht nur über die Anweisung an das Modell. Eine Anweisung ist eine Bitte, eine Berechtigung ist eine Grenze.

Lassen Sie diese Stufe laufen, bis die Antworten verlässlich sind und der Prüfpfad keine Überraschungen zeigt. Erst dann lohnt die nächste Stufe.

Berechtigungen müssen an zwei Stellen stimmen: im ERP und beim KI-Werkzeug. Im ERP gilt der Grundsatz, dass jeder Anwendungsfall einen eigenen technischen Benutzer mit den kleinsten nötigen Rechten erhält. Bei Svennis legen wir für jeden Assistenten einen eigenen ERP-Benutzer an, damit sich im Protokoll jederzeit ablesen lässt, welcher Assistent welche Daten gelesen hat; ein gemeinsamer Sammelbenutzer macht genau das unmöglich.

Auf der Seite von Claude steuern Sie über Single Sign-on (SSO), wer den Assistenten überhaupt nutzt. Laut der Anleitung Set up single sign-on (SSO) gilt:

• SSO steht in den Tarifen Team und Enterprise sowie für Console-Organisationen zur Verfügung.
• Einrichten darf bei Team und Enterprise nur ein Owner oder Primary Owner, in der Console ein Admin.
• Anthropic liefert Anleitungen für Okta, Entra ID, Google, OneLogin, JumpCloud und Duo, jeweils über SAML.
• Standard ist die Bereitstellung nur auf Einladung; bei automatischer Bereitstellung beim ersten Login (JIT) erhalten Nutzer die Rolle User.

Ein Punkt verdient besondere Aufmerksamkeit: Ist „Require SSO“ eingeschaltet und das Zertifikat Ihres Identitätsanbieters abgelaufen, kann sich niemand in der Organisation mehr anmelden, um es zu erneuern. Tragen Sie das Ablaufdatum in Ihren Wartungskalender ein.

Erst wenn Lesen und Rechte stabil laufen, darf das Modell Änderungen vorbereiten. Bewährt hat sich das Entwurfsprinzip: Die KI legt einen Beleg als Entwurf an, zum Beispiel eine Bestellung beim Lieferanten für die fehlenden Artikel aus Stufe 1, und eine berechtigte Person prüft und bestätigt ihn. Der ERP-Benutzer des Assistenten darf Entwürfe anlegen, aber nicht buchen.

Der Grund ist nicht nur die Qualität der Vorschläge. Anthropic weist in der Dokumentation zu Computer use darauf hin, dass Claude unter Umständen Befehlen folgt, die in Inhalten stehen, etwa auf Webseiten oder in Bildern, selbst wenn sie Ihren Anweisungen widersprechen. Das betrifft jeden Text, den der Assistent liest, auch die Bestellbestätigung eines Lieferanten. Bei der Bildschirmsteuerung prüfen zwar Klassifikatoren die Bildschirmfotos auf eingeschleuste Befehle, die Freigabe durch einen Menschen ersetzen sie aber nicht.

Für den Prüfpfad gehört auch das Modell selbst dazu. Laut den Versionshinweisen zu System-Prompts gelten Änderungen am System-Prompt von claude.ai und den Apps nicht für die Claude API, und ab der Generation Claude 4.6 ist jede Modellkennung ein fester Stand. Wenn Sie über die API anbinden und die Modellkennung protokollieren, wissen Sie also später genau, welches Modell einen Entwurf erzeugt hat.

Wie stark der Weg die laufenden Kosten beeinflusst, zeigt eine einfache Rechnung mit den Werten aus der Dokumentation zu Computer use. Das Modell rechnet in Token, kleinen Texteinheiten, nach denen die Nutzung abgerechnet wird.

Annahme: Ein Assistent erfasst eine Bestellung per Bildschirmsteuerung und braucht dafür zehn Bildschirmfotos. Die Werte aus der Dokumentation:

• Die Definition des Werkzeugsatzes mit Standardwerkzeugen kostet rund 4.500 Eingabe-Token pro Anfrage.
• Jedes Bildschirmfoto kostet grob 1.000 bis 1.800 Eingabe-Token.

Zählt man vereinfachend nur eine Anfrage, ergeben sich 4.500 plus 10.000 bis 18.000, also 14.500 bis 22.500 Eingabe-Token für eine Bestellung. Bei 100 Bestellungen sind das 1,45 bis 2,25 Millionen Eingabe-Token, und das ist die Untergrenze, weil sich Bildschirmfotos in längeren Abläufen ansammeln. Das Abschalten von zoom spart nur rund 410 Token.

Hinzu kommen technische Grenzen: Enthält eine Anfrage mehr als 20 Bilder, darf keine Seite eines Bildschirmfotos 2000 Pixel überschreiten, und die API verkleinert zu große Bilder nicht selbst, sondern lehnt sie mit einem Fehler ab. Über den Service Layer dagegen übergibt Ihr Programm dem Modell nur die Felder der Bestellung als Text, ohne Bilder und ohne Werkzeugsatz. Die Folgerung: Bildschirmsteuerung ist die Notlösung für Systeme ohne Schnittstelle, nicht der Standardweg für wiederkehrende Belege.

Die folgende Tabelle fasst zusammen, welche Entscheidung zu welcher Stufe gehört und woran Sie erkennen, dass sie getroffen ist. Nutzen Sie sie als Vorlage für eine kurze interne Abstimmung zwischen Fachabteilung, IT und Geschäftsführung.

Eine Stufe gilt als abgeschlossen, wenn jede Zeile für sie einen Nachweis hat. Erweitern Sie Rechte nie, weil ein Anwendungsfall gut läuft, sondern weil der Prüfpfad es belegt.

Für Unternehmen im deutschsprachigen Raum steht die Frage der Datenverarbeitung meist an erster Stelle. Bei den eingebauten Funktionen von SAP Business One ist die Antwort an eine einmalige Entscheidung gebunden: Die Modelle laufen in der Region, die Sie für das BTP-Unterkonto wählen, und diese Wahl ist endgültig. Stimmen Sie sie deshalb vor der Einrichtung mit Ihrer oder Ihrem Datenschutzbeauftragten ab, oder, wenn Sie keine Datenschutzbeauftragte oder keinen Datenschutzbeauftragten benannt haben, mit der Person, die bei Ihnen für den Datenschutz verantwortlich ist.

Bei der Bildschirmsteuerung von Claude werden laut Anthropic alle Bildschirmfotos, Mausaktionen, Tastatureingaben und beteiligten Dateien in Ihrer eigenen Umgebung gespeichert. Anthropic verarbeitet die Bildschirmfotos jedoch bei jeder Anfrage an die API, und für diese Anfragen gelten die Aufbewahrungsregeln von Anthropic. Die Funktion kommt laut Anthropic für eine Vereinbarung ohne Datenspeicherung (ZDR) in Frage; prüfen Sie die Bedingungen für das von Ihnen eingesetzte Modell. Viele Unternehmen verwalten ihre Konten bereits in Entra ID; dafür gibt es eine eigene SAML-Anleitung für das SSO von Claude.

Rechtlich gehört zur Planung auch die Einordnung nach der europäischen KI-Verordnung; den Volltext mit Erläuterungen finden Sie auf unserer Seite zum EU AI Act. In Fertigungsbetrieben, in denen das ERP Aufträge und Material steuert, wiegen falsche Schreibaktionen besonders schwer; branchenspezifische Beispiele beschreibt unsere Seite zu KI in der Produktion. Dort gilt das Entwurfsprinzip aus Stufe 3 ohne Ausnahme.

Die Anbindung gelingt am besten in kleinen, überprüfbaren Schritten. Diese Reihenfolge hat sich als praktikabel erwiesen:

1. Eine Frage auswählen: Legen Sie einen Lesefall fest, etwa überfällige Kundenaufträge und fehlender Lagerbestand, und benennen Sie eine verantwortliche Person aus der Fachabteilung.
2. Lesemodell schreiben: Halten Sie die Objekte und Felder fest, die der Assistent lesen darf, und alles, was ausdrücklich ausgeschlossen ist.
3. Technischen Benutzer anlegen: Richten Sie in SAP Business One einen eigenen Benutzer mit reinen Leserechten für genau diese Objekte ein.
4. Weg festlegen: Entscheiden Sie anhand der Tabelle oben zwischen Service Layer, MCP-Server und Integrationsplattform; Bildschirmsteuerung nur ohne Schnittstelle.
5. Region klären: Wenn Sie die eingebauten Funktionen von SAP nutzen wollen, entscheiden Sie die Region des BTP-Unterkontos vor der Einrichtung.
6. Zugang regeln: Richten Sie SSO für Claude ein und notieren Sie das Ablaufdatum des Zertifikats.
7. Prüfpfad einschalten und auswerten: Werten Sie Stichproben aus, bevor Sie Entwürfe und Freigaben in Stufe 3 zulassen.

Wenn Sie vorab einschätzen möchten, wie gut Ihre Daten, Rechte und Abläufe für diesen Weg vorbereitet sind, nutzen Sie unseren KI-Readiness-Check. Das Ergebnis zeigt, an welcher der drei Stufen Sie sinnvoll beginnen.