Manche Aufgaben gehören bei der Arbeit mit Microsoft Dynamics 365 Business Central einfach dazu, auch wenn man sie nicht unbedingt gerne macht. Berechtigungssätze zu erstellen ist für mich so ein Fall. Als bei einem Kundenprojekt plötzlich rund 1.300 mögliche Berechtigungsgruppen im Raum standen, habe ich angefangen, mich intensiver mit einer Idee zu beschäftigen: Kann mir ein KI-Agent einen Teil dieser Arbeit abnehmen?
Wenn aus einer Umstellung ein Berechtigungsproblem wird
Bei einem unserer aktuellen Kundenprojekte geht es um die Umstellung von NAV 2017 auf Business Central. Dabei sollen auch die bisherigen Benutzerberechtigungen in eine neue Struktur überführt werden. Das klingt zunächst nach einer normalen Aufgabe bei einer ERP-Migration. Allerdings waren die Berechtigungen bisher individuell an die einzelnen Benutzer vergeben worden und über viele Jahre gewachsen. Als ich versucht habe, daraus eine Struktur für die künftige Verwaltung über Microsoft Entra-Sicherheitsgruppen abzuleiten, kamen ungefähr 1.300 mögliche Gruppenkombinationen heraus.
Das war natürlich keine besonders gute Ausgangslage.
Man hätte jetzt versuchen können, diese Gruppen nach und nach zusammenzufassen und daraus ein halbwegs übersichtliches Konzept zu machen. Aber eigentlich wollten wir ja nicht die alte Berechtigungsstruktur möglichst genau nachbauen, sondern eine vernünftige neue Lösung finden. Also haben wir uns noch einmal angeschaut, welche Tätigkeiten die Mitarbeiter tatsächlich ausführen und welche Berechtigungen sie dafür benötigen. Mit diesen Informationen konnte ich einen anderen Ansatz ausprobieren. Für die beiden zunächst betrachteten Mandanten haben wir auf diese Weise jeweils acht Gruppen definiert. Ob damit alle Anforderungen abgedeckt sind, müssen wir noch testen. Aber das Konzept sieht schon deutlich übersichtlicher aus.
Einen KI-Agenten hatte ich mir bereits vorbereitet
Ich hatte schon vorher angefangen, mit Microsoft Copilot einen eigenen Agenten für die Erstellung von Business-Central-Berechtigungssätzen zu entwickeln. Das ist kein fertiges Produkt, sondern ein Werkzeug, das ich mir für meine Arbeit zusammengestellt habe. Die Idee war eigentlich recht einfach: Wenn ich dem Agenten die Anforderungen und die vorhandenen Berechtigungen zur Verfügung stelle, müsste er mir doch zumindest einen großen Teil der technischen Zusammenstellung abnehmen können.
Inzwischen verwende ich ihn in zwei unterschiedlichen Kundenprojekten. Er hilft mir dabei, vorhandene Standardberechtigungen sinnvoll zu nutzen und dort, wo sie nicht ausreichen, zusätzliche Berechtigungssätze vorzuschlagen. Die Ergebnisse kann ich anschließend in Business Central übernehmen und testen. Das funktioniert mittlerweile ganz ordentlich. Natürlich nicht immer beim ersten Versuch. Wenn Berechtigungen fehlen oder etwas nicht wie erwartet funktioniert, muss ich nacharbeiten. Aber ich muss eben nicht mehr alles selbst von Hand zusammenstellen. Hilfreich finde ich vor allem, dass ich mit dem Agenten auch verschiedene Konzepte durchspielen kann. Gerade bei den ursprünglich 1.300 möglichen Gruppen war das sinnvoll. Statt mich nur mit dem bisherigen Berechtigungsbestand zu beschäftigen, konnte ich einen anderen Ansatz auf Grundlage der tatsächlichen Tätigkeiten ausprobieren.
Ganz ohne Schwierigkeiten geht es nicht
Eine Herausforderung ist für mich momentan noch, die Ergebnisse über mehrere Arbeitssitzungen hinweg zuverlässig verfügbar zu halten. Deshalb dokumentiere ich wichtige Entscheidungen, Arbeitsanweisungen und Zwischenergebnisse in den jeweiligen Projektordnern. So kann ich bei der nächsten Sitzung wieder darauf aufbauen, ohne alles erneut erklären zu müssen. Das ist momentan noch etwas umständlich, funktioniert aber. Langfristig würde ich die Informationen gerne so organisieren, dass der Agent noch besser auf das Wissen aus den bisherigen Arbeitsschritten zugreifen kann.
Auch die Qualität der Ergebnisse hängt natürlich davon ab, welche Informationen ich dem Agenten gebe. Wenn die Anforderungen unklar sind, kann er daraus kein vernünftiges Berechtigungskonzept erstellen. Und gerade bei Berechtigungen muss man sehr genau hinschauen. Schließlich soll ein Mitarbeiter alles machen können, was er für seine Tätigkeit benötigt, aber eben auch nicht mehr. Deshalb teste ich die erstellten Berechtigungssätze zunächst selbst in einer Sandbox. Anschließend müssen die Anwender prüfen, ob ihre tatsächlichen Arbeitsabläufe damit funktionieren. Die Entscheidung, wer welche Rechte bekommen soll, trifft weiterhin der Kunde. Der Agent unterstützt mich bei der Umsetzung, nimmt uns diese Verantwortung aber nicht ab.
Was ich als Nächstes ausprobieren möchte
Im Moment sammle ich mit den beiden Projekten erst einmal Erfahrungen. Dabei merke ich, dass sich bestimmte Fragestellungen wiederholen, obwohl die Kunden ganz unterschiedlich arbeiten. Deshalb würde ich den Agenten gerne so weiterentwickeln, dass er künftig bereits bei der Erfassung der Anforderungen unterstützt. Er könnte beispielsweise die notwendigen Fragen zu den Tätigkeiten und Benutzergruppen stellen und daraus einen ersten Vorschlag für ein Berechtigungskonzept erstellen. Auch die Erfahrungen aus bisherigen Projekten würde ich gerne besser wiederverwenden. Es wäre schließlich wenig sinnvoll, bei jedem neuen Kunden dieselben Fragen wieder von vorne zu klären. Ein weiterer Gedanke betrifft spätere Änderungen in Business Central. Wenn neue Funktionen entwickelt oder zusätzliche Module eingeführt werden, müssen manchmal auch Berechtigungen angepasst werden. Vielleicht kann ein Agent künftig anhand solcher Änderungen zumindest erkennen, wo eine Überprüfung notwendig ist. Das ist bisher allerdings nur eine Überlegung. Ob das zuverlässig funktioniert, müsste ich erst noch ausprobieren.
Nicht alles muss man selbst machen
Ich bin mit meinem Berechtigungsagenten noch längst nicht fertig. Die beiden Kundenprojekte laufen, wir testen die Ergebnisse und ich passe das Werkzeug immer wieder an. Aber ich merke bereits, dass sich die Arbeit damit verändert. Früher hätte ich einen großen Teil meiner Zeit damit verbracht, einzelne Berechtigungssätze zusammenzustellen und zu vergleichen. Jetzt kann ich dem Agenten diese Arbeit zumindest teilweise überlassen und mich stärker darum kümmern, ob das Berechtigungskonzept für den Kunden überhaupt sinnvoll ist. Das bedeutet nicht, dass ich weniger über Business-Central-Berechtigungen wissen muss. Im Gegenteil. Ich muss die Vorschläge schließlich beurteilen können und erkennen, wenn etwas nicht passt.
Für mich ist das bisher eine ganz praktische Anwendung von KI. Ich hatte eine Aufgabe, die viel manuelle Arbeit verursacht, und habe ausprobiert, ob ich sie mit einem Agenten einfacher erledigen kann. Das klappt noch nicht alles so, wie ich es gerne hätte. Aber gut genug, dass ich damit weitermachen möchte.
