Bei den Datenzugriffen sehe ich diese Grenzen, mit Blick auf den Datenschutz, als eine Facette der Herausforderungen: Wenn eine KI eigenständig entscheidet, welche Datenquellen sie anzapft, um ein Ziel zu erreichen, droht der Kontrollverlust darüber, ob personenbezogene Daten DSGVO-konform verarbeitet werden.
Es könnte unvorhersehbare Datenflüsse geben: Ein Agent agiert dynamisch. Unternehmen können im Vorfeld schwerer dokumentieren, welche Daten wann und wohin fließen, was die Pflicht zur Transparenz gegenüber Betroffenen massiv erschwert.

Ich verstehe die Frage nicht ganz. 
Es geht um eine Webanwendung, wo eine KI-Agent für einen User agiert?

Ich tue mir schwer, das auf eine einzelne Berechtigung festzulegen. I.d.R. ist die *Kombination* der Berechtigungen das Problem. Ein Rahmenwerk, mit dem ich ganz gerne arbeite ist hier Simon Willisons "lethal trifecta for AI" bzw. Metas "Agents Rule of Two".

Einfach gesagt unterscheiden diese zwischen "Zugriff auf private Daten", "Exposition gegenüber nicht vertrauenswürdigen Daten" und der Fähigkeit zur externen Kommunikation. Und der Trick ist, maximal zwei dieser Klassen zu erlauben. Wenn man dieses bei einer WebApp durchsetzen kann, erledigen sich viele Risiken von selber.

Im derzeitigen KI-Hype werden aber gerade im Agent/Agentic-Bereich Berechtigungen aller drei Klassen geradezu "gefordert" … das Agent/Agentic-System soll ja auch was "können" … mit entsprechenden Konsequenzen. Fügt man jetzt noch Memory/Gedächtnis hinzu, wird es schlichtweg zur tickenden Zeitbombe. E.g. eine Prompt Injection in einem PDF, das vielleicht vor einem Monat geparsed wurde, triggert auf einmal *heute* eine entsprechende Aktion... sowas wie EchoLeak mit Zeitzünder ...