Der KI-Agent kommt aus den USA. Die Daten dürfen nicht hin.

Am 29. September wird OpenAI an seiner Entwicklerkonferenz in San Francisco aller Voraussicht nach «Managed Agents» vorstellen: Software-Agenten, die auf den Servern des Konzerns laufen, E-Mails lesen, Dateien öffnen, Bestellungen auslösen und ganze Abläufe einer Firma übernehmen. Anthropic verkauft dasselbe seit April, für acht Cent pro Stunde. Für ein Schweizer KMU ist das die verlockendste Offerte seit der Cloud. Und die erste, bei der das Kleingedruckte des Anbieters selbst sagt, dass die Daten die Schweiz verlassen.

Das Produkt: ein Angestellter, der beim Anbieter wohnt

Bisher war ein KI-Modell ein Werkzeug, dem man Text schickte und Text zurückbekam. Ein Agent ist etwas anderes: Er bekommt einen Auftrag, Zugang zu Postfach, Kalender, Kundendatenbank und Ablage, und arbeitet dann stundenlang allein. Anthropic hat seine «Claude Managed Agents» am 8. April lanciert; die Agenten laufen in der Infrastruktur des Anbieters, der Sandbox, Berechtigungen, Gedächtnis und Zeitplanung verwaltet, zum Preis der Tokens plus 0,08 Dollar pro Stunde Laufzeit. OpenAI hat im Juli mit «Presence» eine Agentenplattform für den Kundendienst gebracht, die nur über eigene Ingenieure und Systemintegratoren ausgeliefert wird, und im Oktober 2025 mit AgentKit eine Konnektor-Registry, die Dropbox, Google Drive, SharePoint und Microsoft Teams anbindet. Die Managed Agents, die der Branchendienst TestingCatalog im Code entdeckt hat, sind der nächste Schritt: dieselbe Funktion wie bei Anthropic, für den grösseren Kundenstamm.

Für ein KMU mit vierzig Angestellten ist die Rechnung einfach. Ein Agent, der Offerten nachfasst, Rechnungen abgleicht und Lieferanten anschreibt, kostet im Monat weniger als ein Mittagessen. 74 Prozent der Schweizer KMU nutzen oder testen laut AXA bereits künstliche Intelligenz. Agenten haben laut einer Studie von Amazon erst vier Prozent der Schweizer Firmen eingeführt. Der Markt ist da, die Nachfrage ist da. Das Problem ist der Weg, den die Daten nehmen.

Das Kleingedruckte: Der Agent ist von der Datenresidenz ausgenommen

OpenAI hat im Februar 2025 «Data Residency in Europe» eingeführt und im November auf zehn Regionen ausgeweitet. Die Schweiz ist dabei, als Teil der Region «Europe (EEA + Switzerland)», mit eigenem Endpunkt. Eine Schweizer Region gibt es nicht, nur eine europäische. Das wäre zu verschmerzen. Entscheidend ist die Liste dessen, was die Datenresidenz laut Entwicklerdokumentation nicht abdeckt: die Assistants API, die Conversations API, ChatKit, Drittanbieter-Dienste wie MCP-Server und Konnektoren, sowie «Computer-Use- und File-Search-Werkzeuge, die mit externen Diensten interagieren». Das ist der komplette Bausatz eines Agenten. Das Sprachmodell rechnet in Europa; alles, was der Agent anfasst, tut er ohne Zusage zum Ort.

Anthropic bietet für seine Managed Agents zwar an, die Sandbox im eigenen Perimeter zu betreiben, aber die Steuerung bleibt beim Anbieter. Und beide Firmen sind amerikanisch, womit der CLOUD Act von 2018 gilt, der US-Behörden den Zugriff auf Kundendaten erlaubt, auch wenn diese in Zürich liegen. Beide haben seit Ende 2024 Büros in Zürich, mit Forschern, nicht mit Rechenzentren.

Das Gesetz: vier Türen, die geschlossen sind

Die Datenschutzbeauftragten der Kantone, vereinigt in privatim, haben am 18. November 2025 eine Resolution verabschiedet: Internationale Cloud-Dienste sind für Daten mit gesetzlicher Geheimhaltungspflicht nur zulässig, wenn das Organ die Daten selbst verschlüsselt und der Anbieter den Schlüssel nicht hat. Ein Agent, der Daten lesen soll, braucht den Schlüssel. Für Gemeinden, Kantone, Spitäler und Schulen ist das Thema damit erledigt, bevor es begonnen hat.

Für Banken gilt das Rundschreiben 2023/1 der Finma: Kritische Daten, die im Ausland gespeichert werden oder auf die aus dem Ausland zugegriffen wird, verlangen eine Begrenzung der erhöhten Risiken, mit Cloud-Lösungen ausdrücklich als Beispiel. Dazu Artikel 47 des Bankengesetzes, bis zu drei Jahre Freiheitsstrafe. Für Ärzte, Anwälte, Apotheker, Psychologen, Revisoren und ihre Hilfspersonen gilt Artikel 321 des Strafgesetzbuchs, ebenfalls drei Jahre. Ob ein amerikanischer Agent eine Hilfsperson ist, hat noch kein Gericht entschieden. Und für alle gilt Artikel 16 des Datenschutzgesetzes, der die Bekanntgabe ins Ausland an einen Angemessenheitsbeschluss oder Garantien bindet. Das Swiss-US Data Privacy Framework liefert diesen Beschluss seit September 2024; das europäische Gegenstück hat im September 2025 vor dem EU-Gericht gehalten. Sicher ist das, bis die nächste Klage kommt.

Ein KI-Gesetz hat die Schweiz nicht. Der Bundesrat hat im Februar 2025 den sektoriellen Weg beschlossen und die Konvention des Europarats unterzeichnet; die Vernehmlassungsvorlage kommt Ende 2026. Bis dahin gilt, was der Datenschutzbeauftragte 2023 festhielt: Das bestehende Gesetz ist auf KI direkt anwendbar.

Die Praxis: Die Sorge ist gross, die Handlung klein

Sotomo hat im März für die AXA 336 KMU befragt. 57 Prozent sind besorgt über ihre Abhängigkeit von IT-Lösungen aus den USA. 13 Prozent sind auf europäische Anbieter umgestiegen, 15 Prozent planen es, 29 Prozent sind besorgt und tun nichts. Nur 31 Prozent halten die USA noch für innovationsstark, 63 Prozent die Schweiz. Die Zürcher Kantonalbank arbeitet mit einem eigenen ChatGPT auf Microsofts Azure-Cloud, für Kreditprofile und Textentwürfe; wo die Daten verarbeitet werden und wie das Bankgeheimnis gewahrt wird, sagen weder Bank noch Microsoft. Swiss Re wird von OpenAI als europäischer Referenzkunde genannt. Der Bund hat seine Cloud-Verträge mit Amazon, Microsoft, Oracle, IBM und Alibaba im September 2025 bis 2031 verlängert, 110 Millionen Franken, ausdrücklich nur für Daten ohne besonderen Schutzbedarf, und baut für 319 Millionen bis 2032 die Swiss Government Cloud.

Wer verkauft, was die Vorsichtigen brauchen: AlpineAI mit SwissGPT, seit April mit einer zweistelligen Millionenrunde, Betrieb ausschliesslich in Schweizer Rechenzentren. Swisscom mit der Swiss AI Platform, auf der das ETH-Modell Apertus läuft. xorlab aus Zürich, seit letzter Woche mit fünf Millionen Euro, E-Mail-Sicherheit für Julius Bär und Vontobel: «Europa braucht eigene Champions, keine europäischen Kopien amerikanischer Platzhirsche.» Keiner von ihnen hat einen Agenten, der an die Managed Agents von Anthropic heranreicht. Noch nicht.

Was das für Entscheider heisst

Die amerikanischen Agenten werden kommen, und sie werden gut sein. Die Frage für eine Schweizer Firma ist nicht, ob sie einen einsetzt, sondern welche Daten sie ihm gibt. Ein Agent, der öffentliche Ausschreibungen liest und Zusammenfassungen schreibt, braucht keine Residenz. Ein Agent, der Kundendossiers öffnet, braucht eine, und die gibt es für Agenten bisher nicht. Wer die Trennung sauber zieht, kann beides haben. Wer sie nicht zieht, hat im Zweifel einen Angestellten in San Francisco mit Schlüssel zum Archiv.

Wer eine US-Idee für die Schweiz prüft und eine Einschätzung will: [email protected]. Wir sammeln die Fälle für die nächste Ausgabe.