Ein Schweizer Server genügt nicht: Jurisdictional Integrity für Enterprise-KI

«In der Schweiz gehostet» ist eine nützliche Information. Eine Architektur ist es noch nicht.

Ein KI-Dienst kann auf einem Server in Zürich laufen, während Control Plane, Telemetrie, Backups, Modell-Endpunkt oder Supportteam anderswo liegen. Verschlüsselung kann Daten beim Transport schützen, während ein ausländischer Anbieter weiterhin die Schlüssel kontrolliert. Im Vertrag kann eine Schweizer Region stehen, obwohl ein nicht deklarierter Unterauftragsbearbeiter Teil der Verarbeitungskette bleibt.

Das macht den Dienst nicht automatisch rechtswidrig oder unsicher. Es bedeutet aber: Datenresidenz allein beantwortet nicht die Frage, die Verwaltungsrat, Risk Owner oder Kundschaft tatsächlich stellen:

Können wir belegen, wer jeden wesentlichen Teil dieses Systems kontrolliert, welche Rechtsordnung gilt und was geschieht, wenn etwas schiefgeht?

Die technische Antwort darauf nennen wir bei Operal Jurisdictional Integrity.

Souveränität beantwortet das «Wo». Integrity geht weiter.

Jurisdictional Integrity ist die bewusste Ausrichtung von Daten, Rechenleistung, Modell, Zugriff, Nachweisen und Verantwortung innerhalb eines belastbaren Kontrollperimeters.

Sie prüft sechs praktische Fragen:

Wohin gelangen Eingaben, Ausgaben, Inferenz, Logs und Backups tatsächlich?
Welche Rechtsträger können den Dienst betreiben oder zur Herausgabe verpflichtet werden?
Wer kontrolliert privilegierte Identitäten und Verschlüsselungsschlüssel?
Sind alle Unterauftragsbearbeiter und Modellabhängigkeiten bekannt und geregelt?
Lässt sich eine wesentliche Ausgabe auf Quellen, Kontrollen und eine verantwortliche Person zurückführen?
Kann die Organisation den Dienst wiederherstellen, verschieben oder verlassen, ohne Daten oder Nachweise zu verlieren?

Das Ziel ist nicht Abschottung um ihrer selbst willen. Das Ziel ist ein System, dessen betriebliche Realität zu den Versprechen in Datenschutzerklärung, Auslagerungsinventar, Risikobeurteilung und Kundengespräch passt.

Warum das jetzt zählt—besonders im Finanzsektor

Die Einführung von KI ist vielerorts schneller als der Aufbau der Kontrollstrukturen. Im April 2025 berichtete die FINMA, dass rund die Hälfte der etwa 400 befragten Institute KI bereits einsetzt oder erste Anwendungen entwickelt. 91 Prozent der KI-Nutzer setzten generative KI ein. Datenqualität, Datenschutz, Erklärbarkeit, Korrektheit und Auslagerungsrisiken gehörten zu den Schwerpunkten.

Gerade der letzte Punkt wird leicht unterschätzt. Ein KI-Assistent besteht selten aus einem einzigen Anbieter. Zur Kette können Application Hosting, Foundation-Model-API, Vektordatenbank, Observability-Dienst, Dokumentenparser und Supportwerkzeuge gehören. Jede Abhängigkeit schafft einen weiteren möglichen Datenpfad, Betreiber und Ausfallmodus.

Die Position der FINMA zum Outsourcing ist klar: Die Verantwortung für die ordnungsgemässe Erfüllung einer ausgelagerten Funktion bleibt beim Institut. Der FINMA-Risikomonitor 2025 zählt auch wachsende Drittanbieterabhängigkeiten und Konzentration zu den operationellen Risiken, die Institute steuern müssen.

Die rechtliche Basis betrifft nicht nur beaufsichtigte Finanzunternehmen. Das Schweizer DSG gilt bereits für KI-gestützte Bearbeitungen von Personendaten, wie der EDÖB im Mai 2025 festhielt. Bei Bekanntgaben ins Ausland zählen Zielland, Garantien, Ausnahmen, Transparenz und das Verzeichnis der Bearbeitungstätigkeiten; der EDÖB stellt dazu eine aktuelle Übersicht zu Auslandtransfers bereit.

Im August 2026 verfügt die Schweiz noch über kein übergreifendes KI-Gesetz. Bis Ende 2026 wird eine Vernehmlassungsvorlage zur Umsetzung der KI-Konvention des Europarats erwartet. Warten ist trotzdem keine Option: Bestehende Pflichten aus Datenschutz-, Sektor-, Vertrags- und Governance-Recht gelten weiter. Schweizer Unternehmen mit Tätigkeiten im EU-Markt müssen zudem den räumlichen Geltungsbereich und ihre rollenspezifischen Pflichten nach dem EU AI Act prüfen.

Was Operal baut

Wir übersetzen Jurisdictional Integrity von einem Grundsatz in ein funktionierendes System. Die konkrete Architektur richtet sich nach Anwendungsfall und Risikotoleranz. Unser Grundmuster hat vier Ebenen.

1. Die reale Verarbeitungskette abbilden

Wir beginnen mit Datenklassen, Datenflüssen, Anbietern, Unterauftragsbearbeitern, Modellaufrufen, administrativen Zugriffen und Aufbewahrung. «Keine Daten verlassen die Schweiz» ist nur dann eine belastbare Aussage, wenn das Diagramm auch Logs, Backups, Support und Fehlerpfade umfasst—nicht nur die primäre Datenbank.

2. Das souveräne Fundament bauen

Wo es das Risikoprofil verlangt, laufen Daten und Inferenz auf Schweizer Infrastruktur mit selbst gehosteten Open-Weight-Modellen und streng geregeltem Zugriff. Aktuelle Quelldaten können im führenden System des Kunden bleiben. Dedizierte Deployments und kundenseitig kontrollierte Grenzen reduzieren versteckte Abhängigkeiten von Shared Services.

3. Jede Antwort verantwortbar machen

Der Standort macht eine KI-Antwort nicht korrekt. Wir ergänzen Quellenbezug, Validierung, versionierte Prompts und Modelle, menschliche Freigabe an wesentlichen Entscheidungspunkten sowie einen Audit Trail, der zeigt, was das System gesehen hat und weshalb eine Ausgabe akzeptiert wurde.

Unsere Regel ist einfach: keine Quelle, keine Antwort; keine verantwortliche Person, kein automatisierter Entscheid.

4. Veränderung und Exit einplanen

Modelle werden besser. Anbieter ändern sich. Regulierung entwickelt sich. Ein belastbares System muss von Anfang an portabel sein: exportierbare Daten, dokumentierte Konfigurationen, austauschbare Komponenten, getestete Wiederherstellung und klare Löschbelege. Souveränität ohne Exit-Pfad ist nur eine andere Form des Lock-ins.

Das Ergebnis: eine kleinere Vertrauenslücke

Für Banken, Versicherungen und Vermögensverwalter entstehen Nachweise, die Risk, Compliance und Internal Audit prüfen können. Im Gesundheitswesen, bei der öffentlichen Hand und in beratenden Berufen entsteht eine klare Antwort, wenn Kunden fragen, wohin sensible Informationen gelangt sind. In jedem Unternehmen wird die Lücke kleiner zwischen dem, was es über KI sagt, und dem, was sein Stack tatsächlich tut.

Jurisdictional Integrity bedeutet nicht, dass jeder Workload dasselbe Deployment braucht. Ein öffentlicher Marketing-Assistent und ein kundenorientierter Finanz-Copilot tragen nicht dasselbe Risiko. Entscheidend ist die Verhältnismässigkeit: Architektur, Kontrollen und Nachweise müssen so stark sein wie die Folgen eines Fehlers.

Der beste Zeitpunkt für diesen Perimeter ist, bevor aus einem Pilot kritische Infrastruktur wird. Der zweitbeste ist vor der nächsten Lieferantenprüfung.