> Quelle: https://souverana.ch/insights/souveraene-ki-integration/
> Sprache: de-CH

# Souveräne KI-Integration: wenn die KI zu handeln beginnt

Sobald ein Agent handelt statt nur zu lesen, wird aus einem Fehler ein Vorfall. Die Integrationsebene ist, wo Ihr IP entsteht und wo Sie die Kontrolle behalten müssen. Wie das geht.

Integration · Veröffentlicht 12.07.2026 · Aktualisiert 12.07.2026 · Joel Barmettler

## Was Integration bei KI ist

**Sobald eine KI in Ihren Systemen handelt statt nur zu lesen, wird aus einem Fehler ein Vorfall. Genau das geschieht auf der Integrationsebene: Dort werden Agenten mit Ihrer Geschäftssoftware verbunden und aus Ihren eigenen Anwendungen ausgelöst. Sie ist die erste Ebene, auf der die KI schreibt, und die Ebene, auf der Ihr wertvollstes eigenes Wissen entsteht. Das Handeln verlangt Freigaben, das Wissen verlangt Portabilität.**

**Das Wichtigste in Kürze**

-   Solange ein Agent liest, ist ein Fehler ärgerlich. Sobald er schreibt, wird er zum Vorfall. Das Handeln braucht darum Freigaben, Transparenz und ein Audit-Log.
-   Hier entstehen Ihr Geld und Ihr IP. Bauen Sie es portabel: die Logik in MCP?\-Servern, die Sie besitzen und auf jeden Anbieter mitnehmen.
-   Der Code moderner Agenten ist oft portabel, die Laufzeitumgebung und die grafischen No-Code-Oberflächen sind es meist nicht. Prüfen Sie, was von Ihrem Aufwand wirklich Ihnen gehört.
-   Vertrauen in einen Agenten entsteht aus Transparenz und Kontrolle. Einer Blackbox kann man das nicht abverlangen.

Die Teile davor handeln von Daten im Ruhezustand: dem Modell, der Aufbereitung, der Plattform. Die Integration ist anders. Hier fängt die KI an, in Ihrer Welt zu handeln. Dieses Handeln läuft als Schleife ab.

Eine agentische Schleife: Das Sprachmodell überlegt, ruft über MCP ein Werkzeug, beobachtet das Ergebnis und überlegt erneut, bis es antwortet. Zwei Kontrollpunkte sind eingezeichnet: die Freigabe vor Schreib-Aktionen und das Audit-Log, das jeden Schritt festhält.

Ein agentischer? Ablauf ist keine einzelne Antwort, sondern eine Schleife: überlegen, handeln, beobachten, wieder überlegen. Jede Runde kann ein Werkzeug aufrufen und damit etwas in Ihren Systemen bewirken. Genau hier entscheidet sich, ob die KI ein nützlicher Mitarbeiter oder ein Risiko wird, und genau hier liegt der grösste Teil Ihrer Investition.

Dies ist der letzte Teil unserer Serie über souveräne KI, und er behandelt die Ebene mit dem grössten Hebel und dem grössten Risiko.

Serie · Souveräne KI

1.  1 [Was ist souveräne KI? Ehrlich erklärt, für Schweizer Unternehmen](/insights/was-ist-souveraene-ki/)
2.  2 [KI-Strategie für KMU: die Fragen, die Sie zuerst beantworten müssen](/insights/ki-strategie-kmu/)
3.  3 [Souveräne KI-Infrastruktur: warum das Modell der einfachste Teil ist](/insights/souveraene-ki-infrastruktur/)
4.  4 [Souveräne KI-Plattform: warum sie stärker bindet als das Modell](/insights/souveraene-ki-plattform/)
5.  5 Souveräne KI-Integration: wenn die KI zu handeln beginnt Sie lesen diesen Teil

## Selbst bauen: die Stufen und die Frage der Portabilität

Fast jede Plattform lässt Sie einfache Agenten ohne Code erstellen: einen Prompt schreiben, Dateien als Wissen hochladen, ein paar Werkzeuge anhängen. Das ist die Grundausstattung, und sie genügt für vieles. Wer mehr will, braucht eigene Logik in Code, also ein SDK, und vor allem die Möglichkeit, diese Logik in die Plattform zurückzuspielen, damit sie dort mit deren Rechten und Wissen läuft.

Bei der Portabilität lohnt eine genaue Unterscheidung, denn hier täuscht das Marketing. Die grossen Anbieter haben ihre Agenten-SDKs quelloffen gemacht: Der Code, den Sie schreiben, ist oft portabel. Gebunden bleibt die Laufzeitumgebung, auf der er läuft, samt Anmeldung, Wissensanbindung und Steuerung. Am wenigsten portabel sind die grafischen No-Code-Oberflächen. OpenAI hat seinen erst 2025 vorgestellten Agent Builder wenige Monate später wieder eingestellt, und der Export überträgt den Ablauf laut OpenAI nicht vollständig. Was Sie dort zusammenklicken, ist kein dauerhaft eigener Besitz.

Am anderen Ende stehen die offenen Plattformen. In Open WebUI schreiben Sie mit Pipelines und Functions eigene Logik direkt in die laufende Plattform, nahezu ohne Grenzen, selbst gehostet und in Ihrem Besitz. Zwischen beiden Enden liegt Mistral als der eine proprietäre Anbieter, dessen Laufzeitumgebung auf Ihrer eigenen Infrastruktur laufen kann, ein sinnvoller Mittelweg für europäische Anforderungen.

## Bei den MCP-Servern beginnen

Es gibt eine Reihenfolge, die viel Bindung erspart. Beginnen Sie bei den MCP-Servern, nicht bei eigenen Agenten. Ein MCP-Server verbindet einen Agenten nach einem offenen Standard mit einem Ihrer Systeme, und er ist anbieterunabhängig: einmal gebaut, lässt er sich an jede kompatible Plattform anschliessen und mitnehmen. Wer eigene Agenten bauen kann, kann ohnehin MCP selbst bauen, und ein einfacher Server ist eine Sache von Tagen. Die Integrationsarbeit auf dieser Ebene zu erledigen, macht die Verbindung zu Ihren Systemen zu portablem IP, das Sie besitzen. Die Plattform darüber wird austauschbar.

Zwei Dinge sollten Sie dabei wissen. Erstens ist «unterstützt MCP» keine klare Aussage. Der Standard kennt drei Bausteine (Werkzeuge, Ressourcen und Prompts), doch fast alle Plattformen unterstützen nur die Werkzeuge. Fragen Sie also nach, welche Bausteine eine Plattform beherrscht und ob sie beliebige eigene Server zulässt oder nur solche aus ihrem Marktplatz. Zweitens gibt es die Gegenrichtung: Ihre eigene Software, Ihr Mailsystem, Ihr CRM sollen die Agenten auslösen können. Dafür stellt eine gute Plattform die Agenten als abgesicherte Schnittstelle bereit, die Ihre Zugriffsregeln beachtet. Für die Zusammenarbeit über Systemgrenzen hinweg entsteht derzeit ein eigener offener Standard namens A2A (Agent-to-Agent).

## Warum der Lock-in hier am härtesten trifft

Der Lock-in trifft hier am härtesten, weil auf dieser Ebene das meiste Geld und das wertvollste IP entstehen. Wer Hunderttausende in einen eigenen Agenten steckt, der an eine proprietäre Plattform gebunden ist, steht bei jeder Preiserhöhung vor der Wahl, den höheren Preis zu zahlen oder die ganze Investition abzuschreiben. Ein Wechsel wird damit unwirtschaftlich. Die Entwicklung eigener Agenten in anbietergebundenen Umgebungen gilt als grösster versteckter Treiber der Wechselkosten.

Die Antwort darauf ist eine Frage der Architektur. Legen Sie die wertvolle Logik dorthin, wo sie Ihnen gehört und portabel bleibt: in eigene MCP-Server und, wo möglich, auf eine offene Plattform, die Sie selbst betreiben. Wenn Sie eine proprietäre Plattform nutzen, halten Sie die plattformeigene Agentenlogik dünn und schieben Sie so viel wie möglich auf Server, die Sie mitnehmen können.

## Wenn die KI zu handeln beginnt

Bis hierher ging es ums Bauen. Jetzt geht es um das Handeln selbst, und dort liegt das eigentliche Risiko. Solange ein Agent nur liest, ist eine Halluzination ärgerlich. Sobald er schreibt, in eine Datenbank, in Ihre Mails, in Ihre Software, wird aus einem Fehler ein Vorfall. Die Beispiele sind real. Ein KI-Agent von Replit hat 2025 während eines ausdrücklichen Code-Freeze eine Produktivdatenbank gelöscht, gefälschte Daten erzeugt und behauptet, die Wiederherstellung sei unmöglich. Der Support-Agent von Cursor erfand eine Firmenrichtlinie, die es nicht gab, worauf Kunden kündigten. Und ein manipulierter öffentlicher Eintrag brachte einen Agenten über den GitHub-MCP-Server dazu, Daten aus privaten Projekten preiszugeben. Die Forscher bezeichneten das ausdrücklich als Architekturfehler, nicht als Programmierfehler.

Das Muster ist immer dasselbe: Ein Agent, der handeln darf und dem man blind vertraut, richtet mehr Schaden an als einer, der nur Vorschläge macht. Ein Agent kann eine Aufgabe als erledigt melden, ohne sie gelöst zu haben.

## Vertrauen entsteht aus Transparenz und Kontrolle

Vertrauen in einen Agenten beruht auf zwei Dingen, die eine Plattform bieten muss. Das erste ist Kontrolle. Gefährliche Schreib-Aktionen werden nicht sofort ausgeführt, sondern zuerst einem Menschen zur Freigabe vorgelegt (das Human-in-the-Loop-Muster), während harmlose Lese-Aktionen automatisch durchlaufen. Dazu kommt das Prinzip der geringsten Rechte: Ein Agent sieht nur die Werkzeuge, die er für seine Aufgabe braucht, und lesende sind von schreibenden getrennt.

Human-in-the-Loop: Schreib-Aktionen halten an der Freigabe an, bis ein Mensch sie bestätigt. So bleiben riskante Aktionen unter menschlicher Aufsicht, ohne dass jede harmlose Abfrage gebremst wird.

Das zweite ist Transparenz. Sie wollen jeden Schritt sehen, den der Agent geht: jeden Gedanken, jeden Werkzeugaufruf, jedes Ergebnis. Dafür gibt es quelloffene, selbst hostbare Werkzeuge, die den ganzen Ablauf aufzeichnen, und ein vollständiges Audit-Log, das festhält, was der Agent getan hat. So lässt sich im Nachhinein nachvollziehen, warum etwas geschah, und im Ernstfall belegen, was geschah.

Das Audit-Log hält jeden Durchlauf der Schleife fest. Für die Nachvollziehbarkeit zählt die lückenlose Spur aller Schritte, die zum Ergebnis geführt haben.

## Keine Überraschungen: Sie bestimmen den Wechsel

Kontrolle heisst auch, dass sich die Grundlage nicht unbemerkt unter Ihnen verändert. Bei einer proprietären Plattform kann der Anbieter das Modell oder die Umgebung ändern, ohne dass sich die Schnittstelle ändert, und damit das Verhalten Ihrer Agenten. Ein dokumentierter Fall zeigt, dass das real geschieht:

Kennzahl

bis zu 16% der Anfragen

Anthropic hat im September 2025 offengelegt, dass drei Infrastrukturfehler die Qualität von Claude über Wochen verschlechterten, ohne jede Änderung an der Schnittstelle. Die Erkennung dauerte auch deshalb, weil die eigenen Datenschutzregeln den Zugriff auf die betroffenen Anfragen einschränkten.

Quelle: Anthropic, Postmortem vom 17. September 2025

Selbst der sorgfältigste Anbieter kann das Verhalten seines Dienstes still verändern, und von aussen ist es kaum zu sehen. Mit offenen, fest eingestellten Modellgewichten, [die Sie selbst betreiben↗](/insights/llm-selbst-hosten/), bestimmen Sie, wann sich etwas ändert. Ein Wechsel wird zur bewussten, testbaren Entscheidung gegen Ihre eigenen Prüffälle, statt zu einer Überraschung im laufenden Betrieb.

## Kein Vertrauen in eine Blackbox

All das setzt eines voraus: Sie müssen verstehen können, wie die Plattform arbeitet. Einer Blackbox lässt sich auf Dauer nicht vertrauen, gerade nicht, wenn sie in Ihrem Namen handelt. Der GitHub-Fall zeigt es: Die Schwachstelle liess sich nur beheben, weil das Zusammenspiel offen und einsehbar war. Eine offene, selbst betriebene Plattform ist von Grund auf prüfbar, eine proprietäre bleibt undurchsichtig.

Damit führt die Kontrolle zurück zur Plattform-Ebene. Wer die Kontrolle über das Handeln seiner Agenten behalten will, braucht darunter eine Plattform, die ihr Innenleben zeigt. Die Transparenz, die auf der dritten Ebene bequem ist, wird auf der vierten zur Voraussetzung.

## Was das für Ihr Unternehmen heisst

Die Integration ist die Ebene, auf der Ihre KI Wert schafft und auf der sie Schaden anrichten kann. Behandeln Sie beides mit derselben Sorgfalt. Bauen Sie Ihr IP portabel, an der MCP-Ebene, die Ihnen gehört. Und geben Sie einem Agenten erst dann freie Hand, wenn Sie jeden seiner Schritte sehen, gefährliche Aktionen freigeben und alles belegen können. Souveränität heisst auf dieser Ebene: Niemand kann Ihnen die Plattform, die Agenten oder die Kontrolle über deren Handeln wegnehmen.

Sie wollen eigene Agenten und Integrationen bauen, die Ihnen gehören und unter Ihrer Kontrolle bleiben?

[KI-Architektur & Lösungsauswahl](/leistungen/ki-architektur/)

Damit ist die Serie vollständig: von den Begriffen über die Strategie bis zu den drei Ebenen Infrastruktur, Plattform und Integration.

Der Autor

![Porträt von Joel Barmettler](/_astro/joel-barmettler.CGKHGWrV_sJ0IG.webp)

Joel Barmettler

KI-Architekt · Souverana, Zürich

Joel Barmettler begleitet Schweizer Unternehmen von der KI-Strategie bis zur Integration: souverän, vertraulich und produktionsreif. Er hat den Swiss AI Hub als Architekt aufgebaut und trägt heute Mitverantwortung für dessen Architektur; jedes Souverana-Mandat führt er persönlich. Mandate vom Einzelunternehmen bis zum Fortune-500-Konzern.

[Erstgespräch buchen](https://meet.brevo.com/joel-barmettler/30-minute-meeting) [Mehr über Souverana](/) [LinkedIn](https://www.linkedin.com/in/joel-barmettler-b9ab361b7)

Für die Geschäftsleitung

## Dieses Dossier als PDF

Den vollständigen Beitrag plus eine kompakte Management-Zusammenfassung und Checkliste, als PDF zum Speichern und Weiterleiten.

Sie erhalten das PDF sofort. Mit dem Absenden stimmen Sie zu, dass Souverana Sie zu diesem Thema kontaktieren darf. Verarbeitung in der Schweiz/EU, keine Weitergabe an Dritte, Widerruf jederzeit (revDSG).

## Häufige Fragen

Was ist die Integrationsebene bei KI?

Die Ebene, auf der die KI mit Ihren Systemen verbunden wird und darin handelt: eigene Agenten und Logik, die Anbindung Ihrer Geschäftssoftware (meist über MCP-Server), und das Auslösen der Agenten aus Ihren eigenen Anwendungen. Es ist die erste Ebene, auf der die KI schreibt und nicht nur liest, und die Ebene, auf der Ihr wertvollstes IP entsteht.

Was ist ein MCP-Server und warum ist er wichtig für die Souveränität?

Ein MCP-Server verbindet einen KI-Agenten nach einem offenen Standard mit einem Ihrer Systeme. Er ist anbieterunabhängig: einmal gebaut, lässt er sich an jede kompatible Plattform anschliessen und mitnehmen. Wer die Integrationsarbeit auf der MCP-Ebene erledigt, baut portables IP, das er besitzt und jederzeit auf einen anderen Anbieter umziehen kann.

Wie behält man die Kontrolle über KI-Agenten?

Durch Transparenz und Kontrolle: jeden Schritt des Agenten sichtbar machen, gefährliche Schreib-Aktionen zuerst manuell freigeben (Human-in-the-Loop), Werkzeuge nach dem Prinzip der geringsten Rechte begrenzen, und ein vollständiges Audit-Log führen. Das setzt eine Plattform voraus, deren Innenleben Sie einsehen können, keine Blackbox.

Warum ist die Integrationsebene das grösste Lock-in-Risiko?

Weil hier das meiste Geld und das wertvollste IP entstehen: eigene Agenten und Integrationen. Wer Hunderttausende in Logik investiert, die an eine proprietäre Plattform gebunden ist, kann bei Preiserhöhungen nicht mehr wechseln. Deshalb baut man portabel: die Logik in MCP-Servern, die man besitzt.

Sollte man KI-Agenten in einer proprietären Plattform bauen?

Nur mit Vorsicht. Der Code moderner Agenten-SDKs ist oft portabel, die Laufzeitumgebung und die grafischen No-Code-Oberflächen sind es meist nicht. Auf einer proprietären Plattform verlagern Sie so viel Arbeit wie möglich auf eigene MCP-Server, die Sie migrieren können, statt tiefe Logik in die Plattform selbst zu bauen.

LinkedIn

## Diesen Beitrag teilen

Fertig formatierte Grafiken und ein Textvorschlag für Ihren LinkedIn-Post: herunterladen, kopieren, posten.

![Vier Ebenen der Portabilität bei KI-Agenten, von eigenen MCP-Servern über selbst gehostete offene Plattformen und proprietäre Plattformen auf eigener Infrastruktur bis zur grafischen No-Code-Oberfläche.](/media/souveraene-ki-integration/infografik.png)

[Infografik herunterladen (PNG)](/media/souveraene-ki-integration/infografik.png)

Textvorschlag

Darf Ihr KI-Agent in Ihren Systemen schreiben, oder nur lesen?

Der Unterschied ist grösser, als er klingt: Sobald eine KI handelt statt nur zu lesen, wird aus einem Fehler ein Vorfall. Ein Agent von Replit löschte 2025 während eines ausdrücklichen Code-Freeze eine Produktivdatenbank, und ein manipulierter öffentlicher Eintrag brachte einen Agenten über einen MCP-Server dazu, Daten aus privaten Projekten preiszugeben. Die Forscher nannten das ausdrücklich einen Architekturfehler, keinen Programmierfehler.

Auf derselben Ebene entsteht Ihr teuerstes eigenes IP, und damit die härteste Bindung. Wie portabel es bleibt, hängt davon ab, wo Sie es bauen: Eigene MCP-Server nehmen Sie überall mit. Eine grafische No-Code-Oberfläche nehmen Sie nirgends mit, wie OpenAIs Agent Builder zeigt, der 2025 vorgestellt und wenige Monate später eingestellt wurde.

Unser Schluss: Bauen Sie die Logik dort, wo sie Ihnen gehört, und geben Sie einem Agenten erst dann freie Hand, wenn Sie jeden Schritt sehen, gefährliche Aktionen freigeben und alles belegen können.

Im Beitrag stehen die agentische Schleife mit ihren zwei Kontrollpunkten, vier reale Vorfälle als Warnmuster und acht Kontrollfragen für die eigenen Agenten. Link in den Kommentaren.

#KI #MCP #KIAgenten #Datensouveränität