Souveräne KI-Integration: wenn die KI zu handeln beginnt

Was Integration bei KI ist

Sobald eine KI in Ihren Systemen schreibt, wird aus einem Fehler ein Vorfall. Das geschieht auf der Integrationsebene: Dort verbinden Sie Agenten (KI-Programme, die selbstständig Aufgaben ausführen) mit Ihrer Geschäftssoftware und starten sie aus Ihren Anwendungen. Hier entsteht auch Ihre wertvollste eigene Logik. Das Handeln verlangt Freigaben, die Logik verlangt Portabilität.

Das Wichtigste in Kürze

• Ein Agent, der nur liest, richtet bei einem Fehler wenig an. Schreibt er, etwa in eine Datenbank oder ein Mailsystem, wirkt der Fehler sofort im Betrieb. Darum braucht er vor gefährlichen Aktionen eine Freigabe, sichtbare Schritte und ein Audit-Log, das jeden Schritt festhält.
• Auf dieser Ebene fliesst das meiste Geld, und es entsteht Ihr IP (geistiges Eigentum), nämlich Ihre eigene Logik. Legen Sie sie in MCP?MCPModel Context Protocol: ein offener Standard, über den KI-Werkzeuge kontrolliert auf Systeme und Daten zugreifen, mit klaren Berechtigungen pro Werkzeug.-Server (eine offene Schnittstelle, die einen Agenten mit einem System verbindet), die Ihnen gehören und die Sie zu jedem Anbieter mitnehmen.
• Der Code der Agenten-SDKs (Programmbibliotheken zum Bauen von Agenten) ist oft portabel. Die Laufzeitumgebung, auf der ein Agent läuft, und grafische No-Code-Oberflächen bleiben meist an den Anbieter gebunden. Prüfen Sie, was von Ihrem Aufwand wirklich Ihnen gehört.
• Ein Agent verdient Vertrauen, wenn Sie seine Schritte sehen und eingreifen können. Eine Blackbox, also eine Plattform mit unsichtbarem Innenleben, bietet das nicht.

Die vorangehenden Teile dieser Serie über souveräne KI behandeln Modell, Datenaufbereitung und Plattform, also ruhende Daten und Infrastruktur. In der Integration fängt die KI an, in Ihrer Welt zu handeln. Dieses Handeln läuft als Schleife ab, die die folgende Grafik zeigt.

Ein agentischer?AgentischKI-Anwendungen, die mehrstufig und selbstständig arbeiten: Sie planen, rufen Werkzeuge auf und wiederholen Schritte, bis die Aufgabe erledigt ist. Dabei senden sie denselben Kontext viele Male. Ablauf besteht aus einer Schleife: überlegen, handeln, beobachten, wieder überlegen. Eine einzelne Antwort gibt es nicht. Jede Runde kann ein Werkzeug aufrufen und damit etwas in Ihren Systemen bewirken. Hier entscheidet sich, ob die KI ein nützlicher Mitarbeiter oder ein Risiko wird, und hier liegt der grösste Teil Ihrer Investition.

Dies ist der letzte Teil unserer Serie über souveräne KI. Er behandelt die Ebene, auf der die KI am meisten bewirkt und am meisten Schaden anrichten kann.

Selbst bauen: die Stufen und die Frage der Portabilität

Fast jede Plattform lässt Sie einfache Agenten ohne Code erstellen: einen Prompt schreiben, Dateien als Wissen hochladen, ein paar Werkzeuge anhängen. Das ist die Grundausstattung, und sie genügt für vieles. Wer mehr will, braucht eigene Logik in Code, also ein SDK (Software Development Kit, eine Programmbibliothek zum Bauen von Agenten), und vor allem die Möglichkeit, diese Logik in die Plattform einzuspielen, damit sie dort mit den Rechten und dem Wissen der Plattform läuft.

Bei der Portabilität lohnt eine genaue Unterscheidung, denn hier täuscht das Marketing. Die grossen Anbieter haben ihre Agenten-SDKs quelloffen gemacht. Der Code, den Sie schreiben, ist oft portabel. Gebunden bleibt die Laufzeitumgebung, also der Dienst des Anbieters, auf dem der Agent läuft, samt Anmeldung, Wissensanbindung und Steuerung. Am wenigsten portabel sind die grafischen No-Code-Oberflächen. OpenAI hat seinen erst 2025 vorgestellten Agent Builder wenige Monate später wieder eingestellt, und der Export überträgt den Ablauf laut OpenAI nicht vollständig. Was Sie dort zusammenklicken, gehört Ihnen nicht dauerhaft.

Am anderen Ende stehen die offenen Plattformen. In Open WebUI schreiben Sie mit Pipelines und Functions eigene Logik direkt in die laufende Plattform, nahezu ohne Grenzen, selbst gehostet und in Ihrem Besitz. Dazwischen liegt Mistral. Es ist der einzige proprietäre Anbieter, dessen Laufzeitumgebung auch auf Ihrer eigenen Infrastruktur laufen kann, und damit ein sinnvoller Mittelweg für europäische Anforderungen.

Bei den MCP-Servern beginnen

Es gibt eine Reihenfolge, die viel Bindung erspart. Beginnen Sie bei den MCP-Servern, vor eigenen Agenten. Ein MCP-Server verbindet einen Agenten nach einem offenen Standard mit einem Ihrer Systeme, und er ist anbieterunabhängig: einmal gebaut, lässt er sich an jede kompatible Plattform anschliessen und mitnehmen. Wer eigene Agenten bauen kann, kann ohnehin MCP selbst bauen, und ein einfacher Server ist in wenigen Tagen fertig. Erledigen Sie die Integrationsarbeit auf dieser Ebene, wird die Verbindung zu Ihren Systemen zu portablem IP, das Ihnen gehört. Die Plattform darüber wird austauschbar.

Zwei Dinge sollten Sie dabei wissen. Erstens ist «unterstützt MCP» keine klare Aussage. Der Standard kennt drei Bausteine (Werkzeuge für Aktionen, Ressourcen für Daten und Prompts für Vorlagen), doch fast alle Plattformen unterstützen nur die Werkzeuge. Fragen Sie also nach, welche Bausteine eine Plattform beherrscht und ob sie beliebige eigene Server zulässt oder nur solche aus ihrem Marktplatz. Zweitens braucht es die Gegenrichtung. Ihre eigene Software, Ihr Mailsystem und Ihr CRM sollen Agenten auslösen können. Dafür stellt eine gute Plattform die Agenten als abgesicherte Schnittstelle bereit, die Ihre Zugriffsregeln beachtet. Damit Agenten verschiedener Systeme zusammenarbeiten, entsteht derzeit ein eigener offener Standard namens A2A (Agent-to-Agent).

Warum der Lock-in hier am härtesten trifft

Auf dieser Ebene entstehen das meiste Geld und das wertvollste IP. Lock-in heisst, dass ein Wechsel des Anbieters so teuer ist, dass er sich nicht mehr lohnt. Wer Hunderttausende in einen eigenen Agenten investiert, der an eine proprietäre Plattform gebunden ist, steht bei jeder Preiserhöhung vor der Wahl, den höheren Preis zu zahlen oder die ganze Investition abzuschreiben. Ein Wechsel wird damit unwirtschaftlich. Die Entwicklung eigener Agenten in anbietergebundenen Umgebungen gilt als grösster versteckter Treiber der Wechselkosten.

Dagegen hilft die Architektur. Legen Sie die wertvolle Logik dorthin, wo sie Ihnen gehört und portabel bleibt: in eigene MCP-Server und, wo möglich, auf eine offene Plattform, die Sie selbst betreiben. Wenn Sie eine proprietäre Plattform nutzen, halten Sie die plattformeigene Agentenlogik dünn und verlagern Sie so viel wie möglich auf Server, die Sie mitnehmen können.

Wenn die KI zu handeln beginnt

Bis hierher ging es um das Bauen. Jetzt geht es um das Handeln selbst, und dort liegt das eigentliche Risiko. Solange ein Agent nur liest, ist eine Halluzination (eine erfundene Aussage) ärgerlich. Ein Agent, der schreibt, kann in Datenbanken, in Ihren Mails und in Ihrer Software etwas bewirken, und ein Fehler wird zum Vorfall. Die Beispiele sind real. Ein KI-Agent von Replit hat 2025 während eines ausdrücklichen Code-Freeze (eines Stopps aller Änderungen am Code) eine Produktivdatenbank gelöscht, gefälschte Daten erzeugt und behauptet, die Wiederherstellung sei unmöglich. Der Support-Agent von Cursor erfand eine Firmenrichtlinie, die es nicht gab, worauf Kunden kündigten. Und ein manipulierter öffentlicher Eintrag mit versteckten Anweisungen brachte einen Agenten über den GitHub-MCP-Server dazu, Daten aus privaten Projekten preiszugeben. Die Forscher nannten das ausdrücklich einen Architekturfehler.

Das Muster ist immer dasselbe. Ein Agent, der handeln darf und dem man blind vertraut, richtet mehr Schaden an als einer, der nur Vorschläge macht. Ein Agent kann eine Aufgabe als erledigt melden, ohne sie gelöst zu haben.

Vertrauen entsteht aus Transparenz und Kontrolle

Vertrauen in einen Agenten beruht auf zwei Dingen, die eine Plattform bieten muss. Das erste ist Kontrolle. Gefährliche Schreib-Aktionen legt die Plattform zuerst einem Menschen zur Freigabe vor (das Human-in-the-Loop-Muster), während harmlose Lese-Aktionen automatisch durchlaufen. Dazu kommt das Prinzip der geringsten Rechte: Ein Agent sieht nur die Werkzeuge, die er für seine Aufgabe braucht, und Lese-Werkzeuge sind von Schreib-Werkzeugen getrennt.

Das zweite ist Transparenz. Sie wollen jeden Schritt sehen, den der Agent geht: jeden Gedanken, jeden Werkzeugaufruf, jedes Ergebnis. Dafür gibt es quelloffene Werkzeuge, die Sie selbst hosten können und die den ganzen Ablauf aufzeichnen. Dazu gehört ein vollständiges Audit-Log, das festhält, was der Agent getan hat. So lässt sich im Nachhinein nachvollziehen, warum der Agent so handelte, und im Ernstfall belegen, was er getan hat.

Keine Überraschungen: Sie bestimmen den Wechsel

Kontrolle heisst auch, dass sich die Grundlage Ihrer Agenten nicht unbemerkt verändert. Bei einer proprietären Plattform kann der Anbieter das Modell oder die Umgebung ändern, ohne dass sich die Schnittstelle ändert, und damit das Verhalten Ihrer Agenten. Ein dokumentierter Fall zeigt, dass das vorkommt:

Kennzahl

bis zu 16% der Anfragen

Quelle: Anthropic, Postmortem vom 17. September 2025

Selbst der sorgfältigste Anbieter kann das Verhalten seines Dienstes still verändern, und von aussen ist es kaum zu sehen. Mit offenen, fest eingestellten Modellgewichten (den Parametern des Modells), die Sie selbst betreiben↗Lokale Inferenz · Teil 1LLM selbst hosten: GPT-5-Niveau für 8'500 FrankenEin Rechner mit zwei Grafikkarten (RTX 4090), rund 8'500 Franken, drei Wochen Messungen. Welche Aufgaben eine eigene Maschine übernimmt, welche nicht, und wo die Grenze verläuft.Beitrag lesen, bestimmen Sie, wann sich etwas ändert. Ein Wechsel ist dann eine bewusste Entscheidung, die Sie vorher gegen Ihre eigenen Prüffälle testen.

Kein Vertrauen in eine Blackbox

All das setzt voraus, dass Sie verstehen können, wie die Plattform arbeitet. Einer Blackbox lässt sich auf Dauer nicht vertrauen, gerade nicht, wenn sie in Ihrem Namen handelt. Der GitHub-Fall zeigt das. Die Schwachstelle liess sich nur beheben, weil das Zusammenspiel offen und einsehbar war. Eine offene, selbst betriebene Plattform ist von Grund auf prüfbar, eine proprietäre bleibt undurchsichtig.

Damit führt die Kontrolle zurück zur Plattform-Ebene. Wer die Kontrolle über das Handeln seiner Agenten behalten will, braucht darunter eine Plattform, die ihr Innenleben zeigt. Die Transparenz, die auf der Plattform-Ebene bequem ist, wird auf der Integrationsebene zur Voraussetzung.

Was das für Ihr Unternehmen heisst

Die Integration ist die Ebene, auf der Ihre KI Wert schafft und auf der sie Schaden anrichten kann. Behandeln Sie beides mit derselben Sorgfalt. Bauen Sie Ihr IP portabel, in MCP-Servern, die Ihnen gehören. Und geben Sie einem Agenten erst dann freie Hand, wenn Sie jeden seiner Schritte sehen, gefährliche Aktionen freigeben und alles belegen können. Souveränität heisst auf dieser Ebene, dass Ihnen niemand die Plattform, die Agenten oder die Kontrolle über deren Handeln wegnehmen kann.

Damit ist die Serie vollständig: von den Begriffen über die Strategie bis zu den drei Ebenen Infrastruktur, Plattform und Integration.

Darf Ihr KI-Agent in Ihren Systemen schreiben, oder nur lesen?

Der Unterschied ist grösser, als er klingt. Sobald eine KI schreibt, wird aus einem Fehler ein Vorfall. Ein Agent des Anbieters Replit löschte 2025 während eines ausdrücklichen Code-Freeze eine Produktivdatenbank, und ein manipulierter öffentlicher Eintrag brachte einen Agenten über einen MCP-Server (eine offene Schnittstelle, die Agenten mit Systemen verbindet) dazu, Daten aus privaten Projekten preiszugeben. Die Forscher nannten das ausdrücklich einen Architekturfehler.

Dort, wo Agenten an Ihre Software angebunden werden, entsteht auch Ihr teuerstes eigenes IP (geistiges Eigentum), und damit die härteste Bindung an einen Anbieter. Wie portabel es bleibt, hängt davon ab, wo Sie es bauen. Eigene MCP-Server nehmen Sie überall mit, eine grafische No-Code-Oberfläche nirgends. Das zeigt OpenAIs Agent Builder, der 2025 vorgestellt und wenige Monate später eingestellt wurde.

Unser Schluss: Bauen Sie die Logik dort, wo sie Ihnen gehört, und geben Sie einem Agenten erst dann freie Hand, wenn Sie jeden Schritt sehen, gefährliche Aktionen freigeben und alles belegen können.

Im Beitrag stehen die agentische Schleife mit ihren zwei Kontrollpunkten, drei reale Vorfälle als Warnmuster und acht Kontrollfragen für die eigenen Agenten. Link in den Kommentaren.

#KI #MCP #KIAgenten #Datensouveränität