«Souverän» staht im Prospäkt, nöd im Vertrag

«Souveräne KI» ist 2026 zum Verkaufsargument geworden, besonders in der Schweiz. Daten im Land, Modell unter europäischer Kontrolle, kein Zugriff aus Übersee. Das Versprechen ist attraktiv, und es ist unreguliert.

Das Marktforschungsunternehmen Omdia hat deshalb etwas getan, was in diesem Feld selten vorkommt: Statt die Produktseiten zu vergleichen, haben die Autoren die Vertragswerke von 35 Anbietern aus 20 Ländern gelesen, von den Nutzungsbedingungen über die Dienstgütevereinbarungen und Auftragsverarbeitungsverträge bis zu den Zertifizierungen. Darunter sind grosse KI-Labore, Hyperscaler, Rechenzentrumsbetreiber, spezialisierte Cloud-Anbieter und Telekomfirmen.

Der Bericht heisst «Sovereign AI: A Playbook for Success» und erschien am 14. Oktober.

Die vier Befunde

28 Prozent der Anbieter legen keinerlei Nachweis für ihre Souveränität offen. Fast ein Drittel. Bei manchen wird zudem erwartet, dass das Kundenunternehmen die Prüfung selbst bezahlt, wenn es die Behauptung verifizieren will.

In acht von zehn Verträgen steht, dass die Netzverfügbarkeit ausserhalb der Kontrolle oder Verantwortung des Anbieters liegt. Das heisst: Die Daten liegen vielleicht in der Schweiz, aber für den Weg dorthin übernimmt niemand Gewähr.

Zwei Drittel der Anbieter begrenzen die Entschädigung bei Nichterfüllung auf Service-Gutschriften. Wenn Ihr Dienst zwei Tage steht, bekommen Sie zwei Tage gutgeschrieben. Den Schaden aus zwei Tagen Stillstand tragen Sie.

Bis zu 45 Prozent der Grossunternehmen planen laut Omdia, innerhalb von 18 Monaten einen IT-Anbieter aus Souveränitäts- oder Compliance-Gründen zu ersetzen oder zu ergänzen. Jedes fünfte grosse oder multinationale Unternehmen verlangt bereits vertragliche Garantien zur Netzsouveränität.

Camille Mendler, Research Director bei Omdia, fasst es so zusammen:

«No one is regulating who can call themselves a sovereign AI provider, and it shows.»

Und, zum Kern der Sache:

«Local hosting is not sovereignty.»

Warum das gerade KMU trifft

Omdia sieht das grösste Risiko ausdrücklich nicht bei den Konzernen, sondern bei kleinen und mittleren Unternehmen. Der Grund ist einfach: Ein Konzern hat eine Rechtsabteilung, die solche Verträge liest, und genug Einkaufsmacht, um Klauseln ändern zu lassen. Ein KMU unterschreibt, was vorgelegt wird.

Dazu kommt, dass gerade KMU auf das Souveränitätsargument ansprechen. Wer Personendaten verarbeitet und sich beim Datenschutz unsicher fühlt, greift zum Anbieter, der «Schweizer Hosting» auf die Seite schreibt. Das ist nachvollziehbar und genau deshalb anfällig.

Wir haben im Beitrag Datenstandort Schweiz prüfen die technische Seite dieser Frage behandelt. Die Omdia-Auswertung ergänzt die vertragliche, und die ist die härtere.

Fünf Klauseln, die Sie vor der Unterschrift suchen sollten

Diese Liste ist aus den Befunden abgeleitet und lässt sich in einer halben Stunde abarbeiten, auch ohne Anwalt.

1. Wo steht der Datenstandort, und wo steht er nicht? Suchen Sie die Zusage im Auftragsverarbeitungsvertrag, nicht auf der Produktseite. Was auf der Website steht, ist Werbung. Was im Vertrag steht, ist die Zusage. Wenn der Vertrag schweigt, gibt es keine Zusage.

2. Gibt es einen Nachweis, und wer zahlt ihn? Fragen Sie nach einem Zertifikat oder einem Prüfbericht. Die Antwort «können wir auf Wunsch prüfen lassen» ist bei Omdia genau das Muster, das als fehlender Nachweis gezählt wurde.

3. Was deckt die Dienstgütevereinbarung ab, und was ist ausgenommen? Besonders: Ist die Netzanbindung drin oder draussen? Bei acht von zehn Verträgen ist sie draussen. Dann nützt die beste Verfügbarkeitszusage nichts, wenn die Leitung ausfällt.

4. Was passiert bei Nichterfüllung? Wenn die Antwort «Service-Gutschrift» lautet, wissen Sie, dass das Ausfallrisiko bei Ihnen liegt. Das kann man akzeptieren, aber man sollte es entschieden haben, statt es zu übersehen.

5. Wer darf zugreifen, und auf welcher Rechtsgrundlage? Nicht nur, wo die Daten liegen, sondern wer sie herausverlangen kann. Ein Anbieter mit Schweizer Rechenzentrum und amerikanischer Muttergesellschaft ist eine andere Lage als einer, der nur schweizerischem Recht untersteht. Welche Rolle das bei Personendaten spielt, steht im Beitrag zu Kundendaten und ChatGPT.

Die Gegenprobe

Zwei Dinge gehören zur Einordnung.

Omdia nennt keine Anbieter namentlich. Der Bericht arbeitet mit Kategorien. Wer wissen will, wie der eigene Anbieter abschneidet, muss selbst nachsehen, und genau dafür ist die Liste oben da.

Omdia ist Teil von Informa TechTarget, einem börsenkotierten Marktforschungs- und Medienkonzern. Die Pressemitteilung richtet Empfehlungen auch an die Anbieter selbst, etwa in Zertifizierungen und Vertrauenszentren zu investieren. Ob daraus ein Beratungsgeschäft folgt, geht aus der Mitteilung nicht hervor. Dass ein Marktforscher einen Markt für Prüfung und Zertifizierung attraktiv findet, ist jedenfalls nicht überraschend.

Das entwertet die Befunde nicht. Es sind gelesene Verträge, keine Umfrage. Das ist in diesem Feld die belastbarere Methode.

Was ich einem KMU raten würde

Wenn Sie heute mit einem Anbieter sprechen, der mit Souveränität wirbt, stellen Sie genau eine Frage: «Können Sie mir das im Vertrag zeigen?»

Die Reaktion auf diese Frage sagt mehr aus als jede Broschüre. Ein seriöser Anbieter zeigt Ihnen die Stelle. Ein unseriöser erklärt Ihnen, warum die Frage so nicht gestellt werden kann.

Und wenn Sie heute schon bei einem solchen Anbieter sind, nehmen Sie den Vertrag hervor und suchen Sie die fünf Punkte oben. Das ist unangenehm, aber es ist billiger als die Erkenntnis im Schadensfall.

Der Satz zum Mitnehmen

Lokales Hosting ist keine Souveränität. Souveränität ist das, was im Vertrag steht, und niemand kontrolliert, wer sich so nennen darf.

Quellen

• Omdia, «Sovereign AI: A Playbook for Success», Medienmitteilung vom 14. Oktober 2026: omdia.tech.informa.com
• Light Reading, «‘Sovereign AI’ claims often fail to match reality», 14. Oktober 2026: lightreading.com
• Netzwoche, «Bei vielen Anbietern bleibt souveräne KI ein leeres Versprechen», 14. Oktober 2026: netzwoche.ch