Warum souveräne agentische Infrastruktur für Schweizer MedTech und FinTech wichtig ist

Stellen Sie sich folgendes Szenario vor: Ein Schweizer MedTech-Unternehmen will einen KI-Agenten für die Triage von Meldungen zu unerwünschten Ereignissen (Adverse Events) einsetzen. Der Agent liest Patientendaten, schlägt Risikoklassifikationen vor und eskaliert kritische Fälle an einen Arzt. Sechs Monate nach dem Pilotbetrieb kommt die Swissmedic-Inspektion und stellt eine einfache Frage: Wo wurde der Agent ausgeführt, und können Sie nachweisen, was er getan hat? Die ehrliche Antwort der meisten KI-Plattformen besteht heute aus einer Vertragsklausel und einem Audit-Log, dem man auf Treu und Glauben vertrauen muss. Das genügt FINMA und Swissmedic nicht, und die Lücke wird grösser, nicht kleiner.

Warum die Antworten der Hyperscaler nicht ausreichen

Google, Microsoft und Anthropic haben sich in den letzten zwölf Monaten ernsthaft auf agentische Workloads ausgerichtet. An der Google Cloud Next '26 wurden Agent Identity und Agent Gateway als Bausteine eines Agenten-Mesh angekündigt. Microsoft baut Copilot Studio und Entra Agent ID zu einer Identitätsschicht aus. Anthropic liefert produktionsreife Tool-Use-APIs. Das sind ernstzunehmende Produkte mit solider technischer Substanz.

Das Problem ist nicht die technische Qualität, sondern die Struktur: Alle drei Anbieter haben ihren Sitz in den USA, ihre Daten- und Ausführungspfade führen über US-Hyperscaler-Infrastruktur, und ihre Audit-Mechanismen beruhen auf Verträgen, nicht auf Kryptografie. Im Schweizer regulatorischen Umfeld (nDSG, ISG, FINMA-Rundschreiben 2023/1, Swissmedic-MDR-Anforderungen, kantonale Datenschutzgesetze) sind das drei getrennte Probleme: Jurisdiktion, Substanz des Audits und Vertrauen in der Lieferkette. Gängige Lösungen gehen keines davon mit der Strenge an, die die Schweizer Aufsicht verlangt.

Was «souverän» auf Architekturebene bedeutet

Souveränität ist bei Dxzio kein Compliance-Etikett, sondern eine Eigenschaft der Architektur. Sie beruht auf drei grundlegenden Entscheidungen.

Jurisdiktion durch Architektur. Dxzio betreibt die Agent-Runtime auf dedizierter Hardware in EU-Rechenzentren, die der Kunde kontrolliert. Dxzio ist eine Schweizer GmbH mit Sitz in Cham, Kanton Zug; die ISO-27001-Zertifizierung ist in Vorbereitung. Im Datenpfad gibt es keinen US-Hyperscaler. Nicht weil ein Vertrag das verbietet, sondern weil die Komponenten gar nicht dort liegen. Die Identitäts- und Geheimnisverwaltung läuft im Eigenbetrieb: Smallstep CA, OpenBao, Authentik. Kein Drittanbieter hat eine Zugriffsmöglichkeit.

Auditierbarkeit durch Kryptografie. Jede Agent-Aktion wird mit Ed25519 signiert und in einer Merkle-Kette verankert. Fragt die FINMA-Revision oder der EDÖB, was der Agent zu einem bestimmten Zeitpunkt getan hat, ist die Antwort mathematisch überprüfbar: Sie legen die Signatur vor, und der Auditor verifiziert sie offline mit dem öffentlichen Schlüssel des Agenten und der Merkle-Wurzel des Anker-Logs. Die Hyperscaler können diesen Nachweis mit ihren heutigen Architekturen aus strukturellen Gründen nicht erbringen, weil sich ihre Logging-Pipelines nachträglich ändern lassen. Nichtabstreitbarkeit gibt es dort nur als Anbieterversprechen.

Defense-in-Depth durch WASM. Die Agent-Runtime führt Tool-Aufrufe in WASM-Sandboxen aus. Das Manifest jedes Agenten ist signiert und legt die genaue Liste der erlaubten Tool-Aufrufe fest. Alles ausserhalb dieser Liste weist die Runtime ab, bevor der Tool-Code überhaupt geladen wird. Zum Vergleich: Copilot-Studio-Agenten laufen im selben Prozessraum wie die Office-Daten, auf die sie zugreifen. Ob ein Tool zu den Daten eskalieren kann, ist dort eine Frage der Berechtigungskonfiguration, nicht der Architektur.

Wie das im Betrieb aussieht

Im Betrieb sieht das so aus: Agenten authentifizieren sich gegenüber Authentik, sofern vorhanden per OIDC-Föderation mit Ihrem bestehenden IdP (SwissID, AGOV, Azure AD for Government). Geheimnisse werden zur Laufzeit aus OpenBao bezogen und nie als Klartextvariable gespeichert. Jeder Tool-Aufruf wird signiert, protokolliert und in der Merkle-Kette verankert. Die gesamte Infrastruktur läuft auf Talos Linux, Cilium, CloudNativePG, ArgoCD und Wazuh: alles Open Source, alles auditierbar, nichts davon gehört einem US-Anbieter.

Protokoll-Interoperabilität ist Teil der Position, kein Zusatz. Dxzio unterstützt das Model Context Protocol (MCP) und Agent-to-Agent (A2A) nativ. Sie müssen sich also nicht zwischen Souveränität und Ökosystem entscheiden. Ihre bestehenden ADK-, Copilot- oder LangGraph-Agenten können an der Protokollgrenze mit Dxzio-Agenten kommunizieren. Die Ausführung Ihrer eigenen Agenten auf regulierten Daten bleibt dennoch souverän.

Was Sie als Nächstes tun sollten

Wenn Sie CISO eines Schweizer MedTech-Unternehmens sind: Bringen Sie die Architekturfrage in die nächste Geschäftsleitungssitzung ein. Fragen Sie, wo Ihr KI-Agent ausgeführt würde, in welcher Jurisdiktion, und wie Sie das in anderthalb Jahren gegenüber einer Swissmedic-Inspektion belegen würden. Die Antwort wird Ihre Plattformwahl bestimmen.

Wenn Sie Compliance Officer eines Schweizer FinTech-Unternehmens sind: Bereiten Sie das Gespräch mit der FINMA vor. Klären Sie, welche Bestimmungen des AI Act und des nDSG Ihre Agenten betreffen werden, wie Sie die Auditierbarkeit jeder Agent-Aktion belegen und ob Ihre Plattformwahl das auch in zwei Jahren noch trägt.

Dxzio ist darauf ausgelegt, genau diese Fragen mit der Strenge zu beantworten, die Sie brauchen. Wenn Sie darüber sprechen möchten, sprechen Sie uns an.