Die Verteidigung will ihre KI hinter den eigenen Mauern

Im Juli 2025 vergab das Chief Digital and AI Office des Pentagons Verträge mit einem Plafond von je 200 Millionen Dollar an Anthropic, Google, OpenAI und xAI, um agentische Arbeitsabläufe in seinen Einsatzbereichen aufzubauen. Im Dezember eröffnete es GenAI.mil, mit Googles Gemini for Government als erstem Modell, für rund drei Millionen zivile und militärische Mitarbeitende. Google erklärte, die Daten des Ministeriums darauf würden nie zum Training seiner öffentlichen Modelle verwendet.

Innerhalb eines Jahres ging die Verteidigung von Experimenten zum Einkauf über. Die schwierigere Frage war am Ende nicht, welches Modell das beste ist, sondern wessen Regeln gelten, sobald das Modell im Einsatz ist.

Ein Streit darüber, wer entscheidet

Anthropic hatte sich geweigert, seine Modelle für die Massenüberwachung im Inland oder für vollautonome Waffen nutzen zu lassen. Das Pentagon wollte die Nutzung für alle rechtmässigen Zwecke. Am 27. Februar 2026 verstrich eine Frist ohne Einigung. Präsident Trump wies die Bundesbehörden an, die Produkte von Anthropic nicht mehr zu verwenden, mit sechs Monaten Zeit für den Ausstieg, und Verteidigungsminister Pete Hegseth schrieb, kein Auftragnehmer, Lieferant oder Partner, der mit dem US-Militär Geschäfte macht, dürfe irgendeine kommerzielle Tätigkeit mit Anthropic ausüben.

Im März stufte das Pentagon Anthropic förmlich als Lieferkettenrisiko ein, was Unternehmen, die mit ihm arbeiten, verpflichtet zu bescheinigen, dass sie Anthropics Modelle nicht verwenden. TechCrunch vermerkte, solche Einstufungen seien in der Regel ausländischen Gegnern vorbehalten. Am selben Tag, an dem die Frist verstrich, kündigte OpenAI einen Vertrag an, um seine Modelle in den klassifizierten Netzen des Pentagons zu betreiben, mit eigenen Schutzvorkehrungen. Axios berichtete, sie würden nur in der Cloud laufen, nicht am Edge.

Die Gerichte sind gespalten. Im August bezeichnete ein Bundesgericht in Kalifornien die Einstufung als rechtswidrige Vergeltung. Am 25. September bestätigte das Berufungsgericht in Washington mit zwei zu eins Stimmen eine parallele Einstufung nach einem anderen Gesetz. Über die Sache selbst urteilen wir hier nicht. Die Lehre für alle anderen ist schlichter: Ein Modell, das im Gebäude eines anderen läuft, kommt mit den Bedingungen eines anderen, und ein einziger Entscheid in einer Hauptstadt kann alle Lieferanten auf einmal erreichen.

Europa baut hinter den eigenen Mauern

Europäische Ministerien wählen eine andere Form. Im Januar machte das französische Streitkräfteministerium eine Rahmenvereinbarung mit Mistral AI offiziell, geführt von seiner Verteidigungs-KI-Agentur AMIAD, um die Modelle und Lösungen von Mistral auf der eigenen Infrastruktur des Ministeriums einzusetzen. Das Ministerium erklärte, sein Werkzeug sei auf die eigene Sprache der Streitkräfte trainiert.

Die französische Armee geht weiter. Im Juni stellte ihr stellvertretender Generalstabschef, General Patrick Justel, Arcadia vor, ein Führungssystem für das Gefechtsfeld, gebaut mit Mistral AI, Safran.AI, Thales und Airbus, als Frankreichs Antwort auf Palantirs Maven Smart System, das die NATO 2025 in einem Beschaffungsverfahren von sechs Monaten gekauft hat. Arcadia soll dezentral sein: Kommandoposten verbinden sich mit Servern, die im Feld stationiert sind, und wenn Verbindungen abreissen, arbeiten die übrigen Teile selbständig weiter.

In Deutschland betreibt BWI, das IT-Unternehmen der Bundeswehr, seit April 2026 eine eigene KI-Plattform, mit neun Modellen auf 27 GPUs in drei Rechenzentren, wie Europäische Sicherheit und Technik im September berichtete. Als Gründe wurden Datenschutz, Unabhängigkeit von ausländischen Cloud-Anbietern und der Einsatz im Feld ohne Netz genannt.

Die Schweiz beginnt mit der Verwaltung

Die Schweiz geht leiser vor. Am 18. September nahm der Bundesrat einen neu priorisierten Plan für KI in der Bundesverwaltung zur Kenntnis. Sechs von acht Massnahmen werden fortgeführt, darunter ein hauseigenes generatives KI-System für alle Bundesangestellten. Die Verwaltung zählt 116 KI-Projekte in ihren Departementen und nennt als ein Beispiel eine Schreibhilfe für vertrauliche Texte.

Auf der Seite der Verteidigung lancierten das Beschaffungsamt armasuisse und der ETH-Bereich im Oktober 2025 ein Forschungsprogramm für Sicherheit und Verteidigung, mit KI als einer der Schlüsseltechnologien.

Warum das Modell ins Haus muss

Die Gründe wiederholen sich in diesen Beispielen. Klassifizierte Daten können nicht in eine öffentliche Cloud wandern. Manche Netze berühren das Internet nie. Eine Einheit im Feld verliert ihre Verbindung genau dann, wenn sie eine Antwort braucht. Und ein Modell, das sein Hersteller ändern, einschränken oder zurückziehen kann, ist ein Risiko für einen Einsatz, der über Jahre laufen muss.

Die Anbieter haben es bemerkt. Im August 2025 machte Google Gemini auf seiner vom Netz getrennten (air gapped) Distributed Cloud allgemein verfügbar, in den eigenen Rechenzentren der Kunden. Die Richtung ist überall dieselbe: Das Modell wandert zu den Daten, nicht umgekehrt.

Was nicht wandert, ist die Verantwortung. Die NATO-Grundsätze für die verantwortungsvolle Nutzung beginnen mit Rechtmässigkeit, Verantwortung und Rechenschaftspflicht, und ihre überarbeitete KI-Strategie nennt Daten von hoher Qualität eine Voraussetzung für sichere und verlässliche Systeme. Ein Modell kann tausend Berichte in einer Stunde sortieren. Ein Mensch entscheidet weiterhin, welcher davon zählt, und unterschreibt für das, was folgt.

Was das für Lieferanten bedeutet

Dieselbe Logik erreicht die Unternehmen, die Verteidigung, Luft- und Raumfahrt und kritische Infrastruktur beliefern. In den USA trat die Vertragsregel zur Cybersecurity Maturity Model Certification am 10. November 2025 in Kraft. Wo ein Vertrag sie verlangt, darf das Pentagon ihn nicht an ein Unternehmen vergeben, das das geforderte Niveau nicht erfüllt, und Hauptauftragnehmer müssen dasselbe bei ihren Unterauftragnehmern sicherstellen. Sie erfasst Systeme, die kontrollierte Informationen verarbeiten, und wird über drei Jahre schrittweise eingeführt.

Die Schweiz hat ihre eigene Variante. Das Informationssicherheitsgesetz ist seit dem 1. Januar 2024 in Kraft, und Unternehmen, die sicherheitsempfindliche Aufträge des Bundes übernehmen, durchlaufen ein Betriebssicherheitsverfahren. Nach dem Datenabfluss beim Lieferanten Xplain arbeitete die Bundesverwaltung weitere Massnahmen aus, die sich an Lieferanten richten, darunter Audits und die dokumentierte Löschung von Bundesdaten, die Lieferanten halten.

Für ein Ingenieurbüro verändert das die Frage nach der KI. Seine Zeichnungen, Prüfberichte und Spezifikationen sind Teil der Sicherheit von jemand anderem, und der Fall Anthropic hat gezeigt, dass die Modellwahl eines Lieferanten über Nacht zu einer Vertragsfrage werden kann. Sie in einen gemieteten Assistenten zu kopieren, kommt oft gar nicht infrage.

Was ein Unternehmen tun kann

Sortieren Sie zuerst die Arbeit: Was darf an ein gemietetes Modell unter Enterprise-Konditionen gehen, was muss im Haus bleiben und was darf ein geschlossenes Netz nie verlassen. Behalten Sie das Recht, Modelle zu wechseln, ohne alles neu zu bauen. Testen Sie jede neue Version an Ihren eigenen Aufgaben, bevor sie live geht. Und benennen Sie die Person, die dafür geradesteht.

Für diese Arbeit wurde Eigna gebaut. Von unserem Partner Eigna Labs entwickelt, gibt es einem Unternehmen ein eigenes privates Modell, trainiert auf seinen Dateien, Regeln und seiner Sprache, betrieben in der eigenen Cloud oder auf den eigenen Servern und ausgelegt für den vollständigen Offline-Betrieb in geschlossenen Netzen. Es trainiert in Schritten nach, die erst live gehen, wenn sie in den Tests besser abschneiden. crue gehörte zu den ersten Unternehmen, die es getestet haben, und nutzt es für die eigene Arbeit, und Twin, das KI-Gehirn eines Unternehmens, läuft auf Eigna, sobald die Arbeit vertraulich wird. Eigna ist im frühen Zugang. Wenn die Arbeit kritisch ist, sollte die Architektur hinter den Mauern beginnen.