Zum Inhalt springen
EU Cowork AI
Selbst betreiben Jetzt starten
Preise Docs Blog Jetzt starten Selbst betreiben

Agenten und Aufsicht

Handelnde KI in Frankreich: drei Abläufe, und wer die Werkzeuge freigibt

Die französische Datenschutzbehörde hat im Juli aufgeschrieben, was sie an handelnder KI beunruhigt: dass persönliche Daten zwischen vielen Diensten in Umlauf geraten und die Kontrolle darüber verloren geht. Acht Tage später erschien eine neue Fassung des Protokolls, über das solche Systeme ihre Werkzeuge ansteuern. Dieser Artikel zeigt an drei Abläufen, wie sich Werkzeugrechte, Freigabe und Protokoll zusammenbringen lassen, und benennt die Grenze, an der unser betreuter Betrieb für französische Verwaltungen ausscheidet.

Agenten und Aufsicht Lesezeit: 12 Minuten

Kurz gesagt

  • Die CNIL und der Conseil de l'IA et du Numérique haben am 20. Juli 2026 eine explorative Note zu handelnder KI veröffentlicht. Bei der Vorstellung der Note fasst die CNIL den Befund in zwei Formeln: die Zirkulation personenbezogener Daten zwischen zahlreichen Diensten und ein reales Risiko, die Kontrolle über die eigenen Daten zu verlieren.1
  • Acht Tage später, am 28. Juli 2026, erschien die neue Spezifikation des Model Context Protocol. Sie macht den Transport zustandslos und ordnet das Erweiterungswesen; die verwaltete Autorisierung für Unternehmen wird dort als eigene Erweiterung geführt.2
  • Nur 6 % der Organisationen gelten nach Einschätzung ihrer eigenen Datenschutzbeauftragten als sehr gut auf die KI-Verordnung vorbereitet, bei 2'390 befragten Datenschutzbeauftragten.3
  • Die Grenze, offen benannt: Der französische Anforderungskatalog für besonders sensible Daten des Staates stammt von der ANSSI, der französischen Behörde für IT-Sicherheit, und lässt als Nachweis nur eine Qualifikation dieser Behörde zu oder eine von ihr als gleichwertig anerkannte Zertifizierung aus der Europäischen Union oder dem Europäischen Wirtschaftsraum. Die Schweiz ist weder das eine noch das andere.4

Ausgangslage: zwei Papiere aus demselben Juli

Am 20. Juli 2026 haben die Commission Nationale de l'Informatique et des Libertés, kurz CNIL, und der Conseil de l'IA et du Numérique gemeinsam eine Note zu handelnder KI veröffentlicht. Sie beschreibt zuerst den Aufbau: ein steuernder Agent, spezialisierte Agenten daneben, und dahinter angebundene Dienste, Anwendungen, Datenbanken, Suchwerkzeuge. Der Befund, wie die CNIL ihn bei der Vorstellung der Note zusammenfasst, steht dann in zwei Formeln. Handelnde KI bringt personenbezogene Daten zwischen zahlreichen Diensten in Umlauf, und für die Nutzerinnen und Nutzer entsteht daraus ein reales Risiko, die Kontrolle über die eigenen Daten zu verlieren.1 Dazu kommt ein zweiter Punkt, der im Betrieb schwerer wiegt, als er klingt: Weil mehrere Akteure an einem automatisierten Ablauf beteiligt sind, wird schwerer erkennbar, wer für welchen Schritt einsteht.

Acht Tage später, am 28. Juli 2026, erschien die neue Fassung des Model Context Protocol, kurz MCP. MCP ist ein offener Standard dafür, wie ein KI-System externe Werkzeuge anspricht, also eine Schnittstelle: eine festgelegte Art, wie zwei Programme miteinander sprechen. Die Fassung vom 28. Juli 2026 macht den Transport zustandslos. Der einleitende Handschlag und die Sitzungskennung entfallen, jede Anfrage trägt ihre Protokollfassung, ihre Herkunft und ihre Fähigkeiten selbst mit sich. Dazu kommen eine gehärtete Autorisierung mit strengeren Regeln für die Anmeldung von Anwendungen und für die Prüfung der Zugangsdaten und ein geordnetes Erweiterungswesen; die verwaltete Autorisierung für Unternehmen wird dort als eigene Erweiterung geführt.2

Die beiden Papiere sind keine Antwort aufeinander, und wir stellen sie auch nicht so dar. Sie beschreiben dasselbe Problem von zwei Seiten. Die eine Seite fragt, wer bei einem handelnden System die Kontrolle über die Daten behält und wer für welchen Schritt geradesteht. Die andere legt fest, wie ein einzelner Werkzeugaufruf ausgewiesen, autorisiert und weitergereicht wird. Wer die erste Frage praktisch beantworten will, landet unweigerlich bei der zweiten, denn Kontrolle über ein handelndes System ist am Ende Kontrolle über seine Werkzeuge.

Wie verbreitet handelnde KI in Frankreich schon ist, lässt sich nicht sauber beziffern, und der Grund steht in der amtlichen Statistik selbst. Nach Insee Première Nummer 2120 vom 21. Juli 2026 nutzten 18 % der Unternehmen in Frankreich ab zehn Beschäftigten im Jahr 2025 mindestens eine Technik der künstlichen Intelligenz, erhoben bei rund 11'000 Unternehmen aus einer Grundgesamtheit von etwa 194'000. Im Methodenteil steht der Satz, auf den es ankommt: Die Antworten schliessen die Nutzung grundsätzlich nicht ein, die Beschäftigte punktuell und für sich selbst betreiben.5 Erhebungen, die bei den Beschäftigten selbst nachfragen, kommen deshalb auf ganz andere Werte. Der Baromètre Phygital Workplace, erhoben von Ifop im Auftrag eines Beratungsunternehmens bei 1'003 Beschäftigten aus Unternehmen ab 1'000 Mitarbeitenden, nennt 62 % Nutzung bei 34 % mit formalisierten Regeln.6 Das sind zwei Fragen an zwei verschiedene Grundgesamtheiten, und keine der beiden Zahlen widerlegt die andere. Wer daraus eine einzige Prozentzahl macht, verkauft eine Genauigkeit, die es nicht gibt. Was bleibt, ist das Muster: Genutzt wird mehr, als geregelt ist. Dieselbe Erhebung des Insee nennt bei den Unternehmen, die KI bereits einsetzen, 43 % mit Sorgen um Datenschutz und Privatsphäre und 42 % mit fehlender rechtlicher Klarheit.5

  1. Ein Auftrag, gestellt von einer Person mit Rolle und Rechten
  2. Ein Plan aus einzelnen Schritten, jeder Schritt ein Werkzeugaufruf
  3. Jeder Aufruf prüft die Rechte, schreibende Zugriffe brauchen eine gesonderte Freigabe
  4. Ergebnis, Fundstelle und Protokolleintrag bleiben bei Ihnen
Der Weg eines Auftrags. Was nicht freigegeben ist, wird nicht aufgerufen, und was aufgerufen wird, steht im Protokoll.

Wer davon betroffen ist, und was den Bedarf jeweils auslöst

Die engste Gruppe wird am häufigsten zu weit gefasst. Das Anwendungsdekret vom 14. April 2026 zu Artikel 31 der Loi SREN, dem französischen Gesetz zur Sicherung und Regulierung des digitalen Raums, nennt die Verwaltungen des Staates, deren Betreiber und sechs namentlich aufgeführte groupements d'intérêt public, also Zweckverbände des öffentlichen Rechts. Gebietskörperschaften nennt das Dekret nicht; sie fallen damit nicht unter diese Pflicht. Auch nicht jede öffentliche Einrichtung ist automatisch erfasst.7 Sachlich greift die Pflicht ausserdem nur bei Daten, deren Verletzung die öffentliche Ordnung, die öffentliche Sicherheit, die Gesundheit oder das Leben von Menschen oder den Schutz geistigen Eigentums beeinträchtigen könnte. Wer heute liest, ganz Frankreich müsse souverän hosten, liest etwas hinein, das so nicht dasteht.

Auf der Datenschutzseite ist der Druck anders gelagert, aber messbar. Die CNIL hat für das Jahr 2025 eine Bilanz von 83 Sanktionen mit einer Gesamtsumme von 486'839'500 Euro veröffentlicht, davon 78 Bussen.8 Diese Verfahren betrafen nicht handelnde KI, sie beschreiben aber die Aufsicht, unter der die Verantwortlichen arbeiten. Wer einem System erlaubt, in mehreren Fachanwendungen zu handeln, verschiebt damit keine Verantwortung, sondern erweitert sie.

Die Menschen, die das im Betrieb tragen sollen, sagen selbst, dass sie noch nicht so weit sind. In der Erhebung des Observatoire des DPO, durchgeführt vom 5. bis 21. November 2025 bei 2'390 Datenschutzbeauftragten, gelten 6 % der Organisationen als sehr gut auf die KI-Verordnung vorbereitet. 27 % der Befragten geben an, den Verordnungstext gut zu kennen, 85 % haben noch keine eigene Schulung zu künstlicher Intelligenz besucht.3 Dass die Pflichten für Hochrisikosysteme nach der Verordnung (EU) 2026/1744 erst ab dem 2. Dezember 2027 und für eingebettete Systeme ab dem 2. August 2028 greifen, verschafft Luft, nimmt die Aufgabe aber nicht ab. Getragen wird die Erhebung von der französischen Arbeitsverwaltung DGEFP und der CNIL, gemeinsam mit dem Berufsverband der Datenschutzbeauftragten und der Afpa, die die Erhebung durchgeführt hat; sie ist also keine Anbieterstudie, sondern eine Selbstauskunft des Berufsstands.

Wer fragt Was den Bedarf auslöst Was EU Cowork AI dort beiträgt
Verwaltungen des Staates und ihre Betreiber Artikel 31 der Loi SREN verlangt für besonders sensible Daten den Nachweis über eine Qualifikation der ANSSI oder eine anerkannte Zertifizierung aus der EU oder dem EWR Hier bleibt nur der Selbstbetrieb: Die Pflicht knüpft an den Bezug eines Cloud-Dienstes von einem privaten Anbieter an. Die Software steht unter MIT-Lizenz, der betreute Betrieb in der Schweiz scheidet aus
Gebietskörperschaften, Krankenhäuser und öffentliche Stellen ausserhalb des Dekrets Von der Pflicht nicht erfasst, in Ausschreibungen taucht Souveränität aber als Zuschlagskriterium auf, oft neben Anforderungen an Protokollierung und Rechteverwaltung Betreuter Betrieb in Lupfig oder Selbstbetrieb, in beiden Fällen mit Rechten pro Werkzeug und exportierbarem Audit-Log
Datenschutzbeauftragte und Compliance in Unternehmen Die KI-Verordnung, die Note der CNIL zu handelnder KI, und eine Nutzung, die die amtliche Statistik ausdrücklich nicht abbildet Sichtbar wird, was über die Plattform läuft: welcher Nutzer, welches Werkzeug, welche Freigabe, welcher Zeitpunkt, ausgeführt oder abgelehnt
Banken, Versicherer und Akteure des Gesundheitswesens Aufsicht über Auslagerungen, Anforderungen an die Aufbewahrung von Gesundheitsdaten, dazu Artikel 22 DSGVO bei automatisierten Entscheidungen Schreibende Zugriffe sind gesondert freizugeben, damit die menschliche Zwischenstufe nicht nur behauptet, sondern belegt ist
Kanzlei, Treuhand und Personalabteilung Berufsgeheimnis und Personaldaten, dazu die Frage, welche Unterlage ein handelndes System überhaupt anfassen darf Rechte in der Reihenfolge Nutzer, Rolle, Gruppe, Voreinstellung des Servers, dazu Wissensbasen aus eigenen Unterlagen mit Fundstellenangabe

Fünf Gruppen, fünf verschiedene Auslöser, und dahinter eine gemeinsame Frage: Wer entscheidet, welches Werkzeug ein Agent aufrufen darf, und woran lässt sich das im Nachhinein zeigen? Die Antwort fällt je nach Gruppe unterschiedlich aus, und für eine dieser Gruppen fällt sie gegen uns aus. Das steht weiter unten im Abschnitt zu den Grenzen, und es steht dort ausführlich.

Anwendungsfall 1: der Vorgang, der über mehrere Fachanwendungen läuft

Eine Anfrage kommt herein, und die Antwort verteilt sich über drei Programme: der Vertrag in der Dateiablage, der Stand der Lieferung in der Warenwirtschaft, der letzte Schriftwechsel im Postfach. Heute klickt sich ein Mensch durch alle drei. Der KI-Kollege kann diesen Weg übernehmen, wenn die Systeme angebunden sind. Er plant die Schritte, ruft nacheinander die freigegebenen Werkzeuge auf, prüft jedes Zwischenergebnis und legt am Ende einen Entwurf zur Freigabe vor. Der Punkt ist nicht, dass er das kann. Der Punkt ist, dass jeder einzelne Aufruf vorher an einem Recht scheitern kann und hinterher im Protokoll steht.

Angebunden wird über MCP. Ein Konnektor ist dabei die einzelne Anbindung an ein bestimmtes Programm, eine Instanz die eigenständige Installation, die für Ihre Organisation läuft. Was der KI-Kollege dort nicht sehen darf, sieht er auch nicht: Es gilt die Reihenfolge Nutzer, Rolle, Gruppe, Voreinstellung des Servers. Ein Werkzeug, das für eine Rolle nicht freigegeben ist, taucht in der Planung gar nicht erst auf, es wird also nicht abgelehnt, sondern kommt nicht vor. Welche Software sich heute anbinden lässt, steht auf der Seite Integrationen.

  1. Die Anfrage, so wie sie hereinkommt
  2. Ein Plan aus Schritten, jeder Schritt ein freigegebenes Werkzeug
  3. Entwurf zur Freigabe, dazu ein Eintrag je Aufruf im Protokoll
Drei Programme, ein Vorgang. Was nicht freigegeben ist, kommt im Plan nicht vor.

Die Grenze dieses Ablaufs: Ein Recht pro Werkzeug ist kein Recht pro Datensatz. Wenn ein Konnektor die Suche über die ganze Dateiablage erlaubt, dann erlaubt er sie über die ganze Dateiablage, auch wenn der Vorgang nur einen einzigen Vertrag braucht. Wie fein sich das eingrenzen lässt, hängt am angebundenen System und nicht an uns. Prüfen Sie das je Konnektor, bevor Sie ihn breit freigeben, und fangen Sie mit dem kleinsten Umfang an, der die Aufgabe trägt.

Anwendungsfall 2: der schreibende Zugriff, der gesondert erlaubt sein muss

Lesen ist die eine Hälfte. Die andere beginnt, wenn ein System einen Datensatz ändern, eine Nachricht verschicken oder einen Eintrag löschen soll. Genau hier trennt die Plattform: Lesende und schreibende Werkzeuge sind nicht dasselbe Recht. Ein schreibender Zugriff ist gesondert freizugeben, und wo das nicht geschehen ist, endet der Vorgang mit einem Entwurf statt mit einer Buchung. Das ist unspektakulär und es ist der Unterschied zwischen einem Vorschlag und einer vollendeten Tatsache.

Die Note der CNIL geht in dieselbe Richtung, ohne ein Produkt zu meinen. Sie schlägt vor, die möglichen Aktionen je Dienst nach Risiko zu ordnen, vom Lesen über das Ändern und Löschen bis zum Versand von Daten aus dem System hinaus, und ab einer bestimmten Stufe eine menschliche Freigabe vor der Ausführung zu verlangen. Sie nennt daneben die Abschottung der Speicher je Agent, eine abgetrennte Ausführungsumgebung und eine Möglichkeit, einen laufenden Vorgang jederzeit abzubrechen.1 Übersetzt in den Betrieb heisst das: Die Frage ist nicht, ob ein Agent handeln darf, sondern welche Handlung er allein abschliessen darf. Diese Einstellung trifft die Administration, nicht das Modell.

  1. Lesende Werkzeuge, freigegeben je Nutzer, Rolle oder Gruppe
  2. Schreibende Werkzeuge, gesondert freizugeben, sonst bleibt es beim Entwurf
  3. Jede Ausführung und jede Ablehnung landet im Protokoll
Zwei Klassen von Werkzeugen, zwei Entscheidungen. Die zweite trifft ein Mensch.

Die Grenze: Eine Freigabe ist nur so viel wert wie die Aufmerksamkeit, die dahinter steht. Wer zwanzigmal am Tag bestätigt, bestätigt irgendwann alles. Menschliche Aufsicht entsteht nicht dadurch, dass ein Fenster aufgeht, sondern dadurch, dass wenige, wichtige Schritte diese Zwischenstufe brauchen und die übrigen gar nicht erst freigegeben sind. Diese Auswahl ist Arbeit, sie gehört zu Ihrer Organisation und lässt sich nicht einkaufen. Die Plattform stellt menschliche Aufsicht nicht her, sie macht sie nachweisbar.

Anwendungsfall 3: nachvollziehen, was ein Agent tatsächlich getan hat

Vier Wochen später fragt jemand nach: die interne Revision, ein Kunde, eine Aufsichtsbehörde, oder die betroffene Person selbst. Die Frage lautet jedes Mal ähnlich. Welche Daten wurden dafür herangezogen, welches Werkzeug wurde aufgerufen, von wem freigegeben, und in welcher Reihenfolge? Ohne Protokoll ist die Antwort eine Rekonstruktion aus Erinnerung und aus Bildschirmfotos. Mit Protokoll ist sie eine Abfrage.

Über EU Cowork AI steht jeder Werkzeugaufruf im Audit-Log, also im fortlaufenden Protokoll der Vorgänge, und dieses Protokoll lässt sich ausleiten. Abgelehnte Aufrufe stehen dort ebenso wie ausgeführte, was in der Prüfung oft der interessantere Teil ist. Genau diesen Baustein schlägt auch die Note der CNIL vor: für jede ausgeführte Aufgabe erkennbar zu machen, welche personenbezogenen Daten herangezogen wurden, welche Agenten beteiligt waren, welche Dienste Dritter angesprochen wurden und in welcher zeitlichen Abfolge.1 Wie sich das in Richtlinien und Zuständigkeiten übersetzt, steht bei uns unter Governance.

  1. Ein Eintrag je Aufruf: Nutzer, Werkzeug, Zeitpunkt, Ergebnis
  2. Abgelehnte Aufrufe stehen im Protokoll wie ausgeführte
  3. Export für Revision, Aufsicht oder eine Auskunft an betroffene Personen
Das Protokoll beantwortet, was geschehen ist. Ob es richtig war, beantwortet ein Mensch.

Die Grenze, und sie ist grösser, als sie klingt: Das Protokoll zeigt, was über EU Cowork AI gelaufen ist. Was jemand daneben in einem privaten Zugang bei einem beliebigen Anbieter tut, steht dort nicht. Ein Werkzeug erstellt kein Verzeichnis der gesamten KI-Nutzung im Unternehmen, es sieht nur den eigenen Weg. Genau an dieser Stelle liegt auch die Lücke, die die amtliche Statistik offenlässt. Wer ein vollständiges Bild braucht, kommt um organisatorische Arbeit nicht herum.

Grenzen: wo dieser Weg für Frankreich nicht passt

Der unbequemste Satz zuerst, und er betrifft uns selbst. Für besonders sensible Daten des Staates verlangt Artikel 31 der Loi SREN einen Nachweis, und der Erlass vom 12. August 2026, der den Anforderungskatalog genehmigt, lässt dafür genau zwei Wege zu: eine Qualifikation der ANSSI oder eine Zertifizierung der Europäischen Union oder eines Vertragsstaats des Abkommens über den Europäischen Wirtschaftsraum, die die Agentur als gleichwertig anerkennt.4 Der Anforderungskatalog, bekannt als SecNumCloud, verlangt selbst unter Nummer 19.6 für den Schutz vor aussereuropäischem Recht, dass Sitz, Hauptverwaltung und Hauptniederlassung des Anbieters in einem Mitgliedstaat der Union liegen.9 Die Schweiz ist weder Mitglied der Europäischen Union noch Vertragspartei des EWR. Ein Schweizer Rechenzentrum kann diese Anforderung nach heutigem Stand nicht erfüllen, unabhängig davon, wie gut es betrieben ist. Und die Anforderung geht weiter als der Standort. Nummer 19.6 Buchstabe a betrifft unseren Sitz, Buchstabe c betrifft jede Drittgesellschaft ausserhalb der Union, die technisch an die im Dienst verarbeiteten Daten oder an technische Daten herankommen könnte.9 Wer diesen Nachweis führen muss, muss deshalb auch den Modellweg prüfen: Unser Zugang zu den Modellen von Anthropic läuft über Amazon Bedrock, und AWS ist ein US-Unternehmen, womit der CLOUD Act greift. Das gilt im Selbstbetrieb genauso, wenn Sie diesen Weg beibehalten. Für französische Verwaltungen, die unter diese Pflicht fallen, ist unser betreuter Betrieb in Lupfig deshalb nicht der richtige Weg. Was bleibt, ist der Selbstbetrieb: Die Pflicht knüpft an den Bezug eines Cloud-Dienstes von einem privaten Anbieter an. Wenn Sie die Software selbst betreiben, stellt sich diese Frage für uns nicht mehr, sondern nur noch für die Vorleistungen, die Sie selbst einkaufen. Die Software steht unter MIT-Lizenz, das Repository mit unseren Erweiterungen folgt, und der Selbstbetrieb kostet bei uns nichts, nachzulesen unter Self-Host. Wir sagen das lieber selbst, als es Sie im Vergabeverfahren herausfinden zu lassen.

Damit die Grenze nicht grösser wird, als sie ist: Diese Pflicht gilt nicht für die öffentliche Hand insgesamt. Das Anwendungsdekret vom 14. April 2026 nennt die Verwaltungen des Staates, deren Betreiber und sechs namentlich aufgeführte groupements d'intérêt public. Gebietskörperschaften nennt das Dekret nicht; sie fallen damit nicht unter diese Pflicht, und zwischen Privatunternehmen gilt sie ohnehin nicht.7 Wer den Staat beliefert, sollte allerdings die Rundschreiben mitlesen: Das Rundschreiben Nummer 6519/SG vom 5. Februar 2026 macht digitale Souveränität zum zweiten vorrangigen Ziel der digitalen Beschaffung des Staates, nach der fachlichen Leistung, und versteht darunter unter anderem die Unabhängigkeit von aussereuropäischem Recht mit extraterritorialer Reichweite.10 Ob und wie das auf Ihren konkreten Fall durchschlägt, entscheidet die Vergabestelle und nicht ein Blogartikel. Dieser Artikel ersetzt keine Rechtsberatung.

  1. Was wir begrenzen: welches Werkzeug aufgerufen wird, von wem, lesend oder schreibend
  2. Was wir nachweisbar machen: jeder Aufruf, jede Freigabe, jede Ablehnung im Protokoll
  3. Was wir nicht verhindern: einen bösartigen Werkzeugserver und versteckte Anweisungen in Inhalten
  4. Wo wir ausscheiden: bei einer Pflicht, die eine Qualifikation aus der EU oder dem EWR verlangt
Vier Aussagen, zwei davon unangenehm. Wir führen sie lieber selbst auf, als sie in der Rückfrage zu hören.

Ein zweiter Satz stimmt wörtlich und führt trotzdem in die Irre. Es ist richtig, dass kein amerikanischer Grossanbieter unter eigenem Namen diese Qualifikation hält. Daraus zu schliessen, amerikanische Technik sei damit ausgeschlossen, wäre falsch. Seit dem 17. Dezember 2025 ist das Angebot PREMI3NS von S3NS qualifiziert, einem Gemeinschaftsunternehmen von Thales und Google Cloud, das auf Google-Technik aufsetzt.11 Der Weg über eine französische Gesellschaft, die die Technik lizenziert und den Betrieb selbst verantwortet, ist offen und wird gegangen. Wer in einer Ausschreibung oder in einem Verkaufsgespräch behauptet, US-Technologie sei damit vom Tisch, wird widerlegt. Das gilt für uns genauso wie für alle anderen, und es ist ein Grund, mit dieser Karte nicht zu spielen.

Zur Note der CNIL gehört eine Einschränkung, die wir ausdrücklich stehen lassen. Sie ist explorativ. Sie ist keine Empfehlung, kein Leitfaden und kein verbindlicher Rahmen, und sie kündigt auch keinen an. Sie nennt das Model Context Protocol ein einziges Mal, in einer Fussnote, als Beispiel für ein verbreitetes Austauschprotokoll, und zieht daraus keinen Schluss, weder für noch gegen ein bestimmtes Verfahren.1 Wer sie als Bestätigung für eine Produktentscheidung zitiert, überdehnt sie. Wir lesen sie als das, was sie ist: eine Beschreibung der Risiken, mit der die zuständige Behörde derzeit arbeitet, und eine Sammlung von Bausteinen, über die noch niemand entschieden hat.

Zuletzt die technische Grenze, und sie ist die härteste. Unsere Plattform erkennt keinen bösartigen Werkzeugserver. Sie verhindert auch keine Prompt-Injection, also keine Anweisung, die in einem Dokument, einer Nachricht oder einer Webseite versteckt ist und die ein Modell beim Lesen als Auftrag missversteht. Was sie tut, ist enger und ehrlicher. Sie begrenzt den Wirkungsradius, weil ein nicht freigegebenes Werkzeug nicht aufgerufen wird und ein schreibender Zugriff eine zweite Entscheidung braucht, und sie macht den Vorgang prüfbar, weil jeder Aufruf im Protokoll steht. Fundstellen in einer Wissensbasis verhindern ebenso wenig, dass ein Modell etwas Falsches behauptet, sie machen es nur prüfbar. Ein Angebot, das Ihnen an dieser Stelle Sicherheit verspricht statt Begrenzung und Nachweis, sollten Sie sich genauer ansehen; was wir tun und was nicht, steht unter Security und Trust. Und noch einmal, weil es in diesem Abschnitt viel um Recht ging: Dieser Artikel ersetzt keine Rechtsberatung.

Häufige Fragen zu handelnder KI, Werkzeugrechten und Frankreich

Was steht in der Note der CNIL vom 20. Juli 2026 zu handelnder KI?

Die CNIL und der Conseil de l'IA et du Numérique beschreiben darin, wie handelnde KI aufgebaut ist und welche Risiken für personenbezogene Daten daraus entstehen. Bei der Vorstellung der Note fasst die CNIL den Befund in zwei Formeln: dass personenbezogene Daten zwischen zahlreichen Diensten in Umlauf geraten, und dass daraus ein reales Risiko entsteht, die Kontrolle über die eigenen Daten zu verlieren. Als mögliche Bausteine nennt die Note unter anderem Nachvollziehbarkeit je Aufgabe, eine Einstufung der möglichen Aktionen nach Risiko und eine menschliche Freigabe vor kritischen Schritten. Die Note ist ausdrücklich explorativ und damit weder Empfehlung noch verbindlicher Rahmen. Dieser Artikel ersetzt keine Rechtsberatung.

Erfüllt EU Cowork AI Artikel 31 der Loi SREN?

Im betreuten Betrieb nicht, und das sagen wir lieber selbst. Der Nachweis lässt sich nur über eine Qualifikation der ANSSI oder eine anerkannte Zertifizierung aus der EU oder dem EWR führen, und die Schweiz gehört weder zur Union noch zum Europäischen Wirtschaftsraum. Für Stellen, die unter diese Pflicht fallen, bleibt der Selbstbetrieb: Die Pflicht knüpft an den Bezug eines Cloud-Dienstes von einem privaten Anbieter an. Die Software steht unter MIT-Lizenz, das Repository mit unseren Erweiterungen folgt, und was das im Betrieb bedeutet, steht unter Self-Host.

Gilt diese Pflicht auch für Gebietskörperschaften und für Privatunternehmen?

Nein. Das Anwendungsdekret nennt die Verwaltungen des Staates, deren Betreiber und sechs namentlich aufgeführte groupements d'intérêt public. Gebietskörperschaften nennt das Dekret nicht; sie fallen damit nicht unter diese Pflicht, und zwischen Privatunternehmen gilt sie ohnehin nicht. In Ausschreibungen taucht Souveränität dort trotzdem auf, dann aber meist als Zuschlagskriterium und nicht als Ausschlussgrund. Was in Ihrem Verfahren gilt, steht in Ihren Unterlagen und nicht in diesem Artikel.

Was ändert die MCP-Fassung vom 28. Juli 2026 praktisch?

Sie macht den Transport zustandslos: Der einleitende Handschlag und die Sitzungskennung entfallen, jede Anfrage trägt ihre Angaben selbst mit sich. Für den Betrieb heisst das vor allem, dass sich Werkzeugserver leichter hinter einer Lastverteilung betreiben lassen, weil keine Sitzung an einer bestimmten Instanz hängt. Dazu kommen eine gehärtete Autorisierung und ein geordnetes Erweiterungswesen; die verwaltete Autorisierung für Unternehmen wird dort als eigene Erweiterung geführt. Welche Fassung in Ihrer Umgebung zum Einsatz kommt, klären wir im Einzelfall. Rechte pro Werkzeug und Eintrag im Protokoll hängen nicht an einer bestimmten Protokollfassung.

Wie wird verhindert, dass ein Agent etwas ändert oder verschickt?

Lesende und schreibende Werkzeuge sind getrennte Rechte. Ein schreibender Zugriff muss gesondert erlaubt werden, sonst endet der Vorgang mit einem Entwurf. Die Rechte gelten in der Reihenfolge Nutzer, Rolle, Gruppe, Voreinstellung des Servers, und ein Werkzeug, das nicht freigegeben ist, taucht in der Planung nicht auf. Ausgeführte und abgelehnte Aufrufe stehen beide im Audit-Log, das Sie exportieren können.

Sehen wir damit die gesamte KI-Nutzung in unserem Unternehmen?

Nein, und diese Erwartung wäre auch nicht einlösbar. Sichtbar wird, was über EU Cowork AI läuft, nicht was daneben in privaten Zugängen passiert. Wie gross diese Lücke ist, lässt sich nicht sauber beziffern: Die amtliche Statistik zählt die individuelle Nutzung durch Beschäftigte ausdrücklich nicht mit, und Erhebungen unter Beschäftigten kommen deshalb auf deutlich höhere Werte als Erhebungen unter Unternehmen. Ein Verzeichnis aller eingesetzten KI-Systeme entsteht daraus nicht von selbst, das bleibt organisatorische Arbeit.

Schützt das gegen Prompt-Injection?

Nein. Prompt-Injection heisst, dass in einem Dokument, einer Nachricht oder einer Webseite eine Anweisung versteckt ist, die ein Modell beim Lesen als Auftrag missversteht. Dagegen hilft keine Rechteverwaltung, und wir behaupten das auch nicht. Was die Plattform tut, ist den Wirkungsradius zu begrenzen und den Vorgang prüfbar zu machen: Ein nicht freigegebenes Werkzeug wird nicht aufgerufen, ein schreibender Zugriff braucht eine zweite Entscheidung, und jeder Aufruf steht im Protokoll. Dasselbe gilt für einen bösartigen Werkzeugserver: Erkennen kann die Plattform ihn nicht, begrenzen kann sie, was er anrichtet.

Was kostet das, und was ist im Selbstbetrieb anders?

Der betreute Betrieb kostet 14 CHF pro Person und Monat, ausserhalb der Schweiz 15 €, davon 7.50 CHF beziehungsweise 8 € als Modellguthaben im gemeinsamen Pool Ihrer Organisation. Betrieben wird in den ISO-27001-zertifizierten Rechenzentren von Green in Lupfig; diese Zertifizierung ist die der Rechenzentren und nicht unsere. Im Selbstbetrieb bestimmen Sie die Kette vollständig selbst, die Software steht unter MIT-Lizenz und kostet nichts. Alle Angaben stehen auf der Seite Preise.

Gehen Sie einen eigenen Vorgang durch

Bringen Sie einen Ablauf mit, der heute über mehrere Programme läuft, und wir gehen ihn Schritt für Schritt durch: welches Werkzeug, welche Freigabe, welcher Eintrag im Protokoll, und an welcher Stelle ein Mensch entscheidet. Oder Sie tragen sich ein und probieren es selbst aus.

Live-Demo buchen Jetzt starten

Quellen

Alle Zahlen, Zitate und Rechtsverweise in diesem Artikel stammen aus den folgenden Quellen, zuletzt geprüft im September 2026. Die Erhebungen beziehen sich auf unterschiedliche Grundgesamtheiten, und wir haben im Text jeweils angegeben, welche gemeint ist.

  1. CNIL und Conseil de l'IA et du Numérique, Note „IA agentique et protection des données personnelles: équation à inconnues multiples pour les utilisateurs", veröffentlicht am 20. Juli 2026. Die zitierten Wendungen „la circulation de données personnelles entre de nombreux services" und „un risque réel de perte de maîtrise sur ses données personnelles" stehen in der begleitenden Mitteilung der CNIL; die Bausteine zu Nachvollziehbarkeit, Einstufung nach Risiko und menschlicher Freigabe stehen in Abschnitt IV der Note, die Erwähnung des Model Context Protocol in deren Fussnote 2: cnil.fr
  2. Model Context Protocol, Spezifikation in der Fassung 2026-07-28, veröffentlicht am 28. Juli 2026, mit zustandslosem Protokollkern, Wegfall von initialize und Sitzungskennung, gehärteter Autorisierung und dem Feld extensions in den Fähigkeiten von Client und Server: modelcontextprotocol.io. Die verwaltete Autorisierung für Unternehmen wird in der Übersicht der Erweiterungen als eigene Erweiterung geführt: modelcontextprotocol.io
  3. DGEFP und CNIL, in Partnerschaft mit der AFCDP und der Afpa, Observatoire des DPO, Enquête 2025 „Les DPO à l'heure de l'IA", durchgeführt von der Afpa, Online-Befragung vom 5. bis 21. November 2025, 2'390 antwortende Datenschutzbeauftragte, Ergebnisse veröffentlicht am 3. Juli 2026: 6 % der Organisationen sehr gut auf die KI-Verordnung vorbereitet, 27 % mit gutem Kenntnisstand zum Verordnungstext, 85 % ohne eigene Schulung zu künstlicher Intelligenz: cnil.fr
  4. Arrêté du 12 août 2026 portant approbation du référentiel d'exigences relatif aux prestataires de services d'informatique en nuage, Artikel 2 zum Nachweis über eine Qualifikation der ANSSI oder eine von ihr als gleichwertig anerkannte Zertifizierung aus der Europäischen Union oder dem Europäischen Wirtschaftsraum; genehmigt wird damit das Referentiel SecNumCloud in der Fassung 3.2, auf das Fussnote 9 verweist: legifrance.gouv.fr
  5. Insee, Insee Première Nummer 2120, „Les technologies de l'information et de la communication dans les entreprises en 2025", veröffentlicht am 21. Juli 2026, rund 11'000 befragte Unternehmen aus einer Grundgesamtheit von etwa 194'000 Unternehmen ab zehn Beschäftigten. Der Methodenteil hält fest, dass die Antworten die punktuelle und individuelle Nutzung durch Beschäftigte grundsätzlich nicht einschliessen: insee.fr
  6. Ifop für Julhiet Sterwen, Baromètre Phygital Workplace 2026, 1'003 befragte Beschäftigte aus französischen Unternehmen ab 1'000 Mitarbeitenden, vorgestellt im April 2026. Erhebung im Auftrag eines Beratungsunternehmens; die hier verwendeten Werte nach der Berichterstattung der Fachpresse: themedialeader.com
  7. Décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d'une sensibilité particulière des administrations, opérateurs et groupements d'intérêt public de l'Etat traitées par un service d'informatique en nuage fourni par un prestataire privé, ergangen zu Artikel 31 der Loi SREN vom 21. Mai 2024; Artikel 1 des Dekrets nennt die sechs groupements d'intérêt public, Artikel 2 die zehn Anforderungsbereiche: legifrance.gouv.fr. Die Aufzählung der Datenkategorien, also öffentliche Ordnung, öffentliche Sicherheit, Gesundheit oder Leben von Menschen und Schutz geistigen Eigentums, steht in Artikel 31 der Loi SREN selbst: legifrance.gouv.fr
  8. CNIL, Bilanz der Sanktionen und Abhilfemassnahmen für das Jahr 2025, veröffentlicht am 9. Februar 2026: 83 Sanktionen, davon 78 Bussen, mit einer Gesamtsumme von 486'839'500 Euro: cnil.fr
  9. ANSSI, „Prestataires de services d'informatique en nuage (SecNumCloud), référentiel d'exigences", Fassung 3.2, Anforderung 19.6 Buchstabe a zum Schutz vor aussereuropäischem Recht: „Le siège statutaire, administration centrale et principal établissement du prestataire doivent être établis au sein d'un État membre de l'Union Européenne."; Buchstabe c derselben Anforderung betrifft den Rückgriff auf eine Drittgesellschaft mit Sitz ausserhalb der Union und verlangt, dass diese keine technische Möglichkeit hat, an die im Dienst verarbeiteten Daten einschliesslich technischer Daten zu gelangen: cyber.gouv.fr
  10. Circulaire n° 6519/SG du 5 février 2026 relative à la commande publique numérique, mit digitaler Souveränität als zweitem vorrangigem Ziel nach der fachlichen Leistung und der Unabhängigkeit von aussereuropäischem Recht mit extraterritorialer Reichweite als einem ihrer Bestandteile: legifrance.gouv.fr
  11. Thales, Mitteilung zur Qualifikation SecNumCloud 3.2 für das Angebot PREMI3NS von S3NS, dem Gemeinschaftsunternehmen von Thales und Google Cloud, erteilt am 17. Dezember 2025: thalesgroup.com