Im Agentenzeitalter steckt ein Widerspruch.
Die nützlichste persönliche künstliche Intelligenz kennt mich.
Sie soll wissen, woran ich arbeite, mit wem, was ich versprochen habe, was ich vorziehe, was ich schon entschieden habe, was gestern war und was morgen vermutlich zählt. Ich will mich nicht jeden Morgen von vorn erklären. Und ich will nicht fünfzig Assistenten in fünfzig Anwendungen dieselbe Biografie, dieselben Vorlieben, dieselben Grenzen und denselben Arbeitskontext einzeln beibringen.
Bei Menschen hilft genau das: Kontext bleibt liegen. Einem alten Freund stellt man sich nicht bei jedem Treffen neu vor. Einer langjährigen Kollegin erzählt man nicht die ganze Berufslaufbahn, bevor man eine Frage stellt. Die Beziehung erinnert sich.
Persönliche künstliche Intelligenz beginnt, so zu funktionieren.
Genau daraus entsteht der Widerspruch.
Denn die sicherste Bauweise ist vermutlich nicht: dieselbe Maschine, die alles über mich behält, darf auch jedes Bankkonto sehen, jede Krankenakte, jedes System des Arbeitgebers, jeden Gang zum Staat, jeden Nachweis und jede Entscheidung, die mein Leben betrifft.
Bequemlichkeit zieht alles an einen Ort.
Souveränität zieht es auseinander.
Was geschieht, wenn beides gewinnt?
Zwei frühere Bände stehen schon dahinter. The Last Interface fragte, was passiert, wenn Software die Beziehung zu ihrem Nutzer nicht mehr besitzt und Menschen einen bestehenden Agenten zum Produkt mitbringen. Human Sovereignty fragte, was uns bleibt, wenn Maschinen erinnern, entscheiden und handeln. Die Antwort: Delegation kann Souveränität bewahren, wenn Befugnis begrenzt und wiederherstellbar bleibt. Zwischen diesen beiden Argumenten liegt eine Frage, die ich nicht genau genug angesehen hatte. Wenn der persönliche Agent zur Fläche wird, über die ich einen grossen Teil der digitalen Welt erreiche: muss dieser Agent die Welt schliesslich enthalten? Ich glaube das nicht. Ich denke zunehmend, die glaubwürdigere Architektur ist beinahe das Gegenteil. Ein Agent zum Menschen. Viele Souveränitäten darunter.
Belege vor der Vorhersage
Über KI-Agenten schreibt man leicht so, als kämen sie unweigerlich.
Das tun sie nicht.
Die Technik bleibt in wichtigen Punkten unzuverlässig. Standards entstehen erst. Viele Vorführungen sind leichter als Systeme im Betrieb. Das Vertrauen der Kunden ist ungeklärt. Geschäftsmodelle bleiben unsicher. Vieles, was heute agentenbasiert heisst, ist noch sorgfältig begrenzte Automatisierung.
Bevor man also eine Architektur vorhersagt, sollte man anschauen, was sich am 31. August 2026 tatsächlich beobachten lässt.
Die grossen Konsumplattformen machen Assistenten persönlicher und dauerhafter. Am 8. Juni 2026 stellte Apple Siri AI vor: persönlichen Kontext über Nachrichten, E-Mail und Fotos, Suche über Apps, und Gesprächsverlauf, der über die Geräte von Apple synchronisiert wird. Die Funktionen waren bei der Ankündigung im Entwicklertest. Am 25. August beschrieb Apple Siri AI weiterhin als Beta später im Jahr, für ein unterstütztes Gerät mit Spracheinstellung Englisch, derzeit verfügbar über das Apple Beta Software Program. Die Veranstaltung von Apple am 9. September wird voraussichtlich nennen, wann die öffentlichen Version-27-Systeme eintreffen. Das wäre weiterhin ein Datum für eine Siri-AI-Beta, nicht für einen fertigen Produktionsassistenten. Am 14. Januar 2026 führte Google Personal Intelligence für Gemini ein und verband Gmail, Photos, YouTube und Search. Die Verbindungen sind standardmässig aus. Der Start galt berechtigten US-Abonnenten von AI Pro und AI Ultra, nicht der kostenlosen Stufe und nicht Workspace. Die Memory-FAQ von OpenAI, nachgeführt am 15. August 2026, sagt, das Gedächtnis schöpfe aus Chats, Dateien und verbundenen Apps. Microsoft 365 Copilot kann Rolle, Arbeit, gängige Aufgaben und Vorlieben einer Person behalten. Der aktuelle Supportartikel wurde am 18. August 2026 nachgeführt. Google hat auch begonnen, Erinnerungen und Chatverläufe aus anderen KI-Produkten in Gemini zu importieren: Erinnerungen per Einfügen, Verlauf per ZIP. Der Start vom 26. März 2026 war im EWR, im Vereinigten Königreich und in der Schweiz nicht verfügbar. Es ist kein herstellerübergreifendes API. Es bleibt ein frühes Eingeständnis: angesammelter Kontext wird zu etwas, das man beim Wechsel mitnehmen will.
Agenten erhalten auch mehr Wege zu handeln. Microsoft kündigte Windows 365 for Agents zuerst am 18. November 2025 an und brachte das Produkt in der Woche vom 1. Juni 2026 in die allgemeine Verfügbarkeit: gepoolte, zustandslose Cloud-PCs, eigene Identitäten, Zero-Trust-Kontrollen und Prüfung. Der ChatGPT-Agent von OpenAI, vorgestellt am 17. Juli 2025, verband einen visuellen Browser, einen textbasierten Browser, ein Terminal und direkten API-Zugang. OpenAI kennzeichnet diese Startseite inzwischen als veraltet. Sie bleibt nützlich als architektonischer Beleg, nicht als Beschreibung des heutigen Produkts.
Neben den Produkten entsteht Infrastruktur für Zusammenarbeit. Anthropic übertrug das Model Context Protocol am 9. Dezember 2025 an die Agentic AI Foundation der Linux Foundation und meldete damals mehr als 10'000 aktive öffentliche MCP-Server. Die Linux Foundation berichtete am 9. April 2026 von mehr als 150 unterstützenden Organisationen hinter dem A2A-Protokoll. Einsätze in Produktion, gesondert beschrieben, reichen bereits über Finanzdienstleistungen, Versicherungen, Lieferketten und IT. Am 17. Juni 2026 kündigte Googles Developers Blog Agentic Resource Discovery an, eine Spezifikation zum Veröffentlichen, Finden und Prüfen von Werkzeugen, Fähigkeiten und anderen Agenten im Netz. Identität und Autorisierung werden als eigene Ingenieurprobleme behandelt. NIST eröffnete am 17. Februar 2026 eine AI Agent Standards Initiative: ein Programm, keine fertige Norm. Am 5. Februar 2026 veröffentlichte NIST einen Initial Public Draft, Accelerating the Adoption of Software and Artificial Intelligence Agent Identity and Authorization. Die Dokumentation zu Microsoft Agent 365, datiert 10. August 2026 und nachgeführt am 13. August, stellt Agenten als eigene Entra-Identitäten dar, mit Berechtigungen, Sponsoren, Lebenszyklusverwaltung und Prüfung. Die OpenID Authorization API 1.0 wurde im Januar 2026 zur Final-Spezifikation, veröffentlicht am 11. Januar, von der Mitgliedschaft genehmigt am 12. Januar. AuthZEN-Arbeitsgruppenentwürfe vom 15. Juni 2026 behandeln Freigabe, Zustimmung und delegierte Befugnis. Es sind Entwürfe, nicht Final, und die Policy bleibt die letzte Instanz. Ein individueller Internet-Draft, draft-mishra-oauth-agent-grants-02, veröffentlicht am 30. August 2026, beschreibt ein OAuth-Profil, das einen KI-Agenten identifiziert, menschliche Zustimmung einholt, ressourcengebundene und senderbeschränkte Tokens ausstellt und Befugnis abschwächt, wenn sie weitergegeben wird. Er ist nicht von einer Arbeitsgruppe angenommen. Er ist Arbeit im Gang. Seine Bedeutung hier liegt nicht darin, dass ausgerechnet dieser Entwurf siegt. Sie liegt darin, dass das Problem, das er zu lösen versucht, inzwischen klar genug ist, um aufgeschrieben zu werden.
Die Rechenleistung wandert näher zum Nutzer. Apple kündigte am 25. August 2026 M6 und M5 Ultra an: neues Silizium für lokale Modelle. Der M6 soll On-Device-LLMs für sichere und private agentenbasierte Aufgaben ausführen, mit bis zu 32 GB Unified Memory. Die 512 GB Unified Memory und die Behauptung, grosse LLMs mit Hunderten von Milliarden Parametern könnten vollständig auf dem Gerät laufen, gehören zum M5 Ultra. Diese Zahlen sind von Apple getestet. Qualcomm beschrieb Snapdragon-X-PCs am 5. August 2026 als praktischen Rechenknoten für agentenbasierte Erfahrungen. Das ist eine Anbieterbehauptung. NVIDIA vermarktet DGX Spark als Desktop Agent Computer, mit 128 GB Speicher und Modellen bis 200 Milliarden Parametern in der aktuellen Produktbeschreibung. Xiaomi arbeitet auf mehr als einer Ebene. MiClaw, am 21. April 2026 gegenüber Entwicklern angekündigt, ist ein nur auf Einladung zugängliches Agenten-Ökosystem, keine allgemeine Verfügbarkeit, in das MCP-Server, Skills und Agenten hochgeladen werden können. Im Juni stellte Xiaomi Miloco 2.0 vor, auch Xiaomi Local Copilot 2.0 genannt, für Intelligenz im Haus. Im August, mit der HyperOS-4-Beta, kam Hyper XiaoAi 2.0, beschrieben als Weg vom Verstehen von Anweisungen zum Erledigen von Dingen.
Auch die wirtschaftlichen Schienen ändern sich. Googles Universal Commerce Protocol, gestartet am 11. Januar 2026 und gemeinsam mit Shopify, Etsy, Wayfair, Target und Walmart entwickelt, nennt A2A, AP2 und MCP unter den Wegen, Handel Agenten zugänglich zu machen. Stripes Machine Payments Protocol, veröffentlicht am 18. März 2026, ist so gebaut, dass ein Agent eine API, einen MCP-Endpunkt oder eine andere Netzressource programmatisch anfordern und bezahlen kann. Am 28. Mai 2026 meldete Mastercard die erste agentenbasierte Handelstransaktion in der Schweiz, ausgeführt mit Cembra, Cornèrcard und Viseca unter ausdrücklicher Zustimmung und Authentifizierung des Nutzers. Ein gesonderter Test vom 2. März mit Santander nutzte europäische Zahlungsinfrastruktur im Echtbetrieb innerhalb vorab festgelegter Limiten und Berechtigungen. Es war keine kommerzielle Einführung. Die Netzfreigabe von Mastercard-Emittenten in Europa, angekündigt am 2. Juni, ist nicht dasselbe wie ein Produkt für Endkunden.
Keine dieser Tatsachen beweist eine bestimmte Zukunft.
Zusammen sind sie mehr als die nächste Chatbot-Generation.
Wir bauen Teile einer Umgebung, in der künstliche Agenten Menschen erinnern, Fähigkeiten finden, sich ausweisen, begrenzte Befugnis empfangen, mit anderen Agenten sprechen, alte Oberflächen bedienen, neue aufrufen und wirtschaftlich handeln können.
Ob die Teile existieren, ist nicht mehr die Frage.
Wie sie zusammenpassen sollen, schon.
Der stärkste Beleg kam von unerwarteter Seite
Die interessanteste Bestätigung kommt vielleicht gar nicht von einer KI-Firma.
Am 9. März 2026 veröffentlichte die britische Competition and Markets Authority eine Analyse zu agentenbasierter KI und Konsumenten.
Sie geht vorsichtig mit den Zeitformen um. Die meisten Umsetzungen, sagt sie, seien verhältnismässig begrenzt und zurückhaltend, besonders dort, wo Konsumenten betroffen sind. Für die nächste Zeit sieht sie, als Möglichkeit, stärker integrierte persönliche Assistenten, die Tätigkeit über mehrere Dienste innerhalb klarer Grenzen koordinieren. Dauerhafte persönliche Agenten — Systeme, die längere Ziele führen, Kontext und Vorlieben weiterlernen und über Plattformen und Märkte hinweg handeln könnten — sind eine Möglichkeit auf längere Sicht, und höchst unsicher.
Das Papier verwendet dann eine Sprache, die der architektonischen Veränderung hier nahekommt. Falls und sobald agentenbasierte Systeme fähiger werden, können Konsumenten von der Nutzung von Apps zum Steuern von Ergebnissen übergehen.
Es benennt auch ein entsprechendes Wettbewerbsproblem. Wenn Menschen Vorlieben, Kontext und Agentengedächtnis nicht zwischen Anbietern mitnehmen können, oder wenn ihre Agenten Ökosysteme nicht wechseln können, kann die Agentenschicht selbst zu einer neuen Quelle von Bindung werden. Datenmobilität, digitale Identität und Interoperabilität gelten als weitere Voraussetzungen eines wettbewerblichen Marktes für Agenten. Übertragbarkeit im Besonderen heisst dort eine strukturelle Bedingung.
Die Zukunft wird dadurch nicht gewiss.
Sichtbar ist dieselbe Architektur aber jetzt aus drei Richtungen: Plattformfirmen, die persönliche Intelligenz bauen wollen; Normengemeinschaften, die autonome Systeme verbinden wollen; und eine Wettbewerbsbehörde, die fragt, was geschieht, wenn solche Systeme zu Vermittlern von Märkten werden.
Das lässt sich schwer als Produktgeschichte eines einzelnen Anbieters abtun.
Das Teure ist der Neubeginn
Warum sollten Menschen überhaupt bei einem primären Agenten landen?
Weil Kontext mit der Zeit wertvoller wird.
Ein Assistent, der jemanden drei Jahre kennt, kann eine Bitte potenziell verstehen, für die ein neu vorgestellter Assistent zehn Fragen stellen müsste.
«Verschieb den Termin mit Viktor, weil ich den Nachmittag für die Durchsicht brauche.»
Ein reifer persönlicher Agent weiss vielleicht schon, welcher Termin, welcher Viktor, welche Durchsicht, welcher Kalender zählt, wer informiert werden muss, ob die Verschiebung einen Konflikt erzeugt, wie förmlich die Nachricht sein soll und ob vor der Verschiebung noch etwas geschehen muss.
Ein neuer Assistent sieht einen Satz.
Der etablierte Agent sieht ein Leben um den Satz.
Nicht jedes Detail davon ist schon Produkt. Die Richtung aber schon, in der Gestaltung. Apple, Google, OpenAI und Microsoft erweitern alle den dauerhaften persönlichen Kontext, den ihre Assistenten nutzen können. Google behandelt importiertes KI-Gedächtnis bereits als etwas, das Nutzer beim Wechsel unterstützen soll.
Jeder anwendungsspezifische Assistent beginnt mit einem Nachteil.
Er kennt seine Anwendung.
Der persönliche Agent kennt die Person.
Der Fachassistent wird dadurch nicht nutzlos. In seinem Gebiet kann er ungleich mehr wissen. Nur das Verhältnis ändert sich.
Der persönliche Agent muss ihn nicht ersetzen.
Er muss wissen, wann er ihn ruft.
Eine Beziehung braucht nicht einen einzigen Vertrauensraum
Hier bröckelt die Idee des universellen Super-Agenten.
Man stelle sich einen persönlichen Agenten vor, der wirklich fast alles Relevante über jemanden weiss.
Er liest die Kommunikation. Er führt den Terminkalender. Er kennt die familiären Beziehungen. Er erinnert sich an die Projekte. Er kann Dinge kaufen. Er kann auf Arbeitssysteme zugreifen. Er versteht die finanzielle Lage. Er kann Krankenakten lesen. Er kann mit staatlichen Systemen sprechen. Er hält Nachweise für Hunderte von Diensten.
Bequem ist das offensichtlich.
Unsicher auch.
Eine Kompromittierung ist katastrophal. Eine schlecht begrenzte Berechtigung ist katastrophal. Eine bösartige Anweisung, versteckt in einem Dokument, kann plötzlich in einem Kontext wirken, der das ganze digitale Leben der Person enthält. Eine Änderung der Anbieterpolitik trifft alles. Ein Jurisdiktionsproblem trifft alles. Ein Modellfehler hat Zugang zu allem. Und der Austritt wird unvorstellbar schwer.
Das OWASP Top 10 for Agentic Applications 2026 nennt bereits Agent Goal Hijack, Tool Misuse and Exploitation, Identity and Privilege Abuse und Agentic Supply Chain Vulnerabilities unter den Risiken, die entstehen, wenn Agenten auf fremde Systeme einwirken können. Die Identitätsarbeit von NIST beginnt am selben Ort: den Risiken, Agenten Zugang zu vielfältigen Daten, Werkzeugen und Anwendungen zu geben.
Die Sicherheitsarchitektur hat uns Jahrzehnte gelehrt, Systeme nicht so zu bauen.
Warum sollte künstliche Intelligenz Least Privilege überflüssig machen?
Im Gegenteil: sie sollte Least Privilege wichtiger machen.
Eine Föderation der Intelligenz
Eine plausiblere Architektur hält eine Beziehung zum Menschen und mehrere Vertrauensräume darunter. Persönliche Dienste, Arbeitgebersysteme und souveräne empfindliche Dienste können voneinander isoliert bleiben, verbunden nur durch schmale, kontrollierte Verbindungen.
Der persönliche Agent besitzt die Beziehung.
Er besitzt nicht jeden Bereich.
Der Arbeitgeber kann eigene Identität, Berechtigungen, Akten und Prüfanforderungen behalten.
Eine Bank oder ein Vermögensberater kann finanzielle Informationen in einer Infrastruktur behalten, die zu diesem Bereich passt.
Ein medizinisches System kann wieder andere Regeln zu Offenlegung und Zustimmung durchsetzen.
Ein Staat kann nur jene Handlungen freigeben, für die er bereit ist, maschinelle Delegation zu akzeptieren.
Die Funktion des allgemeinen Agenten ist nicht, jedes Fachsystem aufzusaugen.
Sie ist, genug über den Menschen und die verfügbare Welt zu verstehen, um sie zu orchestrieren.
Das ist keine KI mit Root-Zugang zum Leben.
Es ist eine Föderation.
Der Vermögensberater, der das Vermögen nicht herausgibt
Ein Beispiel, ganz konkret.
Eine Person hat einen primären persönlichen Agenten.
Dieser Agent weiss, dass sie den Kauf einer Wohnung erwägt. Er kennt ihre allgemeinen Ziele. Er weiss, dass sie übermässige finanzielle Konzentration ablehnt und dass Liquidität ihr wichtig ist. Er kennt vielleicht den Zeitpunkt, bis zu dem entschieden werden muss, und welche Fragen vor einer grossen Verpflichtung gewöhnlich zählen.
Aber er enthält nicht ihre vollständige Finanzgeschichte.
Die detaillierten Finanzinformationen sitzen woanders.
Vielleicht hat die Person einen souveränen Vermögensberater-Agenten, betrieben auf Infrastruktur in der Schweiz. Die Portfoliodaten, die Transaktionsgeschichte, die Steuerinformationen, die Verbindlichkeiten, das Risikomandat und andere empfindliche Daten bleiben in dieser Umgebung. Die Modelle für die empfindlichste Analyse können dort ebenfalls laufen.
Nun fragt die Person:
«Kann ich mir das leisten, ohne bei Schweizer Immobilien zu stark exponiert zu sein?»
Der persönliche Agent muss nicht das ganze Portfolio anfordern.
Er muss ein Urteil anfordern.
Er könnte den Finanzagenten bitten, den geplanten Kauf am aktuellen Portfolio des Kunden, an den Verbindlichkeiten und an den vereinbarten Liquiditäts- und Konzentrationsgrenzen zu prüfen; Schluss und die Begründung zu liefern, die zur Erklärung nötig ist; nur das offenzulegen; nichts auszuführen; und die Delegation nach der Analyse verfallen zu lassen.
Der souveräne Finanzagent leistet die Arbeit dort, wo die empfindlichen Daten schon leben.
Er könnte zurückgeben:
Der Kauf ist unter den geltenden Stressannahmen finanzierbar, aber die Immobilienkonzentration würde den bevorzugten Rahmen des Kunden überschreiten. Die Liquidität bleibt ausreichend, fällt im Abwärtsszenario aber nahe an die Mindestreserve. Vor dem Abschluss entweder die Kaufgrösse senken oder die liquiden Reserven erhöhen.
Der persönliche Agent erhält, was er braucht, um das Gespräch fortzusetzen.
Er erhält nicht automatisch jede Wertschriftenposition, jeden Kontostand, jedes Steuerdokument und jede historische Transaktion, die den Schluss erzeugt haben.
Delegation statt Offenlegung.
Nicht absolute Geheimhaltung. Manche Abläufe brauchen wirklich, dass Informationen Grenzen kreuzen.
Aber der Normalfall dreht sich.
Nicht: wie füllt man den persönlichen Agenten mit allem, was er je brauchen könnte. Sondern: welche Mindestinformation und welche Mindestbefugnis braucht genau diese Aufgabe.
Ein alter Sicherheitsgrundsatz, auf eine neue Form von Intelligenz gelegt.
Und im regulierten Finanzwesen gibt es gute Gründe, das ernst zu nehmen. Die FINMA-Umfrage bei Schweizer Finanzinstituten, veröffentlicht am 24. April 2025, verzeichnete die Aufnahme generativer KI neben Sorgen um Datenqualität, Datenschutz, Erklärbarkeit, Auslagerung und wachsende Abhängigkeit von grossen Technologieanbietern. Diese Sorgen schreiben selbst keine Architektur souveräner Agenten vor. Sie erklären, warum blindes Konzentrieren regulierten Kontexts in einem allgemeinen externen Assistenten kaum überall akzeptabel sein wird.
Die Schweiz entwickelt auch Teile der Infrastruktur, aus der Alternativen entstehen könnten. Am 24. Juli 2026 gaben ETH Zürich, EPFL und CSCS Apertus 1.5 frei, als Teil einer längerfristigen Arbeit an souveräner KI-Infrastruktur und einer offenen Alternative zu proprietären Modellen.
Nicht jeder Finanzagent muss Apertus laufen lassen.
Wohl aber können Modelljurisdiktion, Datenjurisdiktion und Agentenjurisdiktion unabhängige Entscheide werden.
Delegation braucht eine Grammatik
Ohne mehr als Netzverbindung funktioniert diese Föderation nicht.
Sie braucht eine Grammatik der Befugnis.
Eine nützliche Anfrage muss sagen, wer der Mensch ist, welcher Agent handelt und welche Organisation ihn betreibt. Sie muss sagen, was der Mensch autorisiert hat, welche Ressource berührt werden darf und welche Handlungen erlaubt sind. Sie muss sagen, ob der Agent weiterdelegieren kann, und ob der nächste Agent mehr Befugnis erhalten darf, als der erste besass. Sie muss sagen, wann die Befugnis verfällt, welche Handlungen eine weitere Bestätigung brauchen, was danach geschah, wer den Zugang widerrufen kann, und wer die Verantwortung trägt, wenn etwas schiefläuft.
Deshalb sieht ein Teil der folgenreichsten Infrastruktur des Agentenzeitalters langweilig aus: OAuth-Scopes, Identitätsobjekte, Policy-Maschinen, Prüfjournale, Ressourcenanzeiger, Zustimmung, Freigabe, Widerruf und Transaktionsakten.
Microsoft Agent 365 behandelt einen Agenten bereits als eigene Identität mit eigenen Berechtigungen und einem menschlichen Sponsor, der für seinen Lebenszyklus haftet. OpenID AuthZEN arbeitet an interoperablen Mustern für Situationen, in denen eine Handlung Zustimmung, Freigabe oder delegierte Befugnis braucht, bevor die Policy sie zulässt. Selbst die laufende IETF-Arbeit konzentriert sich auf Abschwächung: wenn ein Agent eine Aufgabe weitergibt, soll die delegierte Befugnis nicht still breiter werden.
Glamourös ist das nicht.
Es ist der Unterschied zwischen einer KI-Vorführung und einem System, dem man Teile des eigenen Lebens verantwortbar übergeben kann.
Der Protokollstapel wird sichtbar
Keine einzelne Norm definiert diese Architektur heute. Es wäre töricht, den heutigen Namen eine Ewigkeit zuzutrauen.
Die Schichten werden trotzdem sichtbarer.
MCP betrifft das Verhältnis zwischen einer KI-Anwendung und äusseren Fähigkeiten, Ressourcen und Werkzeugen.
A2A betrifft die Verständigung zwischen Agenten.
ARD betrifft Entdeckung und Prüfung: wo eine Fähigkeit lebt, welche ein Agent wählen soll, und wie er prüfen kann, womit er sich verbindet.
OAuth, Agentenidentitätssysteme und entstehende Autorisierungsnormen betreffen, wer handelt und unter welcher Befugnis.
UCP, das Machine Payments Protocol und die Infrastruktur der Zahlungsnetze beginnen, wirtschaftliche Tätigkeit zu betreffen, die Agenten auslösen.
Browser- und Computer-Nutzungssysteme bilden eine Brücke zu Software, die nie für all das entworfen wurde.
Ein vollständiges Internet für Agenten ist das noch nicht.
Es sieht aber zunehmend nach dem Anfang eines solchen aus.
Das Wichtige an diesem Stapel ist nicht, dass Maschinen mit Maschinen sprechen können.
Das tun sie seit Jahrzehnten.
Neu ist: diese Maschinen handeln zunehmend für jemanden.
Damit wird Befugnis zum zentralen Problem.
Der Browser wird zur Kompatibilitätsschicht
Software, die für Agenten gebaut ist, ersetzt den bestehenden Bestand nicht über Nacht.
Es gibt Jahrzehnte von Anwendungen, die keine passende API, keinen MCP-Server und erst recht keine Schnittstelle von Agent zu Agent freigeben.
Deshalb zählen Systeme zur Computernutzung. Grok Bot ist ein Beispiel für einen Agenten, der einen eigenen Rechner, Browser und Terminal erhält. Windows 365 for Agents von Microsoft nimmt dieselbe Idee in einer stärker unternehmensgeführten Form: zustandslose Cloud-PCs, gebunden an Agentenidentitäten und Policy.
Der Übergang wird zwei Spuren haben.
Neue Software wird zunehmend maschinengerechte Fähigkeiten direkt freigeben.
Alte Software bleibt nutzbar, weil Agenten die Oberflächen bedienen können, die ursprünglich für Menschen gedacht waren.
Die grafische Oberfläche bleibt.
Ihr Monopol nicht.
Intelligenz wandert an den Rand
Die zweite grosse Veränderung ist physisch.
Im bisherigen generativen KI-Zeitalter hiess leistungsfähige Inferenz meist: die Arbeit wandert in ein entferntes Rechenzentrum.
Diese Annahme trägt weniger.
Apples M6 unterstützt lokale LLM-Ausführung für sichere und private agentenbasierte Aufgaben. Der M5 Ultra kann in Apples Tests bis zu 512 GB Unified Memory bereitstellen und LLMs mit Hunderten von Milliarden Parametern vollständig auf dem Gerät laufen lassen. Qualcomm vermarktet PC-Hardware als praktischen Rechenknoten für agentenbasierte Erfahrungen. NVIDIA beschreibt DGX Spark als Desktop Agent Computer für lokale autonome Agenten.
Auch die Softwareabstraktion ändert sich.
Apples Foundation-Models-Framework von 2026 führte ein LanguageModel-Protokoll ein, das hinter derselben Anwendungsoberfläche verschiedene lokale oder serverseitige Modelle nutzen kann. Apple zeigte eigene On-Device- und Private-Cloud-Compute-Modelle, lokale Modelle über Core AI und MLX, und einen Weg für Drittanbieter. Anthropic dokumentiert inzwischen ein Beta-Claude-Paket für Apples Foundation Models, ausgelegt auf die OS-27-Betas. Das Gemini-Paket von Google bleibt eine Ankündigung.
Apples eigene Foundation-Model-Architektur ist bereits hybrid: kleinere und grössere Modelle laufen auf dem Gerät, anspruchsvollere Modelle können über Private Cloud Compute laufen. Agentenbasierte Werkzeugnutzung ist für AFM 3 Cloud Pro genannt, nicht für das On-Device-Modell AFM 3 Core.
Xiaomi bewegt sich in eine ähnliche Richtung auf mehr als einer Schicht. MiClaw, weiterhin nur auf Einladung, lässt Entwickler MCP-Fähigkeiten, Skills und Agenten veröffentlichen. Local Copilot 2.0 erkundet vorausschauende Intelligenz im Haus. Hyper XiaoAi 2.0, in der HyperOS-4-Beta, ist der Betriebssystem-Assistent: vom Verstehen von Anweisungen hin zum Erledigen von Dingen.
Ein hybrides Bild wird damit glaubwürdiger. Kleine, häufige und private Arbeit kann auf dem Gerät laufen. Grösseres allgemeines Denken kann in Cloud-Modellen laufen. Regulierte oder besonders empfindliche Aufgaben können in souveräner Infrastruktur bleiben. Fachliche deterministische Berechnung kann in Bereichssystemen bleiben. Der persönliche Agent entscheidet, welche Form von Intelligenz wohin gehört.
Der Agent lässt sich damit begrifflich vom Modell trennen.
Das Modell ist eine Ressource, die er nutzen kann.
Genau das ist der Sinn.
Lokal ist nicht souverän
Man möchte lokale KI gern mit souveräner KI verwechseln.
Das sollte man nicht.
Ein Modell kann vollständig auf einem Gerät laufen, während der Hersteller des Betriebssystems weiterhin bestimmt, welches Modell läuft, worauf es zugreifen darf, wie es nachgeführt wird, welche Berechtigungen es erhält und ob ein anderes Modell es ersetzen darf.
Lokale Ausführung verbessert Latenz, Privatsphäre, Verfügbarkeit, die Wirtschaftlichkeit wiederholter Inferenz und den Widerstand gegen manche Formen von Cloud-Abhängigkeit.
Aber Souveränität stellt einen grösseren Satz Fragen. Kann die Person das Modell wählen? Das Gedächtnis mitnehmen? Die Identität des Agenten mitnehmen? Den angesammelten Kontext exportieren? Seine Berechtigungen und Dienstbeziehungen übertragen? Ihn auf Infrastruktur betreiben, die sie kontrolliert? Eine andere Umsetzung seine Rolle übernehmen lassen? Den alten widerrufen und weiter funktionieren?
Apples neue Foundation-Models-Abstraktion ist interessant, weil sie die Anwendungsentwicklung zu austauschbaren Modellen bewegt. Das ist nicht dasselbe, wie wenn Apple einem Nutzer erlaubte, den Systemagenten selbst zu ersetzen.
Bring Your Own Model ist noch nicht Bring Your Own Agent.
Und Bring Your Own Agent ist noch nicht menschliche Souveränität.
Software nach der Anwendung
Sobald Menschen die digitale Welt über einen primären Agenten erreichen, ändert Software ihre Form.
Heute denken wir über ein Softwareprodukt meist über seine Oberfläche: ein Dashboard, ein Navigationsmenü, eine Projektansicht, eine Kassenseite, ein Konfigurationsbildschirm, ein Supportbereich. Die darunterliegende Bereichslogik ist da, aber die menschliche Oberfläche ist das sichtbare Produkt.
Für einen Agenten kann die nützliche Darstellung ganz anders aussehen: die offenen Rechnungen listen, die steuerliche Folge berechnen, die verfügbare Reise buchen, das Projekt anlegen, die Versicherungspolicen vergleichen, die Simulation laufen lassen, das Abonnement kündigen, den Beleg holen, die Zahlung innerhalb einer Limite von CHF 500 ausführen.
Die Seite braucht er nicht zwingend.
Die Fähigkeit schon.
Googles Universal Commerce Protocol ist bereits so entworfen, dass Handel über A2A, AP2 oder MCP freigegeben werden kann, statt dass jeder Agent einen menschlichen Kassengang nachbauen muss. Stripes Machine Payments Protocol existiert, weil Kontoeröffnung, Preisseiten, Abo-Wahl und manuelle Zahlungseingabe Reibung sind, die für menschliche Nutzer gebaut wurde, nicht für Maschinen.
Nicht, dass morgen jeder einer KI erlaubt, alles zu kaufen.
Sondern: Software bekommt eine wirtschaftliche Schnittstelle für nicht-menschliche Nutzer, die unter menschlicher Befugnis handeln.
Das ist ein anderer Kunde.
Von der Anwendungsökonomie zur Delegationsökonomie
Etwa vier Jahrzehnte lang konkurrierten digitale Geschäfte intensiv darum, Orte zu werden, an die Menschen gingen: die Website besuchen, die Anwendung installieren, ein Konto anlegen, die Navigation lernen, den Ablauf bauen, Kollegen einladen, die Geschichte speichern, morgen wiederkommen.
Daraus wurde, grob gesagt, eine Anwendungsökonomie. Der Softwareanbieter kontrollierte gewöhnlich beides: die Fähigkeit und den Weg, auf dem der Mensch sie erreichte.
Eine Architektur mit persönlichem Agenten trennt das. Der Mensch hat einen primären Ort, an dem Absicht ausgedrückt wird. Alles darunter konkurriert darum, diese Absicht zu erfüllen.
Das liegt näher an einer Delegationsökonomie.
Und es trifft mehrere Teile der Softwarebranche zugleich.
Eine Firma kann eine ausgezeichnete Fähigkeit liefern, ohne zwingend die Oberfläche des Kunden zu besitzen. Angenommen, jemand sagt dem Agenten, er solle eine Buchhaltungsplattform für ein Schweizer KMU finden, mit Daten in der Schweiz, einem Prüfpfad, Lohnintegration, vollständigem Export, einer API, die der Treuhänder nutzen kann, und einer Obergrenze von CHF 150 im Monat. Der Agent kann zehn Dienste prüfen. Der Mensch sieht vielleicht drei. Sieben Anbieter erhalten vielleicht nie einen Websitebesuch. Das ändert den Vertrieb. Das künftige Äquivalent von Suchsichtbarkeit kann einschliessen, ob ein Agent einen Dienst entdecken, feststellen, was er tut, seine Behauptungen prüfen, seine Jurisdiktion verstehen, seinen Preis einsehen und entscheiden kann, ob eine Verbindung sicher ist. Googles ARD-Vorschlag existiert, weil dieses Entdeckungsproblem schon sichtbar wird. Marketing verschwindet nicht. Ein Teil des Marketings wird maschinenlesbar.
Die heutigen Aufnahmeprozesse sind teilweise Übungen, Informationen neu aufzubauen, die anderswo schon existieren können. Ein etablierter persönlicher Agent kann vieles davon schon kennen. Das heisst nicht, dass er all das still liefern soll. Die bessere Aufnahme liegt näher bei: den Agenten verbinden, die angefragten Geltungsbereiche prüfen, wählen, was geteilt werden darf, autorisieren, fortfahren. Die wichtige Oberfläche ist nicht mehr bloss das Profilformular. Es ist die Grenze der Delegation.
Fachsoftware wird dadurch nicht weniger wertvoll. Echte Fachsoftware kann sogar wertvoller werden. Wenn der Mensch nicht mehr tief daran hängt, wo der Knopf sitzt, werden Vertrautheit der Oberfläche, gewohnte Navigation, künstliche Komplexität und Besitz der Aufmerksamkeit schwächere Vorteile. Einzigartige Daten, Bereichskenntnis, deterministische Berechnungen, regulatorische Akzeptanz, Zuverlässigkeit, Prüfbarkeit, Preis, Jurisdiktion, Sicherheit, Interoperabilität und Vertrauen werden stärkere. Die Frage wird weniger, welche Anwendung der Nutzer gern bedient, und mehr, welcher Fähigkeit der Agent des Nutzers zu vertrauen bereit ist. Das ist in mancher Hinsicht ein härterer Markt. Eine polierte Oberfläche kann mittelmässige Infrastruktur vor einem Menschen erstaunlich lange verbergen. Ein Agent, der strukturierte Fähigkeiten vergleicht, ist weniger sentimental.
Preis pro Sitzplatz ergibt intuitiv Sinn, wenn eine Person ihren Arbeitstag in einem Produkt verbringt. Es wird merkwürdiger, wenn der Agent dieser Person eine Fähigkeit in diesem Monat viermal aufruft und die Anwendung nie öffnet. Infrastruktur für Maschinenzahlungen zeigt auf andere wirtschaftliche Einheiten: pro Anfrage, pro Transaktion, pro Analyse, pro Recheneinheit, pro gelungenem Ergebnis, pro begrenztem Ablauf. Stripe beschreibt Agenten als eine neue Kategorie von Nutzern, für die man bauen und verkaufen kann, und sein Machine Payments Protocol unterstützt bereits programmatische Zahlungen für Ressourcen und Dienste. Das heisst nicht, dass Abonnemente verschwinden. Die Werteinheit kann sich trotzdem näher an die Fähigkeit bewegen.
Auch der Kundendienst ändert sich. Heute entdeckt eine Person ein Problem, erklärt es einer Supportfläche, liefert Diagnoseinformationen, erhält Anweisungen und führt die Behebung aus. In einer agentenbasierten Umgebung kann der Agent des Kunden den Fehler kennen, bevor der Kunde ihn kennt. Er kann die Supportfähigkeit des Anbieters kontaktieren. Die beiden Systeme können strukturierten Diagnosezustand austauschen. Der Anbieteragent kann ein eng begrenztes Protokoll anfordern. Der Kundenagent kann die Offenlegung genehmigen. Der Anbieter kann eine Behebung vorschlagen. Der Kundenagent kann sie anwenden, wenn er dazu autorisiert ist. Die Person wird einbezogen, wenn Urteil nötig ist. Das ist eine der weniger glamourösen Folgen von Systemen von Agent zu Agent. Es kann auch eine der wirtschaftlich wichtigsten sein.
Identität wird Teil des Produkts
Sobald Agenten handeln können, bleibt Identität kein inneres Sicherheitsdetail.
Ein Dienst muss vielleicht wissen, dass dies Thierry ist; dass dies nicht Thierry ist; dass dies Thierrys persönlicher Agent ist; dass dies ein vom Arbeitgeber betriebener Agent ist, der für Thierry in einem Arbeitskontext handelt; dass dies ein Finanzagent mit einem getrennten Mandat ist; dass diese bestimmte Anfrage delegiert wurde; dass diese bestimmte Zahlung ausdrücklich genehmigt wurde; dass diese Befugnis heute Nacht verfällt; dass dieser Agent lesen, aber nicht ändern darf; dass dieser Agent vorschlagen, aber nicht ausführen darf.
Microsoft modelliert Agentenidentitäten bereits getrennt von menschlichen Identitäten und hält die handelnde Identität und das Token-Subjekt in Prüfjournals fest. NIST behandelt Identifikation, Autorisierung, Prüfung und Nichtabstreitbarkeit als Kernfragen der Agenteninfrastruktur. Die Schweiz hat die E-ID am 30. Juni 2026 verschoben; die Vertrauensinfrastruktur zielt weiterhin auf die erste Hälfte 2027. Die Schienen, die beweisen, wer handelt, sind nicht alle gelegt.
Identität ist dann nicht mehr bloss Anmeldung.
Sie gehört zur Semantik der Delegation.
Die neue Gewaltenteilung
Unter dieser Architektur liegt ein älterer Grundsatz.
Wir sollten denselben Agenten vermutlich nicht erlauben, Hüter allen Gedächtnisses, Quelle aller Policy, Inhaber aller Nachweise, Richter über das Zulässige, Ausführer jeder Handlung und Prüfer des eigenen Verhaltens zu sein.
Staaten haben schliesslich gelernt, nicht jede Form von Macht in einer Institution zu sammeln.
Die Rechnersicherheit lernte dieselbe Lektion in einer anderen Sprache: Trennung der Aufgaben, Least Privilege, unabhängige Prüfung, Vertrauensgrenzen, Doppelkontrolle.
Agenten heben diese Grundsätze nicht auf.
Sie geben uns einen weiteren Grund, sie nicht zu vergessen.
Der primäre persönliche Agent kann Absicht vertreten, ohne jedes Geheimnis zu halten. Ein Fachagent kann Bereichswissen halten, ohne die ganze Nutzerbeziehung zu steuern. Ein Policy-System kann entscheiden, ob eine Handlung erlaubt ist, ohne die Handlung selbst zu erzeugen. Ein Zahlungsnetz kann eine Transaktion authentifizieren, ohne zum Vermögensberater zu werden. Ein Prüfsystem kann festhalten, was geschah, ohne das Ereignis danach ändern zu können.
Der Mensch bleibt über der Föderation nur, wenn diese Trennungen verständlich und widerrufbar bleiben.
Das grösste Konzentrationsrisiko wandert nach oben
Eine Gefahr bleibt.
Selbst wenn der persönliche Agent nicht jeden empfindlichen Datenbestand enthält, sitzt er an einem ausserordentlichen Ort.
Er sieht Absicht, bevor fast irgendjemand sonst sie sieht.
Er erfährt, dass jemand über einen Stellenwechsel nachdenkt, bevor die Rekrutierungsplattform es weiss. Er erfährt, dass sie ein Haus erwägen, bevor das Immobilienportal es weiss. Er erfährt, dass sie mit einer Bank unzufrieden sind, bevor die konkurrierende Bank es weiss. Er weiss, welche Produkte sie erwägen, bevor der Händler einen Besuch sieht. Er weiss, welche Information sie abgelehnt haben. Er weiss, wem sie vertrauen. Er weiss, welche Argumente ihre Meinung geändert haben. Er kann entscheiden, welcher Fachdienst die nächste Anfrage erhält.
Das ist mehr als Personalisierung.
Das ist Zuteilungsmacht.
Browser wurden Tore zum Netz. Suchmaschinen wurden Tore zur Information. Mobile Betriebssysteme wurden Tore zu Anwendungen. Der persönliche Agent kann ein Tor zur menschlichen Absicht werden.
Deshalb ist der Wettbewerb unter Apple, Google, OpenAI, Microsoft und anderen nicht nur ein Wettbewerb um Modellintelligenz.
Wertvoller kann die Schicht darüber sein: die Beziehung.
Der Agent, über den eine Person alles andere erreicht.
Die Sorge der CMA zur Interoperabilität auf der Agentenschicht ist deshalb nicht abstrakt. Sie argumentiert, Innovation solle auf der Dienstschicht möglich bleiben, statt durch Kontrolle der Agentenschicht selbst bestimmt zu werden.
Das kann eine der wichtigsten wettbewerbspolitischen Fragen des nächsten Jahrzehnts werden.
Gedächtnis könnte der stärkste Burggraben sein
Ein Softwareabonnement kann gekündigt werden. Dateien lassen sich oft exportieren. Eine Datenbank kann mit genug Aufwand migriert werden.
Was heisst es dann, zehn Jahre einer Agentenbeziehung zu migrieren?
Nicht bloss zehn Jahre Transkripte. Zehn Jahre korrigierter Missverständnisse, Vorlieben, Ausnahmen, Beziehungen, Entscheide, Arbeitsgewohnheiten, Wortschatz, Delegationen, vertrauter Institutionen, Muster, die der Nutzer nie ausdrücklich aufgeschrieben hat, und Wissen darüber, was zählt und was nicht.
Deshalb ist die Übertragbarkeit eines Agenten komplizierter als die Übertragbarkeit von Daten.
Googles Fähigkeit, Erinnerungen und Verläufe aus anderen KI-Produkten zu importieren, ist ein nützliches frühes Signal. Es erkennt an, dass der Wechsel von KI-Systemen nicht zwingend bei null beginnen muss.
Aber echte Übertragbarkeit wird mehr verlangen als den Import von Chatarchiven. Sie kann schliesslich Gedächtnis, Identität, Berechtigungen, Dienstbeziehungen, Delegationsgeschichte, Vorlieben, Regeln, Artefakte und vielleicht genug Betriebszustand umfassen, damit ein anderer Agent die Beziehung fortsetzen kann, ohne die Person aus roher Geschichte neu aufzubauen.
Das Recht, einen Agenten zu verlassen, kann so wichtig werden wie das Recht, ihn zu wählen.
Was echtes Bring Your Own Agent verlangen würde
Bring Your Own Agent sagt sich leicht.
Ernst gemeint ist es anspruchsvoll.
Eine Person sollte wählen können, welche Intelligenz sie vertritt. Dieser Agent sollte kompatible Dienste entdecken können. Dienste sollten Identität und delegierte Befugnis des Agenten prüfen können. Die Person sollte festlegen können, auf welche Bereiche der Agent zugreifen darf. Empfindliche Systeme sollten souverän bleiben und trotzdem teilnehmen können. Befugnis sollte sich verengen, nicht erweitern, wenn sie weitergegeben wird. Wichtige Handlungen sollten zurechenbar bleiben. Vorgänge mit hohen Folgen sollten angemessene Bestätigung auslösen. Der Nutzer sollte den Agenten widerrufen können. Und ein anderer Agent sollte seine Rolle übernehmen können, ohne dass das angesammelte digitale Leben der Person unbrauchbar wird.
Erst dann ist Bring Your Own Agent mehr als ein Integrationsmerkmal.
Dann ist es eine Architektur der Wahl.
Wo diese These falsch liegen könnte
Diese Zukunft kann auf mehreren Wegen ausbleiben.
Agenten können für breite Delegation zu unzuverlässig bleiben. Die CMA selbst betont, dass langfristige autonome persönliche Agenten unsicher bleiben und dass heutige Einsätze vorwiegend begrenzt sind.
Konsumenten können mehrere sichtbare Agenten vorziehen und eine starke gedankliche Trennung zwischen Arbeit, Finanzen, Familie und Unterhaltung halten.
Sicherheitsfehler können Organisationen dazu bringen, den Zugang von Agenten einzuschränken statt zu erweitern.
Die grossen Ökosysteme können Interoperabilität absichtlich verhindern, weil die Kontrolle der Schicht des persönlichen Agenten zu wertvoll ist, um sie preiszugeben.
Normen können zersplittern.
Autorisierung kann für gewöhnliche Konsumenten zu kompliziert bleiben.
Lokale Inferenz kann sich dramatisch verbessern und trotzdem unter der Kontrolle des Geräteherstellers bleiben.
Fachagenten können sich in vielen Bereichen als wirtschaftlich unnötig erweisen, weil sicherer Werkzeugzugang zu deterministischen Systemen genügt.
Regulierung kann autonomes Handeln gerade in den Sektoren beschränken, in denen souveräne Fachagenten sonst am wertvollsten wären.
Und die Beziehung zum persönlichen Agenten selbst kann weniger dauerhaft sein als erwartet. Menschen können zwischen Intelligenzanbietern so beiläufig wechseln, wie sie Suchmaschinen wechseln.
Eine Vorhersage nützt mehr, wenn klar ist, welcher Beleg sie widerlegen würde.
Für diese These würde ich fünf Dinge beobachten: ob Nutzer tatsächlich langlebige Agentenbeziehungen ansammeln; ob Gedächtnis sinnvoll übertragbar wird; ob Agenten Aufgaben über mehrere Dienste zuverlässig ausführen; ob offene Interoperabilität den Plattformwettbewerb überlebt; und ob delegierte Identität und Autorisierung ausserhalb technischer Umgebungen brauchbar werden.
Wenn diese fünf Bedingungen scheitern, kann die hier beschriebene Föderation eine anziehende architektonische Idee bleiben, statt die vorherrschende Form des Rechnens zu werden.
Aber die Richtung wird sichtbar
Vorläufig zeigt der Beleg in eine interessante Richtung.
Die persönlichen KI-Systeme werden kontextreicher. Die Normen werden interoperabler. Die Hardware wird lokaler. Die Softwareoberflächen werden maschinenlesbarer. Die Autorisierungssysteme werden ausdrücklicher. Die Zahlungsinfrastruktur wird fähig, maschinelle Akteure zu erkennen. Und Regulierungsstellen beginnen zu fragen, was geschieht, wenn eine KI zur Vermittlerin zwischen einem Menschen und einem Markt wird.
Diese Entwicklungen kommen von verschiedenen Organisationen mit verschiedenen Interessen.
Deshalb wiegt ihre Konvergenz schwerer.
Die nächste Phase künstlicher Intelligenz muss nicht der nächste fähigere Chatbot in jeder Anwendung sein.
Es kann eine neue Arbeitsteilung sein.
Der persönliche Agent kennt den Menschen. Der Fachagent kennt seinen begrenzten Bereich. Die Software liefert massgebende Fähigkeiten. Das Modell liefert Intelligenz. Das Policy-System liefert Grenzen. Das Identitätssystem beweist, wer handelt. Das Zahlungssystem bewegt Wert. Der Mensch liefert den Zweck und behält die Befugnis, nein zu sagen.
Ein Agent, viele Souveränitäten
Wir stellen uns die Zukunft künstlicher Intelligenz oft als Anhäufung vor.
Das Modell wird grösser. Das Kontextfenster wird grösser. Der Agent erhält mehr Werkzeuge. Mehr Daten treten ins Gedächtnis. Mehr Berechtigungen werden erteilt. Mehr vom Leben wird in ein System gezogen.
Vielleicht ist das nicht die reife Bauweise.
Vielleicht kommt Reife, wenn Intelligenz fähig genug ist, nicht alles an einem Ort zu brauchen.
Mein persönlicher Agent muss nicht meine Bank werden.
Er muss wissen, wie er mit der Institution spricht, der ich mein Geld anvertraue.
Er muss meinen Arbeitgeber nicht enthalten.
Er muss verstehen, wann eine Anfrage in die Grenze meines Arbeitgebers gehört.
Er braucht nicht meine gesamte Krankengeschichte.
Er muss wissen, wann eine medizinische Frage an ein System übergeben werden soll, das sie zu Recht hat.
Er muss nicht jedes Modell besitzen.
Er muss wissen, welches Modell angemessen ist.
Er muss nicht jede Anwendung ersetzen.
Er muss wissen, welche Fähigkeit er aufrufen soll.
Es entsteht eine Architektur, die überraschend menschlich aussieht.
Wir unterhalten Beziehungen zu verschiedenen Institutionen, weil sie verschiedene Formen von Vertrauen halten.
Unsere Ärztin braucht unsere Quellcode-Archive nicht.
Unsere Treuhänderin braucht unsere medizinische Bildgebung nicht.
Unser Arbeitgeber braucht unsere private Korrespondenz nicht.
Unsere Freundin braucht unsere Steuererklärung nicht, um uns gut zu kennen.
Kontext ist verteilt.
Vertrauen ist verteilt.
Befugnis ist verteilt.
Und doch bleibt die Person eine Person.
Künstliche Intelligenz kann schliesslich auf dieselbe Weise arbeiten.
Eine Beziehung kann im Zentrum sitzen, ohne dass ein System das Ganze enthält.
Die Zukunft der KI muss nicht die eine Maschine sein, die alles über uns weiss.
Es kann die Maschine sein, die genug über uns weiss, um zu wissen, welcher anderen Maschine der Rest anvertraut werden soll.
Hält diese Architektur, ist der Übergang grösser als die Ankunft von KI-Assistenten.
Wir bewegen uns von einer Anwendungsökonomie zu einer Delegationsökonomie.
Die zentrale Frage wird nicht mehr nur sein, welche Software wir nutzen.
Es wird sein, welche Intelligenz für uns handeln darf, welche Institutionen was wissen dürfen, und wie leicht wir uns diese Befugnis zurückholen können.
Das ist nicht bloss eine Frage der künstlichen Intelligenz.
Es ist eine Frage der Souveränität.
Quellen
Recherche geprüft bis 1. September 2026. Primärquellen und institutionelles Material haben Vorrang. Entstehende Normen sind als Entwürfe gekennzeichnet, wo das zutrifft. Anbieterseiten sind als Anbieter gekennzeichnet, wo die Behauptung die der Firma selbst ist.
Thierry Gilgen — The Last Interface, Bd. 27 (15. August 2026). Früheres Bibliotheksargument für Bring Your Own Agent, maschinell aufrufbare Software, fähigkeitserste Architektur, Agentenübertragbarkeit und die entstehende Machtkonzentration oberhalb der Anwendungen.
Thierry Gilgen — Human Sovereignty, Bd. 28 (16. August 2026). Setzt den Souveränitätsrahmen der Bibliothek: Delegation kann Souveränität bewahren, wenn sie begrenzt, zurechenbar, widerrufbar und wiederherstellbar bleibt.
UK Competition and Markets Authority — Agentic AI and consumers (9. März 2026). Institutionelle Quelle für die zentrale These, zitiert mit den eigenen Absicherungen der Behörde. Dauerhafte persönliche Agenten sind eine Möglichkeit auf längere Sicht, höchst unsicher. Falls und sobald agentenbasierte Systeme fähiger werden, können Konsumenten von der Nutzung von Apps zum Steuern von Ergebnissen übergehen. Datenmobilität, digitale Identität und Interoperabilität sind weitere Voraussetzungen. Die meisten Umsetzungen sind verhältnismässig begrenzt und zurückhaltend. https://www.gov.uk/government/publications/agentic-ai-and-consumers/agentic-ai-and-consumers
Apple — Apple introduces Siri AI (8. Juni 2026). Anbieter. Persönlicher Kontext über Nachrichten, E-Mail und Fotos; Suche über Apps; Gesprächsverlauf über Geräte; Entwicklertest bei Veröffentlichung. https://www.apple.com/newsroom/2026/06/apple-introduces-siri-ai-a-profoundly-more-capable-and-personal-assistant/
Apple — Mac mini with M6 and M5 Pro (25. August 2026). Anbieter. Fussnote: Siri AI derzeit über das Apple Beta Software Program testbar; mit macOS 27 als Beta später im Jahr für ein unterstütztes Gerät mit Spracheinstellung Englisch. https://www.apple.com/newsroom/2026/08/apple-unveils-a-more-powerful-mac-mini-featuring-the-all-new-m6-and-m5-pro/
Apple Developer — Surprise and shine (26. August 2026). Anbieter. Apple Event, 9. September 2026, 10 Uhr PT. Nennt kein Lieferdatum für iOS 27 oder Siri AI. https://developer.apple.com/news/?id=s6spdug0
Google — Gemini introduces Personal Intelligence (14. Januar 2026). Anbieter. Gmail, Photos, YouTube und Search; standardmässig aus; Start für berechtigte US-Abonnenten von AI Pro und AI Ultra, nicht kostenlos, nicht Workspace. https://blog.google/innovation-and-ai/products/gemini-app/personal-intelligence/
OpenAI — Memory FAQ (nachgeführt 15. August 2026). Anbieter. Das Gedächtnis schöpft aus Chats, Dateien und verbundenen Apps. https://help.openai.com/en/articles/8590148
Microsoft — Manage Copilot Memory in Microsoft 365 Copilot (support.microsoft.com; ms.date 8. Juli 2026, nachgeführt 18. August 2026). Anbieter. Rolle, Arbeit, gängige Aufgaben und Vorlieben. https://support.microsoft.com/en-us/microsoft-365-copilot/manage-copilot-memory-in-microsoft-365-copilot
Google — Make the switch: Bring your AI memories and chat history to Gemini (26. März 2026). Anbieter. Erinnerungen per Einfügen; Verlauf per ZIP. Nicht EWR/UK/CH. Kein herstellerübergreifendes API. https://blog.google/innovation-and-ai/products/gemini-app/switch-to-gemini-app/
Anthropic — Donating the Model Context Protocol and establishing the Agentic AI Foundation (9. Dezember 2025). Angabe des Anbieters, mit treuhänderischer Aufsicht der Linux Foundation. Anthropic meldete mehr als 10'000 aktive öffentliche MCP-Server. https://www.anthropic.com/news/donating-the-model-context-protocol-and-establishing-of-the-agentic-ai-foundation
Linux Foundation — A2A Protocol surpasses 150 organisations (9. April 2026). Institutionell. Mehr als 150 unterstützende Organisationen. Produktionseinsätze sind eine gesonderte Behauptung und reichen über Finanzdienstleistungen, Versicherungen, Lieferketten und IT. https://www.linuxfoundation.org/press/a2a-protocol-surpasses-150-organizations-lands-in-major-cloud-platforms-and-sees-enterprise-production-use-in-first-year
Google Developers Blog — Agentic Resource Discovery specification (17. Juni 2026). Anbieter / offene Spezifikation. Ankündigung auf developers.googleblog.com. https://developers.googleblog.com/en/announcing-the-agentic-resource-discovery-specification/
NIST — AI Agent Standards Initiative (17. Februar 2026). Institutionell. Ein Programm, keine fertige Norm. https://www.nist.gov/news-events/news/2026/02/announcing-ai-agent-standards-initiative-interoperable-and-secure
NIST NCCoE — Accelerating the Adoption of Software and Artificial Intelligence Agent Identity and Authorization (5. Februar 2026). Institutionell. Initial Public Draft. https://csrc.nist.gov/pubs/other/2026/02/05/accelerating-the-adoption-of-software-and-ai-agent/ipd
Microsoft — Agent 365 identity (ms.date 10. August 2026; nachgeführt 13. August 2026). Anbieter. Eigene Entra-Identitäten mit Berechtigungen, Sponsoren, Lebenszyklussteuerung und Prüfung. https://learn.microsoft.com/en-us/microsoft-agent-365/developer/identity
OpenID Foundation — Authorization for the agent era: AuthZEN Working Group drafts (15. Juni 2026). Institutionell. Arbeitsgruppenentwürfe, nicht Final. Die Policy bleibt die letzte Instanz. https://openid.net/openid-foundation-advances-authorization-for-the-agent-era-with-new-authzen-working-group-drafts/
OpenID Foundation — Authorization API 1.0 Final Specification (Genehmigung der Mitgliedschaft 12. Januar 2026; Spezifikation veröffentlicht 11. Januar 2026). Institutionell. Status: Final. https://openid.net/authorization-api-1-0-final-specification-approved/
IETF Internet-Draft — OAuth Profile for Delegated AI Agent Authorization, draft-mishra-oauth-agent-grants-02 (30. August 2026). Individueller Internet-Draft, nicht von einer Arbeitsgruppe angenommen; Arbeit im Gang. Menschliche Zustimmung; ressourcengebundene und senderbeschränkte Tokens; Abschwächung. https://datatracker.ietf.org/doc/draft-mishra-oauth-agent-grants/
OWASP GenAI Security Project — Top 10 for Agentic Applications 2026 (Version 2026, Dezember 2025). Institutionell. ASI01 Agent Goal Hijack; ASI02 Tool Misuse and Exploitation; ASI03 Identity and Privilege Abuse; ASI04 Agentic Supply Chain Vulnerabilities. https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/
Grok Bot — Introducing Grok Bot (11. August 2026). Beispiel für einen Agenten, der einen eigenen Rechner, Browser und Terminal erhält.
OpenAI — Introducing ChatGPT agent (17. Juli 2025). Anbieter. Visueller Browser, textbasierter Browser, Terminal, direkter API-Zugang. Die Startseite ist als veraltet gekennzeichnet; hier nur als architektonischer Beleg genutzt. https://openai.com/index/introducing-chatgpt-agent/
Microsoft — Windows 365 for Agents (zuerst angekündigt 18. November 2025; allgemeine Verfügbarkeit in der Woche vom 1. Juni 2026). Anbieter. Gepoolte, zustandslose Cloud-PCs mit eigenen Identitäten, Zero-Trust-Kontrollen und Prüfung. https://techcommunity.microsoft.com/blog/windows-itpro-blog/windows-365-for-agents-unlocks-secured-scalable-ai-automation/4468107
Apple — M6 and M5 Ultra (25. August 2026). Anbieter; Leistungszahlen sind von Apple getestet. M6: On-Device-LLMs für sichere und private agentenbasierte Aufgaben, bis zu 32 GB Unified Memory. Nur M5 Ultra: bis zu 512 GB Unified Memory und grosse LLMs mit Hunderten von Milliarden Parametern vollständig auf dem Gerät. https://www.apple.com/newsroom/2026/08/apple-introduces-m6-and-m5-ultra-for-a-big-leap-in-performance-and-ai-compute/
Apple Machine Learning Research — Introducing the third generation of Apple Foundation Models (8. Juni 2026). Anbieter. Hybrid On-Device und Private Cloud Compute. Agentenbasierte Werkzeugnutzung ist für AFM 3 Cloud Pro genannt, nicht für das On-Device-Modell AFM 3 Core. https://machinelearning.apple.com/research/introducing-third-generation-of-apple-foundation-models
Apple Developer — Foundation Models framework, WWDC26 session 339 (8. Juni 2026). Anbieter. LanguageModel-Protokoll; lokal und Server; Core AI; MLX; Drittanbieter. Gemini-Paket weiterhin «will soon». https://developer.apple.com/videos/play/wwdc2026/339/
Anthropic — Claude for Apple Foundation Models (Dokumentation, abgerufen 1. September 2026). Anbieter. Beta-Paket für die OS-27-Betas. https://platform.claude.com/docs/en/cli-sdks-libraries/libraries/apple-foundation-models
Qualcomm — Agentic AI apps running natively on Snapdragon X Series PCs (5. August 2026). Anbieter. «Practical compute node» für agentenbasierte Erfahrungen. https://www.qualcomm.com/news/onq/2026/08/agentic-ai-apps-snapdragon-x-series
NVIDIA — DGX Spark product page. Positionierung des Anbieters. Genaue Überschrift Desktop Agent Computer. 128 GB Speicher; Modelle bis 200 Milliarden Parameter. Live-Seite Stand 31. August 2026. https://www.nvidia.com/en-us/products/workstations/dgx-spark/
Xiaomi HyperOS Developer Platform — Agent ecosystem beta (21. April 2026). Anbieter. MiClaw als systemweiter KI-Agent; Hochladen von MCP, Skills und Agenten; nur auf Einladung, keine allgemeine Verfügbarkeit. https://dev.mi.com/xiaomihyperos/announcement/detail?id=41
Xiaomi Corporation — Results announcement for the three and six months ended 30 June 2026 (Hongkong, 18. August 2026). Anbieter (IR). Zwei Produkte: Xiaomi Miloco 2.0 (Xiaomi Local Copilot 2.0), Juni, Intelligenz im Haus; Hyper XiaoAi 2.0, August, HyperOS-4-Beta, von «understanding instructions» zu «getting things done». https://ir.mi.com/static-files/4a85fc36-8a6d-4c24-b45b-b18d5d162e6c
Google — Universal Commerce Protocol (11. Januar 2026). Anbieter. Gemeinsam entwickelt mit Shopify, Etsy, Wayfair, Target und Walmart. blog.google nennt A2A, AP2 und MCP. https://blog.google/products/ads-commerce/agentic-commerce-ai-tools-protocol-retailers-platforms/
Stripe — Machine Payments Protocol (18. März 2026). Anbieter. Programmatische Zahlung für APIs, MCP-Endpunkte und andere Netzressourcen. https://stripe.com/blog/machine-payments-protocol
Mastercard — First agent-based retail transaction in Switzerland (28. Mai 2026). Anbieter. Ausdrückliche Zustimmung des Nutzers (Zustimmung), kein Mandat. Mit Cembra, Cornèrcard und Viseca. https://newsroom.mastercard.com/news/europe/de-ch/newsroom/pressemitteilungen/de-ch/2026/premiere-in-der-schweiz-mastercard-fuhrt-die-erste-agentenbasierte-transaktion-im-handel-durch-gemeinsam-mit-cembra-cornercard-und-viseca/
FINMA — Survey: artificial intelligence gaining traction at Swiss financial institutions (24. April 2025). Institutionell. Aufnahme generativer KI neben Sorgen um Datenqualität, Datenschutz, Erklärbarkeit, Auslagerung und Abhängigkeit von Big Tech. https://www.finma.ch/en/news/2025/04/20250424-mm-umfrage-ki/
ETH Zurich / EPFL / CSCS — Apertus 1.5: Building the next generation of open AI infrastructure (24. Juli 2026). Institutionell. Das genannte längerfristige Ziel umfasst souveräne KI-Infrastruktur und eine offene Alternative zu proprietären Modellen. https://www.cscs.ch/science/computer-science-hpc/2026/apertus-15-building-the-next-generation-of-open-ai-infrastructure
Mastercard / Santander — European live end-to-end agentic payment (2. März 2026). Presse von Anbieter und Bank. Vorab festgelegte Limiten und Berechtigungen. Keine kommerzielle Einführung. https://newsroom.mastercard.com/news/europe/en/newsroom/press-releases/en/2026/santander-and-mastercard-complete-europe-s-first-live-end-to-end-payment-executed-by-an-ai-agent/
Mastercard — Europe is building the foundations for trusted agentic commerce (2. Juni 2026). Anbieter. Netzfreigabe von Emittenten in Europa ist nicht dasselbe wie ein Produkt für Endkunden. https://newsroom.mastercard.com/news/europe/en/perspectives/en/2026/europe-is-building-the-foundations-for-trusted-agentic-commerce/
Federal Office of Justice / Confederation — New timetable for the introduction of the e-ID and the trust infrastructure (30. Juni 2026). Institutionell. E-ID verschoben; Vertrauensinfrastruktur zielt weiterhin auf die erste Hälfte 2027. https://www.eid.admin.ch/en/20260625-neuer-zeitplan-fuer-die-einfuehrung-der-e-id-und-der-vertrauensinfrastruktur-en