Warum ein eigenes Modell in der Schweiz Sinn ergeben kann

Alle paar Wochen bekommen wir dieselbe Frage in anderen Worten. Jemand will ein Sprachmodell auf etwas Vertrauliches loslassen, auf Verträge eines Kunden, auf eine interne Codebasis, auf einen Ordner mit Personaldossiers, und will wissen, ob er das darf.

Die Antwort hängt fast immer an einem Satz im Schweizer Datenschutzrecht, und kaum jemand kennt ihn, wenn er fragt.

Die Pflicht, die übersehen wird

Seit dem 1. September 2023 gilt das revidierte DSG für KI-gestützte Bearbeitungen genau so wie für alles andere. Der EDÖB hat mehrfach festgehalten, dass das Gesetz technologieneutral formuliert ist, und die Schweiz hat weiterhin kein eigenes KI-Gesetz.

Praktisch heisst das: In dem Moment, in dem deine Leute Personendaten in ein Sprachmodell eingeben, das jemand anders betreibt, bist du der Verantwortliche und der Anbieter ist dein Auftragsbearbeiter. Art. 9 DSG verlangt dafür eine schriftliche Vereinbarung. Consumer-Abos bringen keine mit. Business- und Enterprise-Stufen in der Regel schon, weshalb “wir haben die bezahlte Version” eine echte Compliance-Antwort ist und “wir nutzen ChatGPT” keine.

Es gibt genau einen Fall, in dem dieses Verhältnis gar nicht erst entsteht: wenn das Modell auf einer Infrastruktur läuft, die du kontrollierst. Kein Auftragsbearbeiter, kein Vertrag nach Art. 9, keine Frage danach, wohin der Prompt gegangen ist.

Das gilt seit Jahren. Neu ist, dass diese Option aufgehört hat, teuer zu sein.

Was Qwen3.8-27B ist

Das Qwen-Team von Alibaba hat Qwen3.8-27B am 14. August 2026 veröffentlicht. Es ist ein dichtes Modell mit 27 Milliarden Sprachparametern, rund 28 Milliarden im vollständigen Checkpoint inklusive der Vision-Komponenten. Es nimmt Text, Bilder und Video und gibt Text aus. Das native Kontextfenster liegt bei 262 144 Token.

Wichtiger als die Spezifikationen ist die Lizenz, und genau dort geht die Berichterstattung meistens schief. Qwen3.8-27B steht unter Apache 2.0. Keine Umsatzschwelle, keine Nutzerobergrenze, keine separate kommerzielle Lizenz, egal in welcher Grössenordnung.

Du wirst sehr viele Artikel finden, die von einer Schwelle bei 50 Millionen US-Dollar Umsatz schreiben. Diese Schwelle existiert, aber sie gehört zu einem anderen Modell: Qwen3.8-2.4T-A95B, dem Max-Checkpoint, der unter eigenen Bedingungen ausgeliefert wird. Beide Namen beginnen mit “Qwen3.8”, und die Bedingung ist von Leuten, die schnell gelesen haben, auf das 27B übertragen worden. Wenn in einer Prüfung bei euch diese Schwelle auftaucht, prüft sie die falsche Lizenz.

Was es nicht löst

Das ist der Teil, der in der Hardware-Erzählung fehlt.

Ein eigenes Modell macht dich nicht compliant. Du bleibst der Verantwortliche. Du brauchst weiterhin einen zulässigen Zweck, Zweckbindung, Transparenz gegenüber den betroffenen Personen, Aufbewahrungsfristen und angemessene Sicherheit. Ist die Bearbeitung mit hohem Risiko verbunden, und systematische Bewertung von Personen oder grosse Mengen besonders schützenswerter Daten sind das meistens, verlangt Art. 22 DSG weiterhin eine Datenschutz-Folgenabschätzung. Die Grafikkarte ändert daran nichts.

Es verhindert auch nicht, dass Daten durch andere Türen hinausgehen. Dass die Inferenz lokal läuft, sagt nichts über Websuche, gehostete Embeddings, OCR-Dienste, Observability, Crash-Reporting oder irgendein Werkzeug, das ein Agent aufrufen darf. Das sind die Wege, die es zu inventarisieren lohnt, und in den meisten Projekten, die wir gesehen haben, sind es genau die, die niemand aufgeschrieben hat.

Und es macht deine Sicherheit nicht automatisch besser als die eines grossen Anbieters. Ein Inferenz-Endpunkt in einem flachen internen Netz mit unverschlüsselten Logs ist nicht offensichtlich sicherer als ein zertifizierter Auftragsbearbeiter mit einem echten Sicherheitsteam.

Die Falle mit der Cloud-Region

Eine Sache, die sich zu wissen lohnt, auch wenn du nie ein Modell lokal betreibst.

Eine Cloud-Region, die nach der Schweiz benannt ist, bedeutet nicht, dass in der Schweiz verarbeitet wird. Microsoft schreibt in der eigenen Dokumentation, dass Prompts und Antworten in der gewählten Geografie bleiben, ausser der Deployment-Typ ist Global oder DataZone. Beides sind gewöhnliche Einstellungen, beides ist leicht zu wählen, ohne es zu merken, und die Ressource behält in jedem Fall ihren Schweizer Namen.

Der Produktname sagt also nichts. Entscheidend sind Tarifstufe, Deployment-Typ und Zusatzmodule, weshalb ein brauchbares Inventar diese drei Angaben pro Werkzeug festhält statt einer Liste von Anbieternamen.

Was lokal ehrlich kostet

Wir würden das nicht als Qualitätsentscheidung empfehlen, weil es keine ist.

Gegen gehostete Spitzenmodelle gewinnt Qwen3.8-27B einiges und verliert anderes. Auf der von Qwen selbst publizierten Karte schlägt es Opus 4.6 Max bei SWE-bench Pro mit 61,7 zu 53,4 und bei LiveCodeBench. Es verliert Terminal-Bench 2.1 mit 73,0 zu 78,2 und es verliert deutlich bei Humanity’s Last Exam mit 30,8 zu 40,0, dem Benchmark, der schwerem allgemeinem Reasoning am nächsten kommt. Diese Zahlen stammen vom Hersteller des Modells und nicht aus einer unabhängigen Prüfung, und so sollten sie auch gelesen werden.

Die unabhängige Messung von Artificial Analysis ist in einem betrieblich relevanten Punkt weniger schmeichelhaft: rund 46,8 Token pro Sekunde gegenüber einem Median von 104,6 bei vergleichbaren Modellen, und 160 Millionen verbrauchte Token über die Testsuite gegenüber einem Median von 48 Millionen. Es erreicht sein Ergebnis, indem es sehr viel nachdenkt, und das bezahlst du in Wartezeit und Strom.

Der für ein Schweizer Unternehmen relevanteste Befund: Unabhängige Tests haben gezeigt, dass das Modell bei widersprüchlichen Sprach- und Formatvorgaben aus der verlangten Sprache fällt und statt auf Deutsch auf Englisch antwortet. Wer damit etwas Kundenseitiges auf Deutsch baut, sollte das nicht als Fussnote behandeln.

Was wir damit machen würden

Dasselbe, was wir jedem Kunden sagen würden: Hör auf, das als eine Entscheidung für das ganze Unternehmen zu behandeln.

Sortiere die Arbeit danach, was die Daten sind, und nicht danach, was das Werkzeug ist. Vertrauliches Material und alltägliche Arbeit an privaten Repositories laufen lokal, weil dort die rechtliche Frage verschwindet und der Qualitätsabstand am kleinsten ist. Alles, was das härteste Reasoning oder wirklich gute Prosa braucht, geht an ein gehostetes Modell mit sauberen Auftragsbearbeitungsbedingungen, auf Daten, die du vorher reduziert oder pseudonymisiert hast. Dieses Routing ist der Entwurf, und es ist gleichzeitig die Dokumentation, weil es für jeden Fall vorher beantwortet, wohin die Daten gehen.

Fang mit einer Arbeitslast an statt mit einer Plattform. Nimm die Aufgabe, bei der die Daten so heikel sind, dass die Leute das Werkzeug heute komplett meiden, und schau, ob ein lokales Modell sie gut genug erledigt. Diese Antwort ist billig zu bekommen und sagt dir mehr als jede Beschaffungsrunde.

Wie wir über den Modellaufruf selbst denken, über Retries, Schemas und das Eval-Set, das eine Verschlechterung sichtbar macht, steht auf der Seite zur KI-Entwicklung. Und wenn du lieber sehen willst, wie wir uns verhalten, wenn die Antwort unbequem ist: was wir prüfen, bevor ein echter Betrieb damit arbeitet ist derselbe Reflex, auf unser eigenes Produkt gerichtet.

Die praktische Folge ist kleiner als das Marketing darum herum. Ein fähiges Modell, das du selbst betreiben kannst, nimmt dir keine Pflichten ab. Es nimmt eine bestimmte Gegenpartei aus deren Mitte heraus, und für das Material, wegen dem du KI bisher gar nicht eingesetzt hast, reicht genau das, um zu ändern, was gebaut wird.