Der Tag, an dem ein KI-Modell einfach verschwand

Stellen Sie sich vor, eine zentrale Funktion Ihrer Software meldet morgens nur noch: «Dienst nicht verfügbar». Kein Ausfall, kein Bug, keine Wartung. Eine Behörde auf einem anderen Kontinent hat entschieden, dass Sie diese Funktion nicht mehr nutzen dürfen.

Genau das geschah im Juni 2026. Am 12. Juni verfügte die US-Regierung Exportbeschränkungen für zwei KI-Modelle des Anbieters Anthropic. Der Anbieter musste sie weltweit deaktivieren – für alle Nicht-US-Kunden, mit sofortiger Wirkung. Selbst ausländische Mitarbeitende in US-Niederlassungen verloren den Zugang. Die EU-Kommission kritisierte das als potenziell diskriminierend. Zurückgebracht hat die Kritik nichts.

Für IT-Leiter ist das kein abstraktes Nachrichtenthema. Es ist ein Stresstest für eine Annahme, auf der viele IT-Strategien still beruhen: dass einmal eingekaufte Software dauerhaft verfügbar bleibt. Der Fall zeigt, dass diese Annahme wackelt. Und er ist nur ein Symptom. Das eigentliche Thema ist grösser.

Das grössere Bild: Wem gehört Ihre Software wirklich?

Die meisten IT-Abteilungen in Europa laufen zu grossen Teilen auf Software und Diensten aus den USA. Betriebssysteme, Cloud-Plattformen, Kollaborationstools, CRM, Fachanwendungen – die Liste ist lang, und sie wächst. Für sich genommen ist jede Entscheidung sinnvoll: Die Produkte sind ausgereift, verbreitet und gut integriert. In der Summe entsteht aber eine Abhängigkeit, die selten jemand bewusst beschlossen hat.

Das Risiko ist nicht neu, wird aber unterschätzt. Drei Mechanismen sollten IT-Leiter kennen:

• CLOUD Act: US-Behörden können von US-Anbietern die Herausgabe von Daten verlangen – auch dann, wenn die Server in Europa stehen. Der Serverstandort allein schützt also nicht.
• Exportkontrollen: Washington kann den Zugang zu bestimmten Technologien und Funktionen einschränken. Der Anthropic-Fall ist das jüngste Beispiel, aber nicht das einzige denkbare.
• Politische Volatilität: Handels- und Sicherheitspolitik ändert sich schneller als Software-Lebenszyklen. Was heute frei verfügbar ist, kann morgen Auflagen unterliegen.

Die entscheidende Frage lautet damit nicht «Wo stehen meine Server?», sondern «Welcher Rechtsordnung unterliegt mein Anbieter?». Wer das für seine wichtigsten Systeme nicht beantworten kann, hat ein blindes Risiko in der Architektur – eines, das in keiner klassischen Verfügbarkeitsplanung auftaucht.

Wichtig: Es geht nicht darum, US-Software pauschal zu verteufeln. Es geht darum, Abhängigkeiten bewusst zu wählen statt sie zu erben – und für die wirklich kritischen Systeme einen Plan zu haben.

Warum ITSM-Software ein Sonderfall ist

Bei einem System fällt diese Abhängigkeit besonders ins Gewicht: dem ITSM. Ihr Service-Management-System ist kein Add-on. Es steuert Tickets, Prozesse, Berechtigungen, Genehmigungen und SLAs quer durch das Unternehmen. Oft hängen daran auch Abläufe ausserhalb der IT – Onboarding, Beschaffung, Facility-Anfragen. Fällt das ITSM aus oder wird es eingeschränkt, steht nicht eine Funktion still, sondern Ihre Betriebsorganisation.

Genau hier verschärft KI das Thema. US-ITSM-Anbieter integrieren zunehmend KI-Funktionen: automatische Klassifizierung, Antwortvorschläge, Zusammenfassungen, smarte Eskalation, Chatbots im Self-Service. Das ist praktisch – und genau deshalb gefährlich, wenn man die Herkunft nicht kennt. Denn diese Funktionen laufen oft über US-KI-Modelle, tief eingebettet in der Software. Sie sehen das Feature, nicht den Lieferanten dahinter und nicht dessen Rechtsordnung.

So wird ein zentrales System doppelt abhängig: vom US-Anbieter selbst und von dessen KI-Zulieferern. Beide Ebenen können durch eine politische Entscheidung eingeschränkt werden, auf die Sie keinen Einfluss haben. Und je tiefer KI in den Standardprozess verwoben ist, desto schwerer lässt sie sich im Ernstfall ersetzen. Was als Komfortfunktion beginnt, wird unbemerkt zum kritischen Pfad.

Vier Prüfsteine für souveräne IT-Software

So machen Sie Abhängigkeiten sichtbar und steuerbar – für jede strategische Software, ITSM zuerst:

1. Herkunft klären. Welcher Rechtsordnung unterliegt der Anbieter, wer ist Eigentümer, und wo werden Daten tatsächlich verarbeitet? Beziehen Sie Subdienstleister ein. Lautet die Antwort «das wissen wir nicht genau», haben Sie bereits ein Risiko gefunden.
2. Abschaltbarkeit testen. Läuft Ihr Kernprozess auch ohne externe Funktionen weiter? Simulieren Sie es im Probebetrieb: KI-Unterstützung aus – funktioniert Triage, Zuweisung und Eskalation trotzdem? Ein System, das ohne US-KI zusammenbricht, ist kein Werkzeug, sondern eine Wette.
3. SLA-Relevanz bewerten. Markieren Sie jede Funktion, von der ein SLA oder ein regulatorischer Nachweis abhängt. Diese Funktionen gehören ins Notfallkonzept – mit dokumentiertem manuellem oder regelbasiertem Fallback und einer klaren Verantwortlichkeit.
4. Vertragstiefe verlangen. Was nicht schriftlich zugesichert ist – Verarbeitungsort, Subdienstleister, Verfügbarkeitsgarantien, Exit-Optionen – schützt Sie im Ernstfall nicht. Verlangen Sie diese Punkte aktiv und prüfen Sie, wie ein geordneter Ausstieg aussähe.

Ein Beispiel aus dem Alltag: Hängt Ihre automatische Ticket-Kategorisierung zu 70 % an einer externen KI und fällt diese aus, landen über Nacht Hunderte Tickets ungeordnet im Eingang. Ohne regelbasierten Fallback steigt Ihre Erstreaktionszeit sofort, Eskalationen werden übersehen – und Ihr SLA kippt am selben Tag. Der Schaden ist nicht die fehlende KI, sondern der fehlende Plan B.

Stolperstein: «Unser Anbieter ist gross und etabliert, da passiert das nicht.» Der Anthropic-Fall traf einen führenden Anbieter, und die Sperre kam von Aussen, nicht vom Anbieter selbst. Fix: Bewerten Sie nicht die Reputation, sondern die Rechtsordnung des Anbieters – und Ihre eigene Fähigkeit, ohne die Funktion weiterzuarbeiten.

KYBERNA konkret: Kontrolle bleibt bei Ihnen

ky2help^® ist eine ITSM- und ESM-Plattform aus dem DACH-Raum – mit Betriebsmodell im europäischen Raum und einem klaren Grundsatz: Ihre Prozesse tragen sich selbst, auch ohne externe KI.

Workflow-Logik, Kategorien und Eskalationsregeln in ky2help^® arbeiten regelbasiert und nachvollziehbar. Sie sehen, warum ein Ticket wohin läuft, und Sie können die Logik selbst anpassen. Fällt eine optionale KI-Unterstützung weg, bleibt Ihr Prozess bestehen – statt in einer Blackbox zu verschwinden. KI ergänzt das System dort, wo sie Nutzen bringt, ist aber nicht die Voraussetzung dafür, dass der Service Desk arbeitet.

Dazu kommen transparente Reporting- und SLA-Dashboards, mit denen Sie Verfügbarkeit und Einhaltung jederzeit gegenüber der Geschäftsführung nachweisen können, sowie ein Self-Service-Portal mit Wissensdatenbank, das Routineanfragen abfängt. Für den Betrieb stehen Modelle bereit, bei denen Sie wissen, wo Ihre Daten liegen.

So entscheiden Sie selbst, wo Ihre Daten liegen und ob, wo und welche KI Sie einsetzen – statt diese Entscheidung an eine ausländische Behörde zu delegieren. Das ist der praktische Kern von digitaler Souveränität: nicht der Verzicht auf moderne Funktionen, sondern die Kontrolle darüber.