Moderne KI-Agenten sind mehr als ein Sprachmodell. Wer souverän sein will, muss alle Bausteine prüfen – europäische und selbst betriebene Lösungen im Überblick.
Matthias Allitsch-Wutte · GEKI Gründer
27. Oktober 2026 · 8 Min.
Ihr wollt KI-Agenten bauen, aber eure Daten dürfen Europa nicht verlassen – und im Idealfall wollt ihr bei kritischen Komponenten auch nicht von US-Anbietern abhängig sein? Dann reicht es nicht, einfach ein Sprachmodell in Europa zu betreiben. Ein produktiver KI-Agent besteht heute aus deutlich mehr Bausteinen:
Betreibt ein Unternehmen viele Agenten, kommt mit der Orchestrierung noch eine zentrale Steuerungsebene dazu.
Jeder Werkzeugaufruf ist Teil eurer Datenkette.
Euer Sprachmodell kann vollständig in einem europäischen Rechenzentrum laufen. Schickt euer Agent danach aber den kompletten Kontext an eine US-Websuche, einen externen MCP-Server oder ein Monitoring-Werkzeug eines Cloud-Anbieters, haben eure Daten die kontrollierte Umgebung trotzdem verlassen. „Unser Sprachmodell läuft in Europa“ ist deshalb noch keine souveräne Agenten-Architektur.
In diesem Artikel zeigen wir, worauf ihr bei souveränen KI-Agenten achten solltet, welche europäischen und selbst betriebenen Bausteine es bereits gibt und wie ihr viele Agenten unter Kontrolle behaltet. Die Liste ist bewusst nicht vollständig. Sie soll zeigen, dass sich inzwischen ein großer Teil einer modernen Agenten-Architektur europäisch oder vollständig selbst betrieben aufbauen lässt.
Die wichtigste Frage bei einem Agenten lautet nicht „Welches Sprachmodell verwenden wir?“, sondern: „Wohin können unsere Daten gelangen, während ein Agent arbeitet?“ Denn jeder externe Schritt kann einen neuen Datenempfänger erzeugen.
Beim Sprachmodell geht es zuerst um den Ort: Wo läuft das Modell, wer betreibt die GPUs und wo werden Anfragen verarbeitet? Genauso wichtig ist, was mit den Daten passiert – ob Eingaben oder Antworten gespeichert und ob sie für Training oder Produktverbesserung verwendet werden. Und schließlich: Welche weiteren Anbieter hängen dahinter?
Die Websuche ist einer der am häufigsten übersehenen Datenflüsse. Ein schlecht gebauter Agent könnte aus einer internen Anfrage wie
„Analysiere den Vertrag unseres Kunden Max Mustermann mit ACME GmbH und prüfe, ob es aktuelle Insolvenzmeldungen gibt.“
einfach große Teile des kompletten Kontexts an einen Suchanbieter schicken – obwohl als Suchanfrage vermutlich „ACME GmbH Insolvenz“ gereicht hätte. Daraus folgt ein zentraler Grundsatz der Architektur:
Schickt jedem Werkzeug nur den Kontext, den es wirklich braucht.
Dasselbe gilt für Werkzeuge und Konnektoren wie MCP-Server. Nur weil ein Werkzeug technisch verfügbar ist, sollte ein Agent es nicht automatisch verwenden dürfen. Fragt bei jedem Werkzeug, welche Daten es bekommt, wo es läuft und welcher Anbieter dahintersteckt. Prüft außerdem, welche Berechtigungen es hat, ob es Eingaben speichert und ob es seinerseits weitere Systeme aufrufen kann.
Auch interne Wissensdatenbanken gehören zur Datenkette: die Dokumente selbst, ihre Vektoren und Metadaten, die Suchanfragen an die Wissensdatenbank, aber auch der Gesprächsverlauf und das Langzeitgedächtnis des Agenten. Gerade hier liegen oft besonders kritische Informationen – interne Dokumente, Kundendaten oder Details aus vertraulichen Gesprächen. Idealerweise bleiben all diese Komponenten innerhalb der eigenen, kontrollierten Infrastruktur.
Diese Ebene wird besonders leicht vergessen. Die Aufzeichnung eines einzigen Agenten-Durchlaufs kann enthalten:
Damit wird das Monitoring-System schnell zu einer der sensibelsten Datenbanken des Unternehmens.
Inference Service. Braucht ihr GPU-Kapazität und die komplette Inferenz-Plattform, bietet sich eine vollständige KI-Fabrik an – etwa die GEKI KI-Fabrik mit dedizierter GPU-Infrastruktur und kompletter Inferenz-Plattform. Beispiele für weitere Anbieter sind die Raiffeisen Rechenzentrum AI Factory mit KI-Infrastruktur aus Österreich (aifactory.at) und STACKIT AI Model Serving, das Modelle als Dienst in Europa betreibt (stackit.de).
Modell-Router. Nicht jedes Unternehmen möchte sich auf einen einzelnen Modell- oder Inferenz-Anbieter festlegen. Hier wird ein Modell-Router interessant: Cortecs bietet eine europäische Vermittlungsschicht zwischen Anwendungen und unterschiedlichen Modellen beziehungsweise Inferenz-Anbietern (cortecs.ai). Das bringt einen wichtigen Vorteil für die Souveränität, denn die Anwendung hängt nicht direkt an einem einzelnen Modellanbieter. Heute verwendet ein Agent vielleicht Modell A, morgen Modell B oder eine eigene KI-Fabrik. Modelle müssen austauschbar sein.
Ein Sprachmodell allein ist noch kein Agent. Zum Agenten wird es erst durch die Laufzeitumgebung, im Englischen oft Harness genannt: Sie führt das Modell in einer Schleife aus, versorgt es mit Kontext, Werkzeugen und Gedächtnis und kontrolliert Berechtigungen, Aktionen und Übergaben zwischen Agenten. Modell und Harness zusammen ergeben den Agenten – und damit ist die Laufzeitumgebung eine der wichtigsten Komponenten für Datensouveränität.
Das Sprachmodell denkt. Die Laufzeitumgebung entscheidet, was es tun darf.
Moderne Agenten gehen dabei deutlich weiter als ein Chat mit ein paar angebundenen Werkzeugen. Immer wichtiger wird, dass ein Agent eine eigene Arbeitsumgebung bekommt, etwa eine abgeschottete Linux-Umgebung mit Werkzeugen, in der er Programme ausführt, Dateien bearbeitet und Ergebnisse prüft (oft als Computer Use bezeichnet). Solche Agenten konfigurieren sich zunehmend selbst und erweitern ihre Fähigkeiten, indem sie zum Beispiel neue Werkzeuge einrichten oder eigene Skripte schreiben. Genau hier wird die Luft in Europa dünn: Laufzeitumgebungen dieser Art gibt es europäisch bisher kaum.
Etabliert sind dagegen KI-Chat-Systeme mit einfachen Agenten. Hier gibt es europäische Anbieter wie Langdock (langdock.com) oder Open-Source-Lösungen zum Selbstbetrieb wie LibreChat (librechat.ai) und Open WebUI (openwebui.com).
Mit GEKI Companybots gehen wir den modernen Weg: Bei uns ist alles ein Agent, und jeder Agent hat seine eigene, isolierte Umgebung. Seine Fähigkeiten sind damit nicht mehr auf vordefinierte Werkzeuge beschränkt. Betrieben wird alles in Rechenzentren in Europa.
Natürlich kann eine Laufzeitumgebung auch vollständig selbst gebaut werden. Dann übernimmt das Unternehmen allerdings auch selbst Sicherheit, Steuerung der Werkzeuge, Berechtigungen, Gedächtnis, Nachverfolgung, Lebenszyklus und Updates.
Einen Agenten zu betreiben, ist relativ einfach. Aber was passiert bei 20, 100 oder 1.000 Agenten? Dann braucht ein Unternehmen neben der Laufzeitumgebung eine weitere Ebene: die Orchestrierung. Sie beantwortet Fragen wie: Welche Agenten gibt es, wem gehören sie und welche Version ist produktiv? Welche Modelle, Werkzeuge und MCP-Server dürfen sie nutzen, und welche Agenten kommunizieren miteinander? Welche Aktionen muss ein Mensch freigeben, was kostet ein Agent und welche Agenten schlagen häufig fehl? Und lässt sich ein Agent zentral abschalten – mit einem lückenlosen Protokoll aller Änderungen und Aktionen?
Camunda ist ein Beispiel für Orchestrierung. Interessant wird das, wenn Agenten Teil größerer Unternehmensprozesse werden, beispielsweise:
Hier geht es weniger um einen einzelnen Agenten und stärker um das Zusammenspiel von Agenten, Menschen und klassischen Unternehmenssystemen (camunda.com).
Wichtig dabei: Laufzeitumgebung und Orchestrierung sind nicht dasselbe.
| Ebene | Aufgabe | Beispiele |
|---|---|---|
| Laufzeitumgebung | Führt einen Agenten aus. | GEKI Companybots, Langdock, eigene Laufzeitumgebung |
| Orchestrierung | Steuert alle Agenten des Unternehmens. | GEKI Companybots, Camunda |
GEKI Companybots deckt beides ab, denn mit wachsender Anzahl der Bots wird die zentrale Verwaltung entscheidend. Alle Bots liegen an einer Stelle, jeweils mit Entwurf und Live-Version, frühere Versionen lassen sich wiederherstellen. Modelle, Werkzeuge, MCP-Konnektoren und Berechtigungen werden zentral verwaltet, jeder Bot lässt sich mit einem Klick pausieren, und Monitoring sowie ein Protokoll zeigen, wer welchen Bot wann geändert hat.
Erst Werkzeuge machen einen Agenten wirklich nützlich – und jedes davon ist ein möglicher Datenempfänger. Für die wichtigsten Werkzeuge gibt es europäische oder selbst betriebene Lösungen.
Internetzugriff und Websuche. Viele Agenten im Unternehmen brauchen Zugriff auf das Internet. Eine europäische Alternative für die Websuche ist Staan, eine Such-Schnittstelle speziell für KI-Anwendungen und Agenten mit eigenem europäischen Suchindex (staan.ai); auch unsere Companybots nutzen Staan für die Websuche. Dabei gilt dasselbe wie für jedes andere Werkzeug (siehe das ACME-Beispiel oben): Der Agent erzeugt aus seinem internen Kontext eine möglichst knappe Suchanfrage und schickt nicht den gesamten Kontext samt Kundendaten an die Suche.
Wissensdatenbank. Für viele Zwecke braucht es gar keine eigene Datenbank: Agenten können inzwischen so gut mit Dateien umgehen, dass einfache Markdown-Dateien im Speicher oft reichen. Wo eine Vektordatenbank sinnvoll ist, ist Qdrant, selbst betrieben, eine naheliegende Lösung (qdrant.tech). Damit bleiben interne Dokumente, Vektoren, Metadaten und Suchanfragen innerhalb der eigenen Infrastruktur.
Speicher. Für den Speicher schreiben wir bewusst keinen einzelnen Anbieter vor. Nutzt das Rechenzentrum beziehungsweise den Speicheranbieter eurer Wahl und prüft dabei Datenstandort und Rechtsordnung, Verschlüsselung, Datensicherung und Zugriffskontrolle, die Aufbewahrungsdauer sowie die Möglichkeit, die Daten zu einem anderen Anbieter mitzunehmen. Die Agenten-Architektur sollte sich an eure Infrastruktur anpassen – nicht eure Infrastruktur an den Anbieter der Agenten.
Computer Use. Bekommt ein Agent eine eigene Arbeitsumgebung, etwa eine abgeschottete Linux-Umgebung, verarbeitet er dort Dokumente, führt Programme aus und legt Zwischenergebnisse ab. Diese Umgebung muss deshalb genauso unter eurer Kontrolle laufen wie das Modell selbst: isoliert für jeden Agenten, in eurer Infrastruktur oder in einem europäischen Rechenzentrum und mit klar geregeltem Zugang zum Netzwerk.
Hier braucht es nicht zwingend einen speziellen KI-Anbieter: Schon ein klassisches und erprobtes Werkzeug wie Keycloak, selbst betrieben, erfüllt den Zweck perfekt (keycloak.org). Entscheidend ist allerdings, Identität über den gesamten Ablauf eines Agenten mitzudenken: Es reicht nicht, dass sich der Nutzer beim Agenten anmeldet. Die Berechtigung muss bis zum Werkzeug und zur Ressource durchgereicht werden, auf die der Agent zugreift. Ein Agent sollte niemals automatisch mehr Berechtigungen haben, als der jeweilige Nutzer oder Prozess benötigt.
Agenten ohne Monitoring produktiv zu betreiben, ist schwierig. Aber Monitoring erzeugt gleichzeitig einen neuen sensiblen Datenbestand. Mit Langfuse, selbst betrieben, bleiben die Aufzeichnungen der Agenten in der eigenen Infrastruktur (langfuse.com). Trotzdem gilt: Selbst betrieben heißt nicht, alles aufzuzeichnen. Sensible Eingaben, Dokumente und Ergebnisse von Werkzeugen sollten nur gespeichert werden, wenn sie tatsächlich benötigt werden.
Genau diese Fragen waren der Grund, warum wir GEKI Companybots gebaut haben. Wir hatten von Anfang an die ganze Kette im Blick – vom Modell über Laufzeitumgebung, Orchestrierung und Werkzeuge bis zu Identität und Monitoring – und wollten eine europäische Lösung, die all das mitbringt.
Mit GEKI Companybots stellen wir diese Bausteine aus einer Hand bereit. Ihr könnt die Plattform flexibel als Infrastruktur nutzen: um eigene Agenten oder ganze Anwendungen darauf zu bauen oder um sie an eure Kunden weiterzuverkaufen.
Registrieren, testen und Startguthaben erhalten.
