Stell dir ein Unternehmen vor, das alles richtig gemacht hat.
Es hat den richtigen Vertrag verhandelt, mit den Ausstiegsklauseln an der richtigen Stelle. Als es den KI-Anbieter wechselt, funktioniert der Export: die Dokumente kommen zurück, die Gespräche kommen zurück, die Konfigurationen kommen zurück, jedes einzelne Byte ist verbucht. Der alte Anbieter war tadellos, auch weil ihm das Gesetz keine Wahl ließ.
Drei Wochen später fällt es jemandem auf.
Der neue Agent hat alles, und es ist, als wüsste er nichts. Er schlägt wieder die Änderung am Legacy-Modul vor, die das alte System ohne eine bestimmte Prüfung nicht mehr anzufassen gelernt hatte. Er wiederholt den Abrechnungsfehler, der im März korrigiert worden war, dann noch einmal im April, und danach nie wieder. Er bittet um Erklärungen zu einer Ausnahme, die niemand je irgendwo aufgeschrieben hat, weil es nicht nötig war: das System kannte sie.
Das Unternehmen hat alles exportiert. Und genau in diesem Moment entdeckt, dass es das Wichtigste nicht mitgenommen hat.
Räumen wir dem Einwand alles ein
Bevor man einen Alarm baut, muss man einem ernsthaften Einwand viel Boden überlassen: das Portabilitätsproblem kennen wir längst, und Europa geht es alles andere als naiv an.
Der Data Act, anwendbar seit dem 12. September 2025, begnügt sich nicht damit, ein generisches Recht auf die eigenen Daten auszurufen. Für Datenverarbeitungsdienste in seinem Anwendungsbereich verlangt er den Abbau technischer und vertraglicher Hindernisse beim Anbieterwechsel. Er spricht von exportierbaren Daten und, interessante Kategorie, von Digital Assets. Für bestimmte Dienstklassen führt er ein ehrgeiziges Konzept ein: die Functional Equivalence, die Idee, dass der Zieldienst nach dem Wechsel im Wesentlichen das können muss, was der Ausgangsdienst konnte. Und ab dem 12. Januar 2027 verschwinden die Wechselentgelte vollständig.
Das ist eine weit klügere normative Antwort als die Karikatur, in der Brüssel die Cloud noch mit Kategorien des zwanzigsten Jahrhunderts reguliert. Und der Druck hält an: das am 3. Juni 2026 vorgestellte Paket zur Technologiesouveränität erklärt zum Ziel die Fähigkeit Europas, strategische Technologien, Daten und Infrastrukturen zu entwickeln und zu kontrollieren und dabei die Abhängigkeiten von außereuropäischen Anbietern zu verringern, und eine eigene Konsultation zur Data Sovereignty, offen bis zum 8. September, kartiert die Abhängigkeiten, die die Fähigkeit europäischer Organisationen konkret einschränken, ihre eigenen Daten zu nutzen und zu übertragen.
Ich habe mehr als einmal geschrieben, dass die Souveränität nicht im Rechenzentrum wohnt, und diese Politik scheint das besser verstanden zu haben als viele ihrer Kritiker. Sie verwechselt Souveränität nicht mit Autarkie. Sie verlangt nicht, dass alles europäisch sei. Sie verlangt, dass die Abhängigkeit umkehrbar sei, und das ist die richtige Forderung.
Und genau hier beißt das Problem zu.
Während wir lernen, Daten portabel zu machen, verändert sich das Objekt, von dem wir abhängen.
Das dritte Objekt
Bei traditioneller Software war es vernünftig zu denken, der wesentliche Teil eines Systems bestehe aus zwei Dingen: der Software und den Daten, auf denen sie arbeitet. Man konnte Datenbank, Cloud oder Anwendung wechseln, und das Grundproblem war, die Informationen samt der Fähigkeit zu ihrer Verarbeitung zu bewahren. Die ganze Disziplin der Portabilität, Verträge eingeschlossen, ist auf dieses Paar gebaut.
Mit den Agenten erscheint ein drittes Objekt, und es ist viel seltsamer: der Zustand, den das System bei der Arbeit angesammelt hat.
Es ist nicht der Gesprächsverlauf, der sich mühelos exportieren lässt und wenig wert ist. Es ist das, was der Agent als relevant zu betrachten gelernt hat. Es sind die aus vergangenen Interaktionen gebauten Zusammenfassungen, die Konventionen, die er als verlässlich behandelt, die abgeleiteten Beziehungen zwischen Entitäten, die im Lauf der Zeit erhaltenen und aufgenommenen Korrekturen. In diesen Zustand fließen organisatorische Anweisungen, die Herkunft von Informationen, Regeln, die bestimmen, welche Werkzeuge unter welchen Umständen zu benutzen sind.
Das ist keine Abstraktion aus Papieren. Microsoft beschreibt das Gedächtnis der Agenten inzwischen ausdrücklich als etwas, das Informationen nicht bloß aufbewahrt, sondern das künftige Verhalten des Systems verändert, einschließlich der Werkzeugaufrufe. Und im Juni 2026 hat sein Sicherheitsteam eine Beobachtung hinzugefügt, die mehr wert ist als eine Saison von Konferenzen: ein dauerhaftes Gedächtnis verändert das Threat Model. Ein Angreifer muss nicht mehr in einer einzelnen Interaktion Erfolg haben; er kann versuchen, allmählich zu verändern, was der Agent sich merken und später verwenden wird. Der empfindlichste Teil, schreibt Microsoft, ist das prozedurale Gedächtnis, jenes, das sich merken kann, wann eine Prozedur gilt, welche Kontrollen übersprungen werden können, welches Werkzeug zu benutzen ist.
Bleiben wir bei diesem Satz stehen, denn er enthält schon den halben Essay. Wenn das prozedurale Gedächtnis am gefährlichsten zu vergiften ist, dann weil es das mächtigste ist. Und wenn es das mächtigste ist, ist es auch das teuerste, das man verlieren kann.
Eine Transformation, kein Archiv
Hier sitzt der begriffliche Punkt, den die Portabilitätsdebatte noch nicht scharfgestellt hat.
Das Gedächtnis eines Agenten ist keine Datenbank. Es ist eine Transformation der Datenbank.
Zwei Organisationen könnten exakt dieselben Dokumente besitzen und völlig verschiedene Agenten haben, weil diese Systeme gelernt haben, verschiedene Teile für wichtig zu halten. Oder weil sie die früheren Gespräche verschieden konsolidiert haben. Oder weil der eine gelernt hat, dass eine bestimmte Unternehmensausnahme der Standardprozedur vorgeht, und der andere nicht.
Die Forschung zum Agentengedächtnis zeigt geschlossen in diese Richtung: keine vollständigen Gesprächsarchive, sondern Systeme, die vergangene Interaktionen zu wiederverwendbarem Wissen verdichten. Der Wert liegt nicht in dem, was gesagt wurde. Er liegt in dem, was das System daraus gemacht hat.
Die klassische digitale Souveränität fragt: kann ich meine Daten mitnehmen?
Die Frage des agentischen Zeitalters ist eine andere: kann ich mitnehmen, was das System aus meinen Daten gelernt hat?
Das ist keine semantische Nuance. Es könnte eine der mächtigsten Lock-in-Formen der kommenden Jahre werden.
Ein Jahr später
Nehmen wir ein Softwarehaus, das täglich einen Agenten über Dutzende Repositories laufen lässt. Es ist das Szenario, das ich am besten kenne, und es hat den Vorzug, messbar zu sein.
Am Anfang erhält der Agent den Code und einige Anweisungen. Ein Jahr später verfügt er über eine weit reichere Darstellung der Organisation. Er weiß, dass bestimmte Legacy-Komponenten ohne eine genaue Prüfung nicht angefasst werden. Er ist den wiederkehrenden Fehlern dieser Codebasis begegnet, nicht wiederkehrenden Fehlern im Allgemeinen. Er hat Tausende menschlicher Korrekturen aufgenommen, deren jede ein kleiner Ausbildungsakt war, den niemand als solchen verbucht hat. Er kennt Ausnahmen, welche die Dokumentation schlecht oder gar nicht formalisiert, denn echte Organisationen funktionieren so.
Wechselt dieses Softwarehaus morgen den Anbieter, wandert das Repository mit. Die Dokumentation wandert mit. Die Tickets wandern mit. Der Data Act wird, wo er gilt, garantieren, dass all das ohne Hindernisse geschieht und bald ohne Entgelte.
Aber wird der neue Agent dort stehen, wo der alte stand?
Nein. Er wird bei Tag eins stehen, mit einem Jahr an Korrekturen, die neu zu machen sind. Und jede neu gemachte Korrektur ist ein Preis, den keine Vertragsklausel je benannt hat.
Souveränität des Kontexts
Dieses Ding braucht einen Namen, und ich schlage ihn mit der Vorsicht vor, die neuen Namen gebührt: Souveränität des Kontexts.
Ich würde sie so definieren: die Fähigkeit einer Organisation, den informationellen Zustand zu kontrollieren, einzusehen und zu übertragen, der das Verhalten ihrer KI-Systeme bestimmt.
Das Wort „informationell“ ist mit Bedacht gewählt, denn es vermeidet die anthropomorphe Metapher des Geistes, die hier nur Rauschen wäre. Ich behaupte nicht, die Organisation besitze ein künstliches Bewusstsein, das es einzufordern gälte. Ich sage etwas viel Konkreteres: zwischen den ursprünglichen Dokumenten und den Entscheidungen des Agenten existiert inzwischen eine dauerhafte Schicht von Transformationen, und diese Schicht kann wirtschaftlich so kostbar werden wie die Dokumente selbst.
Der Zeitpunkt macht die Frage weniger theoretisch, als sie klingt. In den von OpenAI am 12. August veröffentlichten Daten machte der über Codex gemessene agentische Verkehr im Juni 2026 64 % der gemeinsam von Codex und ChatGPT erzeugten Ausgabetokens unter den Enterprise-Kunden aus. Im selben Datensatz wuchs die Zahl der wöchentlich aktiven Codex-Nutzer außerhalb des Engineering seit Februar um das 108-Fache im Rechtsbereich und das 41-Fache im Recruiting, gegen das 5-Fache im Engineering. Das ist kein Maß für den ganzen Markt und will als das gelesen werden, was es ist, die Zahlen eines einzelnen Anbieters über die eigenen Kunden. Aber das Signal ist eindeutig: die an Agenten delegierte Arbeit wächst schneller als die bloß unterstützte.
Und je mehr Arbeit delegiert wird, desto mehr ist der Kontext wert, den der Ausführende angesammelt hat.
Das Interoperabilitätsparadox
Das Paradox ist, dass all dies geschieht, während die agentische Infrastruktur interoperabler wird, nicht weniger.
MCP steht unter der Governance der Agentic AI Foundation der Linux Foundation, zusammen mit AGENTS.md. A2A baut einen Standard, damit Agenten verschiedener Anbieter miteinander sprechen können. Die Stiftung hat Mitte August bekannt gegeben, 247 Mitgliedsorganisationen erreicht zu haben, mit Namen von der Finanzwelt bis zu den Plattformen. Die offenen Standards machen echte Fortschritte, und wer sie als Papierkonventionen abtut, hat nicht auf das Tempo geschaut, mit dem sie zu Infrastruktur werden.
Aber sehen wir hin, was sie standardisieren. MCP beschreibt, wie ein Agent auf Jira zugreift. A2A lässt zwei Agenten miteinander reden. AGENTS.md macht einige Projektanweisungen portabel. Das ist, in einem einzigen Wort, der Körper des Agenten: seine Schnittstellen, seine Protokolle, sein Werkzeug.
Keiner dieser Mechanismen garantiert, dass der neue Agent den operativen Zustand des vorherigen besitzt.
Das mögliche Ergebnis ist ein an der Oberfläche perfekt interoperables Ökosystem, in dem der Modellwechsel technisch trivial und organisatorisch ruinös ist. Der Körper lässt sich an einem Nachmittag ersetzen. Das Gedächtnis bleibt, wo es war.
Es ist eine viel feinere Form von Lock-in als die der Cloud, und sie verdient es, ohne Umschweife gesagt zu werden: sie hindert dich nicht am Gehen. Sie macht dich dumm, wenn du gehst.
Der Mitarbeiter, der geht
Die richtige Metapher kommt nicht aus der Informatik. Sie kommt aus dem Personalwesen.
Eine Organisation kann alle Dokumente besitzen, die eine Person je erzeugt hat, und trotzdem eine enorme Menge Wissen verlieren, wenn diese Person geht. Nicht weil sie Dateien mitgenommen hätte. Weil es einen Unterschied gibt zwischen dem Besitz des Archivs und dem Wissen, wie dieses Archiv zu lesen ist: welche Dokumente überholt sind, obwohl niemand sie als überholt markiert hat, welche Ausnahme welcher Regel vorgeht, warum jene Entscheidung von 2019 noch immer so getroffen wird.
Jahrhundertelang haben wir das stilles Wissen genannt und hingenommen, dass es eine Eigenschaft von Personen ist. Die Agenten industrialisieren es gerade. Was früher mit einer Kündigung verdunstete, sammelt sich jetzt in einem System an, was wie ein Fortschritt aussieht, und ein Fortschritt ist, bis man fragt, wem das System gehört.
Die Analogie hilft auch, die falsche Lösung zu vermeiden. In einer menschlichen Organisation verlangen wir keinen vollständigen Dump des Kopfes eines scheidenden Mitarbeiters, und nicht aus Mangel an Technik: weil es die falsche Frage ist. Wir versuchen stattdessen, die Menge kritischen Wissens zu verringern, das nur in diesem Kopf existiert. Wir dokumentieren, wir formalisieren, wir übergeben, wir schreiben die Verfahren auf.
Dieselbe Strategie kann zu einer architektonischen Disziplin für Agenten werden.
Das Wissen außerhalb des Agenten
Hier berührt der Gedanke die Art, wie wirklich gearbeitet wird, und ich kann konkret werden.
Je mehr organisatorisches Wissen du aus dem impliziten Verhalten des Agenten in explizite, versionierbare Artefakte verlagerst, desto weniger hängst du von seinem privaten Gedächtnis ab. Anweisungsdateien wie CLAUDE.md und AGENTS.md, Architecture Decision Records, formale Spezifikationen, selbst ein ernsthaft dokumentiertes Repository: all diese Objekte gewinnen eine neue Bedeutung. Sie sind nicht bloß der Weg zu besseren Antworten aus dem Modell dieser Woche. Sie sind Instrumente zur Verringerung des kognitiven Lock-ins, denn sie leben in deinem Repository, unter deiner Versionskontrolle, und jeder künftige Agent wird sie auf dieselbe Weise lesen.
Das Prinzip passt in eine Zeile: was für das Verhalten des Agenten wichtig ist, sollte, wo möglich, außerhalb des Agenten existieren.
Das heißt nicht, das Gedächtnis abzuschaffen, das genau das ist, was einen Agenten gegenüber einem zustandslosen Modell nützlich macht. Es heißt, zwei Dinge zu unterscheiden, die heute verschwimmen: was die Organisation absichtlich dauerhaft machen will, und was dann verdient, in einem eigenen Artefakt zu leben, und was ein bestimmter Anbieter erschlossen hat, um sein Produkt wirksamer zu machen, und was, solange niemand die Frage stellt, ein als Dienstleistung verkleideter Vorteil des Anbieters bleibt.
Erklärt und abgeleitet
Die Unterscheidung zwischen dem, was die Organisation absichtlich dauerhaft macht, und dem, was der Anbieter allein erschließt, verdient Ernst, denn die beiden Gedächtnisse haben verschiedene rechtliche und wirtschaftliche Naturen, auch wenn sie dasselbe System bewohnen.
Das erklärte Gedächtnis ist das, was jemand geschrieben hat. Der Nutzer sagt dem Assistenten: merk dir, dass die Releases donnerstags stattfinden, dass Kunde X die Rechnungen in jenem Format will, dass dieser Ordner nicht angerührt wird. Das sind Anweisungen. Sie haben einen Autor, ein Datum, einen lesbaren Inhalt. Bewahrt der Anbieter sie in einsehbarer Form auf, ist ihr Export ein bescheidenes technisches Problem, und wer sie auf der anderen Seite empfängt, kann sie fast verlustfrei wieder laden.
Das abgeleitete Gedächtnis ist etwas anderes. Niemand hat dem System je gesagt, dass die Schätzungen jenes Teams mit Vorsicht zu nehmen sind: das hat es selbst geschlossen, nach der x-ten Abweichung. Niemand hat geschrieben, dass die offizielle Deploy-Prozedur freitags ignoriert wird: das hat es beobachtet. Diese Schlüsse haben keinen menschlichen Autor, oft keine stabile Textform, und sie können auf Weisen dargestellt sein, die vollständig von der Architektur des Anbieters abhängen.
Das Paradox ist, dass das abgeleitete Gedächtnis gewöhnlich das kostbarere von beiden ist. Das erklärte existiert per Definition schon irgendwo: jemand kannte es gut genug, um es zu diktieren. Das abgeleitete ist Wissen, von dem die Organisation nicht wusste, dass sie es hat, oder das zu formulieren sie nie die Zeit fand. Und es ist genau jenes, von dem am Vertragsende heute niemand sagen kann, wem es gehört.
Es gibt auch eine Sicherheitsseite, und sie ist der Grund, weshalb Microsofts Arbeit am Gedächtnis keine Fußnote für Spezialisten ist. Ein Gedächtnis, das künftiges Verhalten verändert, ist eine Angriffsfläche: wer es zu vergiften vermag, kompromittiert keine Antwort, er kompromittiert eine Disposition. Aber Sicherheit und Souveränität sind hier zwei Seiten derselben Anforderung. Um das Gedächtnis zu verteidigen, muss man es einsehen können, die Herkunft seines Inhalts nachverfolgen, unterscheiden, was hineingelangt ist und warum. Was, Wort für Wort, dieselbe Infrastruktur ist, die man für seinen Export bräuchte. Ein Anbieter, der behauptet, den Zustand seiner Agenten nicht transparent machen zu können, sagt damit auch etwas über seine Fähigkeit, ihn zu schützen.
Was der Data Act sagt, und was nicht
Der regulatorische Teil ist interessanter, als ich erwartet hatte, als ich ihn zu studieren begann, denn der Data Act benutzt Kategorien, die dem Problem erstaunlich gut passen, obwohl er vor dem Problem geboren wurde.
Er spricht nicht nur von Daten: er spricht von Digital Assets. Er verpflichtet die Anbieter in den vorgesehenen Fällen anzugeben, welche Kategorien beim Wechsel mitgenommen werden können. Und für bestimmte Dienstklassen setzt er das Ziel der Functional Equivalence.
Die Frage lautet nicht, ob der Data Act das Gedächtnis der Agenten schon portabel macht: das wäre ein stärkerer juristischer Schluss, als Text und Praxis heute erlauben, und Texte zu verbiegen ist nicht mein Handwerk. Die interessante Frage ist eine andere.
Was wird Functional Equivalence bedeuten, wenn der Dienst nicht einfach eine Funktion ausführt, sondern Erfahrung ansammelt?
Wenn ich einen agentischen Dienst drei Jahre lang nutze und dann ersetze, welche Elemente gehören zu meinen exportierbaren Daten und meinen Digital Assets? Die vom Nutzer ausdrücklich angelegten Erinnerungen, die Anweisungen, die ich selbst geschrieben habe, wirken wie ein einfacher Fall. Weit weniger einfach ist der Zustand aus automatischen Zusammenfassungen, Rankings und proprietären Inferenzen. Und hier enthält die Verordnung eine Grenze, die umkämpft werden wird: Informationen zum inneren Funktionieren des Anbieters und zu seinen Geschäftsgeheimnissen bleiben geschützt. Ein wesentlicher Teil des Wertes des Gedächtnisses könnte genau in der proprietären Art liegen, in der der Anbieter es konsolidiert.
Der Einwand des Anbieters
An dieser Stelle muss ein ehrlicher Essay dem Anbieter das Wort geben, denn sein Einwand ist legitim, und ihn abzutun wäre als Analyse verkleidete Interessenvertretung.
Wenn ein Unternehmen eine bessere Methode für den Aufbau von Langzeitgedächtnis entwickelt, warum sollte es dem Konkurrenten das Ergebnis seines technologischen Vorsprungs ausliefern? Interoperabilität kann nicht bedeuten, dass jede Innovation im Moment ihrer Geburt standardisiert wird: das wäre der schnellste Weg, die Forschung in einem Feld anzuhalten, das noch viel davon braucht.
Die Antwort ist nicht „weil die Souveränität vorgeht“. Parolen überleben den Kontakt mit Verträgen nicht.
Die Antwort ist, den Algorithmus vom organisatorischen Ergebnis zu unterscheiden. Es braucht keinen Export des Motors, mit dem der Anbieter das Gedächtnis baut. Vernünftig ist dagegen die Forderung, dass die Organisation eine hinreichend vollständige Darstellung des Zustands kennen und übertragen kann, den dieser Motor aus ihrer Aktivität, ihren Dokumenten, ihren Korrekturen gebaut hat.
Es ist dieselbe Unterscheidung, die wir, ohne es zu merken, zwischen einer Datenbank und dem DBMS treffen. Man braucht den Quellcode von PostgreSQL nicht, um eine Tabelle zu exportieren. Wie der Motor die Seiten auf der Platte anordnet, ist seine Sache; meine Zeilen sind meine.
Das Gebiet, das sich hier öffnet, hat noch kein Vokabular: Formate für Agentengedächtnisse, Herkunft der Inferenzen, Unterscheidung zwischen vom Nutzer erklärtem und abgeleitetem Gedächtnis, Konfidenzniveaus, Mechanismen, um einen Kontext bei einem anderen Anbieter wiederaufzubauen. Ich werde keinen Standard vorschlagen, weil es verfrüht wäre und weil verfrühte Standards mehr Schaden anrichten als Monopole.
Ich schlage ein Kriterium vor.
Die Fragen, die jetzt zu stellen sind
Während Vokabular und Standards reifen, lässt sich sofort etwas tun, nämlich die Fragen erneuern, die man einem Anbieter vor der Unterschrift stellt. Ich erkenne sie, weil es die Fragen sind, die ich selbst zu stellen begonnen habe.
Sammelt der Dienst Zustand über die Sitzung hinaus an? Es klingt banal, aber viele Verträge erlauben nicht einmal, diese zu beantworten. Wenn ja, welcher Teil ist für den Kunden einsehbar, in welcher Form, mit welcher Granularität? Welcher Teil ist exportierbar, und in einem dokumentierten Format oder einem opaken Dump? Wird der aus der Aktivität des Kunden abgeleitete Zustand genutzt, um den Dienst für andere zu verbessern, oder bleibt er getrennt? Und am Ende der Beziehung, was geschieht: zertifizierte Löschung, Rückgabe, oder vertragliches Schweigen?
Die letzte Frage ist die aufschlussreichste, und es lohnt sich, sie schriftlich zu stellen: wenn wir in drei Jahren gehen wollen, was nehmen wir mit außer den Daten, die wir euch gegeben haben?
Ein seriöser Anbieter wird heute unvollständig antworten, denn das Problem ist für alle neu. Aber es ist ein enormer Unterschied, ob jemand unvollständig antwortet oder die Frage in diesem Moment entdeckt. Die Qualität des Zögerns ist in diesen Gesprächen ein technisches Datum.
Der Ausstiegstest
Das Maß der Souveränität eines agentischen Systems sollte nicht nur sein, wo es läuft, und auch nicht nur, wo es die Daten aufbewahrt.
Es sollte die Antwort auf eine einzige Frage sein: wenn ich morgen den Anbieter ersetze, wie viel organisatorische Fähigkeit verliere ich?
Ich habe vor wenigen Tagen, zum Digital Markets Act, geschrieben, dass der wahre politische Gehalt der Portabilität der Preis des Ausstiegs ist. Die Agenten fügen diesem Preis einen neuen Posten hinzu, den keine Preisliste ausweist: die Kosten der organisatorischen Nachschulung, die Wochen, in denen das neue System die Fehler wiederholt, die das alte nicht mehr machte, die neu zu erklärenden Ausnahmen, das wiederaufzubauende Vertrauen.
Dieser Test stutzt auch eine gewisse Rhetorik der Sovereignty Infrastructure zurecht. Europäische Rechenzentren zu besitzen ist wichtig. Europäische Modelle zu haben kann es ebenso sein. Aber keine Infrastruktur ist wirklich souverän, wenn die angesammelte Fähigkeit, sie zu nutzen, implizit einem anderen System gehört. Die Kommission definiert Technologiesouveränität heute als Fähigkeit, Technologien, Daten und Infrastrukturen zu entwickeln und zu kontrollieren und dabei strategische Abhängigkeiten zu verringern. Drei richtige Dimensionen. Das agentische Jahrzehnt fügt eine vierte hinzu, die kein institutioneller Slogan werden muss, um ernst genommen zu werden: die Kontrolle über den Kontext.
Und es ist eine natürliche Fortsetzung, kein Bruch, der europäischen Idee von Offenheit ohne Autarkie. Souveränität verlangt nicht, alles zu besitzen. Sie verlangt, dass die Kosten des Ausstiegs nicht zu einer Form der Unterordnung werden.
Was den Fall der KI von allen Präzedenzfällen unterscheidet, ist die Natur dieser Kosten. Es ist keine Vertragsstrafe, keine Gebühr, nicht einmal jener berühmte Datenmigrationsaufwand, den der Data Act Stück für Stück abbaut.
Es ist Amnesie.
Wem die Kultur gehört
Das nächste digitale Monopol wird unsere Daten vielleicht nicht festhalten. Es wird sie uns vielleicht alle mitnehmen lassen, bis zum letzten Byte und mit einem Lächeln, wissend, dass das, was wirklich zählt, das ist, was das System daraus zu machen gelernt hat.
Ich möchte fern der Verordnungen schließen, denn der Grund dieser Geschichte ist nicht regulatorisch.
Jede Organisation besitzt eine enorme Menge Wissen, das nicht mit den Dokumenten zusammenfällt, die sie erzeugt. Es besteht aus abgelagerten Deutungen, aus langsam verstandenen Ausnahmen, aus den Gründen, warum bestimmte Entscheidungen so und nicht anders getroffen werden, auch wenn niemand mehr recht erklären kann, warum. Jahrhundertelang haben wir das Organisationskultur genannt und sie für untrennbar von den Menschen gehalten, die sie verkörpern.
Die KI beginnt, einen Teil davon rechnerisch zu machen. Deutungen verdichten sich zu Gedächtnis, Ausnahmen werden Verhaltensregeln, Korrekturen sammeln sich zu einem Zustand, der künftige Entscheidungen lenkt. Etwas, das immer allen und niemandem gehörte, verstreut über Köpfe und Flure, nimmt zum ersten Mal eine technische Form an: einsehbar, übertragbar, und darum besitzbar.
Und genau in dem Moment, in dem die Kultur rechnerisch wird, hört die Frage auf, technisch zu sein.
Das Unternehmen der ersten Szene hatte den Vertrag gut gelesen. Es hatte die Bytes gezählt. Ihm fehlte eine einzige Zeile, jene, die noch kein Vertrag enthält: am Ende der Beziehung wird das, was das System von uns gelernt hat, wieder unseres.
Solange diese Zeile nicht existiert, wird jede gelungene Migration jenem perfekten Umzug ähneln, bei dem alle Kartons ankommen und das neue Haus nichts von uns weiß.
Was du mitnimmst
Der Data Act ist eine klügere Antwort als seine Karikatur: anwendbar seit dem 12. September 2025, verlangt er den Abbau technischer und vertraglicher Hindernisse beim Wechsel zwischen Datenverarbeitungsdiensten, spricht von exportierbaren Daten und Digital Assets, führt die Functional Equivalence ein und verbietet ab dem 12. Januar 2027 Wechselentgelte. Das Paket zur Technologiesouveränität vom 3. Juni 2026 und die am 8. September endende Konsultation zur Data Sovereignty vervollständigen das Bild: Europa verlangt nicht, dass alles europäisch sei, es verlangt, dass die Abhängigkeit umkehrbar sei.
Während die Daten portabel werden, verändert sich das Objekt der Abhängigkeit. Zwischen den Dokumenten und den Entscheidungen eines Agenten bildet sich eine dauerhafte Schicht: die Zusammenfassungen, die er gebaut hat, die Konventionen, die er für verlässlich hält, die aus Tausenden menschlichen Korrekturen aufgenommenen Ausnahmen. Es ist nicht das Gesprächsprotokoll, und es ist keine Datenbank: es ist eine Transformation der Datenbank. Zwei Organisationen mit denselben Dokumenten können völlig verschiedene Agenten haben.
Microsoft beschreibt das Gedächtnis der Agenten als etwas, das Informationen nicht bloß aufbewahrt, sondern künftiges Verhalten verändert, und schrieb im Juni 2026, ein dauerhaftes Gedächtnis verschiebe das Threat Model: ein Angreifer kann allmählich verändern, was der Agent sich merken wird, und das prozedurale Gedächtnis, jenes, das entscheidet, welche Kontrollen übersprungen und welche Werkzeuge benutzt werden, ist der empfindlichste Teil von allen.
Das Paradox des Augenblicks: die agentische Infrastruktur wird interoperabel, mit MCP, AGENTS.md und A2A unter offener Governance und 247 Organisationen in der Agentic AI Foundation, genau während die Schicht wächst, die kein Standard abdeckt. Man kann den Körper des Agenten perfekt standardisieren und sein Gedächtnis proprietär lassen: ein Ökosystem, in dem der Modellwechsel technisch trivial und organisatorisch ruinös ist. Es ist ein Lock-in, der dich nicht am Gehen hindert. Er macht dich dumm, wenn du gehst.
Die Delegation beschleunigt sich und mit ihr der Wert des angesammelten Kontexts: in den von OpenAI am 12. August veröffentlichten Daten machte der agentische Verkehr über Codex im Juni 2026 64 % der gemeinsamen Enterprise-Ausgabetokens von Codex und ChatGPT aus, und die Zahl der wöchentlich aktiven Nutzer außerhalb des Engineering wuchs seit Februar um das 108-Fache im Rechtsbereich und das 41-Fache im Recruiting. Je mehr Arbeit wir delegieren, desto mehr ist das, was das System gelernt hat, so viel wert wie die Dokumente, aus denen es gelernt hat.
Die Verteidigung besteht nicht darin, den Export des Agentenkopfes zu verlangen, sondern zu verringern, was nur dort drinnen existiert: organisatorisches Wissen aus dem impliziten Verhalten in explizite, versionierbare Artefakte zu verlagern. CLAUDE.md, AGENTS.md, ADRs und Spezifikationen hören auf, bloß Mittel für bessere Antworten zu sein: sie werden Instrumente zur Verringerung des kognitiven Lock-ins. Was für das Verhalten des Agenten wichtig ist, sollte, wo möglich, außerhalb des Agenten existieren.
Das Maß der Souveränität eines agentischen Systems ist weder, wo es läuft, noch, wo es die Daten speichert, sondern die Antwort auf einen Ausstiegstest: wenn ich morgen den Anbieter ersetze, wie viel organisatorische Fähigkeit verliere ich? Keine Infrastruktur ist wirklich souverän, wenn die angesammelte Fähigkeit, sie zu nutzen, implizit einem anderen System gehört. Die Kosten des Ausstiegs könnten in der KI nicht ökonomisch sein: sie könnten Amnesie sein.
Fragen & Antworten
Löst der Data Act das Portabilitätsproblem nicht bereits?
Er löst das Problem, für das er geschrieben wurde, und eleganter, als gemeinhin erzählt wird. Für Datenverarbeitungsdienste in seinem Anwendungsbereich verlangt er den Abbau technischer und vertraglicher Wechselhindernisse, sieht den Export von Daten und Digital Assets vor, führt für bestimmte Dienstklassen das Ziel der Functional Equivalence ein und schafft ab dem 12. Januar 2027 die Wechselentgelte ab. Die offene Frage ist eine andere: was wird Functional Equivalence bedeuten, wenn der Dienst nicht einfach eine Funktion ausführt, sondern Erfahrung ansammelt? Vom Nutzer ausdrücklich angelegte Erinnerungen wirken wie ein einfacher Fall. Ein Zustand aus automatischen Zusammenfassungen, Rankings und proprietären Inferenzen ist es weit weniger, zumal die Verordnung Informationen zum inneren Funktionieren des Anbieters und zu seinen Geschäftsgeheimnissen schützt, und genau dort kann ein Teil des Wertes sitzen.
Was ist der „kognitive Zustand“ eines Agenten, konkret?
Er ist nicht der Gesprächsverlauf. Er ist das, was das System bei der Arbeit konsolidiert hat: die aus vergangenen Interaktionen gebauten Zusammenfassungen, die Konventionen, die es für verlässlich hält, die abgeleiteten Beziehungen zwischen Entitäten, die erhaltenen und aufgenommenen Korrekturen, die organisatorischen Anweisungen und die Regeln, die bestimmen, welche Werkzeuge unter welchen Umständen benutzt werden. Microsoft beschreibt dieses Gedächtnis als etwas, das Informationen nicht bloß aufbewahrt, sondern das künftige Verhalten des Agenten verändert, einschließlich seiner Werkzeugaufrufe. Die am wenigsten anthropomorphe Formulierung ist auch die nützlichste: zwischen den ursprünglichen Dokumenten und den Entscheidungen des Agenten liegt inzwischen eine dauerhafte Schicht von Transformationen, und diese Schicht kann wirtschaftlich so viel wert sein wie die Dokumente.
Warum reichen offene Standards wie MCP und A2A nicht?
Weil sie den Körper des Agenten standardisieren, nicht seinen Zustand. MCP beschreibt, wie ein Agent auf seine Werkzeuge zugreift, A2A lässt Agenten verschiedener Anbieter miteinander sprechen, AGENTS.md macht einige Projektanweisungen portabel. Das sind echte Fortschritte, und dass MCP und AGENTS.md unter der Governance der Agentic AI Foundation der Linux Foundation stehen, die im August 2026 247 Organisationen zählt, zeigt, dass agentische Interoperabilität zur Infrastruktur wird. Aber keiner dieser Mechanismen garantiert, dass der neue Agent den operativen Zustand des vorherigen besitzt. Möglich ist ein scheinbar interoperables Ökosystem, in dem der Modellwechsel technisch trivial und organisatorisch ruinös ist.
Hat der Anbieter nicht recht, seine Gedächtnismethode zu schützen?
Er hat einen legitimen Einwand, und der verdient es, ernst genommen zu werden: entwickelt ein Unternehmen eine bessere Methode für Langzeitgedächtnis, hieße die Pflicht zu ihrer Herausgabe, jede Innovation im Moment ihrer Geburt zu standardisieren. Die nützliche Unterscheidung verläuft zwischen dem Algorithmus und dem organisatorischen Ergebnis. Es braucht keinen Export des Motors, mit dem der Anbieter das Gedächtnis konsolidiert; vernünftig ist dagegen die Forderung, dass die Organisation eine hinreichend vollständige Darstellung des Zustands kennen und übertragen kann, den dieser Motor aus ihrer Aktivität gebaut hat. Es ist dieselbe Unterscheidung wie zwischen einer Datenbank und dem DBMS: man braucht den Quellcode von PostgreSQL nicht, um eine Tabelle zu exportieren.
Was kann eine Organisation heute konkret tun?
Auf Agenten dieselbe Strategie anwenden wie auf Menschen: keinen Dump des Kopfes dessen verlangen, der geht, sondern die Menge kritischen Wissens verringern, das nur in diesem Kopf existiert. Praktisch heißt das, organisatorisches Wissen aus dem impliziten Verhalten des Agenten in explizite, versionierbare Artefakte zu verlagern: Anweisungsdateien wie CLAUDE.md und AGENTS.md, Architecture Decision Records, formale Spezifikationen, Dokumentation, welche die Ausnahmen festhält, statt sie dem Gedächtnis des Systems zu überlassen. Und es heißt, dem Anbieter eine Frage zu stellen, die heute fast kein Vertrag vorsieht: welche Teile des vom Dienst angesammelten Zustands sind einsehbar und exportierbar, in welchem Format, und was bleibt davon, wenn der Vertrag endet?
Der Autor
