KI findet Lücken schneller, als Organisationen sie schliessen

Was passiert ist

28 Prozent der Schweizer Arbeitnehmenden nutzen generative KI täglich, mehr als im weltweiten Durchschnitt (22 Prozent). Nur 10 Prozent sehen aber eine klare Verbesserung ihrer Arbeitsqualität, so die Studie «Hopes and Fears 2026» von PwC mit 1000 Befragten in der Schweiz. In der Swiss IT Study 2026 setzen erst 7,1 Prozent der Unternehmen KI skaliert ein; als grösste Hürden nennt die KI-Marktstudie von MSM Research fehlende Fachleute (fast sechs von zehn Unternehmen), Datenschutz und Compliance (47 Prozent) sowie hohe Kosten im Dauerbetrieb (43 Prozent).

Was passiert ist

Zwei kritische Lücken in PHP, der Programmiersprache hinter Millionen von Websites, erlaubten es, Webserver ohne Anmeldung zu übernehmen. Gefunden haben sie zwei Teams mit KI, eines in einer von OpenAI finanzierten Prüfung; gemeldet im August, wurden sie rund zwei Monate im Verborgenen behoben, obwohl das PHP-Team erste Hinweise schon 2024 hatte und selbst von einem «strukturellen Versagen» spricht. Nach einem Leck kam das Update am 21. Oktober einen Tag früher, einen ersten Angriffsversuch hatte Amazon da schon vier Tage zuvor registriert. Die Kantone Basel-Stadt und Neuenburg, die Universität Genf und die EPFL nahmen Websites vorsorglich vom Netz; am 22. Oktober waren noch gut 23'000 Server mit Schweizer Bezug verwundbar, erfolgreiche Angriffe in der Schweiz aber bis dahin keine bekannt.

Was passiert ist

Ab November 2026 müssen Finanzinstitute bei der Online-Identifizierung mit einer Liveness Detection sicherstellen, dass eine lebendige Person das Verfahren durchläuft. Sie soll verhindern, dass Betrüger die Kontoeröffnung mit Fotos, Videos oder Deepfakes austricksen; die FINMA begründet die Teilrevision ihres Rundschreibens «Video- und Online-Identifizierung» ausdrücklich mit den steigenden Risiken durch künstliche Intelligenz. Zugleich lässt sie die E-ID für die digitale Eröffnung von Kundenbeziehungen zu.

Was passiert ist

79 Prozent von 1600 befragten Führungskräften weltweit stellen KI-Anwendungen oder KI-Agenten fest, die Mitarbeitende ohne Wissen der IT eingeführt haben, so der Nutanix Enterprise Cloud Index 2026; 87 Prozent sehen darin ein Risiko, etwa für sensible Kundendaten. Wie es dazu kommt, beschreibt ein IT-Dienstleister am Beispiel von Buchhaltungsfirmen in den USA: Ist das Kontingent des erlaubten Werkzeugs unter Termindruck aufgebraucht, laden Mitarbeitende Kundenunterlagen in einen kostenlosen Chatdienst. Eine Auswertung von Risikomonitor deutet auf die Folgen hin: Bei 80,2 Prozent von 131 Schweizer Opfern von Erpressungsangriffen tauchten Firmenadressen in Datenlecks auf, bei den untersuchten Schweizer Firmen-Websites insgesamt bei 16,3 Prozent. Als mögliche Erklärung nennt das Unternehmen Online-Dienste, bei denen sich Mitarbeitende ohne Freigabe der IT mit der Geschäftsadresse registrieren; einen Beweis für die Ursache liefert die Studie ausdrücklich nicht.

Was passiert ist

Der Bündner Softwareanbieter Quaryan hat 276 Betriebe aus sechs Schweizer Städten bei ChatGPT, Claude, Gemini und Perplexity geprüft: 41 Prozent kamen in keiner einzigen Antwort vor, nur 12 Prozent bei allen vier. Mehr als die Hälfte der Antworten nannte kein Geschäft der Branche vor Ort, sondern Ketten und grosse Marken. Eine Messung der Agentur Frascati zeigt dasselbe Muster: Ein einzelner unabhängiger Optiker erscheint im Schnitt nur in 42,9 Prozent der Antworten zu seiner Stadt.

Was passiert ist

Der Bundesrat hat am 2. Oktober fünf vorrangige Bereiche für Automatisierung und KI in der Bundesverwaltung festgelegt, darunter das Datenmanagement: «verlässliche Daten für verlässliche Automatisierung». Wie weit der Weg ist, zeigt die Eidgenössische Finanzkontrolle: Nur zwei der sieben Departemente, UVEK und VBS, haben eine formalisierte Datengouvernanz mit einer Datenstrategie in Umsetzung, obwohl der Bundesrat das Zielbild 2021 beschlossen hat. Bei Microsoft 365 rügt sie die Datensicherung, deren Verwaltungskonsole in den USA liegt.

Was passiert ist

Der Bund hat die Swiss Government Cloud ausgeschrieben, mit bis zu 7 Milliarden Franken über 14 Jahre. Die Digitale Gesellschaft befürchtet, dass die Zuschläge erneut vor allem an US-Konzerne gehen. In einer Umfrage der Hochschule Luzern und von ti&m halten 73 Prozent von 200 Organisationen digitale Souveränität für wichtig, einen Ausstiegsplan für zumindest einige kritische Dienste haben nur 32 Prozent. Wie schwer der Schritt bei KI fällt, zeigt das Parlament: Seine neue KI-Assistentin Pia bietet zwei Modelle aus China, eines aus den USA und eines aus Frankreich an, das Schweizer Sprachmodell Apertus aber nicht, weil es eher etwas dazuerfindet. Selbst Swisscom, Partnerin des Projekts von Anfang an, verkauft ihrer Kundschaft lieber Zugang zu amerikanischen Modellen.