Schweizer LLM-Modelle: Apertus, Einsatz und Datenschutz

Das bekannteste Schweizer LLM ist Apertus. Entwickelt haben es die EPFL, die ETH Zürich und das Schweizerische Supercomputing-Zentrum CSCS, veröffentlicht wurde es am 2. September 2025. Apertus ist vollständig offen: Architektur, Modellgewichte, Trainingsdaten und Trainingsmethoden sind zugänglich. Im Juli 2026 erschien Version 1.5. Für Unternehmen zählt allerdings noch eine zweite Frage. Ein Modell aus der Schweiz heisst nicht, dass die Daten in der Schweiz verarbeitet werden. Darüber entscheidet, wo und von wem das Modell betrieben wird. Dieser Leitfaden erklärt das Modell, die Lizenz, die Betriebswege, die Grenzen und die Datenschutzfrage.

Kurz gesagt

• Apertus ist das zentrale Schweizer Sprachmodell. Es stammt aus der Swiss AI Initiative von EPFL, ETH Zürich und CSCS und ist seit dem 2. September 2025 öffentlich verfügbar.
• Offen heisst hier wirklich offen: Gewichte, Architektur, Trainingsdaten und -methoden sind publiziert, Dokumentation und Trainingscode stehen unter einer permissiven Open-Source-Lizenz.
• Mehrsprachig: Das Modell wurde auf 15 Billionen Tokens aus über 1000 Sprachen trainiert, darunter Schweizerdeutsch und Rätoromanisch.
• Version 1.5 (Juli 2026) versteht auch Bilder und Audio, argumentiert besser und bringt kompakte Varianten namens Apertus Mini mit.
• Herkunft ist nicht gleich Datenresidenz: Ob Daten in der Schweiz bleiben, hängt vom Hosting ab, nicht vom Entwicklungsort des Modells.

Inhaltsverzeichnis

• Was ein Schweizer LLM ausmacht
• Apertus im Überblick
• Von Apertus 1.0 zu Apertus 1.5
• Was «vollständig offen» konkret bedeutet
• Sprachen und Leistung
• Einsatz in der Praxis: das Beispiel Tessin
• Apertus selbst betreiben: Vorgehen und Voraussetzungen
• Schweizer Modell heisst nicht Schweizer Datenverarbeitung
• Grenzen und offene Fragen
• Unsere Perspektive
• Souveräne KI ohne eigenen Modellbetrieb
• Checkliste: Schweizer KI-Lösung auswählen
• Häufige Fragen
• Quellen

Was ein Schweizer LLM ausmacht

Unter einem «Schweizer LLM» werden im Sprachgebrauch drei verschiedene Dinge zusammengefasst. Sie sollten getrennt betrachtet werden:

1. Modellherkunft: Wer hat das Modell entwickelt und trainiert? Bei Apertus sind das Schweizer Hochschulen und ein Schweizer Rechenzentrum.
2. Betriebsort: Auf welchen Servern läuft das Modell, wenn eine Anfrage verarbeitet wird? Das legt der jeweilige Anbieter oder das eigene IT-Team fest.
3. Rechtsrahmen des Betreibers: Welchem Recht unterliegt die Organisation, die das Modell betreibt und die Daten verarbeitet?

Ein Modell kann in der Schweiz entwickelt sein und trotzdem in einem Rechenzentrum in Virginia oder Frankfurt laufen. Umgekehrt kann ein im Ausland entwickeltes offenes Modell auf Schweizer Servern betrieben werden. Für die Compliance-Bewertung zählen vor allem Punkt 2 und Punkt 3.

Apertus im Überblick

Laut der Medienmitteilung der ETH Zürich zu Apertus ist Apertus als Basistechnologie gedacht, auf der andere aufbauen können. Es ist also kein fertiges Endkundenprodukt wie ein Chat-Abonnement. Vorgesehen ist es als Grundlage für Chatbots, Übersetzungssysteme und digitale Lernwerkzeuge.

Von Apertus 1.0 zu Apertus 1.5

Die Entwicklung lässt sich in zwei Schritten zusammenfassen:

• September 2025: Apertus 1.0. Erste öffentliche Version, ein reines Textmodell mit Schwerpunkt auf Mehrsprachigkeit und Transparenz. Begleitend erschien ein technischer Bericht auf arXiv, der Trainingsprozess und Datenbasis dokumentiert.
• Juli 2026: Apertus 1.5. Nach Angaben des ETH AI Center zu Apertus 1.5 kann diese Version auch Bilder und Audio verstehen und besser argumentieren. Neu ist zudem die Modellreihe Apertus Mini für Umgebungen mit begrenzten Ressourcen.

Für die Praxis ist Apertus Mini besonders relevant. Kompakte Modelle brauchen weniger Rechenleistung und lassen sich eher auf eigener Hardware oder in kleineren Rechenzentren betreiben. Damit wird Selbstbetrieb auch für Organisationen ohne GPU-Cluster realistischer.

Was «vollständig offen» konkret bedeutet

Viele Modelle gelten als «offen», weil ihre Gewichte herunterladbar sind. Apertus geht weiter. Laut ETH Zürich sind folgende Bestandteile zugänglich:

• Architektur: der Aufbau des neuronalen Netzes.
• Modellgewichte: die trainierten Parameter, ohne die das Modell nicht läuft.
• Trainingsdaten: die Datenbasis, auf der gelernt wurde.
• Trainingsmethoden: Rezepte, Dokumentation und Quellcode des Trainingsprozesses, veröffentlicht unter einer permissiven Open-Source-Lizenz.

Darauf achten Compliance-Verantwortliche bei Open-Weight-Modellen: Wer nur Gewichte veröffentlicht, legt nicht offen, womit trainiert wurde. Bei Apertus lassen sich die Datenquellen nachvollziehen. Das erleichtert Prüfungen zu Urheberrecht, Datenherkunft und Verzerrungen.

Zur Datenbasis hält die ETH fest, dass maschinenlesbare Opt-out-Hinweise von Webseiten respektiert und personenbezogene Daten (PII) herausgefiltert wurden. Der arXiv-Bericht ergänzt, dass ausschliesslich öffentlich verfügbare Daten verwendet und Ausschlüsse der Rechteinhaber berücksichtigt wurden.

Hinweis für die Praxis: Eine permissive Lizenz erlaubt in der Regel die kommerzielle Nutzung. Vor einem produktiven Einsatz sollten Rechtsabteilung oder externe Rechtsberatung den genauen Lizenztext der verwendeten Modellversion prüfen, insbesondere bei Weiterverteilung oder Feinabstimmung für Kundenprodukte.

Sprachen und Leistung

Mehrsprachigkeit als Kernmerkmal

Apertus wurde auf 15 Billionen Tokens aus über 1000 Sprachen trainiert, 40 % der Daten sind nicht englischsprachig. Dazu gehören auch Schweizerdeutsch und Rätoromanisch, die in grossen kommerziellen Modellen oft schwach vertreten sind. Für Organisationen, die mit Deutsch, Französisch, Italienisch und Rätoromanisch arbeiten, ist das ein konkreter Vorteil.

Was die Benchmarks zeigen

Belastbare Leistungsangaben gibt es vor allem aus konkreten Projekten. Für ein Übersetzungsprojekt im Kanton Tessin wurden laut EPFL-Bericht zur Tessiner Übersetzungslösung folgende Werte im projektbezogenen Benchmark gemessen:

Das Ergebnis zeigt zweierlei. Der Abstand zwischen 8B und 70B ist in dieser Aufgabe gering. Und ein kleines, gezielt feinabgestimmtes Modell kann ein grosses Basismodell übertreffen. Für den eigenen Einsatz bedeutet das: Die Modellgrösse allein entscheidet nicht. Massgeblich sind Aufgabe, Datenlage und Feinabstimmung. Die Werte gelten für diese Übersetzungsaufgabe und lassen sich nicht auf beliebige Anwendungsfälle übertragen.

Einsatz in der Praxis: das Beispiel Tessin

Die Kantonsverwaltung Tessin führt ein internes Übersetzungssystem auf Basis von Apertus ein. Das System wird im eigenen Rechenzentrum des Kantons gehostet und vor Ort betrieben. Laut EPFL behält der Kanton damit die Souveränität über seine Übersetzungsprozesse.

Das Beispiel zeigt die Voraussetzungen für echte Datensouveränität:

• Offenes Modell: Die Gewichte sind verfügbar und können lokal installiert werden.
• Eigene Infrastruktur: Das Modell läuft auf Servern unter der Kontrolle der Organisation.
• Gezielte Anpassung: Feinabstimmung auf die Fachsprache der Verwaltung.
• Kein externer Datenfluss: Die Texte verlassen das Rechenzentrum nicht.

Fehlt einer dieser Punkte, etwa weil das Modell über eine ausländische Cloud-API angesprochen wird, ist die Souveränität eingeschränkt. Das gilt auch dann, wenn das Modell selbst aus der Schweiz stammt.

Apertus selbst betreiben: Vorgehen und Voraussetzungen

Für Privatpersonen und Unternehmen, auch in den USA, gibt es grundsätzlich drei Wege:

1. Lokal auf eigener Hardware: Die Gewichte herunterladen und mit einer gängigen Inferenz-Software betreiben. Die 8B-Variante und die Apertus-Mini-Modelle eignen sich für Workstations und kleinere Server, die 70B-Variante braucht deutlich mehr GPU-Speicher.
2. In der eigenen Cloud (BYOC): Das Modell läuft in einem Cloud-Konto der Organisation, in einer Region nach Wahl. Datenresidenz und Zugriffskontrolle bleiben in der eigenen Hand.
3. Über einen Dienst, der das Modell bereitstellt: Der schnellste Einstieg, aber Betriebsort und Datenverwendung bestimmt dann der Anbieter.

Vor dem Selbstbetrieb sind folgende Punkte zu klären:

• Hardware: GPU-Speicher passend zur Modellgrösse. Quantisierte Varianten senken den Bedarf, kosten aber etwas Genauigkeit.
• Betrieb: Updates, Monitoring, Zugriffsschutz und Protokollierung sind Aufgabe des eigenen Teams.
• Oberfläche: Ein Modell ist noch kein Arbeitsbereich. Chat, Dokumentenanalyse, Wissensdatenbanken und Rechteverwaltung müssen ergänzt werden.
• Lizenzprüfung: Den Lizenztext der konkreten Version prüfen und dokumentieren.
• Kosten: Für das Modell selbst fallen keine Lizenzgebühren an. Die Kosten entstehen durch Hardware oder Cloud-Ressourcen, Energie und Personalaufwand.

Schweizer Modell heisst nicht Schweizer Datenverarbeitung

Das ist der häufigste Denkfehler bei Schweizer LLM-Modellen. Die ETH Zürich hält fest, dass Apertus unter Berücksichtigung des Schweizer Datenschutzrechts, des Schweizer Urheberrechts und der Transparenzanforderungen der EU-KI-Verordnung entwickelt wurde. Das betrifft das Training des Modells. Für Ihre Eingaben sagt es nichts aus: Prompts, Dokumente und Gesprächsprotokolle, die im laufenden Betrieb verarbeitet werden.

Für eine belastbare Bewertung sind bei jedem Anbieter fünf Fragen zu klären:

• Wo stehen die Server, auf denen Inferenz und Speicherung stattfinden?
• Wer betreibt sie, und welchem Recht unterliegt dieser Betreiber?
• Werden Eingaben zum Training von Modellen verwendet?
• Gibt es Audit-Trails, die Zugriffe und Verarbeitungen nachvollziehbar machen?
• Wird ein Auftragsverarbeitungsvertrag (AVV/DPA) angeboten?

Für Schweizer Organisationen mit Personendaten, etwa in Treuhand, Recht, Gesundheitswesen oder HR, sind diese Fragen im Rahmen des nDSG zu beantworten. Bei Berufsgeheimnissen sollte die Bewertung mit der Datenschutzberatung oder dem zuständigen Berufsverband abgestimmt werden. US-Teams, die mit Schweizer Kundendaten arbeiten, stehen vor derselben Frage: Entscheidend ist, wo die Daten tatsächlich verarbeitet werden.

Grenzen und offene Fragen

Apertus ist ein wichtiger Schritt, aber kein Ersatz für eine vollständige Unternehmenslösung:

• Basismodell statt Produkt: Apertus ist als Grundlage gedacht. Benutzerverwaltung, Dokumentenverarbeitung und Compliance-Funktionen fehlen.
• Leistung je nach Aufgabe: Belegt ist die Leistung vor allem für einzelne Anwendungen wie die Tessiner Übersetzung. Für andere Aufgaben sind eigene Tests nötig.
• Betriebsaufwand: Selbstbetrieb verlagert Verantwortung für Sicherheit, Verfügbarkeit und Updates ins eigene Haus.
• Datenbasis aus öffentlichen Quellen: Das stärkt Transparenz und Rechtskonformität, schränkt aber Fachwissen ein, das nur in proprietären Quellen existiert. Eigene Wissensdatenbanken gleichen das aus.
• Schnelle Versionszyklen: Zwischen Version 1.0 und 1.5 lagen rund zehn Monate. Wer produktiv einsetzt, braucht einen Prozess für Modellwechsel und Re-Validierung.

Unsere Perspektive

Wir sehen in Apertus einen wertvollen Beitrag zur digitalen Souveränität der Schweiz. Ein vollständig offenes Modell mit nachvollziehbarer Datenbasis setzt einen Massstab für Transparenz, an dem sich die Branche messen lassen muss.

In Gesprächen mit Treuhändern, Kanzleien und HR-Abteilungen stellen wir aber immer wieder fest: Die Modellfrage wird überschätzt, die Betriebsfrage unterschätzt. Für die Einhaltung des nDSG ist nicht entscheidend, wo ein Modell trainiert wurde. Entscheidend ist, wo ein Mandantendossier verarbeitet wird, wer darauf zugreifen kann und ob sich das später belegen lässt.

Deshalb betreiben wir unsere KI-Modelle lokal auf Schweizer Servern. Eingaben werden nicht zum Training verwendet, und es gibt keine Datenflüsse zu ausländischen KI-Anbietern. Audit-Trails und Zugriffssteuerung sind für uns Grundausstattung, kein Zusatz. Ein offenes Schweizer Modell ist ein guter Anfang. Souverän wird KI erst durch einen souveränen Betrieb.

— Adopt

Souveräne KI ohne eigenen Modellbetrieb

Wer die Vorteile eines Schweizer KI-Ansatzes nutzen will, ohne Hardware, Updates und Sicherheit selbst zu verantworten, kann auf einen fertigen Arbeitsbereich setzen. Der souveräne KI-Arbeitsbereich von Nectos verarbeitet und speichert alle Daten ausschliesslich in der Schweiz, gemäss nDSG und DSGVO. Er umfasst privaten KI-Chat, Dokumentenanalyse, persönliche und geteilte Wissensdatenbanken, Meeting-Transkription, Prompt-Anonymisierung, Audit-Trails sowie Admin- und Zugriffssteuerung.

Die Abonnements im Überblick: Starter für CHF 29.90, Pro für CHF 49.90 und Pro+ für CHF 99.90, jeweils pro Monat und Platz. Ein Testzugang ist verfügbar. Organisationen, die KI in der eigenen Infrastruktur betreiben wollen, finden beim BYOC- und On-Premise-Deployment einen begleiteten Weg, Support ab CHF 490 pro Monat. Für erhöhte Anforderungen gibt es das Sicherheits- und Compliance-Paket. Einen direkten Vergleich mit US-Chatdiensten bietet die Seite Nectos im Vergleich zu ChatGPT.

Checkliste: Schweizer KI-Lösung auswählen

Vor der Entscheidung für ein Schweizer LLM oder einen Schweizer KI-Dienst sollten diese Punkte geprüft werden:

• Datenresidenz: Inferenz und Speicherung nachweislich in der Schweiz. Details zur Schweizer Datensouveränität nach nDSG.
• Keine Trainingsnutzung: Eingaben und Dokumente werden vertraglich nicht zum Modelltraining verwendet.
• Transparenz: Modellherkunft, Betreiber und Subunternehmer offengelegt.
• Nachvollziehbarkeit: Audit-Trails für Zugriffe und Verarbeitungen.
• Verträge: Auftragsverarbeitungsvertrag verfügbar.
• Sicherheit: Verschlüsselung bei Übertragung und Speicherung, dokumentierte Sicherheitsmassnahmen, siehe Sicherheitsstandards von Nectos.
• Funktionsumfang: Dokumentenanalyse, Wissensdatenbanken und Rechteverwaltung statt reinem Chat, siehe Funktionen im Detail.
• Betriebsmodell: SaaS, eigene Cloud oder On-Premise, passend zu Risiko und IT-Kapazität.

Häufige Fragen

Gibt es neben Apertus weitere Schweizer LLM-Modelle?

Apertus ist das zentrale grosse Sprachmodell aus der Schweiz, das öffentlich und vollständig offen verfügbar ist. Daneben gibt es Schweizer Dienste, die Modelle verschiedener Herkunft auf Schweizer Servern betreiben. Für die Datenresidenz ist dieser Betriebsort wichtiger als die Herkunft des Modells.

Ist Apertus kostenlos?

Die Modellgewichte und der Trainingscode sind frei zugänglich, Dokumentation und Code stehen unter einer permissiven Open-Source-Lizenz. Kosten entstehen durch den Betrieb: Hardware oder Cloud-Ressourcen, Energie und technischer Aufwand. Vor der kommerziellen Nutzung ist der Lizenztext der eingesetzten Version zu prüfen.

Kann Apertus in den USA genutzt werden?

Ja, die Gewichte sind öffentlich und können weltweit heruntergeladen und betrieben werden. Läuft das Modell auf US-Servern, werden die Daten jedoch in den USA verarbeitet. Wer Schweizer Datenresidenz benötigt, braucht einen Betrieb auf Schweizer Infrastruktur.

Versteht Apertus Schweizerdeutsch?

Schweizerdeutsch und Rätoromanisch sind Teil der Trainingsdaten, die über 1000 Sprachen umfassen. Die Qualität hängt von Aufgabe und Dialekt ab. Für produktive Anwendungen sind eigene Tests mit realen Texten zu empfehlen.

Erfüllt ein Schweizer Modell automatisch das nDSG?

Nein. Apertus wurde unter Berücksichtigung des Schweizer Datenschutzrechts trainiert, doch das betrifft nur die Entwicklung des Modells. Ob die Verarbeitung Ihrer Daten dem nDSG entspricht, hängt von Betreiber, Serverstandort, Verträgen und technischen Massnahmen ab.

Quellen

• ETH Zürich: Apertus, ein vollständig offenes, transparentes und mehrsprachiges Sprachmodell
• ETH AI Center: Apertus 1.5, Building the next generation of open AI infrastructure
• EPFL: Apertus powers in-house AI translation for Ticino
• arXiv 2509.14233: Apertus, Democratizing Open and Compliant LLMs

Empfehlungen

• Funktionen - Private KI & Wissensbasen
• Sicherheits- & Compliance-Paket