Apertus: Was «Schweizer KI» in der Frage wirklich meint

Die Frage kommt in jedem zweiten Firmenkurs, meist in der Pause: «Gibt es das nicht auch von einem Schweizer Anbieter?» Seit Ende Juli hat sie eine neue Wendung bekommen, weil die Antwort jetzt scheinbar auf der Hand liegt. Am 24. Juli 2026 haben ETH Zürich, EPFL und das CSCS Apertus 1.5 veröffentlicht.

Nur meinen die Fragenden meistens nicht das, was sie sagen. Wer nach einer Schweizer Lösung fragt, will fast nie wissen, wer das Modell trainiert hat. Er will wissen, wo seine Offerte landet, wenn er sie hineinkopiert. Das sind zwei verschiedene Fragen, und Apertus beantwortet nur die erste.

Was Apertus 1.5 tatsächlich ist

Apertus ist ein Sprachmodell aus der Swiss AI Initiative, trainiert auf dem Alps-Supercomputer des CSCS in Lugano. Version 1.5 gibt es in zwei Grössen, 8B und 70B Parameter. Neu gegenüber der ersten Fassung vom September 2025: Das Modell versteht zusätzlich Bilder und Audio, es hat einen Denkmodus, und das Kontextfenster ist auf 262 144 Token gewachsen — das Vierfache. Dazu kam eine Reihe kompakter Modelle namens Apertus Mini, destilliert aus dem 8B-Modell für Geräte mit wenig Speicher.

Der Unterschied zu Llama, Mistral oder Qwen liegt nicht in der Grösse. Er liegt darin, was mitveröffentlicht wird: nicht nur die Gewichte, sondern auch die Datenpipeline und die Trainingsrezepte. Man kann nachvollziehen, woraus das Modell gebaut wurde. Bei den meisten sogenannten Open-Weight-Modellen kann man das nicht — dort bekommt man das Ergebnis, nicht den Weg dorthin.

Das ist der eigentliche Beitrag, und er ist erheblich. Nur ist er ein wissenschaftlicher, kein datenschutzrechtlicher.

Die Verwechslung, um die es geht

Ein offenes Modell ist eine Datei. Sie liegt auf keinem Server, sie verarbeitet nichts, sie hat keinen Standort. Erst wenn jemand sie betreibt, entsteht der Ort, an dem Daten verarbeitet werden — und dieser Ort ist eine völlig eigene Entscheidung.

Man kann Apertus bei Swisscom auf der Swiss AI Platform beziehen, bei Infomaniak als Pay-per-Token-API, bei Phoenix Technologies als Model-as-a-Service oder über den Inferenzdienst des CSCS. Alle vier verarbeiten in der Schweiz. Man kann dasselbe Modell aber ebenso gut auf AWS SageMaker oder in Azure betreiben — die Anbieterseite von Apertus führt beide auf. Dann läuft ein Schweizer Modell auf amerikanischer Infrastruktur, und man hat exakt die Ausgangslage, der man entkommen wollte.

Umgekehrt gilt dasselbe: Wer Claude oder GPT über einen Vertrag mit Auftragsverarbeitung und europäischer Verarbeitung nutzt, hat unter Umständen die datenschutzrechtlich sauberere Konstruktion als jemand, der Apertus schlecht konfiguriert selbst hostet.

Die Frage lautet also nicht «Schweizer Modell oder amerikanisches?», sondern: Wer verarbeitet meine Daten, unter welchem Recht, mit welchem Vertrag? Das Modell steht in dieser Kette an vorletzter Stelle.

Was ein Schweizer Modell zusätzlich bringt, ist trotzdem nicht nichts — es ist bloss etwas anderes: Unabhängigkeit von Lizenzentscheiden eines einzelnen Anbieters, ein Modell, das man auch in zehn Jahren noch laufen lassen kann, und die Möglichkeit, es auf eigene Daten anzupassen, ohne sie herzugeben.

Apache 2.0 heisst nicht «sorgenfrei»

Hier wird es unangenehm, und diesen Teil habe ich in keinem der Beiträge gefunden, die in den letzten Tagen über Apertus geschrieben wurden.

Die Gewichte stehen unter Apache 2.0, kommerzielle Nutzung eingeschlossen, ohne Lizenzgebühren. Das stimmt. Nur ist die Lizenz nicht das einzige Dokument. Wer die Modelldateien herunterladen will, muss sich registrieren, Kontaktdaten hinterlegen und eine Nutzungsrichtlinie akzeptieren — die Repositories auf Hugging Face sind zugangsbeschränkt. In dieser Richtlinie stehen drei Dinge, die man gelesen haben sollte, bevor man sie akzeptiert:

Erstens verarbeitet man Personendaten «as independent controller» — als eigenständig Verantwortlicher. ETH und EPFL sind ausdrücklich nicht Auftragsverarbeiter dessen, was das Modell über Personen ausgibt. Die Verantwortung dafür liegt bei dem, der es betreibt.

Zweitens verpflichtet man sich, ETH Zürich und EPFL gegen Ansprüche Dritter aus der eigenen Nutzung schadlos zu halten.

Drittens, und das ist der praktisch aufwendigste Punkt: Löschbegehren zu Personendaten, die im Modell stecken, werden nicht durch ein neues Modell gelöst, sondern durch eine Datei mit Hashwerten, die man selbst als Ausgabefilter anwendet. Die Empfehlung lautet, sie halbjährlich neu herunterzuladen und anzuwenden. Das ist keine Installation, das ist ein Betriebsprozess — und wer ihn nicht einrichtet, hat eine Pflicht übernommen, die er nicht erfüllt.

Nichts davon ist ein Argument gegen Apertus. Es ist ein Argument gegen den Satz «ist ja Open Source, also unproblematisch». Die Offenheit hat die Verantwortung nicht beseitigt, sondern verschoben — auf den Betreiber. Was im konkreten Fall daraus folgt, gehört ohnehin in die eigene Rechtsberatung; das hier ist die Landkarte, nicht das Gutachten.

Die Zahl, die man nicht weiterreichen sollte

Über Apertus kursiert die Angabe, es beherrsche über 1000 Sprachen. Die Projektseite nennt diese Zahl, die FAQ des Projekts spricht sogar von mehr als 1800. Beide Angaben stehen dort tatsächlich.

Dieselbe FAQ schreibt allerdings auch, das Modell sei «fully conversational in a few dozen languages» — in einigen Dutzend Sprachen wirklich gesprächsfähig. Die grosse Zahl beschreibt, was im Trainingsmaterial vorkam. Die kleine beschreibt, was man benutzen kann. Wer die erste weitergibt und die zweite weglässt, baut aus zwei korrekten Angaben eine falsche Aussage — dieselbe Fehlerart, die ich neulich an einer Studienzahl beschrieben habe, diesmal ohne fremdes Zutun.

Für den Schweizer Anwendungsfall ist das ohnehin die falsche Kennzahl. Interessant sind vier Sprachen, nicht tausend — und ob Schweizer Hochdeutsch dabei ordentlich herauskommt, klärt man nicht über Sprachlisten, sondern an den eigenen Texten.

Womit ich beim ehrlichsten Punkt bin: Belastbare Vergleichszahlen zu Apertus 1.5 gibt es derzeit nicht. Die Modellkarte verweist für die Benchmarks auf einen technischen Bericht, der erst noch erscheint. Wer heute liest, Apertus liege gleichauf mit oder hinter GPT und Claude, liest eine Behauptung, die aktuell niemand mit veröffentlichten Zahlen belegen kann. Das ist kein Vorwurf an das Projekt — Berichte brauchen Zeit. Es heisst nur: Die Bewertung muss vorerst jeder an seinen eigenen Aufgaben vornehmen.

Was ich im Kurs jetzt sage

Die Antwort, die ich der Pausenfrage inzwischen gebe, hat drei Sätze.

Ja, es gibt ein Schweizer Modell, es ist ernstzunehmend, und es wird produktiv eingesetzt — der Kanton Tessin übersetzt damit Behördendokumente, die EPFL baut ihr medizinisches Modell darauf, ein Basler Newsroom nutzt es für politische Analysen.

Nein, es löst das Problem nicht, das gemeint war. Wo die Daten verarbeitet werden, entscheidet der Betreiber, nicht das Modell.

Und drittens: Wenn Sie die Datenfrage lösen wollen, ist der Weg dorthin kürzer, als Sie denken — ein Werkzeug, das die Firma bereitstellt, ein Vertrag, der das Training mit Ihren Eingaben ausschliesst, zwei klare No-Gos. Darüber habe ich neulich ausführlicher geschrieben. Ob dahinter Apertus steckt oder etwas anderes, ist dann eine Frage der Eignung, nicht der Herkunft.

Die Herkunft ist ein gutes Argument. Sie ist nur nicht das, was schützt.

Quellen

• ETH AI Center: «Apertus 1.5: Building the next generation of open AI infrastructure», 24. Juli 2026. Angaben zu Multimodalität, Denkmodus, Apertus Mini (16 Modelle mittels Destillation und Quantisierung), Trainingsinfrastruktur Alps/CSCS sowie den genannten Einsatzfällen Kanton Tessin, Meditron (EPFL) und Bajour. Beteiligt: Martin Jaggi und Antoine Bosselut (EPFL), Imanol Schlag (ETH Zürich). Parallel publiziert bei EPFL.
• Modellkarten swiss-ai/Apertus-v1.5-8B und swiss-ai/Apertus-v1.5-70B auf Hugging Face: Lizenz Apache 2.0, zugangsbeschränkte Repositories, Kontextlänge 262 144 Token (vervierfacht gegenüber v1.0), 19 Billionen Trainings-Token beim 8B- und 17 Billionen beim 70B-Modell, Eingabe von Bild, Audio und Text. Die Benchmarks werden dort auf einen noch ausstehenden technischen Bericht verwiesen.
• Apertus LLM Acceptable Use Policy (Swiss National AI Institute, Fassung 1.0 vom 1. September 2025), abrufbar in den Modell-Repositories und unter github.com/swiss-ai/apertus-legal. Wörtlich zur Verantwortlichkeit: «You process Personal Data as independent controller in accordance with applicable data protection law.» Zur Freistellung: «you agree to indemnify, defend, and hold harmless ETH Zurich and EPFL against any third-party claims arising from your use of Apertus LLM». Zum Ausgabefilter empfiehlt die Richtlinie, die Hashwert-Datei halbjährlich nach Modellveröffentlichung herunterzuladen und anzuwenden.
• apertus-ai.org, Startseite und FAQ: Angabe «1000+ languages» auf der Startseite, «1800+» in der FAQ, dort zugleich die Einschränkung «fully conversational in a few dozen languages» sowie die Feststellung, Apertus sei kein Endkundenprodukt, sondern Infrastruktur. Bezugswege laut Seite «Get Started»: Swisscom (Swiss AI Platform), Infomaniak (Pay-per-Token), Phoenix Technologies (Model-as-a-Service), Public AI, CSCS-Inferenzdienst sowie AWS SageMaker und Microsoft Azure.
• Die Pausenfrage, die Einordnung und die Kursempfehlung: eigenes Kursmaterial aus Firmenschulungen und Hochschullehre.