Die Kamera filmt den Schaden. AXYON verhindert ihn.
Die Kamera filmt den Schaden. Sie verhindert ihn nicht. Im Frühjahr habe ich mehrere Gespräche geführt, in denen dieselbe Antwort fiel — leicht unterschiedlich formuliert, aber immer dieselbe: „Wir loggen alles.“ Gemeint war: Wenn der KI-Agent etwas Falsches tut, sehen wir es hinterher im Protokoll. Das klingt nach Kontrolle. Es ist keine.
Ein Protokoll ist eine Kamera. Kameras hängen an Wänden, weil sie abschrecken und weil sie im Nachhinein erklären, was passiert ist. Sie greifen nicht ein. Wenn ein Agent eine Zahlung auslöst, einen Vertragsdatensatz überschreibt oder eine Kundenakte in einen fremden Dienst schiebt, dann steht das anschließend sauber dokumentiert im Log — und die Handlung ist trotzdem wirksam. Der Nachweis wird damit nicht wertlos. Er wird nur zu dem, was er ist: Beweismittel, nicht Schutz.
Das eigentliche Problem beginnt eine Ebene tiefer. Die wenigsten KI-Agenten, die derzeit in Unternehmen laufen, sind im Haus gebaut. Sie kommen von Anbietern, aus Marktplätzen, aus Open Source. Keiner davon ist geprüft — und keiner wird es sein. Die übliche Reaktion darauf ist eine Vertrauensfrage: Welchem Anbieter trauen wir? Das ist die falsche Frage. Vertrauen skaliert nicht, und es ist im Haftungsfall kein Argument.
Die tragfähige Frage lautet: Was darf eine KI-Handlung überhaupt bewirken, bevor ein Mensch zugestimmt hat?
Genau an dieser Stelle setzt AXYON an. AXYON ist kein Modell und ersetzt keines — es ist die Kontroll- und Nachweisschicht zwischen einer KI und den Systemen des Unternehmens. Jeder Auftrag läuft durch die Mitte, bevor irgendetwas geschieht: Wer fragt an, und ist er angemeldet? Wie vertraulich sind die Daten, und darf diese Verarbeitung das Haus verlassen? Versucht jemand, das Modell zu manipulieren? Und vor allem: Verändert die Handlung etwas — und braucht sie deshalb eine menschliche Freigabe? Erst wenn jede Station grünes Licht gibt, wird gehandelt. Im Zweifel handelt AXYON nicht. Fail-closed ist hier keine Einstellung, sondern die Grundhaltung.
Die Vier-Augen-Freigabe ist dabei bewusst unbequem gebaut. Sie ist an genau diesen einen Auftrag gebunden, einmalig verwendbar, und wer den Auftrag stellt, kann ihn nicht selbst freigeben. Das ist kein Häkchen in einer Oberfläche, sondern eine strukturelle Trennung. Und was auch immer passiert — Weichenstellung, Freigabe, Ausführung, Ablehnung —, steht danach in einem hash-verketteten, verschlüsselten Protokoll, aus dem sich auf Knopfdruck ein prüffähiger Auszug erzeugen lässt, bis hin zur technischen Dokumentation nach Anhang IV der EU-KI-Verordnung.
Souverän ist der Standard, nicht die Option: Das Modell läuft lokal über Ollama, der Cloud-Pfad ist doppelt abgesichert und abgeschaltet, solange ihn niemand bewusst freischaltet.
Ausgeliefert wird AXYON in zwei Ausführungen auf einem Kern — als Container-Appliance im eigenen Rechenzentrum und als native macOS-App für den einzelnen Arbeitsplatz. Die macOS-Variante ist ausdrücklich keine abgespeckte Version: Ein Auftrag, der in der Appliance eine Freigabe braucht, braucht sie auf dem Notebook genauso. Nach unserer eigenen Auswertung von rund 70 Lösungen am Markt gibt es eine native Desktop-Variante mit voller Governance sonst nirgends. Das ist eine Anbieterangabe — man darf sie prüfen, und wir würden uns freuen, wenn jemand es tut.
AXYON löst nicht das KI-Problem eines Unternehmens. Es entscheidet nicht, welche Use Cases sinnvoll sind, und es macht kein schlechtes Modell gut. Es sorgt dafür, dass keine relevante KI-Handlung wirksam wird, für die niemand geradestehen kann. Das ist ein engerer Anspruch als der, den viele Governance-Plattformen formulieren — und deutlich schwerer zu erfüllen.
Der Unterschied ist am Ende ein sprachlicher, der teuer wird: Andere dokumentieren, was passiert ist. AXYON entscheidet, was passieren darf.
Wenn Sie prüfen wollen, was Ihre KI-Agenten heute ohne menschliche Freigabe auslösen können — die Antwort dauert meist zwanzig Minuten und ist selten beruhigend. AXYON lässt sich im eigenen Haus evaluieren: als Appliance oder als notarisierte macOS-App.
Häufige Fragen
Reicht ein lückenloses Logging nicht aus? Für den Nachweis ja, für den Schutz nein. Ein Protokoll entsteht, nachdem die Handlung wirksam geworden ist — es erklärt den Vorfall, verhindert ihn aber nicht. AXYON erzeugt denselben prüffähigen Nachweis, trifft die Entscheidung aber davor: geprüft, freigegeben, dann ausgeführt.
Wie sichere ich KI-Agenten ab, die ich nicht selbst entwickelt habe? Nicht über Vertrauen, sondern über Eingrenzung. Jeder Agent läuft durch dieselbe Kontrollschicht, bekommt pro Auftrag nur die minimal nötigen Werkzeuge, braucht für verändernde Handlungen eine Vier-Augen-Freigabe und wird im Zweifel verweigert. Die Herkunft des Agenten wird damit für die Sicherheitsfrage irrelevant.
Bremst eine verbindliche Freigabe den Betrieb nicht aus? Nur dort, wo sie gewollt ist. Lesende und vorbereitende Handlungen laufen durch; angehalten wird, was etwas verändert. Wer die Grenze anders ziehen will, verschiebt sie über die Regeln — nicht über eine Ausnahme im Einzelfall.
Bleiben unsere Daten im eigenen Haus? Ja, das ist der Standardzustand. Das Modell läuft lokal über Ollama, externe KI-Dienste sind abgeschaltet, solange sie nicht bewusst freigeschaltet werden. Die Vertraulichkeitsstufe wird serverseitig erzwungen und lässt sich vom Anfragenden nur verschärfen, nie unterlaufen.
Ist AXYON ein KI-Modell? Nein, und es ersetzt auch keines. AXYON ist die Kontroll- und Nachweisschicht um beliebige Modelle herum; das Sprachmodell ist über einen einheitlichen Steckplatz austauschbar, während Freigabe, Kontrolle und Protokoll unverändert bleiben.