KI in regulierten Branchen
In Gesundheitswesen, Recht, Finanzen und öffentlicher Hand ist die Demo einfach und die Freigabe schwer. Bauenswert sind die Systeme, die Ihr Compliance Officer, Ihre Aufsicht und Ihr Risikoausschuss unterschreiben können, weil die nötige Evidenz eingebaut ist.
Provenienz ist das Produkt
Jeder KI-Output ist rückführbar auf Inputs, Modell-Identifier, Prompt-Version, Retrieval-Quellen und Zeitstempel. Wenn die Prüferin fragt „warum hat das System das gesagt“, ist die Antwort ein Protokoll, keine Rekonstruktion. Diese eine Eigenschaft macht aus den meisten Compliance-Gesprächen ein Verfahren statt eines Konflikts.
Sie übersteht auch Modellwechsel: Wird ein Modell getauscht oder fine-tuned, zeigt die Spur exakt, welche Outputs von welcher Version stammen.
Eval-Gates vor dem Go-Live, und danach
Kein Deployment ohne messbare Erfolgskriterien, die das System nachweislich erfüllt hat: Genauigkeit auf Ihren Fällen, Ablehnungsverhalten bei Inputs, die es nicht anfassen darf, Latenz und Kosten im Budget. Dieselbe Suite läuft nach jeder Änderung als Regressions-Gate, das System, das die Prüfung bestanden hat, ist nachweisbar das System, das noch läuft.
Menschliche Aufsicht nach Konsequenz
Die Automatisierungstiefe folgt dem Risiko der Entscheidung. Umkehrbare Schritte mit geringer Konsequenz laufen vollautomatisch. Folgenschwere Schritte bekommen Review-Gates by design: Das System entwirft, ein benannter Mensch gibt frei, und die Freigabe wird protokolliert. Das ist die Struktur, auf die der EU AI Act drängt, und es ist schlicht der Weg, Vertrauen in der Organisation zu erhalten.
Beleg, und wo anfangen
Diese Architektur läuft heute produktiv: die erste klinische LLM-Plattform der Schweiz in Spital-Infrastruktur und die Anonymisierung von Gerichtsdokumenten für die Schweizer Justiz. Beide haben die Prüfungen bestanden, die ihre Sektoren verlangen.
Das 2-3-wöchige Prozess-Audit kartiert Ihre Workflows, deren regulatorische Auflagen und die realistische Automatisierungstiefe pro Schritt. CHF 15-25k fix, unter 20 Stunden Ihres Teams.
Häufige Fragen
Dürfen wir unter DSG / DSGVO überhaupt KI einsetzen?
Ja. Die Auflage ist architektonisch, nicht absolut: Datenminimierung, In-Region- oder On-Prem-Verarbeitung wo gefordert, dokumentierte Rechtsgrundlage und Nachvollziehbarkeit. Die meisten „wir dürfen keine KI nutzen“-Positionen lösen sich auf, sobald der Workflow kartiert ist und die realen Datenflüsse sichtbar sind.
Was will die Aufsicht sehen?
Rückverfolgbare Outputs, dokumentierte Evaluation vor dem Go-Live, protokollierte menschliche Aufsicht bei folgenschweren Entscheidungen und den Nachweis, dass sich das System noch so verhält wie bei der Prüfung. Alle vier sind Eigenschaften der Architektur, deshalb werden sie eingebaut statt für das Audit zusammengesucht.
Müssen wir lokale Modelle nutzen?
Nur dort, wo die Datenklassifikation es verlangt. Das übliche Muster ist Routing: Sensible Schritte laufen auf lokalen oder In-Region-Modellen, der Rest nutzt Frontier-APIs. Das Audit sagt Ihnen, welche Schritte auf welcher Seite dieser Linie liegen.
Wie lange dauert ein Mandat?
Das Audit läuft 2-3 Wochen. Ein erstes Produktivsystem liefert typischerweise 4-10 Wochen danach aus; regulierte Deployments liegen am längeren Ende, weil Eval- und Freigabezyklen Teil des Builds sind, kein Nachtrag.
Erst den Prozess kartieren, dann das Tool kaufen.
Ein Gespräch, um zu klären, ob ein Prozess-Audit, ein System-Build oder ein Fractional-KI-Lead passt.