Konforme KI-Architektur für Schweizer Medizinunternehmen

Wer in einem Schweizer Medizinunternehmen KI im Betrieb einsetzen will, stösst auf drei Auflagen, bevor der spannende Teil beginnt. Gesundheitsdaten gehören gemäss dem revidierten Datenschutzgesetz (revDSG) zur sensibelsten Datenkategorie überhaupt. Das Berufsgeheimnis nach Art. 321 StGB bindet namentlich benannte Fachpersonen. Und jede Entscheidung mit Rechtsfolgen für eine Patientin oder einen Patienten begründet einen Anspruch auf substanzielle menschliche Überprüfung. Generische KI-Produkte sind dafür nicht gebaut. Die gute Nachricht: Die Architektur, die dafür gebaut ist, ist klein, benannt und beschaffbar.

Das Folgende ist die Kurzfassung eines Referenzmusters, an dem wir arbeiten – der Sovereign Casework Architecture –, angewendet auf das Schweizer Medizinumfeld.

Was «Medizinunternehmen» hier meint

Das Muster ist für die fallbezogene Entscheidungsvorbereitung unter Berufsgeheimnis und revDSG gebaut. Es passt zu:

• der Vorabprüfung von Leistungsgesuchen (Prior-Authorization) bei Kranken- oder Rückversicherern
• der Fallarbeit in medizinischen Gutachterstellen, zu Zweitmeinungen und Gerichtsgutachten
• der versicherungsmedizinischen Prüfung mit ärztlicher Letztverantwortung
• der Patientenkorrespondenz im klinischen Sekretariat
• der Bearbeitung von Einsprachen in der IV oder UV mit medizinischer Komponente

Es passt nicht zu Pharmaforschung, MedTech-Geräte-Firmware, Spital-Personalplanung, Studienrekrutierung oder Laboranalytik-Pipelines. Diese haben andere Datenflüsse und andere Compliance-Flächen und verdienen eine eigene Architektur, nicht diese.

Das Bild

Lesen Sie das Bild von oben nach unten. Alles im oberen Container liegt auf Schweizer Infrastruktur mit vertraglich benannten Auftragsbearbeitern: die Patientenakten, das prozedurale Skill File, das faktische Knowledge File, die Reasoning-Engine, die Critique-Loop, das Audit-Log und das UI, das die Klinikerin tatsächlich bedient. Die gestrichelte Linie darunter markiert den einzigen Punkt, an dem Daten überhaupt die Jurisdiktion wechseln dürfen – und das nur nach einem von drei kontrollierten Mustern.

Die fünf Invarianten

1. Begrenzter Umfang. Das System durchstreift keinen offenen Korpus. Jedes Reasoning-Event verarbeitet genau einen Patientenfall plus die festgepinnten Skill- und Knowledge-Versionen. Bis zu rund 2'000 aktive Fälle pro Deployment sind wirtschaftlich und organisatorisch der ideale Bereich.
2. Trennung von Skill und Knowledge. Wie gedacht wird – Verfahrensregeln, Entscheidungslogik, Warnsignale –, steht in einem versionierten Skill File. Was in der Domäne gilt – Gesetzesauszüge, klinische Pfade, interne Policy –, steht in einem separaten Knowledge File. Beide werden wie Code reviewt.
3. Souveräne Datenebene. Patientenakten, Skill, Knowledge, Audit-Log und KI-generierte Kritiken verlassen niemals die Schweizer Infrastruktur mit vertraglich benannten Auftragsbearbeitern. Verschlüsselung at-rest und in-transit. Die Schlüssel bleiben beim verantwortlichen Unternehmen.
4. Verpflichtende Critique-Loop. Jeder KI-Vorschlag wird durch einen separat ausgelösten zweiten Inferenzaufruf geprüft, ohne gemeinsame Session und ohne gemeinsamen System-Prompt. So lässt sich der häufigste Laufzeitfehler abfangen: ein vertretbar wirkender Vorschlag mit einer leisen Lücke in der Argumentation.
5. Der Mensch entscheidet, die Maschine bereitet vor. Das System entscheidet nie. Es erstellt ein Casework Brief – Vorschlag, Kritik und Evidenzpfad – und übergibt es einer Ärztin, einem Arzt oder einer Fallbearbeiterin, die freigibt, anpasst oder ablehnt.

Ein System, das auch nur eine dieser Invarianten verletzt, hat ein anderes Compliance-Profil und gehört separat geprüft.

Die Anbieter-Landkarte

Die folgenden Shortlists sind Stand Mitte 2026 realistisch. Lesen Sie sie als Ausgangspunkt entlang der Kriterien – Schweizer Residenz, AVV mit benanntem Auftragsbearbeiter, revDSG-konformes Logging –, nicht als feste Liste. Die Kriterien überdauern die Anbieter.

Datenebene (immer in der Schweiz)

• Compute und Storage: Exoscale (Genf, Zürich), Infomaniak (Genf), Swisscom (Zürich), AWS Zürich, Azure Switzerland North. Die Wahl richtet sich nach Region, AVV-Tiefe und bestehender Geschäftsbeziehung.
• Identity: der eigene IdP, also Microsoft Entra ID, Okta oder ein selbst betriebenes Keycloak. Die Authentifizierung läuft über SSO, die Autorisierung rollenbasiert pro Fall.
• Verschlüsselungs-Schlüssel: beim verantwortlichen Unternehmen. Ein Key-Management des Providers ist vertretbar, sofern das Customer-Managed-Key-Modell vertraglich dokumentiert ist.
• Audit-Anker: Ein vertrauenswürdiger externer Zeitstempel-Dienst – etwa eine RFC-3161-TSA bei einer Schweizer Zertifizierungsstelle – genügt zur Verankerung der Kette.

Inferenz (drei Muster, eines davon wählen)

Das Diagramm stellt die drei Muster nebeneinander. In Worten:

• Muster A – Self-hosted auf Schweizer GPUs. Kein Prompt verlässt jemals die Schweiz. Das ist die sauberste Compliance-Lage und beseitigt die anbieterseitige Auskunftsfrage vollständig. Die Infrastruktur stützt sich auf die GPU-Angebote von Exoscale, Swisscom oder Infomaniak. Zum Einsatz kommen Open-Weight-Modelle der Klasse Llama 3.3 70B / Mistral Large 2 / Qwen 2.5 72B. In der strukturierten Medizinfallarbeit erreichen sie Mitte 2026 rund 85–95 % der Qualität kommerzieller Frontier-Modelle, mit aufholender Tendenz. Wirtschaftlich: rund CHF 18'000–30'000 pro Jahr fix für dedizierte A100/H100-Kapazität, effektiv etwa CHF 2–4 pro Fall bei einem einzelnen Deployment.
• Muster B – Enterprise-API mit Zero-Retention (der praktische Standardweg). Anthropic über AWS Bedrock (Region Zürich oder Frankfurt), Azure OpenAI Switzerland North, Mistral La Plateforme EU oder Google Vertex AI in EU-Regionen. Den Residenz-Anspruch trägt hier die vertragliche Struktur. Voraussetzung sind der Enterprise-Tier (kein Self-Serve), eine dokumentierte Zero-Retention und ein revDSG-konformer AVV. Wirtschaftlich: rund 15 Rappen pro Fall, etwa CHF 1'200 pro Jahr bei 8'000 Fällen.
• Muster C – Enterprise-API mit subjektbasiertem Log-Zugriff. Wird keine Zero-Retention angeboten – wie bei manchen Spezialanbietern oder vertikalen Medizin-LLM-Anbietern –, muss der Vertrag garantieren, dass aufbewahrte Logs innerhalb der gesetzlichen Auskunftsfrist nach Patientenidentifikator abfragbar sind. Das ist operativ tragfähig, aber im Arbeitsablauf aufwendiger. Prüfen Sie den Auskunftsweg vor der Vertragsunterzeichnung Ende-zu-Ende.

Für ein einzelnes Schweizer Medizin-Deployment im Mittelfeld ist Muster B der praktische Standardweg. Muster A ist die richtige Antwort, wenn die Sensibilität am höchsten ist – etwa bei psychiatrischen oder genetischen Daten –, wenn das Unternehmen ohnehin Schweizer Inferenzkapazität betreiben will oder wenn sich die Infrastruktur über mehrere Standorte oder Anwendungsfälle amortisiert.

Was die Critique-Loop fängt – und was nicht

Die Same-Model-Critique, der empfohlene Standardweg, fängt Anwendungsfehler: einen übersprungenen Schritt im Skill File, falsch gewichtete Evidenz, einen unpassend angewandten klinischen Pfad oder eine Konfidenz, die nicht zur Argumentation passt. Sie fängt jedoch keine systematischen Modellfehler – also gemeinsame blinde Flecken, die beide Inferenzpässe erben. Diese werden in der Pflege adressiert: durch Review des Skill File und durch einen kuratierten Regressionssatz historischer Fälle, der vor jedem Modell-Upgrade durchläuft.

Die Critique kostet zur Laufzeit etwa die doppelte Inferenz und rund 30 % mehr Latenz. Bei rund 2'000 aktiven Fällen ist das ein bezahlbarer Posten – und der Unterschied zwischen einem System, das nur durchwinkt, und einem System, das sich selbst korrigiert.

Die Audit-Ebene

Jedes Ereignis – Fallaufnahme, Engine-Aufruf, Critique-Aufruf, Brief-Erstellung, Reviewer-Handlung – landet in einem hash-verketteten Append-Only-Log mit periodischer externer Verankerung. Für jeden abgeschlossenen Fall kann eine berechtigte Person rekonstruieren, was berücksichtigt wurde, von wem, in welcher Reihenfolge und mit welcher Begründung. Genau diese Rekonstruktion macht das System gegenüber einer Patientenauskunft oder einer Anfrage des EDÖB verteidigbar. Critique-Artefakte sind erstrangige Personendaten und damit Teil jeder Auskunft, die den Fall berührt.

Was das nicht ist

Es ist kein generischer KI-Assistent. Mitarbeitende können keine Patientendaten in eine Chat-Box einfügen. Es verschickt weder Briefe noch klinische Entscheidungen automatisch. Es ist ein bewusst schmales Muster für eine bestimmte Klasse von Problemen: für regulierte, fallbezogene Medizinarbeit, in der die Maschine einen verteidigbaren Vorschlag für einen Menschen vorbereitet, und das unter Auflagen der Datensouveränität.

Was wir mitnehmen

Ein konformer KI-Stack für Schweizer Medizinbetriebe ist keine massgeschneiderte Plattform. Er besteht aus einem kleinen Set benannter Invarianten, einer einzigen Inferenzgrenze und einer beschaffbaren Anbieter-Shortlist pro Schicht. Die Architektur ist klein genug, um sie präzise zu spezifizieren, und zugleich so strukturiert, dass die Compliance-Kontrollen unter Betriebsdruck halten – statt als Folienpunkt zu enden, den das Team umgeht, sobald die Pipeline voll wird.

Wenn Sie den ersten KI-Workflow in einem Schweizer Medizinbetrieb umreissen und einen Sparringspartner zur Wahl des Falltyps suchen: schreiben Sie kurz. Ein Satz genügt.