Zum Inhalt springen 
KI im regulierten Umfeld – auf Ihrer eigenen Hardware
Prüfberichte, Verfahrensanweisungen, technische Dokumentation, Zulassungsunterlagen: Es gibt kaum eine Branche mit mehr Text und weniger Spielraum, ihn aus der Hand zu geben. Ein KI-Server im eigenen Netz schafft beides – Entlastung und einen Verarbeitungsweg, den Sie im Audit erklären können.
Welche Unterlagen bei Ihnen bleiben müssen
Diese vier Arten von Dokumenten landen im Alltag am häufigsten in einem KI-Werkzeug – meist, weil jemand unter Termindruck schneller fertig werden will. Auf einem eigenen Server bleiben sie im Netz.
Der Verlust ist hier selten ein Datenleck im klassischen Sinn. Er besteht darin, dass Sie im Audit oder gegenüber einem Auftraggeber nicht mehr belegen können, wo Ihre Unterlagen verarbeitet wurden.
Was der lokale Betrieb löst – und was er ausdrücklich nicht löst
Hier ist Klarheit wichtiger als Verkaufsprosa, weil Sie das gegenüber Ihrer Qualitätssicherung vertreten müssen.
- Die Übermittlung an einen externen Verarbeiter entfällt vollständig
- Damit auch die Frage nach Auftragsverarbeitung und Drittlandtransfer
- Geheimhaltungszusagen gegenüber Auftraggebern lassen sich einhalten und belegen
- Der Verarbeitungsweg ist beschreibbar und im Audit vorzeigbar
- Auf Wunsch Betrieb vollständig ohne Verbindung nach außen
- Dokumentation von Hardware, Softwarestand und Konfiguration als Grundlage Ihrer Qualifizierung
- Qualifizierung und Validierung des Systems in Ihrem Prozess
- Die Entscheidung, welche Schritte überhaupt in den regulierten Bereich fallen
- Änderungswesen, Schulungsnachweise und Datenintegrität in Ihrem QM-System
- Die Prüfung jedes erzeugten Textes, bevor er Teil einer Akte wird
- Die datenschutzrechtliche Bewertung bei Personen- und Gesundheitsdaten
- Freigaben gegenüber Auftraggebern, Benannter Stelle und Behörden
Wir liefern Infrastruktur, kein validiertes GxP-System und keine Zulassungssoftware. Wenn Ihnen jemand einen KI-Server als „GMP-konform“ verkauft, sollten Sie nachfragen, was genau damit gemeint ist – konform ist immer ein Prozess, nie ein Gerät.
Ebenso wenig ist unser System ein Medizinprodukt. Sobald Software zu diagnostischen oder therapeutischen Zwecken bestimmt ist, greift die europäische Medizinprodukteverordnung. Dieser Bereich ist ausdrücklich nicht unser Angebot.
Ein Weg, der sich im regulierten Umfeld bewährt hat
Wir raten davon ab, mit dem heikelsten Anwendungsfall anzufangen. Die Reihenfolge, die erfahrungsgemäß trägt:
- STUFE 01
Außerhalb des regulierten Bereichs beginnen
Angebote, interne Kommunikation, Recherche, Übersetzungen, technische Beschreibungen. Das Team lernt den Umgang, ohne dass etwas auf dem Spiel steht.
- STUFE 02
Den eigenen Bestand anbinden
SOPs, Handbücher und Spezifikationen werden durchsuchbar, das System antwortet mit Fundstelle. Ein Nutzen, der sich sofort zeigt und nichts verändert.
- STUFE 03
Regeln schriftlich festhalten
Welche Inhalte eingegeben werden dürfen, wer freigibt, wie dokumentiert wird. Genau das ist im Audit der Nachweis, den man vorlegt.
- STUFE 04
Erst dann in den regulierten Bereich
Und auch dort als Entwurfshilfe mit Prüfung und Freigabe durch die verantwortliche Person, nicht als selbsttätige Erstellung.
Was im Paket enthalten ist
- Hardware, ausgelegt auf die Zahl gleichzeitiger Nutzer
- Einrichtung des Sprachmodells und der Bedienoberfläche
- Aufbau vor Ort und Einbindung in Ihr Netzwerk
- Schulung Ihres Teams, in verständlicher Sprache
- Dokumentation der Netzwerktrennung für Ihre Unterlagen
- Wartung, Updates und Support im laufenden Betrieb
Kauf oder Miete
Nicht jeder Betrieb will oder kann eine größere Summe auf einmal investieren. Deshalb gibt es die Systeme wahlweise zum Kauf oder zur monatlichen Miete – mit fester Rate, in der Wartung und Support bereits enthalten sind.
Welche Größe Sie brauchen, hängt vor allem davon ab, wie viele Personen gleichzeitig damit arbeiten. Das rechnen wir im Erstgespräch mit Ihnen durch und nennen eine konkrete Zahl – vorher nicht, weil jede Pauschalangabe an dieser Stelle unseriös wäre.
Was Hersteller und Labore uns fragen
Ist ein lokaler KI-Server damit automatisch GxP-konform?
Nein, und niemand kann Ihnen das seriös zusichern. Konformität entsteht nicht durch ein Gerät, sondern durch Ihren validierten Prozess. Was der lokale Betrieb leistet: Er nimmt eine ganze Klasse von Fragen aus der Bewertung heraus, weil keine Daten an einen externen Dienstleister gehen. Die Qualifizierung und Validierung selbst bleibt Aufgabe Ihrer Qualitätssicherung.
Was liefern Sie für unsere Qualifizierung?
Eine vollständige Dokumentation dessen, was aufgebaut wurde: eingesetzte Hardware, Softwarestände, Konfiguration, Netzwerkanbindung und die Beschreibung der Abschottung. Das ist die Grundlage, auf der Ihre QA die Installationsqualifizierung aufsetzen kann. Änderungen am System dokumentieren wir nachvollziehbar, damit Ihr Änderungswesen greifen kann.
Dürfen wir das System für GMP-relevante Dokumente einsetzen?
Das entscheidet Ihre Qualitätssicherung, nicht wir. Viele Häuser beginnen bewusst außerhalb des regulierten Bereichs – bei Angeboten, Recherche, Übersetzungen, technischen Beschreibungen, internem Schriftverkehr – und weiten den Einsatz erst aus, wenn der Umgang eingespielt und der Prozess beschrieben ist. Wir halten das für den vernünftigen Weg.
Wie ist das bei Auftragslaboren und Prüfdaten?
Dort kommt meist noch eine vertragliche Ebene dazu: Auftraggeber untersagen in Geheimhaltungsvereinbarungen regelmäßig, überlassene Unterlagen außerhalb bestimmter Systeme zu verarbeiten. Ein Gerät im eigenen Netz ist die einfachste Art, diese Zusage einzuhalten – und im Audit auch zu belegen.
Können wir das System vom Netz trennen?
Ja. Auf Wunsch richten wir den Betrieb vollständig ohne Verbindung nach außen ein. Updates erfolgen dann in einem festgelegten Wartungsfenster oder über einen dokumentierten Datenträgerweg, was in regulierten Umgebungen ohnehin dem üblichen Vorgehen entspricht.
Was ist mit Patientendaten aus klinischen Prüfungen?
Das sind Gesundheitsdaten im Sinne von Artikel 9 DSGVO, für die zusätzlich die Regeln der jeweiligen Prüfung gelten. Wir raten dazu, hier besonders zurückhaltend anzufangen und die Nutzung mit Ihrem Datenschutzbeauftragten und der Studienleitung abzustimmen, bevor irgendetwas eingegeben wird. Der lokale Betrieb beseitigt die Übermittlung, nicht die übrigen Pflichten.
Lohnt sich das für ein kleines Labor?
Wenn nur einzelne Personen gelegentlich Texte formulieren lassen, eher nicht – dann ist ein vertraglich abgesicherter Unternehmenszugang günstiger. Sobald mehrere Personen täglich damit arbeiten oder Geheimhaltungspflichten die Cloud ohnehin ausschließen, dreht sich die Rechnung. Wir sagen Ihnen offen, wenn wir Ihren Fall in der ersten Gruppe sehen.
Lokale KI in anderen Bereichen
Verwandte Anforderungen, andere Schwerpunkte.
Zur rechtlichen Einordnung von Betriebs- und Geschäftsgeheimnissen: der Ratgeber zum Geschäftsgeheimnisgesetz.
Sprechen wir über Ihren Anwendungsfall
Ein Erstgespräch kostet nichts und dauert etwa eine halbe Stunde. Wir sagen Ihnen dabei auch, wo wir den Einsatz für verfrüht halten.
