Wer KI in ein reguliertes medizinisches Labor bringt, braucht einen Strategie-zuerst-Ansatz und eine eng begrenzte Umsetzung statt einer großen Transformation. Eine Bow-Tie-Analyse, also ein einseitiges Risikodiagramm, das Bedrohungen den Kontrollen gegenüberstellt, bringt Compliance und Technik an einen Tisch und belegt die Einhaltung der Vorschriften. Aufsichtsbehörden reagieren besser auf konkrete, abgegrenzte Anwendungsfälle als auf umfassende KI-Initiativen.
Das Wichtigste in Kürze
- Wer die KI-Integration auf ein einzelnes, abgegrenztes Problem konzentriert, macht die Konformität beherrschbar: Einen engen Umfang können Aufsichtsbehörden bewerten, eine breite Einführung müssen sie ablehnen.
- Eine nicht-deterministische KI-Schicht kann deterministische Ergebnisse liefern, wenn die richtigen Kontrollen sie umgeben, so wie Internetprotokolle zuverlässige Kommunikation über eine von Natur aus unzuverlässige Paketübertragung ermöglichen.
- Die Bow-Tie-Analyse bringt das gesamte Konformitätsbild auf eine Seite und macht Bedrohungen und Kontrollen gleichzeitig für Technik, Compliance und Aufsichtsbehörden sichtbar.
- Die Bedürfnisse der Stakeholder müssen beziffert und nicht nur benannt werden: Erst die geforderte Genauigkeit, akzeptable Zeitfenster und tolerierbare Risiken machen eine Strategie umsetzbar statt zum Wunschbild.
- Früh getroffene Architekturentscheidungen öffnen oder verbauen später den Weg zu agentischer KI. Wer von Anfang an langfristig denkt, spart sich teure Migrationen.
Warum KI im Labor eine Strategie vor den APIs braucht
KI im Labor beginnt in einem regulierten medizinischen Umfeld mit einer Strategie, nicht mit Integrationsarbeit. Der Sog zu APIs, Protokollen und schnellen Experimenten ist groß, doch er überspringt die Frage, die alles Weitere entscheidet: Welches konkrete Problem löst du eigentlich, und für wen?
Ein medizinisches Analyselabor steckt genau in diesem Spannungsfeld. Die Branche ist reguliert, die Organisation will trotzdem mit neuer Technologie experimentieren. Die Integration selbst ist dabei nicht die anspruchsvolle Arbeit, die schaffen kompetente IT-Leute. Schwierig ist es, sie rechtlich und regulatorisch sicher zu machen, zumal ein Großteil der relevanten Vorschriften noch geschrieben wird und nicht feststeht.
Alexis Savkin ging das als Stratege an, nicht als KI-Spezialist. Genau dieser Abstand zahlte sich aus. Der Auftrag lautete nicht “KI einbauen”, sondern “mit neuer Technologie aus der Strategieperspektive experimentieren und dabei auf der sicheren Seite bleiben”.
Du kannst beweisen, dass ein Problem lösbar ist, bevor du weißt, wie
Ein nicht-deterministisches System kann ein deterministisches Ergebnis tragen. Diese erste These muss sitzen, denn sie räumt den Einwand ab, der in regulierten Umgebungen jedes Gespräch blockiert: KI verändert sich, sie driftet, wie soll man darauf etwas Verlässliches bauen?
Alexis geht das mit der Gewohnheit eines Mathematikers an. Bevor man ein Problem löst, beweist man manchmal nur, dass es lösbar ist. Die Methode kennt man noch nicht, aber man hat gezeigt, dass es eine Lösung gibt. Für eine nervöse Gruppe von Stakeholdern ist dieser Beweis der Eisbrecher.
Das Internet ist die passende Analogie. Die Pakete, die darüber laufen, sind nicht deterministisch. Sie kommen beschädigt an, gehen verloren, hängen in hoher Latenz fest. Internetprotokolle sind genau dafür gebaut, diese Unzuverlässigkeit abzufangen, und heraus kommt ein nutzbares, verlässliches Netz. Dieselbe Logik lässt sich auf KI übertragen: auf etwas Instabilem aufbauen, dafür konstruieren und ein stabiles Ergebnis erzielen.
Eine zweite Analogie liefern Kollegen aus derselben Branche. Wenn ein Unternehmen, das Scans zur Krebsdiagnostik auswertet, unter denselben Einschränkungen arbeitet, verliert der Einwand “das geht bei uns nicht” an Kraft. Der ehrliche Gegenpunkt ist das Budget, nicht die Machbarkeit.
“Okay, da ist ungefähr zehnmal so viel Budget im Spiel, aber wen interessiert das? Wir haben zehnmal mehr Mut.”
(Alexis Savkin)
Bei den Stakeholdern anfangen, nicht beim Idealbild
Strategie zuerst heißt: bei den Stakeholdern und ihren Bedürfnissen beginnen und dann hart eingrenzen. Der Fehler liegt darin, mit der Technologie anzufangen oder mit der ehrgeizigsten Version dessen, was KI leisten könnte.
Die Methode folgt einer Reihenfolge. Zuerst kartierst du die Stakeholder und verschaffst dir einen Überblick. Von außen wirkt ein medizinisches Labor einfach: Du gibst eine Probe ab und bekommst ein paar Tage später die Ergebnisse per E-Mail. Innen arbeiten High-End-Hardware, IT-Prozesse, physische Abläufe, viele Tester und jede Menge Geräte zusammen.
Als Nächstes skizzierst du das Idealbild. Stell dir vor, die KI nutzt den gesamten Kontext der Krankengeschichte eines Patienten. Das bringt viele Ideen hervor, aber das Idealbild ist ein Ausgangspunkt, kein Plan.
Dann schneidest du es zurecht. Manches ist unmöglich. Manches ist noch verboten. Ein paar Dinge gehen schon heute. Zwei oder drei Optionen fallen allein deshalb weg, weil die Regulierung dazu noch unklar ist. Übrig bleibt ein Problem, das eng genug ist, um es anzugehen.
Der Nutzen der Eingrenzung zeigt sich sofort. Ist der Umfang konkret, weißt du, welche Nachweise du sammeln musst, kannst sie gegen bestehende Anforderungen prüfen und aufs nächste Problem skalieren, sobald das erste Mehrwert liefert.
Die Bow-Tie-Analyse bringt Konformität auf eine Seite
Die Bow-Tie-Analyse war das eine Werkzeug, mit dem die Arbeit gelang. Aus einem ganzen strategischen Werkzeugkasten mit Strategy Maps, Frameworks für Veränderungsagenden und mehr stach sie heraus, weil sie das Konformitätsproblem visuell löste.
Das Diagramm zeigt auf der einen Seite die Bedrohungen, auf der anderen die Kontrollen, die sie verhindern, alles auf einer einzigen Seite. Für eine Gruppe aus Compliance-Leuten, IT und nicht-technischen Stakeholdern leistete diese eine Seite den Großteil der Arbeit. Rund 80 Prozent des Aufwands steckten im Konformitätsproblem, und die Bow-Tie-Analyse machte es für alle auf einen Blick verständlich.
Das Diagramm dient auch als Nachweis gegenüber einer Aufsichtsbehörde. Es zeigt in einer Ansicht die tatsächlich umgesetzten Kontrollen. Klassische Werkzeuge hätten dasselbe Problem lösen können, aber die Bow-Tie-Analyse legte es so offen, dass alle Beteiligten es sehen und mittragen konnten.
Die Architektur entscheidet über die Zukunft des Systems
KI ist eine digitale Transformation, und wie jede Transformation zieht sie Folgen nach sich. Wer sich in die API-Implementierung stürzt, übersieht, womit jedes langlebige Produkt irgendwann kämpft: angehäufte Altlasten und Architekturprobleme.
Die Architektur zählt mehr als die erste Integration. Alexis hat die Architektur des Labors so angelegt, dass sie mit agentischer KI kompatibel bleibt, sobald dieser Ansatz reif ist. Heute setzt das Team noch keine agentische KI ein, aber die Struktur lässt es zu. Diese Kompatibilität hat künftige Migrationsprobleme aus dem Weg geräumt, bevor sie entstehen konnten.
Hier liegt auch der Unterschied zwischen einem Strategen und einem Chatbot. Stell ChatGPT dieselbe Frage, und du bekommst eine ausführliche Antwort, aber keine, die langfristig denkt. Der Wert eines menschlichen Beraters liegt in genau dieser langen Perspektive, in der architektonischen Weitsicht, die verhindert, dass die Entscheidung von heute zur Nacharbeit von morgen wird.
Wie streng ist die Regulierung für KI im Labor wirklich?
In diesem Fall aus der Qualitätssteuerung ist die Regulierung weniger starr, als der Ruf des “regulierten medizinischen Umfelds” vermuten lässt. Viel von der Angst kommt aus der Größe des Problems, nicht aus der Strenge der Regeln.
Die Qualitätssteuerung hat zwei Teile. Im einen geht es darum, dass ein Testgerät einen Fehler erzeugt, und darum, sicherzustellen, dass dieser Fehler nie ins Endergebnis gelangt. Dieser Teil ist überhaupt nicht reguliert. Er liegt in deiner Verantwortung, und du musst ihn selbst richtig machen. Für den anderen Teil gibt es konkrete Anforderungen: Checklisten, die vor dem Einsatz erfüllt sein müssen, statt eines Zertifikats, das man erwerben muss.
Manchmal gibt es für die konkrete Aufgabe schlicht noch keine Vorschrift. Manche Organisationen sichern sich mit einer allgemeinen ISO-Zertifizierung ab, die zeigt, dass sie aus Fehlern lernen. Das ist aber sehr allgemein und nicht auf den jeweiligen KI-Anwendungsfall zugeschnitten.
Beherrschbar bleibt die Regulierung, solange du die offensichtlichen Fehler vermeidest: KI mit Patientendaten trainieren, personenbezogene Daten weitergeben. Das lässt du ohnehin. Die Einschränkung, die wirklich zählt, ist der Umfang. Du stutzt das Idealbild zurecht, weil Teile davon in regulatorisch unklarem Gelände liegen, und wartest, bis sich dieses Gelände klärt.
Die Budgetlücke erklärt, warum manche Unternehmen Funktionen anbieten, die andere nicht anbieten können. Ein großer Anbieter mit tiefen Taschen und gutem Ruf kann sich vor Gericht verteidigen, wenn er angegriffen wird. Kleineren Organisationen fehlt dieses Budget oft, und häufig ist der Kunde gar nicht bereit zu zahlen. Im medizinischen Labor ist nicht immer klar, wer der Kunde ist, wer zahlt und wem die Ergebnisse gehören: dem Patienten, der Versicherung, dem Krankenhaus. Schon diese unklaren Eigentumsverhältnisse sind ein Grund, den Umfang eng zu halten.
Aufsichtsbehörden als Verbündete sehen, nicht als Hindernis
Aufsichtsbehörden wollen das Leben sicherer machen, und die meisten ihrer Empfehlungen sind vernünftig. Wer sie als Gegner betrachtet, verzerrt die Beziehung und macht sich die Arbeit schwerer als nötig.
Ein Bericht der Europäischen Union aus dem Jahr 2025 zum Stand der KI im Gesundheitswesen stützte den Strategie-zuerst-Ansatz. Sein Fazit: Damit KI im medizinischen Bereich möglich wird, müssen Strategie, Finanzierung, Stakeholder und Regulierung zusammenkommen. Das ist ein klares Argument dafür, oben anzufangen statt bei der Integration.
Nachweise zu sammeln wird leicht, sobald du weißt, was du sammeln musst, und das weißt du erst, wenn dein Fokus klar ist. Derselbe Fokus, der ein Problem lösbar macht, sagt dir auch, welche Kontrollen du aufbauen musst und welche Belege eine Aufsichtsbehörde sehen will.
Der erste Schritt für regulierte Teams, die KI einführen
Der erste Schritt ist ein Blick auf die regulatorische Lage. Wenn du in einem regulierten Umfeld arbeitest, richte einen Weg ein, möglichst automatisiert, um zu verfolgen, welche Vorschriften kommen. Kenne das Gelände, bevor du baust.
Der zweite Schritt: der Versuchung widerstehen, alles lösen zu wollen. Wenn du einer Aufsichtsbehörde sagst “Wir wollen KI im ganzen Unternehmen”, lautet die Antwort Nein, weil der Umfang zu komplex ist, um ihn zu bewerten. Bring eine konkrete, abgegrenzte Aufgabe mit, und du kannst sie gegen die bestehenden Anforderungen prüfen.
Beziffere die Bedürfnisse der Stakeholder, wo immer es geht. Nicht “wir brauchen Analysen für unsere Proben”, sondern Zeitfenster, Genauigkeit, Problemtypen und Risikotoleranz. Wo kannst du Risiken akzeptieren, wo nicht? Zahlen machen aus einer vagen Ambition etwas, das eine Aufsichtsbehörde und ein Ingenieur gleichermaßen bewerten können.
Der rote Faden ist einfach. Konzentrier dich auf etwas Lösbares, zeig den Stakeholdern schnell einen Mehrwert, und das Regulierungsproblem schrumpft mit dem Umfang.
Häufig gestellte Fragen
Kann ein nicht-deterministisches KI-System zuverlässige Ergebnisse liefern?
Ja. Das Internet ist ein passendes Beispiel: Datenpakete sind nicht deterministisch, sie kommen beschädigt an, gehen verloren oder stoßen auf hohe Latenzzeiten. Protokolle sind darauf ausgelegt, genau diese Unzuverlässigkeit auszugleichen, und das Netzwerk als Ganzes wird dadurch zuverlässig. Die gleiche Logik lässt sich auf KI übertragen. Wenn man auf einer instabilen Ebene aufbaut und entsprechende Kontrollmechanismen einbaut, kann das Ergebnis dennoch deterministisch sein.
Wie bringt man vorsichtige Entscheidungsträger in einer regulierten Branche dazu, KI überhaupt in Betracht zu ziehen?
Zeige erst, dass das Problem lösbar ist, bevor du erklärst, wie. Mathematiker beweisen manchmal nur, dass es eine Lösung gibt, ohne die Methode bereits zu kennen, und für eine nervöse Interessengruppe wirkt dieser Beweis wie ein Eisbrecher. Beispiele aus der Branche helfen auch: Wenn ein Unternehmen, das Scans zur Krebsdiagnostik durchführt, unter denselben Einschränkungen arbeitet, verlagert sich der Einwand von der Machbarkeit hin zum Budget.
Wie kommt man von einem weit gefassten KI-Ziel zu einem Umfang, den man tatsächlich umsetzen kann?
Erfasse zuerst die Interessengruppen, skizziere dann das Idealbild und schränke es anschließend ein. Manche Optionen sind unmöglich, manche noch verboten, ein paar sind schon jetzt machbar. Zwei oder drei fallen in der Regel weg, weil die Vorschriften dafür noch nicht feststehen. Was übrig bleibt, ist so eng gefasst, dass du weißt, welche Nachweise du sammeln musst, und dass du skalieren kannst, sobald es einen Mehrwert liefert.
Wie lässt sich die Arbeit der Konformität für technische und nicht-technische Leute gleichzeitig verständlich machen?
Ein Bow-Tie-Diagramm stellt die Bedrohungen auf der einen Seite und die Kontrollmaßnahmen, die sie verhindern, auf der anderen Seite dar, alles auf einer einzigen Seite. Im Fall des medizinischen Labors flossen etwa 80 Prozent des Aufwands in das Problem der Konformität, und diese eine Seite ermöglichte es den Mitarbeitern der Abteilung für Konformität, IT-Leuten und nicht-technischen Stakeholdern, dasselbe Bild zu sehen und sich darauf zu einigen. Sie dient gleichzeitig als Nachweis für eine Aufsichtsbehörde.
Warum sollten Architekturentscheidungen vor der ersten KI-Integration getroffen werden?
Weil sie bestimmen, was später noch möglich ist. Die Architektur des Labors wurde so konzipiert, dass sie mit agentenbasierter KI kompatibel bleibt, obwohl das Team keine agentenbasierten Systeme betreibt. Dadurch wurden zukünftige Migrationsprobleme beseitigt, bevor sie überhaupt entstehen konnten. KI ist eine digitale Transformation, und wenn man sich direkt auf APIs stürzt, häufen sich die Legacy- und Architekturprobleme an, mit denen jedes langlebige Produkt irgendwann konfrontiert wird.
Warum lehnen Aufsichtsbehörden breit angelegte KI-Initiativen ab?
Weil ein Antrag auf die unternehmensweite Einführung von KI ihnen einen zu komplexen Umfang zur Bewertung auferlegt, sodass eine Ablehnung die einzig vernünftige Antwort ist. Eine konkrete, abgegrenzte Herausforderung lässt sich anhand bereits bestehender Anforderungen prüfen. Durch diese Fokussierung wird auch klar, welche Nachweise du sammeln musst und welche Kontrollen eine Aufsichtsbehörde sehen will.
Ist eine medizinische Laborumgebung in Bezug auf KI so streng reguliert, wie ihr Ruf vermuten lässt?
Für die Qualitätssteuerung ist es weniger starr als erwartet, und ein Großteil der Befürchtungen rührt eher von der Größe des Problems her als von den Vorschriften. Zu verhindern, dass ein Fehler des Testgeräts in das Endergebnis einfließt, ist überhaupt nicht geregelt: Diese Verantwortung liegt bei dir. Andere Aspekte sind als Checklistenpunkte zu erfüllen, die vor der Nutzung abgehakt werden müssen, und nicht als Zertifikat, das man erwerben muss.
Was bedeutet es, die Bedürfnisse der Beteiligten zu quantifizieren, anstatt sie nur zu benennen?
Es bedeutet, „wir brauchen Analysen für unsere Proben“ durch das Zeitfenster, die erforderliche Genauigkeit, die Problemtypen und die Risikotoleranz zu ersetzen, einschließlich der Frage, wo Risiken akzeptabel sind und wo nicht. Zahlen verwandeln eine vage Absicht in etwas, das sowohl eine Aufsichtsbehörde als auch ein Ingenieur bewerten können, und genau das macht eine Strategie umsetzbar.
