KI-Agenten in HR und Compliance: 15-Schritte-Checkliste für Medtech

Checkliste: 15 Schritte für den 4-Wochen-Rollout

1. Definieren Sie den Scope des Piloten. Beschränken Sie sich auf einen einzigen Workflow, z. B. die Sichtung von Bewerbungen oder die erste Antwort auf Patienten-Anfragen. Ein klarer Scope verhindert, dass das Projekt in der 4-Wochen-Frist scheitert.

2. Auditieren Sie den aktuellen Prozess. Messen Sie die aktuelle First-Response-Time und die Fehlerquote bei der Datenerfassung. Diese Baseline ist der Maßstab für den Erfolg des Piloten.

3. Wählen Sie die Integrationsplattform. Entscheiden Sie, ob der Agent in Slack oder Microsoft Teams läuft. Beide Plattformen bieten stabile APIs für Bot-Integrationen.

4. Konfigurieren Sie die Datenflussanalyse. Dokumentieren Sie, welche Daten in die OpenAI-API wandern und welche lokal verarbeitet werden. ISO 27001 Anhang A.8.32 verlangt diese Nachvollziehbarkeit.

5. Implementieren Sie die Pseudonymisierung. Entfernen Sie alle direkt identifizierenden Daten (Name, E-Mail, Telefon) vor der Verarbeitung durch das LLM. So schützen Sie die Bewerberdaten gemäß DSGVO.

6. Entwickeln Sie die Prompts für die Klassifizierung. Definieren Sie, welche Kriterien ein Kandidat erfüllen muss, um weitergeleitet zu werden. Klare Regeln reduzieren die Fehlerquote bei der Sichtung.

7. Integrieren Sie den Agenten in das bestehende CRM. Verknüpfen Sie den Agenten mit Ihrem HR-System oder ERP, um doppelte Dateneingaben zu vermeiden. Die Integration erfolgt über die offiziellen APIs.

8. Richten Sie die Eskalationspfade ein. Definieren Sie, welche Anfragen sofort an einen Menschen weitergeleitet werden müssen. Bei medizinischen Details oder Vertragsfragen ist die menschliche Freigabe zwingend.

9. Testen Sie den Agenten mit 10 % des Traffics. Lassen Sie den Agenten nur einen Teil der Anfragen bearbeiten, um die Qualität zu prüfen. So minimieren Sie das Risiko bei der Einführung.

10. Validieren Sie die Metriken. Vergleichen Sie die First-Response-Time und die Fehlerquote vor und nach der Einführung. Die Zielwerte müssen vor dem Rollout festgelegt sein.

11. Dokumentieren Sie die menschliche Kontrolle. Protokollieren Sie, wer die Freigabe erteilt und wie die Entscheidungen nachvollziehbar sind. Dies ist ein Kernanforderung für das ISO-27001-Audit.

12. Schulen Sie das Team. Erklären Sie den Mitarbeitern, wie der Agent funktioniert und wann sie eingreifen müssen. Akzeptanz im Team ist entscheidend für den Erfolg.

13. Planen Sie den Rollout auf weitere Abteilungen. Übertragen Sie die Architektur auf andere Workflows, z. B. die Patienten-Triage. Die standardisierten Prompts und Datenmodelle erleichtern die Skalierung.

14. Überwachen Sie die Antwortqualität. Prüfen Sie regelmäßig, ob der Agent noch korrekt klassifiziert und antwortet. Modelle können durch Drift an Qualität verlieren.

15. Optimieren Sie die Prompts kontinuierlich. Passen Sie die Regeln an, wenn sich die Anforderungen ändern. Managed AI Operations umfasst diese laufende Optimierung.

Architektur: Conversational Agent in Slack und Teams

Die Einführung eines Conversational Agenten in der Personalabteilung und im Compliance-Bereich erfordert eine enge Abstimmung zwischen Technik und Recht. Der Agent wird in Slack oder Microsoft Teams eingebunden und übernimmt die erste Reaktion auf eingehende Anfragen. Bei der Kandidatensichtung extrahiert er strukturierte Daten aus den CVs und berechnet einen Match-Score. Nur qualifizierte Kandidaten werden an die HR-Verantwortlichen weitergeleitet. Die First-Response-Time sinkt dadurch von Stunden auf Minuten. Gleichzeitig muss der Agent bei medizinischen Details oder Vertragsfragen sofort eskalieren. Die menschliche Freigabe ist bei Forfis standardmäßig aktiviert, sobald Geld, Gesundheit oder Verträge im Spiel sind. Diese Architektur erfüllt die Anforderungen von ISO 27001, da die Datenflussanalyse und die menschliche Kontrolle dokumentiert sind.

Compliance: ISO 27001 und DSGVO im Medtech-Umfeld

ISO 27001 verlangt in Anhang A.8.32, dass KI-Systeme kontrolliert werden. Für die Kandidatensichtung bedeutet das: Sie müssen dokumentieren, welche Daten in den OpenAI-Context wandern, wie Pseudonymisierung erfolgt und wer die Freigabe erteilt. Ein reines „Wir nutzen KI“ reicht nicht; der Betriebsplan muss die menschliche Kontrolle nachweisen. Die OpenAI-API sendet Daten in die USA. Für sensible Gesundheitsdaten oder unanonymisierte Bewerberdaten in Österreich ist das ohne Auftragsverarbeitungsvertrag (AVV) und Datenflussanalyse riskant. Forfis setzt daher auf Open-Weight-Modelle auf eigener Hardware, wenn Daten das Gebäude nicht verlassen dürfen, und nutzt OpenAI nur für nicht-sensitive Triage-Schritte. Diese Hybrid-Architektur ermöglicht es, die Vorteile der OpenAI-API zu nutzen, ohne die Compliance zu gefährden.

Skalierung: Von HR auf andere Abteilungen

Die Skalierung gelingt durch standardisierte Prompts und gemeinsame Datenmodelle. Wenn der Screening-Agent im HR-Bereich funktioniert, lässt sich dieselbe Architektur auf die Patienten-Triage im medizinischen Bereich übertragen. Wichtig ist, dass die Compliance-Regeln (z. B. DSGVO, ISO 27001) in der Konfiguration zentral verwaltet werden, nicht in jedem einzelnen Prompt. Der Agent wird in Slack oder Microsoft Teams eingebunden. Er überwacht eingehende Nachrichten, extrahiert strukturierte Daten (Name, Erfahrung, Verfügbarkeit) und erstellt einen Ticket-Eintrag im bestehenden CRM oder HR-System. Die Integration erfolgt über die offiziellen APIs der jeweiligen Plattform, ohne dass bestehende Tools ersetzt werden müssen. So bleibt die bestehende Infrastruktur erhalten, während die KI-Ebene dazukommt.

Betrieb: Managed AI Operations und Kosten

Managed AI Operations bedeutet, dass der Dienstleister nicht nur die Software liefert, sondern auch den Betrieb übernimmt: Modell-Updates, Prompt-Optimierung, Monitoring der Antwortqualität und Anpassung an neue Compliance-Vorgaben. Für Teams mit 11 bis 50 Mitarbeitern ist das wirtschaftlicher als eine eigene KI-DevOps-Position. Die Kosten setzen sich aus der Lizenz für die Managed-Operations, der API-Nutzung (OpenAI oder lokale Inferenz) und der Integrationsarbeit zusammen. Bei 11 bis 50 Mitarbeitern liegt der monatliche Aufwand typischerweise unter dem Gehalt einer halben HR-Kraft, die manuell sichtet. Die Einsparung entsteht durch die Reduktion der First-Response-Time und die Eliminierung manueller Dateneingaben. Die 4-Wochen-Frist ist realistisch, wenn der Scope auf einen einzigen Workflow beschränkt bleibt. Erweiterungen auf weitere Abteilungen erfordern zusätzliche Sprints.