Kurzcheck, Basis- oder Vollgutachten?
Aktualisiert am 13.10.2026
Nicht jede KI-gebaute Anwendung braucht ein dickes Gutachten. Eine Demo für die nächste Fakultätssitzung braucht eine ehrliche Einschätzung in wenigen Stunden; ein Portal mit Studierendendaten, das fünf Jahre laufen soll, braucht die volle Tiefe. Die richtige Prüftiefe spart Geld — die falsche kostet es später doppelt.
Vier Fragen entscheiden
| Frage | eher S (Kurzcheck) | eher M (Basisgutachten) | eher L (Vollgutachten) |
|---|---|---|---|
| Welche Daten? | keine Personendaten, öffentliche Inhalte | Personendaten in normalem Umfang (Name, E-Mail, Termine) | besondere Kategorien, Prüfungs-, Gesundheits- oder Personaldaten, Forschungsdaten mit Auflagen |
| Wer nutzt es? | kleines Team, intern | eine Einrichtung, angemeldete Nutzende | viele Einrichtungen, öffentlich erreichbar |
| Was hängt dran? | nichts, steht für sich | Mailversand, SSO, eine Fachschnittstelle | mehrere Fachsysteme, Schreibzugriff auf zentrale Daten, KI-Agenten mit Befugnissen |
| Wie lange? | Wochen, Pilot | Jahre, ein Team betreut | Jahre, Übergabe an zentrale IT oder Nachnutzung durch andere |
Faustregel: Die höchste Antwort zählt. Ein kleines internes Werkzeug, das Prüfungsdaten verarbeitet, gehört in L, auch wenn es nur drei Personen nutzen.
Was die Pakete liefern
| S · Kurzcheck | M · Basisgutachten | L · Vollgutachten | |
|---|---|---|---|
| Grundlage | Unterlagen, Demo, Architekturbild | Repository, Doku, Testsystem, CI/CD | zusätzlich Staging, Infrastruktur, Rollenmodell, Logs, Datenschutzunterlagen |
| Ergebnis | Risikohinweise + Empfehlung | Urteil: nutzbar / mit Auflagen / nicht nutzbar | Urteil + Massnahmenplan, Restrisiko, Abnahmekriterien |
| Reproduzierter Build | nein | Build nach Anleitung | ja, mit Protokoll |
| Test am laufenden System | nein | passiv + Missbrauchsfälle | aktiv |
| Richtwert Aufwand | 1–2 AE | 4–8 AE | 10–20 AE |
AE = Arbeitseinheit, in unserem Vorschlag ein Gutachter-Personentag. Die Pakete bauen aufeinander auf: Was im Kurzcheck schon geklärt wurde, wird im Basisgutachten nicht noch einmal bezahlt.
Drei typische Fehlentscheidungen
- Zu flach, weil «nur ein Prototyp». Prototypen werden erstaunlich oft Produktion. Wer im Kurzcheck «geht in Betrieb» ankreuzt, sollte gleich M einplanen.
- Zu tief, bevor die Idee steht. Ein Vollgutachten für etwas, das in drei Wochen neu gebaut wird, ist verschwendet. Erst S, dann entscheiden.
- Einmal prüfen, nie wieder. KI-gebaute Software ändert sich schnell. Nach grösseren Änderungen gehört mindestens ein Kurzcheck dazu — besonders, wenn wieder überwiegend generiert wurde.
Was in welchem Paket genau geprüft wird, steht im öffentlichen Prüfkatalog, filterbar nach S, M und L. Ein vollständiges Beispielgutachten (fiktiv) zeigt das Ergebnis eines Pakets M.