Andre Kanmegne

Werkstudent, der 3 Produktionsautomatisierungen umgesetzt und dem Frankreich-Team die Autonomie für Anwendungs-Deployment verschafft hat — von Automatisierung über Lösungsarchitektur bis ITSM/IAM und Cloud-Migration.

• Deployment-Autonomie für Entwickler (Frankreich): Übernahm die Deployment-Plattform der deutschen Zentrale und etablierte diese Fähigkeit für das Frankreich-Team — französische Entwickler können ihre Lösungen mit minimaler Abhängigkeit von der zentralen Technik entwickeln und deployen.
• Schaden-Rechnungsautomatisierung (−70 %): Python-Pipeline, die Schaden-Rechnungsbatches einliest, validiert und verarbeitet, mit Datenqualitätsregeln, die Inkonsistenzen vor nachgelagerten Finanzsystemen erkennen — Zyklus um ~70 % verkürzt und wiederkehrende manuelle Prüfungen des Finance-Teams entfielen (Ansatz auf weitere Prozesse ausgeweitet).
• Legacy-Datenabgleich: Dateibasierte, wiederholbare Pipeline, die das manuelle Neuerfassen von Mainframe-Extrakten mit fester Satzlänge ersetzt (Mitversicherung: mehrere Satzarten, Legacy-Kodierung, französische Locale) — wendet die Mitversicherungs-/Provisions-/Steuerlogik an und erzeugt eine prüfsichere Excel-Arbeitsmappe gemäß der Finance-Vorlage.
• Schaden-E-Mail-Archivierung (Produktion, 24/7): Python-Automatisierung, die das manuelle Ziehen von Outlook-E-Mails in das richtige Schadendossier im elektronischen Archiv (GED) ersetzt: Schadennummer-Erkennung, Auflösung über eine Referenztabelle mit ~36.000 Einträgen (Hot-Reload), Deduplizierung, Dokumentenimport, dann Bestätigung oder Quarantäne mit Audit-Trail — läuft unbeaufsichtigt auf einer Windows-VM (Task Scheduler, offline/air-gapped, selbstheilend) mit Tracking-Dashboard.
• Lösungsarchitektur & KI-Transformation: Als Architekt einer maßgeschneiderten Lösung Durchführung eines Software-/Solution-Evaluation-Process (SEP: Build-vs-Buy, Technologie-/Anbietervergleich nach definierten Kriterien) und Scoping eines KI-Integrations-Prototyps für die ITSM-Plattform zur Verbesserung von Support und Wissensmanagement; IT-Koordination Frankreich–Deutschland und Dokumentation.
• Fachanwendungen & ITSM: Administration und Support von 8+ geschäftskritischen Anwendungen (Schaden, Underwriting, Finance, HR); Betrieb des zweistufigen ITSM — GLPI (französische First-Line) und ServiceNow (Gruppen-Eskalation) — und Beitrag zu deren Weiterentwicklung.
• IT-Support & IAM: N1/N2-Support für mehrere hundert französische Nutzer (GLPI) mit N3/N4-Eskalation (ServiceNow); Verwaltung von Geschäftsrollen und Zugriffen (IAM) sowie vollständiges On-/Offboarding, in Abstimmung mit HR und den zentralen deutschen Teams.
• Cloud & Modern Workplace: Beitrag zum Modern-Workplace-/Cloud-Programm (Windows 365, Intune) — Test, Validierung, Nutzeradoption — und Unterstützung der Lift-and-Shift-Migration von On-Premise-VMs nach Azure IaaS (Azure Migrate) und von Anwendungen nach Azure.

• Datenextraktions-Pipelines: Entwicklung und Bereitstellung robuster ETL- und Daten-Scraping-Pipelines (Python, BeautifulSoup) zur Automatisierung der On-Demand-Erfassung von Geschäftsdaten, wodurch wöchentlich stundenlange manuelle Datenverarbeitung eliminiert wurde.
• Frontend & Performance-Optimierung: Entwicklung eines umfassenden UI-Refactorings über einen hybriden Stack (React, TypeScript, Laravel). Implementierung fortschrittlicher Rendering-Strategien und Asset-Komprimierung zur drastischen Verbesserung der Core Web Vitals und der SEO-Sichtbarkeit.

Fuenfjaehriges integriertes Programm mit Fullstack-Entwicklung, DevOps, Cloud-Infrastruktur und Unternehmenssystemen. Module: React, Node.js, Next.js, Docker, Kubernetes, GitHub Actions, AWS, Azure, Software-Architektur, Agile/Scrum, KI und Data Science, Anwendungssicherheit.

Mein RNCP39583-Zertifizierungsprodukt (ein eigenständiges Produkt, das auf der Plattform läuft, getrennt vom Versicherungs-IS): Retrieva automatisiert die DORA-Compliance (EU 2022/2554) für Drittparteien-ICT-Risiko bei Finanzunternehmen — Gap-Analyse der Lieferantendokumentation, LLM-bewertete Fragebögen, ein Compliance-Copilot, 24-Stunden-Monitoring-Alerts und Export des EBA-Informationsregisters (Artikel 28(3)).

• DORA-Gap-Analyse: Upload von Lieferantendokumenten (PDF/DOCX/XLSX) → semantisches Chunking → Qdrant → ein LLM klassifiziert die Abdeckung pro DORA-Artikel (abgedeckt / teilweise / fehlend).
• Compliance-KI-Copilot: intent-klassifiziertes RAG über Ihre Dokumentation + DORA-Artikel, mit Reranking, Kontextkompression und Antwortvalidierung.
• Lieferanten-Fragebögen automatisch generiert und LLM-bewertet; 24-Stunden-BullMQ-Monitoring-Alerts (Zertifikatsablauf, Vertragsverlängerung, überfällige Jahresprüfungen).
• Ein-Klick-Export des EBA-Informationsregisters — eine 4-Blatt-XLSX-Arbeitsmappe (DORA Artikel 28(3), RT.01.01 → RT.04.01).
• Mandantenfähiges SaaS: Workspace-Isolation, JWT + Refresh-Tokens, RBAC (owner/admin/member/viewer) und LLM-Output-Guardrails.

Technologies: Next.js 16 / React 19, Express 5 / Node 20, LangChain, LiteLLM-Gateway, Qdrant, PostgreSQL, Redis / BullMQ, Socket.io, Kargo (2 Images), Docker / Kubernetes

Das führende System für Versicherungsverträge im ktayl-solution-IS. Es besitzt den Vertragslebenszyklus und stellt ihn als governte REST-API bereit, die andere Domänen (Underwriting, Billing) aufrufen, um echte Verträge auszustellen und zu aktivieren.

• Vollständiger Vertragslebenszyklus (Anlage → Aktivierung → Aussetzung → Kündigung) mit Deckungen und Prämien-Tracking, auf PostgreSQL mit SQL-Migrationen.
• Versionierte REST-API (OpenAPI), Machine-to-Machine konsumiert: die Underwriting-Domäne holt ein Authentik-Client-Credentials-Token `policy:write` und legt/übermittelt/aktiviert Verträge im Live-Service.
• Event-Publishing über NATS (Vertrag gebunden/aktiviert), damit nachgelagerte Domänen ohne Kopplung reagieren.

Technologies: Go 1.25, PostgreSQL (CNPG), NATS, Authentik (OIDC client-credentials), OpenAPI, Docker, ArgoCD/Kargo (GitOps)

Multi-Provider-LLM-Routing- und Enterprise-Governance-Plattform auf LiteLLM-Basis unter Kubernetes. Vereinheitlichung von 8 Cloud- und lokalen Providern (Groq, OpenAI, Gemini, DeepSeek, Mistral, Anthropic Claude, HuggingFace featherless-ai via router.huggingface.co und lokales Ollama) hinter einem einzigen API-Endpoint mit intelligentem Fallback-Routing (Ollama→Groq→DeepSeek), Presidio PII/DLP-Bereinigung, 3-stufiger Abteilungsschlüssel-Governance mit abteilungsspezifischen Budget-Caps und Modell-Allowlists, Circuit-Breaker-Schutz, Valkey-Prompt-Cache und vollständigem Langfuse-LLMOps-Tracing. Kostentransparenz über ein Grafana-Dashboard mit SQL-Abfragen auf LiteLLMs PostgreSQL-Nutzungstabellen. Beinhaltet Langfuse v3.201.1 mit ClickHouse-Analytics-Backend, Authentik OIDC und einer NVIDIA NIM-Tier (nemotron-70b, llama-8b, deepseek-r1).

• 8-Provider-Routing: Groq, OpenAI, Gemini, DeepSeek, Mistral, Anthropic Claude, HuggingFace featherless-ai, Ollama — einzelner LiteLLM-Endpoint
• Intelligente Fallback-Kette: Ollama → Groq → DeepSeek — automatisches Failover bei Provider-Ausfall
• Presidio PII/DLP Guardrail — Pre-Call-PII-Maskierung mit finanzspezifischer Entity-Allow-List (Jahre, Orte, URLs ausgeschlossen)
• 3-stufige Abteilungsschlüssel-Governance: Budget-Caps, Modell-Allowlists und Nutzungsquoten pro Abteilung
• Circuit Breaker (Cooldown=60s, allowed_fails=3) + Valkey Prompt Cache (Exact-Match, 600s TTL) — Resilienz und Kostenoptimierung
• Langfuse LLMOps (v3.201.1 + ClickHouse + Valkey + Authentik OIDC) + Grafana-Kostendashboard via PostgreSQL SQL

Technologies: LiteLLM (KI-Gateway), Presidio (PII/DLP), Valkey (Prompt Cache), Langfuse v3.201.1 (LLMOps), ClickHouse (Langfuse-Analytics), Grafana (Kostendashboard), PostgreSQL (Nutzungsdaten), Ollama (lokale Inferenz), Python, Kubernetes (k3s), Authentik (OIDC/SSO), GitHub Actions

Aufbau einer vollständigen mehrsprachigen RAG-Pipeline für die Suche in französischen Versicherungsdokumenten über drei benutzerdefinierte Repos. minicloud-markitdown-proxy (FastAPI): leitet Dokumente nach Typ weiter — PDF/Bilder zu Docling OCR, Office/HTML zu MarkItDown im Pod — mit Docling-kompatibler API-Oberfläche. minicloud-rag-ingest (FastAPI): vollständige Ingestion-Pipeline in einem HTTP-Endpoint — Konvertierung → strukturiertes Heading-Chunking (französisches Versicherungs-Regex) → bge-m3 1024-dim Embedding → pgvector HNSW INSERT. minicloud-postgresql-noavx512: benutzerdefiniertes PostgreSQL-Image mit pgvector's vector.so neu gebaut ohne -mavx512f/bw/vl/dq — behebt SIGILL-Absturz auf i7-8565U/i7-10510U CPUs durch AVX-512 EVEX-Instruktionen in pgvector 0.8.4. Hybrid-Such-Schicht: BM25 mit französischem Snowball-Stemmer + NLTK-Stoppwörter via Init-Container in rank_bm25/utils.py gepatcht. Cross-Encoder-Re-Ranking (ms-marco-MiniLM-L-6-v2) filtert auf Top-3.

• minicloud-markitdown-proxy: PDF/Bilder → Docling OCR, Office/HTML → MarkItDown im Pod (Docling-kompatible API)
• minicloud-rag-ingest: einzelner HTTP-Endpoint — konvertieren → chunken → bge-m3 embedding → pgvector HNSW INSERT
• minicloud-postgresql-noavx512: vector.so ohne AVX-512 neu gebaut — behebt SIGILL auf i7-8565U/i7-10510U (pgvector 0.8.4 SIMD-Bug)
• Französischer BM25: NLTK-Snowball-Stemmer + Versicherungs-Stoppwörter via Kubernetes Init-Container in rank_bm25 gepatcht
• Hybrid-Retrieval: bge-m3 1024-dim Vektor + BM25 + Cross-Encoder-Re-Ranking (ms-marco-MiniLM-L-6-v2, Top-3)
• Supply Chain: Dockerfile + GitHub Actions CI + cosign Keyless-Signierung auf beiden Microservices
• Generierungsschritt über Enterprise KI-Gateway (LiteLLM) geroutet — RAG-Retrieval + Cloud/Lokal-Modellauswahl in einer Pipeline

Technologies: Python, FastAPI, PostgreSQL + pgvector (benutzerdefinierter noavx512-Build, C / Makefile), bge-m3 (Ollama), Docling (OCR/PDF), MarkItDown, rank_bm25 + NLTK (französisches BM25), ms-marco-MiniLM-L-6-v2 (Cross-Encoder), Docker, GitHub Actions, cosign, Kubernetes Init-Container

Die operativen Systeme des ktayl-solution-IS in entscheidungsreife Analytics verwandeln: Live-Quelldatenbanken ingestieren, mit dbt modellieren und ein kuratiertes Datenprodukt in Metabase bereitstellen — eine echte vertikale Scheibe, kein generisches Konnektor-Framework.

• Ingestion der Live-Quell-DBs nach `raw` (Full-Refresh-COPY), dann eine dbt-Medallion (staging → marts) mit getesteten Modellen.
• Datenprodukt `policy_portfolio`: verknüpft Verträge + Underwriting per policy_number, berechnet GWP (maßgebliche tarifierte Prämie, ersatzweise annualisierter Proxy) und TIV.
• Idempotenter, geheimnisfreier Metabase-Provisioner (Python), der die Analytics-Datenquelle + Cards + Dashboard erstellt.

Technologies: dbt, PostgreSQL (CNPG), Python, SQL, Metabase, CloudNativePG, ArgoCD (CronJobs/ESO/netpols)

Die Delivery-Schicht: jede Cluster-Ressource wird in Git deklariert und von ArgoCD (app-of-apps) rekonziliert. Kargo promotet ein unveränderliches Artefakt dev→prod hinter einem CODEOWNERS-Gate, und ArgoCD deployt es — kein manuelles kubectl in Produktion.

• ArgoCD app-of-apps: minicloud-gitops ist die Single Source of Truth (apps/ Applications, helm-values/ Overrides, services/ Manifeste); AppProject mit gesperrten sourceRepos.
• Zwei-Umgebungs-Standard (dev + prod) mit Git-gegatetem Auto-Sync; Prod bewegt sich nur über eine CODEOWNERS-geprüfte, GPG-signierte PR.
• Mehrstufige Kargo-Promotion: die CI baut & beweist ein unveränderliches Image, Kargo öffnet die dev→prod-Promotion-PR, ArgoCD deployt es — die CI berührt den Cluster nie.
• Helm Golden Path: jeder Service ist ein dünner Wrapper-Chart, der von einem geteilten Library-Chart abhängt — ein Helm-Render, eine ArgoCD-Source.
• Supply Chain auf jedem Custom-Image: Trivy CRITICAL exit-1, Cosign-Keyless-Signierung (GitHub OIDC → Sigstore Fulcio), syft-CycloneDX-SBOM als OCI-Referrers, GPG-signierte Bump-Commits.

Technologies: ArgoCD (app-of-apps), Kargo, Helm, Kustomize, GitHub Actions, Cosign, syft (SBOM), Trivy, OPA Gatekeeper, AppProject RBAC

Die Compute-Grundlage der Plattform: ein selbst gehosteter 6-Knoten-k3s-Cluster auf wiederverwendeten ThinkPad-Laptops plus einem MacBook Pro, als Infrastructure-as-Code provisioniert und nach CIS-Benchmarks gehärtet. Das ist die Infrastrukturschicht, auf der alles andere läuft.

• Lebenszyklus vollständig als Code: MAAS kommissioniert die ThinkPad-Hardware → OpenTofu verwaltet den Maschinenzustand → Ansible bootstrappt k3s — ein Knoten ist vom Blech reproduzierbar, kein von Hand konfiguriertes Lieblingsstück.
• Cilium eBPF bewusst statt flannel gewählt — für identitätsbasierte Default-Deny-Network-Policies + Hubble-Flow-Observability über die gesamte Flotte; MetalLB liefert LoadBalancer-IPs auf Bare-Metal.
• Replizierter Longhorn-Block-Storage + Velero/CNPG-Backups in ein clusterexternes MinIO — Failover auf Datenbankebene + Point-in-Time-Recovery auf Consumer-Datenträgern, wo der Storage genau das ist, was tatsächlich ausfällt.
• CIS-gehärtetes Kubelet, Secrets-Verschlüsselung at rest (AES-CBC-256), k3s-Audit-Logging, UFW default-deny + SSH-Härtung auf jedem Knoten.
• Unterbrechungsfreier Lebenszyklus: system-upgrade-controller rollt k3s-Upgrades über alle Knoten via Plans aus — nur Cordon (Longhorn-sicher), kein manuelles SSH.

Technologies: k3s (Kubernetes), MAAS, OpenTofu, Ansible, Cilium eBPF, Hubble, MetalLB, Longhorn, Velero + MinIO, Tailscale, kube-bench (CIS)

Die Kollaborationsschicht des ktayl-solution-IS: ein vollständiger selbst gehosteter Digital Workplace (Mail, Chat, Video, Dateien, E-Signatur) als Ersatz für Microsoft 365 / Google Workspace, aus Open-Source-Apps auf der Kubernetes- + GitOps-Plattform zusammengestellt und hinter Authentik SSO + MFA vereint.

• Mail: Stalwart (JMAP/IMAP/SMTP) leitet ausgehend über Amazon SES mit abgestimmtem SPF/DKIM/DMARC weiter; eingehend über eine SES→S3→SQS→Bridge-Pipeline.
• Kollaborations-Suite: Matrix/Element-Chat, Jitsi-Video, Nextcloud + OnlyOffice für Dateien und Office im Browser, Docuseal-E-Signatur — jede GitOps-ausgeliefert, TLS-terminiert und gesichert.
• Identität als Perimeter: Authentik OIDC SSO + TOTP vor jeder App; browser-first BYOD-/Zero-Trust-Zugriff über Tailscale + Cloudflare Tunnel, keine verwalteten Endgeräte.
• App-übergreifende Automatisierung: n8n und Temporal orchestrieren die Workplace-Prozesse.

Technologies: Authentik (OIDC/SSO), Stalwart Mail + SES, Matrix / Element, Jitsi Meet, Nextcloud / OnlyOffice, Docuseal, n8n, Temporal, cert-manager / TLS, Kubernetes / GitOps

Das ERP + HR-System of Record des ktayl-solution-IS: ERPNext/Frappe auf MariaDB, für die französische Versicherungsbuchhaltung konfiguriert und dort mit eigenem Code erweitert, wo das Standardprodukt aufhört.

• Französische Versicherungsbuchhaltung: der 845-Konten-PCG-2025-Kontenplan + TSCA-Steuervorlagen (9/13/33%) in ERPNext/Frappe auf MariaDB konfiguriert.
• Factur-X-E-Invoicing-PoC (Minimum-Profil) — CII-XML-Erzeugung durch 5 Assertions validiert.
• Maßgeschneiderte Lohnabrechnungs-Erweiterung: französische DSN-Meldung + SEPA-Überweisungserzeugung, unit-getestet (108 Tests, ~76% Abdeckung).
• HR ist die IS-Source-of-Truth; GitOps-ausgeliefert, SSO-geschützt (Authentik), Secrets über ESO/Vault, gesichert.

Technologies: ERPNext / Frappe, MariaDB, Python, Authentik (OIDC/SSO), Factur-X, ESO / Vault, Kubernetes / GitOps