feat: Auswertung der Sprachnotizen mit Claude (T7 L4 Tasks 14, 15)

Task 14: Port StructuredModel mit Anthropic-Adapter (@anthropic-ai/sdk
0.131.0 exakt, Lieferkette geprüft), fester Endpunkt
https://api.anthropic.com (Umgebungs-Header werden entfernt), feste
Systemregeln ohne Datum/Volk/Person, Transkript als Daten in Tags,
strukturierte Ausgabe per JSON-Schema mit effort low, serverseitiger
Fallback per VOICE_SERVER_FALLBACK abschaltbar. Jeder Vorschlag wird
geprüft: bekanntes Feld, Wert in den Formulargrenzen, Zitat steht
wörtlich im Gesagten (Dezimalzahl als ein Wort), Korrektur gewinnt.
Netzwächter: nur die Worker-Verdrahtung erreicht den Adapter
(transitiv geprüft).

Task 15: Worker-Schleife voice-extractions (LISTEN + 15-s-Abfrage, ein
Lauf zugleich, höchstens 20 Notizen je Lauf), Modellaufruf außerhalb
jeder Transaktion mit 240-s-Obergrenze, Ergebnis versiegelt mit
Ereignis nur bei gehaltenem Claim; ohne Schlüssel EXTRACT_DISABLED ohne
Versuch, Tageslimit zählt jeden bezahlten Aufruf über das neue Journal
VoiceExtractionCall (nur IDs, Modell, Tokens, Ergebnis; 90 Tage, nicht
im Backup). Nur der Worker-Container erhält ANTHROPIC_API_KEY aus dem
Secret apicore-anthropic (optional); API- und Job-Rollen warnen, wenn
der Schlüssel bei ihnen gesetzt ist.

Gates: Backend lint, typecheck, 4589 Unit-Tests, build; e2e 104 Suites
(nur der Wetter-Test gegen die echte API schwankt); Manifest-Policy 55.

Refs #27

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

deploy/k8s/components/voice/kustomization.yaml

@@ -1,11 +1,11 @@
 # Sprachnotizen (Spec T7 11.1 und 11.3): der CronJob, der Ton im Cluster
 # abschreibt. Rollout: nach backend-roles (gleiche Backend-Rollen, gleiches
 # Secret) und erst, wenn VOICE_ENCRYPTION_KEY in apicore-backend-secret steht.
-#
-# Zurueckgestellt (Controller-Entscheid 9): patch-worker-voice.yaml mit
-# ANTHROPIC_API_KEY (secretKeyRef apicore-anthropic, optional) im Worker. Es
-# wird erst angelegt, wenn die Claude-Auswertung freigegeben ist.
+# patch-worker-voice.yaml: ANTHROPIC_API_KEY nur im Worker (Secret apicore-anthropic,
+# optional).
 apiVersion: kustomize.config.k8s.io/v1alpha1
 kind: Component
 resources:
   - cronjob-voice-transcribe.yaml
+patches:
+  - path: patch-worker-voice.yaml