Souveräne KI und Schweizer Datenresidenz für Finanzinstitute

Die Frage, die der Vorstand einer Schweizer Bank zu künstlicher Intelligenz stellt, lautet selten: „Funktioniert sie?“. Es geht darum, „wohin gehen die Daten?“. Die Antwort der meisten Anbieter ist eine Vertragsklausel. Die Antwort, die eine Aufsichtsbehörde, einen internen Prüfer und einen Kunden, dessen Großvater sich für die Bank entschieden hat, zufriedenstellt, ist eine Architektur: eine Beschreibung jedes Ortes, an dem sich ein Byte Kundendaten zu jedem Zeitpunkt der Verarbeitung physisch befinden kann, mit Angabe der Personen, die darauf zugreifen können.

Beginnen Sie die Standortprüfung mit Datenkarte und vorgesehenem Modell. Erfassen Sie Inferenz, Identität, Protokolle, Support und Sicherungen und prüfen Sie Regeln und Schutzmassnahmen gemeinsam. Lokaler Betrieb muss mit Fähigkeiten und Lizenz des Modells abgeglichen werden.

Was Souveränität bedeutet, wenn das Modell nicht Ihnen gehört

Souveräne KI ist ein Begriff, der in Vergessenheit geraten ist. In einem Ministerium bedeutet dies, dass Models nach nationalem Recht ausgebildet, betreut und verwaltet werden. In einer Bank bedeutet es etwas engeres und nützlicheres: Das Institut entscheidet und kann nachweisen, welche Daten in welche Berechnung gelangen, in welches Rechtsgebiet, unter wessen Kontrolle.

Diese Definition trennt drei Dinge, die normalerweise miteinander verschwimmen.

Die Modellgewichte sind die durch Training erzeugten Artefakte. Sie können offen sein, für das Selbsthosting lizenziert oder nur über die Schnittstelle eines Anbieters zugänglich sein. Wo die Gewichte leben, bestimmt, wo Schlussfolgerungen gezogen werden können.

Die Inferenzberechnung ist der Vorgang, bei dem eine Eingabeaufforderung durch das Modell ausgeführt wird. Es passiert dort, wo die Gewichte belastet werden. Wenn sich die Gewichte auf den Servern eines Anbieters in einer anderen Gerichtsbarkeit befinden, gilt dies auch für alle Eingabeaufforderungen.

Die Datenpipeline ist alles vor und nach der Inferenz: Abruf aus den eigenen Dokumenten der Bank, Schwärzung, Protokollierung, Auswertung, menschliche Überprüfung. Hier fließen tatsächlich die meisten Kundendaten und sie liegen vollständig in der Kontrolle der Bank, unabhängig davon, welches Modell sie verwendet.

Was das revidierte DSG eigentlich verlangt

Das revidierte Bundesgesetz über den Datenschutz ist im September 2023 in Kraft getreten. Es wird oft als die Antwort der Schweiz auf die DSGVO bezeichnet und ist es auch im Aufbau. Bei der KI-Frage erledigen vier ihrer Verpflichtungen die eigentliche Arbeit.

Es verlangt, dass personenbezogene Daten nur für den Zweck verarbeitet werden, für den sie erhoben wurden, und dass die betroffene Person diese Verarbeitung vernünftigerweise erwarten kann. Ein Kunde, der Dokumente für die Kontoeröffnung zur Verfügung stellte, rechnete nicht damit, dass diese zum Training eines Models verwendet oder zur Zusammenfassung an Dritte gesendet würden, sofern er nicht darüber informiert wurde.

Es schränkt die Weitergabe personenbezogener Daten ins Ausland ein. Für die Übermittlung in ein Land ohne angemessenen Schutz sind besondere Sicherheitsvorkehrungen erforderlich und der Verantwortliche bleibt für die Daten verantwortlich, nachdem diese das Land verlassen haben. Server eines Anbieters in einem Drittland sind eine Offenlegung im Ausland, unabhängig davon, wie die Schnittstelle aussieht.

Es erfordert eine Datenschutz-Folgenabschätzung, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die betroffene Person darstellt. Die automatisierte Verarbeitung von Finanzunterlagen im großen Maßstab mit einem Modell, dessen Verhalten nicht vollständig spezifiziert werden kann, ist die Art der Verarbeitung, für die die Bestimmung geschrieben wurde.

Darin werden Pflichten im Zusammenhang mit automatisierten Einzelentscheidungen festgelegt: Wenn eine Entscheidung mit Rechtswirkung oder erheblicher Tragweite ausschließlich automatisiert getroffen wird, muss die betroffene Person informiert werden und kann eine menschliche Überprüfung verlangen. Ein Modell, das Empfehlungen zum Onboarding eines Kunden gibt, liegt am Rande dieser Bestimmung. Darin steckt ein Modell, das entscheidet.

Keine dieser Verpflichtungen verbietet die Verwendung großer Sprachmodelle. Sie alle legen fest, wohin die Daten gehen dürfen und was dokumentiert werden muss, bevor sie dorthin gelangen. Darum geht es: Das Gesetz ist eine architektonische Vorgabe im juristischen Gewand.

Die Aufsichtsebene

Über dem Datenschutzgesetz steht die Aufsichtserwartung der Eidgenössischen Finanzmarktaufsicht. Im Rundschreiben zum Outsourcing wird die Übertragung wesentlicher Funktionen an Dritte als etwas behandelt, für das das Institut die volle Verantwortung trägt. Die Bank muss in der Lage sein, den Anbieter zu prüfen, ihn zu beauftragen, seine Daten abzurufen und auszusteigen. Ein Modellanbieter, der Kundendaten verarbeitet, ist aufsichtsrechtlich ein Outsourcing-Partner. Die Bank muss in der Lage sein, zu sagen, wer beim Verkäufer was sehen kann, und nachweisen zu können, dass die Vereinbarung rückabgewickelt werden kann.

Das Bankkundengeheimnis nach dem Kreditwesengesetz stellt eine Verpflichtung dar, die für Anbieter am schwierigsten zu erfüllen ist. Vertraulichkeit ist keine Frage von Einverständniserklärungen. Es hängt mit der Beziehung zusammen und ist Strafrecht. Eine Architektur, bei der die Mitarbeiter eines ausländischen Anbieters im Rahmen des rechtlichen Verfahrens ihres eigenen Landes gezwungen werden könnten, die zeitnahe Historie eines Schweizer Kunden vorzulegen, ist eine Architektur, die der General Counsel nicht gutheißen wird. Der sauberste Weg, die Frage zu umgehen, besteht darin, die Daten gar nicht erst im Ausland zu erstellen.

Drei Architekturen und was jede einzelne offen lässt

Es gibt drei realistische Möglichkeiten für eine Bank, Frontier-Class-Modelle zu verwenden. Sie unterscheiden sich darin, was das Gebäude verlässt.

Die erste Architektur ist der Ort, an dem die meisten Pilotprojekte beginnen und bei dem die meisten von ihnen nicht bleiben sollten. Eine Schwärzung vor dem Anruf ist hilfreich, aber die Schwärzung unstrukturierter Finanzdokumente ist unzuverlässig und der Prüfpfad verbleibt beim Anbieter.

Der zweite Punkt ist, wo die meisten Institutionen für die meisten Anwendungsfälle landen sollten. Die Schweizer Regionen der großen Cloud-Anbieter bieten Modelle im Rahmen eines Mietvertrags an, der von der Bank kontrolliert wird, mit Verschlüsselungsschlüsseln, die die Bank hält, und mit vertraglichen und technischen Garantien, dass Eingabeaufforderungen nicht gespeichert oder für Schulungen verwendet werden. Die verbleibenden Risiken betreffen Supportzugang, Telemetrie und die rechtliche Reichweite der Muttergerichtsbarkeit des Anbieters. Bei jeder dieser Fragen handelt es sich um eine bekannte Frage mit einer dokumentierten Antwort, und die Antworten gehören in die Datenschutz-Folgenabschätzung.

Die dritte Option ist die souveräne Option im engeren Sinne. Mittlerweile gibt es Modelle mit offenem Gewicht von seriöser Qualität, die für genau definierte Aufgaben wie Dokumentklassifizierung, -extraktion, -zusammenfassung und interne Suche mehr als ausreichend sind. Die Kosten sind technischer Natur: Jemand muss den Inferenzcluster betreiben, ihn patchen, das Modell bewerten und es ersetzen, wenn ein besseres Modell eintrifft. Für eine Privatbank ist dies in der Regel eine Firmenaufgabe und keine Anstellung.

Grenzüberschreitende Verarbeitung erfordert die Prüfung von Datenschutz, Vertraulichkeit und Auslagerungsvorgaben. Ein Schweizer Hostingstandort allein belegt keine Konformität.

Die Architekturentscheidung, richtig getroffen

Bei der Entscheidung handelt es sich nicht um eine Auswahlmöglichkeit, sondern um eine Reihe davon, und sie werden am besten in dieser Reihenfolge getroffen.

Klassifizieren Sie die Daten, bevor Sie das Modell auswählen. Für kundenidentifizierende Daten, vom Kunden abgeleitete Daten, die aggregiert oder pseudonymisiert wurden, und interne Nicht-Kundendaten gelten unterschiedliche Pflichten. Der größte Wert des ersten KI-Programms einer Bank liegt in der zweiten und dritten Kategorie: Richtliniensuche, Verfahrensentwurf, Kodexunterstützung, interne Berichterstattung. Beginnen Sie dort mit der breitesten Auswahl an verfügbaren Modellen und reservieren Sie die souveräne Architektur für die erste Kategorie.

Legen Sie die Grenze der Datenresidenz explizit fest. Notieren Sie die Rechtsgebiete, in denen kundenidentifizierende Daten verarbeitet und gespeichert werden dürfen. Für die meisten Schweizer Institutionen ist die Antwort die Schweiz, wobei der Europäische Wirtschaftsraum eine bestimmte Verarbeitung unter dokumentierten Schutzmaßnahmen zulässt. Dieser Satz wird zu einer Einschränkung für jedes nachfolgende Architekturdiagramm.

Wählen Sie das Modell so aus, dass es zur Grenze passt, nicht umgekehrt. Sobald die Grenze festgelegt ist, ist die Menge der zulässigen Modelle kurz und die Auswahl einfach. Institutionen, die sich für das Modell entscheiden, verbringen zunächst ein Jahr damit, die Grenze daran anzupassen.

Trennen Sie die Steuerebene von der Datenebene. Orchestrierung, zeitnahes Management, Evaluierungssysteme und Überwachung können überall ausgeführt werden, solange sie niemals Kundendaten berühren. Die Inferenz und der Abruf von Clientdaten erfolgen innerhalb der Grenze. Durch diese Trennung ist es möglich, die Werkzeuge eines Anbieters zu nutzen, ohne das Vertriebsgebiet zu beanspruchen.

Gestalten Sie den Ausgang vor dem Eingang. Eingabeaufforderungen, Abrufindizes, Feinabstimmungsdaten, Bewertungssätze und Protokolle sind das Vermögen der Bank. Sie müssen in einem dokumentierten Format exportierbar sein und das Modell muss austauschbar sein, ohne dass die darüber liegenden Anwendungen neu geschrieben werden müssen. Eine dünne Abstraktion über die Modellschnittstelle kostet eine Woche und spart ein Jahr.

Wie das Gespräch mit dem Anbieter klingen sollte

Ein Anbieter, der den Schweizer Markt ernst nimmt, wird die folgenden Fragen ohne zu zögern schriftlich beantworten.

• Auf welchem Rechtsgebiet erfolgt die Abrechnung unseres Mietverhältnisses und kann dies vertraglich geregelt werden?
• Welche Ihrer Mitarbeiter können in welchen Ländern unter welchem Verfahren auf unsere Eingabeaufforderungen, Ausgaben oder Abrufdaten zugreifen und wird dieser Zugriff so protokolliert, dass wir ihn überprüfen können?
• Werden unsere Eingabeaufforderungen oder Ausgaben nach der Antwort für wie lange gespeichert und werden sie jemals zum Trainieren oder Bewerten von Modellen verwendet?
• Nach welchen Gesetzen könnten Sie zur Offenlegung unserer Daten verpflichtet sein und was würden Sie tun?
• Können Sie vom Kunden verwaltete Verschlüsselungsschlüssel unterstützen und was passiert mit unseren Daten, wenn wir sie widerrufen?
• Wie ist das dokumentierte Ausstiegsverfahren und in welchem Format erhalten wir unsere Daten?
• Welche Unterauftragsverarbeiter verarbeiten unsere Daten und wie werden wir benachrichtigt, wenn sich die Liste ändert?

Ein Anbieter, der mit einem Link zu einer Vertrauensseite antwortet, hat nicht geantwortet. Ein Verkäufer, der sagt, eine Frage sei ungewöhnlich, verkauft nicht an Banken.

Was tun am Montag?

1. Bitten Sie darum, die aktuellen KI-Piloten als Kästchen und Pfeile darzustellen, farbig nach Gebiet und Betreiber. Die meisten Institutionen entdecken eine Farbe, die sie nicht gewählt haben.
2. Schreiben Sie die Grenze der Datenresidenz in einem Satz auf und leiten Sie ihn zur Unterschrift an den CIO, den CRO und den General Counsel weiter. Es wird zur Einschränkung, die jedes spätere Diagramm erfüllen muss.
3. Klassifizieren Sie die ersten drei beabsichtigten Anwendungsfälle nach Datenkategorie. Verschieben Sie diejenigen, die kundenidentifizierende Daten berühren, hinter die Grenze. Lassen Sie die anderen mit der breitesten Auswahl an Modellen fortfahren.
4. Beauftragen Sie die Datenschutz-Folgenabschätzung jetzt als Entwurfsdokument und nicht als nachträglichen Compliance-Gedanken. Früher erledigt, ist es die Architekturüberprüfung.
5. Senden Sie die sieben oben genannten Fragen an jeden Anbieter in der aktuellen Pipeline und verkürzen Sie die Pipeline um die Antworten.