La domanda che il consiglio di amministrazione di una banca svizzera pone sull’intelligenza artificiale raramente è “funziona”. Si tratta di "dove vanno a finire i dati". La risposta data dalla maggior parte dei venditori è una clausola contrattuale. La risposta che soddisfa un regolatore, un revisore interno e un cliente il cui nonno ha scelto la banca è un’architettura: una descrizione di ogni luogo in cui un byte di dati del cliente può trovarsi fisicamente, in ogni momento dell’elaborazione, con le persone che possono raggiungerlo nominate.
Iniziare dalla mappa dei dati e dal modello previsto. Localizzare inferenza, identità, log, supporto e backup e valutare insieme regole e garanzie. Il rilascio locale va verificato rispetto a capacità e licenza del modello.
Cosa significa sovranità quando il modello non è il vostro
L’intelligenza artificiale sovrana è una frase che è andata alla deriva. In un ministero significa modelli formati, ospitati e governati secondo la legge nazionale. In una banca significa qualcosa di più ristretto e più utile: l'istituzione decide, e può dimostrare, quali dati raggiungono quale calcolo, in quale territorio legale, sotto il controllo di chi.
Questa definizione separa tre cose che di solito sono confuse insieme.
Il pesi del modello sono l'artefatto prodotto dalla formazione. Possono essere aperti, concessi in licenza per il self-hosting o accessibili solo tramite l'interfaccia di un fornitore. La posizione dei pesi determina il luogo in cui può avvenire l'inferenza.
Il calcolo di inferenza è l'atto di eseguire un prompt attraverso il modello. Succede dove vengono caricati i pesi. Se i pesi si trovano sui server di un fornitore in un'altra giurisdizione, lo stesso vale per ogni richiesta.
Il pipeline di dati è tutto prima e dopo l'inferenza: recupero dai documenti della banca, redazione, registrazione, valutazione, revisione umana. È qui che confluiscono effettivamente la maggior parte dei dati dei clienti ed è interamente sotto il controllo della banca, indipendentemente dal modello utilizzato.
Cosa richiede concretamente la revisione della LPD
Nel settembre 2023 è entrata in vigore la nuova legge federale sulla protezione dei dati. Viene spesso descritta come la risposta della Svizzera al GDPR, e nella struttura lo è. Per quanto riguarda la questione dell’intelligenza artificiale, quattro dei suoi obblighi svolgono il vero lavoro.
Richiede che i dati personali siano trattati solo per lo scopo per cui sono stati raccolti e che l’interessato possa ragionevolmente aspettarsi tale trattamento. Un cliente che ha fornito documenti per aprire un conto non si aspettava che venissero utilizzati per addestrare un modello o che fossero inviati a terzi per un riepilogo, a meno che non fosse stato detto.
Limita la divulgazione dei dati personali all’estero. Il trasferimento verso un Paese senza una protezione adeguata richiede garanzie specifiche e il titolare del trattamento rimane responsabile dei dati una volta partiti. I server di un venditore in un paese terzo costituiscono una divulgazione all'estero, qualunque sia l'aspetto dell'interfaccia.
Richiede una valutazione d’impatto sulla protezione dei dati qualora il trattamento possa presentare un rischio elevato per l’interessato. L’elaborazione automatizzata dei documenti finanziari su larga scala, con un modello il cui comportamento non può essere completamente specificato, è il tipo di elaborazione per cui è stata scritta la disposizione.
Stabilisce obblighi in merito alle decisioni individuali automatizzate: laddove una decisione con effetti giuridici o conseguenze significative sia presa esclusivamente con mezzi automatizzati, l’interessato deve essere informato e può richiedere una revisione umana. Un modello che consiglia se integrare un cliente è al limite di tale disposizione. Al suo interno c’è un modello che decide.
Nessuno di questi obblighi vieta l’uso di modelli linguistici di grandi dimensioni. Tutti vincolano dove possono andare i dati e cosa deve essere documentato prima che arrivino lì. Questo è il punto: la legge è una specificazione architettonica vestita di veste legale.
Lo strato di vigilanza
Al di sopra della legge sulla protezione dei dati si trovano le aspettative di vigilanza dell’Autorità federale di vigilanza sui mercati finanziari. La sua circolare sull'outsourcing considera il trasferimento di funzioni significative a terzi come qualcosa di cui l'istituzione rimane pienamente responsabile. La banca deve essere in grado di verificare il fornitore, istruirlo, recuperare i suoi dati e uscire. Un fornitore modello che tratta i dati dei clienti è, a fini di vigilanza, un partner in outsourcing. La banca deve essere in grado di dire chi presso il venditore può vedere cosa e di dimostrare che l'accordo può essere risolto.
Il segreto bancario ai sensi della Legge sulle banche aggiunge l'obbligo più difficile da soddisfare per i venditori. La riservatezza non è una questione di moduli di consenso. Si collega al rapporto ed è diritto penale. Un'architettura in cui il personale di un fornitore straniero potrebbe, secondo il procedimento legale del proprio paese, essere obbligato a produrre la storia immediata di un cliente svizzero è un'architettura che il consulente legale generale non approverà. Il modo più pulito per evitare la questione è innanzitutto non creare i dati all’estero.
Tre architetture, e ciò che ognuna lascia a vista
Esistono tre modi realistici in cui una banca può utilizzare modelli di frontiera. Differiscono in ciò che lascia l'edificio.
| Architettura | Dove corre l'inferenza | Ciò che lascia il controllo svizzero | Chi può incontrarlo |
|---|---|---|---|
| Interfaccia del venditore | L'infrastruttura del venditore, solitamente all'estero | Ogni richiesta e ogni documento recuperato | Chiunque; è l'impostazione predefinita |
| Distribuzione cloud regionale | La regione svizzera di un hyperscaler, sotto il contratto di locazione del venditore o della banca | Niente in base alla progettazione; telemetria e supporto dell'accesso per eccezione | Istituzioni con una funzione di governance del cloud |
| Pesi aperti self-hosted | Il data center della banca o un fornitore svizzero di colocation | Niente | Istituzioni con una funzione di ingegneria o un'azienda che la costruisce per loro |
La prima architettura è dove la maggior parte dei progetti pilota inizia e dove la maggior parte di loro non dovrebbe restare. La redazione prima della chiamata aiuta, ma la redazione di documenti finanziari non strutturati è inaffidabile e la traccia di controllo rimane nelle mani del fornitore.
Il secondo è dove la maggior parte delle istituzioni dovrebbe approdare per la maggior parte dei casi d’uso. Le regioni svizzere dei grandi fornitori di cloud offrono modelli con contratto di locazione controllato dalla banca, con chiavi di crittografia in possesso della banca e con garanzie contrattuali e tecniche che i suggerimenti non vengono conservati o utilizzati per la formazione. Le esposizioni rimanenti riguardano l'accesso al supporto, la telemetria e la portata legale della giurisdizione madre del fornitore. Ognuna di queste è una domanda nota con una risposta documentata e le risposte rientrano nella valutazione d'impatto sulla protezione dei dati.
La terza è l’opzione sovrana in senso stretto. Esistono ora modelli open-weight di seria qualità e per compiti ben definiti come la classificazione, l’estrazione, il riepilogo e la ricerca interna dei documenti sono più che sufficienti. Il costo è ingegneristico: qualcuno deve eseguire il cluster di inferenza, correggerlo, valutare il modello e sostituirlo quando ne arriva uno migliore. Per una banca privata questo è solitamente il lavoro di un'azienda, non un'assunzione.
Il trattamento transfrontaliero richiede la valutazione di protezione dei dati, riservatezza ed esternalizzazione. La sola ubicazione svizzera non dimostra conformità.
La decisione architettonica, presa correttamente
La decisione non è una scelta ma un insieme di scelte, ed è meglio prenderle in questo ordine.
Classificare i dati prima di scegliere il modello. I dati identificativi del cliente, i dati derivati dal cliente che sono stati aggregati o pseudonimizzati e i dati interni non del cliente hanno obblighi diversi. La maggior parte del valore del primo programma di intelligenza artificiale di una banca risiede nella seconda e terza categoria: ricerca di politiche, stesura di procedure, assistenza sui codici, reporting interno. Inizia da lì, con la più ampia gamma di modelli disponibili, e riserva l’architettura sovrana alla prima categoria.
Decidere esplicitamente il confine di residenza. Annotare i territori legali in cui i dati identificativi del cliente possono essere elaborati e archiviati. Per la maggior parte delle istituzioni svizzere la risposta è la Svizzera, dove lo Spazio economico europeo consente trattamenti specifici con garanzie documentate. Questa frase diventa un vincolo su ogni successivo diagramma dell'architettura.
Scegliete il modello che si adatta al confine, non il contrario. Una volta fissato il confine, l’insieme dei modelli ammissibili è breve e la scelta facile. Le istituzioni che scelgono il modello trascorrono prima un anno cercando di adattare il confine ad esso.
Separare il piano di controllo dal piano dati. L'orchestrazione, la gestione tempestiva, i sistemi di valutazione e il monitoraggio possono essere eseguiti ovunque purché non tocchino mai i dati del cliente. L'inferenza e il recupero dei dati del client vengono eseguiti all'interno del confine. Questa separazione è ciò che rende possibile l'utilizzo degli strumenti di un fornitore senza utilizzare il territorio del fornitore.
Progetta l'uscita prima dell'entrata. Prompt, indici di recupero, dati di messa a punto, set di valutazione e registri sono il patrimonio della banca. Devono essere esportabili in un formato documentato e il modello deve essere sostituibile senza riscrivere le applicazioni sovrastanti. Una sottile astrazione sull'interfaccia del modello costa una settimana e fa risparmiare un anno.
Come dovrebbe suonare la conversazione con il venditore
Un venditore che prende sul serio il mercato svizzero risponderà alle seguenti domande per iscritto e senza esitazione.
- In quale territorio legale viene effettuata l'inferenza per la nostra locazione e ciò può essere stabilito contrattualmente?
- Quale membro del vostro personale, in quali paesi, può accedere ai nostri prompt, output o dati di recupero, in base a quale processo, e tale accesso viene registrato in modo da poterlo verificare?
- I nostri prompt o output vengono conservati dopo la risposta, per quanto tempo e vengono mai utilizzati per addestrare o valutare i modelli?
- In base a quali leggi potreste essere obbligato a divulgare i nostri dati e cosa faresti?
- Potete supportare le chiavi di crittografia gestite dal cliente e cosa succede ai nostri dati se li revochiamo?
- Qual è la procedura documentata per l'uscita e in quale formato riceviamo i nostri dati?
- Quali subresponsabili del trattamento toccano i nostri dati e come veniamo avvisati quando l'elenco cambia?
Un venditore che risponde con un collegamento a una pagina di fiducia non ha risposto. Un venditore che afferma che una domanda è insolita non sta vendendo alle banche.
Cosa fare lunedì
- Chiedete che gli attuali piloti dell'IA siano disegnati come scatole e frecce, colorate per territorio e operatore. La maggior parte delle istituzioni scopre un colore che non ha scelto.
- Scrivi il limite di residenza in una frase e distribuiscilo al CIO, al CRO e al consulente legale generale per la firma. Diventa il vincolo che ogni diagramma successivo deve soddisfare.
- Classificare i primi tre casi d'uso previsti per categoria di dati. Spostare quelli che toccano i dati identificativi del cliente dietro il confine; lasciamo che gli altri procedano con l'insieme più ampio di modelli.
- Commissionare ora la valutazione d’impatto sulla protezione dei dati, come documento di progettazione piuttosto che come ripensamento sulla conformità. Fatto in anticipo, è la revisione dell'architettura.
- Invia le sette domande di cui sopra a tutti i fornitori nella pipeline attuale e abbrevia la pipeline con le risposte.
Fonti e approfondimenti
Materiale primario pertinente al tema dell’articolo. Queste fonti non avallano Altuon né verificano le sue dichiarazioni commerciali.