Finansal kurumlar için egemen yapay zeka ve İsviçre veri yerleşimi

Bir İsviçre bankasının yönetim kurulunun yapay zeka hakkında sorduğu soru nadiren "işe yarıyor mu?" oluyor. "Veriler nereye gidiyor?" Çoğu satıcının verdiği cevap bir sözleşme maddesidir. Bir düzenleyiciyi, bir iç denetçiyi ve büyükbabası bankayı seçen bir müşteriyi tatmin eden cevap bir mimaridir: bir bayt müşteri verisinin, işlenmenin her anında fiziksel olarak bulunabileceği her yerin, ona ulaşabilecek kişilerin isimlendirildiği şekilde tanımlanması.

Veri konumu değerlendirmesine veri haritası ve hedef modelle başlayın. Çıkarım, kimlik, günlükler, destek ve yedeklerin konumunu kaydedin; kuralları ve güvenceleri birlikte değerlendirin. Yerel dağıtım, modelin yetenekleri ve lisansına göre doğrulanacak bir seçenektir.

Model size ait olmadığında egemenlik ne anlama gelir?

Egemen yapay zeka artık geçerliliğini yitirmiş bir ifade. Bir bakanlıkta bu, ulusal yasalara göre eğitilen, barındırılan ve yönetilen modeller anlamına gelir. Bir bankada bu, daha dar kapsamlı ve daha kullanışlı bir şey anlamına gelir: Hangi verinin hangi hesaplamaya, hangi yasal bölgede, kimin kontrolü altında ulaşacağına kurum karar verir ve bunu kanıtlayabilir.

Bu tanım, genellikle birbirine karıştırılan üç şeyi birbirinden ayırıyor.

Bu modeli ağırlıkları eğitimle üretilen ürünlerdir. Açık olabilirler, kendi kendine barındırma için lisanslı olabilirler veya yalnızca satıcının arayüzü aracılığıyla erişilebilir olabilirler. Ağırlıkların nerede yaşadığı, çıkarımın nerede yapılabileceğini belirler.

Bu çıkarım hesaplaması model üzerinden bir istemi çalıştırma eylemidir. Ağırlıkların yüklendiği yerde olur. Ağırlıklar satıcının başka bir yetki alanındaki sunucularındaysa, her istem de öyledir.

Bu veri hattı çıkarımdan önceki ve sonraki her şeydir: bankanın kendi belgelerinden alma, düzeltme, günlüğe kaydetme, değerlendirme, insan tarafından inceleme. Burası çoğu müşteri verisinin gerçekte aktığı yerdir ve hangi modeli kullandığına bakılmaksızın tamamen bankanın kontrolü altındadır.

Revize edilmiş FADP'nin gerçekte neyi gerektirdiği

Gözden geçirilmiş Federal Veri Koruma Yasası Eylül 2023'te yürürlüğe girdi. Genellikle İsviçre'nin GDPR'ye yanıtı olarak tanımlanıyor ve yapısı itibariyle de öyle. Yapay zeka sorusuna göre, yükümlülüklerinden dördü asıl işi yapıyor.

Kişisel verilerin yalnızca toplandıkları amaç için işlenmesini ve veri sahibinin makul olarak bu işlemeyi bekleyebilmesini gerektirir. Hesap açmak için belgeler sağlayan bir müşteri, aksi söylenmediği sürece bunların bir model eğitmek için kullanılmasını veya özetlenmesi için üçüncü bir tarafa gönderilmesini beklemiyordu.

Kişisel verilerin yurt dışına açıklanmasını kısıtlamaktadır. Yeterli korumaya sahip olmayan bir ülkeye aktarım, özel önlemler gerektirir ve veri sorumlusu, veriler gittikten sonra da sorumlu olmaya devam eder. Bir satıcının üçüncü bir ülkedeki sunucuları, arayüz nasıl görünürse görünsün, yurtdışındaki bir ifşadır.

İşlemenin veri sahibi için yüksek risk oluşturmasının muhtemel olduğu durumlarda veri koruma etki değerlendirmesi gerektirir. Davranışı tam olarak belirlenemeyen bir modelle mali kayıtların belirli ölçekte otomatik olarak işlenmesi, hükmün yazıldığı işleme türüdür.

Otomatikleştirilmiş bireysel kararlarla ilgili görevleri belirler: Yasal etkisi veya önemli sonucu olan bir kararın yalnızca otomatik yöntemlerle verildiği durumlarda, veri sahibi bilgilendirilmelidir ve insan tarafından inceleme talep edebilir. Bir müşterinin katılımını öneren bir model bu hükmün sınırındadır. Karar veren bir model onun içindedir.

Bu yükümlülüklerin hiçbiri büyük dil modellerinin kullanımını yasaklamaz. Bunların hepsi verinin nereye gidebileceğini ve oraya gitmeden önce nelerin belgelenmesi gerektiğini kısıtlıyor. Mesele şu ki: Kanun, yasal kıyafet giyen bir mimari şartnamedir.

Denetim katmanı

Veri koruma kanununun üzerinde İsviçre Finansal Piyasa Denetleme Kurumunun denetleyici beklentileri yer almaktadır. Dış kaynak kullanımına ilişkin genelge, önemli işlevlerin üçüncü bir tarafa devredilmesini kurumun tamamen sorumlu olduğu bir şey olarak ele almaktadır. Banka, sağlayıcıyı denetleyebilmeli, talimat verebilmeli, verilerini alabilmeli ve çıkabilmelidir. Müşteri verilerini işleyen bir model satıcısı, denetim amacıyla bir dış kaynak ortağıdır. Banka, satıcıda kimin neyi görebildiğini söyleyebilmeli ve anlaşmanın çözülebileceğini gösterebilmelidir.

Bankacılık Kanunu kapsamında banka-müşteri gizliliği, satıcıların yerine getirmesi en zor olan yükümlülüğü daha da artırıyor. Gizlilik, rıza formlarıyla ilgili bir konu değildir. Bu ilişkiye bağlıdır ve ceza hukukudur. Yabancı bir satıcının personelinin, kendi ülkelerinin yasal süreci kapsamında, İsviçreli bir müşterinin anlık geçmişini üretmeye zorlandığı bir mimari, genel danışmanın onaylamayacağı bir mimaridir. Sorusundan kaçınmanın en temiz yolu, ilk etapta veriyi yurt dışında oluşturmamaktır.

Üç mimari ve her birinin açığa çıkardığı şeyler

Bir bankanın sınır sınıfı modelleri kullanmasının üç gerçekçi yolu vardır. Binayı terk eden şeylerde farklılık gösterirler.

İlk mimari, çoğu pilotun başladığı ve çoğunun kalmaması gereken yerdir. Çağrıdan önce düzeltme yapılması yardımcı olur, ancak yapılandırılmamış mali belgelerin düzeltilmesi güvenilir değildir ve denetim takibi satıcıyla birlikte devam eder.

İkincisi, çoğu kurumun kullanım durumlarının çoğunluğu için inmesi gereken yerdir. Büyük bulut sağlayıcılarının İsviçre bölgeleri, bankanın kontrol ettiği bir kiracılık kapsamında, bankanın elinde tuttuğu şifreleme anahtarlarına sahip ve istemlerin saklanmayacağına veya eğitim için kullanılmayacağına dair sözleşmeye dayalı ve teknik garantilere sahip modeller sunuyor. Geriye kalan riskler, destek erişimi, telemetri ve sağlayıcının ana yargı yetkisinin yasal erişimidir. Bunların her biri, belgelenmiş bir cevabı olan bilinen bir sorudur ve cevaplar veri koruma etki değerlendirmesine aittir.

Üçüncüsü ise tam anlamıyla egemenlik seçeneğidir. Ciddi kalitede açık ağırlıklı modeller artık mevcut ve belge sınıflandırma, çıkarma, özetleme ve dahili arama gibi iyi tanımlanmış görevler için fazlasıyla yeterli. Maliyet mühendisliktir: birisi çıkarım kümesini çalıştırmalı, yamamalı, modeli değerlendirmeli ve daha iyisi geldiğinde onu değiştirmelidir. Özel bir banka için bu genellikle bir firmanın işidir, işe alım değil.

Sınır ötesi işleme, veri koruma, gizlilik ve dış kaynak kullanımı gereksinimlerinin değerlendirilmesini gerektirir. İsviçre’de barındırma tek başına uyumu kanıtlamaz.

Doğru şekilde verilen mimari karar

Karar tek bir seçim değil, bir dizi seçimdir ve bunların bu sırayla verilmesi en iyisidir.

Modeli seçmeden önce verileri sınıflandırın. Müşteriyi tanımlayan veriler, bir araya getirilmiş veya takma ad verilmiş müşteriden türetilmiş veriler ve müşteri dışı dahili veriler farklı yükümlülüklere sahiptir. Bir bankanın ilk yapay zeka programındaki değerin çoğu ikinci ve üçüncü kategorilerdedir: politika araştırması, prosedür taslağı hazırlama, kod yardımı, dahili raporlama. Mevcut en geniş model seti ile oradan başlayın ve egemen mimariyi ilk kategoriye ayırın.

İkamet sınırını açıkça belirleyin. Müşteriyi tanımlayan verilerin işlenebileceği ve saklanabileceği yasal bölgeleri yazın. Çoğu İsviçre kurumu için cevap İsviçre'dir; Avrupa Ekonomik Alanı'nın belgelenmiş güvenlik önlemleri altında özel işlemlere izin vermesiyle. Bu cümle, sonraki her mimari diyagramda bir kısıtlama haline gelir.

Sınıra uyacak modeli seçin, tersini değil. Sınır belirlendikten sonra izin verilen model kümesi kısa olur ve seçim kolaydır. Modeli seçen kurumlar ilk önce bir yıl boyunca sınırları modelin etrafına sığdırmaya çalışıyorlar.

Kontrol düzlemini veri düzleminden ayırın. Düzenleme, hızlı yönetim, değerlendirme donanımları ve izleme, müşteri verilerine asla dokunmadıkları sürece her yerde çalışabilir. Sınırın içinde çalışan istemci verileri üzerinden çıkarım ve erişim. Bu ayırma, satıcının bölgesini kullanmadan satıcının takımlarını kullanmayı mümkün kılan şeydir.

Girişten önce çıkışı tasarlayın. İstemler, erişim endeksleri, hassas ayar verileri, değerlendirme setleri ve günlükler bankanın varlıklarıdır. Belgelenmiş bir formatta dışa aktarılabilir olmalı ve model, üzerindeki uygulamaları yeniden yazmaya gerek kalmadan değiştirilebilir olmalıdır. Model arayüzü üzerindeki ince bir soyutlama bir haftaya mal olur ve bir yıl tasarruf sağlar.

Satıcı konuşması nasıl olmalı

İsviçre pazarını ciddiye alan bir satıcı aşağıdaki soruları yazılı olarak ve çekinmeden cevaplayacaktır.

• Kiracılığımız için çıkarım hangi yasal bölgede yapılıyor ve bu sözleşmeyle düzeltilebilir mi?
• Hangi ülkelerdeki personeliniz, istemlerimize, çıktılarımıza veya veri alma verilerimize hangi süreç kapsamında erişebilir ve bu erişim, inceleyebileceğimiz bir şekilde günlüğe kaydediliyor mu?
• İstemlerimiz veya çıktılarımız yanıttan sonra ne kadar süreyle saklanıyor ve modelleri eğitmek veya değerlendirmek için kullanılıyor mu?
• Hangi yasalara göre verilerimizi açıklamaya mecbur kalabilirsiniz ve ne yapardınız?
• Müşteri tarafından yönetilen şifreleme anahtarlarını destekleyebilir misiniz ve bunları iptal edersek verilerimize ne olur?
• Çıkış için belgelenmiş prosedür nedir ve verilerimizi hangi formatta alıyoruz?
• Hangi alt işleyiciler verilerimize dokunuyor ve liste değiştiğinde nasıl bilgilendiriliyoruz?

Bir güven sayfasına bağlantı vererek yanıt veren satıcı yanıt vermemiştir. Bir sorunun olağandışı olduğunu söyleyen bir satıcı bankalara satış yapmıyor demektir.

Pazartesi günü ne yapmalı

1. Mevcut AI pilotlarının bölge ve operatöre göre renklendirilen kutular ve oklar halinde çizilmesini isteyin. Çoğu kurum seçmediği bir rengi keşfeder.
2. İkamet sınırını bir cümle olarak yazın ve imza için CIO'ya, CRO'ya ve baş hukuk müşavirine dağıtın. Bu, sonraki her diyagramın karşılaması gereken kısıtlama haline gelir.
3. İlk üç amaçlanan kullanım durumunu veri kategorisine göre sınıflandırın. Müşteriyi tanımlayan verilere dokunanları sınırın arkasına taşıyın; bırakın diğerleri en geniş model kümesiyle devam etsin.
4. Veri koruma etki değerlendirmesini sonradan akla gelen bir uyumluluk yerine bir tasarım belgesi olarak şimdi devreye alın. Erkenden yapılan mimari incelemedir.
5. Yukarıdaki yedi soruyu mevcut satış hattındaki her satıcıya gönderin ve cevaplara göre satış hattını kısaltın.