Cloud als Enabler für den regulatorisch konformen Einsatz von KI-Lösungen?

Finanzinstitute stehen vor einer doppelten Herausforderung: Einerseits treiben Cloud-Technologien und Künstliche Intelligenz (KI) die Automatisierung und Effizienzsteigerung im Finanzsektor voran, andererseits setzen regulatorische Vorgaben wie DORA und der AI Act klare Anforderungen für deren Nutzung. Das Problem: Compliance- und Sicherheitsanforderungen müssen konsequent eingehalten werden. Das ist alles andere als trivial.

von Vassilios Tsioupas und Christian Konradt, Senior Manager Risk Advisory bei Deloitte

Um KI-Lösungen sukzessive in die operativen (Geschäfts-) Prozesse zu integrieren, ist die Nutzung cloudbasierter Lösungen essenziell.

Zum einen liefern Cloud-Lösungen die erforderliche Rechenleistung sowie integrierte KI-Dienste, die es ermöglichen, zentrale Anwendungsbereiche wie z.B. Fraud Detection, Claims Management, Anti Money Laundering und Credit Scoring effizient zu unterstützen. “

Ein besonders praxisnahes Beispiel stellt das Claims Management im Versicherungssektor dar. In diesem Szenario werden Schadensmeldungen bzw. Leistungsansprüche automatisch erfasst, kategorisiert und bewertet. Hierbei können KI-basierte Verfahren zum Einsatz kommen, die auf Machine-Learning-Modellen und neuronalen Netzen beruhen und mit umfangreichen Datensätzen trainiert werden, um Muster/ Unregelmäßigkeiten verlässlich zu erkennen. Cloud-Lösungen spielen dabei eine wesentliche Rolle, da u.a. ihre flexible Skalierbarkeit ermöglicht, auch bei hohem Antragsaufkommen große Datenmengen, einschließlich unstrukturierter Informationen wie Dokumente und Bilder, nahezu in Echtzeit zu verarbeiten.

Die zunehmende Nutzung externer Cloud-Lösungen stellt Finanzinstitute jedoch vor eine essenzielle Fragestellung:

Wie lassen sich cloud-native KI-Lösungen gestalten, die sowohl leistungsfähig als auch regulatorisch konform sind?”

KI in der Cloud: Effizienz und Compliance im Einklang

Der Einsatz von Cloud-Lösungen bietet Finanzinstituten die Möglichkeit, KI-Anwendungen effizient und regelkonform zu implementieren – vorausgesetzt, es wird ein ganzheitlicher Ansatz verfolgt, der technische Sicherheitsmaßnahmen mit kontinuierlichen Compliance-Bewertungen und transparenten Entscheidungsprozessen verbindet. “

Im Rahmen dieses Ansatzes ist es entscheidend, dass vor allem alle zugrundeliegenden Informationen bzw. Daten – von der Erfassung über die Verarbeitung bis zur Speicherung – durchgehend geschützt werden. Nach der initialen Klassifizierung der Daten hinsichtlich ihres Schutzbedarfs, also handelt es sich z.B. um vertrauliche bzw. personenbezogene Daten, die durch die Cloud-Lösung verarbeitet werden, muss eine entsprechende Risikoanalyse durchgeführt werden. Diese Risikoanalyse sollte dann KI- und Cloud-spezifische Risken berücksichtigen (wie z.B. potenzielle Risiken zur Datenverarbeitung). Abgleitet vom Risikopotenzial müssen anschließend entsprechende Maßnahmen umgesetzt werden. Hierzu gehören auch dedizierte Sicherheitsmaßnahmen, die u.a. Themen wie Verschlüsselung und Identity & Access Management umfassen. Der Vorteil der Cloud-Nutzung ist hierbei, dass die meisten Cloud-Anbieter entsprechende aktuelle Build-In Funktionalitäten (z.B. für die Data In transit vs. Data At Rest Verschlüsselung) und Tools (beispielsweise für die Analyse von Anomalien des Cloud-Dienstes) für die Umsetzung der Sicherheitsanforderungen zur Verfügung stellen.

Zudem sollten regelmäßig zielgerichtete Reviews, Audits und Validierungen der eingesetzten KI-Modelle erfolgen, um sicherzustellen, dass diese den Anforderungen des AI Act entsprechen.

Eine lückenlose Protokollierung aller Verarbeitungsprozesse sowie der Einsatz von sog. Explainable AI-Methoden tragen dazu bei, Entscheidungsprozesse nachvollziehbar und verständlich zu gestalten und im Falle von Rückfragen durch Regulierungsbehörden einen transparenten Audit-Trail anbieten zu können. “

Insbesondere Feature-Importance-Analysen wie SHAP und LIME spielen bei Explainable AI-Methoden eine zentrale Rolle: SHAP nutzt spieltheoretische Konzepte, um den Einfluss einzelner Variablen auf Modellentscheidungen quantifizierbar zu machen, während LIME lokale Modellapproximationen erstellt, um die maßgeblichen Einflussfaktoren für einzelne Vorhersagen zu identifizieren.

Fazit: Compliance-Motor statt Risiko

Die Cloud darf nicht mehr länger nur als pure Infrastruktur betrachtet werden, sondern vielmehr als Motor und integraler Bestandteil für regulatorische Konformität und Innovationsfähigkeit. Wer Cloud- und KI-Technologien strategisch plant, kann sowohl Effizienzgewinne erzielen als auch den hohen Anforderungen von DORA und AI Act gerecht werden.Vassilios Tsioupas und Christian Konradt, Risk Advisory Deloitte