Datenschutz, KVKK, Kundengeheimnis und Gesetzgebung

Gewinne:

• Möglichkeit zur Anonymisierung von Kunden- und Finanzdaten im Rahmen der KVKK-, Kundengeheimnis- und Bankgeheimnisregeln sowie der Anwendung sicherer Fahrzeug- und Datenverarbeitungsregeln
• Verständnis der durch die Bankengesetzgebung (BRSA, MASAK, KVKK) auferlegten Verpflichtungen zum Einsatz künstlicher Intelligenz und der Notwendigkeit der Überprüfbarkeit
• Fähigkeit zu verstehen, warum Modellerklärbarkeit, Aufzeichnungen und Prüfpfade obligatorisch sind, und die Verantwortungskette aufrechtzuerhalten

Im Bankwesen sind Daten Gold – aber auch Verantwortung. Das Gehalt, das Ausgabeverhalten, die Bonität und die Kontobewegungen eines Kunden sind hochsensible personenbezogene Daten und gesetzlich geschützt. KI liefert bei der Arbeit mit diesen Daten aussagekräftige Ergebnisse; Aber die gleiche Kraft kann auf Knopfdruck einen schwerwiegenden Verstoß bewirken. In dieser Einheit erfahren Sie, wie Kunden- und Finanzdaten im Rahmen von KVKK, Kundengeheimnis und Bankgeheimnis geschützt werden, welche Verpflichtungen die Bankengesetzgebung (BRSA, MASAK, KVKK) für den Einsatz künstlicher Intelligenz auferlegt und warum Modellerklärbarkeit und Prüfpfad obligatorisch sind. Grundprinzip: Daten sind Eigentum ihres Eigentümers; Ihr Schutz ist keine technische Entscheidung, sondern eine rechtliche und ethische Verpflichtung.

Zweischichtiger Schutz: KVKK und Kundengeheimnis

Kundendaten werden durch zwei separate Frameworks geschützt:

• KVKK (Gesetz zum Schutz personenbezogener Daten): Alle Daten, die eine Person spezifisch/identifizierbar machen, sind personenbezogene Daten. Für die Verarbeitung ist eine Rechtsgrundlage (ausdrückliche Einwilligung oder berechtigter Grund) erforderlich; Es sollte auf den Zweck beschränkt, verhältnismäßig und sicher sein. Von besonderer Bedeutung sind Finanzdaten.
• Kundengeheimnis (Bankengesetz): Alle Informationen, die die Bank über ihren Kunden erfährt, sind geheim und dürfen nicht ohne Genehmigung weitergegeben werden. Diese Verpflichtung bindet auch den Bankmitarbeiter.

Das Hochladen von Kundendaten in ein nicht genehmigtes KI-Tool könnte gegen beide Frameworks gleichzeitig verstoßen.

Datentyp

Schutz

riskantes Verhalten

Name, TR, IBAN

Persönliche Daten + Geheimnis

Betreten des Fahrzeugs ohne Anonymisierung

Kontoauszug

Persönliche Daten + Geheimnis

Betrieb in einem nicht zugelassenen Fahrzeug

Kreditwürdigkeit/Geschichte

Persönliche Daten + Geheimnis

Teilen ohne Zweck

Anonyme Segmentdaten

geringes Risiko

(Risiko, wenn die Identität wiederhergestellt werden kann)

Tipp: Es reicht nicht aus zu sagen „Ich habe anonymisiert“; Die Daten müssen tatsächlich anonymisiert sein. Schon eine geringe Anzahl von Merkmalen (Alter + Nachbarschaft + Beruf) kann eine Person identifizieren. Bei der Anonymisierung: „Können diese Daten an die Person zurückgegeben werden?“ Stellen Sie die Frage.

Sichere Datenverarbeitungsschritte

1. Anonymisieren/maskieren. Identifizierungsbereiche entfernen; Verwenden Sie bei Bedarf einen Aliaswert.
2. Mindestdaten (Datenminimierung). Verarbeiten Sie die für die Aufgabe erforderlichen Mindestdaten. Tragen Sie nicht zu viele Daten bei sich, nur für den Fall, dass Sie sie benötigen.
3. Begrenzen Sie es mit Absicht. Daten nur für den Zweck verwenden, für den sie erhoben wurden; Übertragen Sie die zur Gutschrift erhaltenen Daten nicht an das Marketing.
4. Zugelassenes und sicheres Fahrzeug. Nutzen Sie die vertraglichen Datenverarbeitungssicherungsinstrumente der Bank; Geben Sie Kundendaten nicht in öffentliche Tools ein, bei denen unklar ist, wohin die Daten gehen.
5. Audit-Trail. Erfassen Sie, welche Daten zu welchem ​​Zweck und welches Tool verwendet wurden.
6. Lagerung und Entsorgung. Bewahren Sie Daten nicht länger als nötig auf; Abgelaufenes Produkt gemäß den Richtlinien entsorgen.

Verpflichtungen, die sich aus der Gesetzgebung zur künstlichen Intelligenz ergeben

• Erklärbarkeit: Geregelte Entscheidungen (z. B. Kredite) müssen begründbar sein; Die „Black-Box“-Entscheidung ist nicht überprüfbar.
• Prüfpfad: Modellausgabe, verwendete Daten und endgültige Entscheidung sollten aufgezeichnet werden; Die Frage „Warum wurde diese Entscheidung getroffen?“ sollte später beantwortet werden.
• Menschliche Aufsicht: Menschen müssen in wichtige Entscheidungen einbezogen werden; Vollautomatische, unbeaufsichtigte Entscheidungsmechanismen können im Widerspruch zur Regulierung stehen.
• Widerspruchs- und Berichtigungsrecht: Das Recht des Kunden, der Entscheidung zu widersprechen und eine Berichtigung seiner Daten zu verlangen, muss gewahrt bleiben.
• Verantwortungskette: Es ist immer klar, wer für die Entscheidung verantwortlich ist – nicht das Modell, sondern die zuständige Person und Institution.

Achtung: Eine Verletzung der Vertraulichkeit oder eines Gesetzes kann Monate oder sogar Jahre später bei einer Prüfung aufgedeckt werden und zu hohen Bußgeldern, Reputationsverlust und rechtlicher Haftung führen. „Nicht bemerkt“ ist keine Zusicherung; Registrierung und Compliance werden von Anfang an festgelegt.

Vier kopierbare Vorlagen

1) Anonymisierungskontrolle:

Überprüfen Sie den folgenden Text, bevor Sie ihn an ein Tool der künstlichen Intelligenz übergeben: Welche Informationen enthält er, die die Person identifizierbar machen (Name, TR-ID, IBAN, Telefon, Adresse, seltene Merkmalskombination)? Listen Sie sie alle auf und schlagen Sie vor, wie man sie maskiert.Text: [Daten]

2) Zweck und Mindestdatenkontrolle:

Welcher Mindestdatensatz ist für diese Aufgabe wirklich erforderlich? Welche der folgenden Felder sind für die Aufgabe unnötig und sollten entfernt werden? Markieren Sie missbrauchsgefährdete Bereiche. Aufgabe: [Beschreibung] Felder: [Liste]

3) Entwurf des Audit-Trail-Protokolls:

Ihre Rolle: Assistent, der ein Audit-Trail-Protokoll erstellt. Erstellen Sie ein übersichtliches Transaktionsprotokoll mit folgenden Informationen: welche Daten (anonym), welcher Zweck, welches Medium, welches Datum, wer verantwortlich ist. Belassen Sie die fehlenden Felder als „[auszufüllen]“. Eingabe: [Informationen]

4) Antwort auf Kundendatenanfragen (KVKK-Rechte):

Ein Kunde beantragte im Rahmen von KVKK den Zugriff/die Berichtigung seiner Daten. Verfassen Sie eine Antwort, die respektvoll und klar ist und Sie an Ihre Rechte (Zugriff, Berichtigung, Widerspruch) erinnert. Hinzufügen neuer personenbezogener Daten; Erklären Sie die Prozessschritte. Der Beamte wird dies überprüfen.

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

Schwache Eingabeaufforderung:

Der vollständige Name, die TR-ID-Nummer und der Kontoauszug des folgenden Kunden für die letzten 6 Monate sind beigefügt; Analysieren Sie dies und geben Sie mir ein Profil. Seien Sie schnell.

Es gibt Identitätsdaten ohne Genehmigung weiter, verstößt gegen die Datensparsamkeit und verstößt gegen Kundengeheimnisse.

Kraftvolle Aufforderung:

Ihre Rolle: Analyseassistent, der mit anonymen Daten arbeitet. Ich gebe Ihnen nur anonymisierte, minimale Daten: 42 Jahre alt, X-Segment, durchschnittliche monatliche Ausgabenspanne [Bereich]. Abfrage personenbezogener Daten oder Rückschluss auf die Identität. Ich werde die Ausgabe im genehmigten Prozess verwenden und speichern.

Strong Prompt arbeitet anonym und mit minimalen Daten, verhindert die Extraktion von Identitäten und sorgt für einen Prüfpfad.

drei Mini-Koffer

Fall 1 – Korrekte Verarbeitung. Ein Analyst führt eine Verhaltensanalyse von 5.000 Kunden mit ausschließlich anonymen, aggregierten Daten durch; Es gelangt kein Identifikationsfeld in das Fahrzeug, das genutzte Fahrzeug und der Verwendungszweck werden erfasst. Das Ergebnis schafft Geschäftswert und es werden keine Vertraulichkeitsgrenzen überschritten.

Fall 2 – Risiko einer erneuten Identifizierung. Ein Team entdeckt, dass einige Kunden anhand einer Kombination aus Alter, Nachbarschaft und seltener Beschäftigung in einem ihrer Meinung nach „anonymen“ Datensatz individuell identifiziert werden können. Durch die Generalisierung dieser Felder (Altersspanne, große Region) werden die Daten erneut anonymisiert. Das Tag „Anonym“ gilt ohne Prüfung als nicht sicher.

Fall 3 – Audit-Trail wird wiederhergestellt. Eine Kreditentscheidung kann Jahre später angefochten werden. Die Bank zeigt anhand des Prüfprotokolls, auf welchen geprüften Daten die Entscheidung beruhte, auf welchen Grundlagen sie getroffen wurde und wer sie genehmigt hat. Dank des Protokolls kann die Entscheidung verteidigt werden; Gäbe es keine Spur, wäre die Bank in einer schwierigen Situation.

Cloud-, Drittanbieter- und Datenresidenz

Die meisten KI-Tools laufen in der Cloud und verarbeiten Daten auf ihren eigenen Servern. Dies wirft im Banking eine zusätzliche Ebene von Fragen auf: Wohin gehen die Daten und wer kann dort darauf zugreifen? Das Senden von Kundendaten an ein Tool bedeutet oft, dass diese Daten außerhalb der Bank übertragen werden. Daher ist die Auswahl eines Tools keine technische Entscheidung, sondern eine Compliance-Entscheidung.

Zu berücksichtigende Punkte:

• Datenverarbeitungsvertrag: Gibt es einen Vertrag mit dem Tool-Anbieter, der regelt, wie Daten verarbeitet, gespeichert und gelöscht werden? „Kostenlose“ und vertragsfreie Tools sind für Bankdaten nicht berechtigt.
• Verwendung im Training: Erfahren Sie, ob die von Ihnen eingegebenen Daten beim Training des Modells verwendet werden. Bei Verwendung können Kundengeheimnisse an andere Orte gelangen.
• Datenspeicherort: Das Land, in dem die Daten gespeichert werden, ist sowohl im Hinblick auf KVKK als auch auf internationale Übertragungsregeln wichtig.
• Zugriff und Protokollierung: Wird protokolliert, wer darauf zugreift?

Achtung: „Das Fahrzeug scheint sicher zu sein“ ist keine Zusicherung. Bevor ein Tool in der Bank eingesetzt werden kann, muss es die Informationssicherheits- und Compliance-Genehmigung bestehen. Die Eingabe von Kundendaten in ein nicht genehmigtes Tool bedeutet, dass die Daten weitergegeben werden, ohne zu wissen, wohin sie gehen.

Häufige Fehler

• Weitergabe von Identitätsdaten ohne Genehmigung. Betreten des Fahrzeugs ohne Anonymisierung Ihres Namens, Ihrer TR-ID und Ihrer IBAN.
• Vorausgesetzt „anonym“. Betrachten Sie die Daten als sicher, ohne den erneuten Identifizierungstest durchzuführen.
• Zweckdrift. Verwendung der für einen Zweck erhobenen Daten für einen anderen Zweck.
• Umgehen des Audit-Trails. Daten, Zweck und Mittel nicht erfassen; später nicht zur Rechenschaft gezogen werden können.
• Black-Box-Entscheidung. In Anbetracht einer automatischen Entscheidung, die nicht als legitim gerechtfertigt werden kann.

Tipp: Vertraulichkeit und Compliance sind keine „Barriere“, sondern die Grundlage des Vertrauens. Der Kunde vertraut der Bank, weil er weiß, dass seine Daten geschützt sind. Dieses Vertrauen für eine Abkürzung zu riskieren, ist der teuerste Fehler.

Zusammenfassend

Kundendaten sind sowohl personenbezogene Daten im Sinne der KVKK als auch Kundengeheimnisse im Sinne des Kreditwesengesetzes; Es ist doppelt geschützt. Anonymisieren (und gegen erneute Identifizierung testen), mit minimalen Daten und Zwecken arbeiten, nur zugelassene sichere Tools verwenden, einen Prüfpfad hinterlassen. Die Gesetzgebung erfordert Erklärbarkeit, menschliche Kontrolle, Widerspruchsrecht und eine klare Verantwortungskette. In einem Satz: Daten sind das Vertrauen des Eigentümers; Es liegt in der Verantwortung einer kompetenten Person, diese zu schützen, aufzuzeichnen und darüber Rechenschaft abzulegen.

Anwendungsaufgabe

Schreiben Sie einen Beispieltext für Kundendaten (mit ID-Feldern) und führen Sie eine Anonymisierungsprüfung mit Vorlage 1 durch; Bestimmen Sie, welche Bereiche maskiert werden sollen. Definieren Sie dann eine Aufgabe und extrahieren Sie den Mindestdatensatz mit der 2. Vorlage und entfernen Sie unnötige Felder. Erstellen Sie abschließend mit der dritten Vorlage einen Entwurf eines Audit-Trail-Datensatzes, in dem aufgeführt ist, welche Informationen für jede Transaktion aufbewahrt werden sollen.

Checkliste

• [ ] Ich habe die ID-Felder anonymisiert und auf Wiedererkennung getestet.
• [ ] Ich habe nur die für die Aufgabe erforderlichen Mindestdaten verarbeitet.
• [ ] Ich habe die Daten nur zweckgebunden genutzt; Ich habe mir das Ziel nicht entgehen lassen.
• [ ] Ich bin nur zugelassene und sichere Fahrzeuge gefahren.
• [ ] Ich habe die Daten, den Zweck, die Mittel und den Auftraggeber im Audit Trail festgehalten.
• [ ] Ich habe die Erklärbarkeit der Entscheidung und das Widerspruchsrecht des Kunden berücksichtigt.