Wo laufen die KI-Modelle? Betrieb und Datenhaltung einer KI-Plattform beim Versicherer

9elf26.ai läuft ausschließlich in der Cloud des Versicherers, auf AWS oder Azure. Die Daten verlassen damit nicht den Verantwortungsbereich des Hauses, die Verarbeitung findet in Europa statt, und es erfolgt keine Speicherung ohne Zustimmung. Für die meisten Versicherer ist das die erste Frage überhaupt – noch vor dem Nutzen –, und sie entscheidet, ob ein Vorhaben in Datenschutz und IT-Sicherheit überhaupt startfähig ist.

Was "in Ihrer Cloud" praktisch bedeutet

Der Betrieb erfolgt in der bestehenden Cloud-Umgebung des Versicherers. Damit gelten dessen Mandantentrennung, Netzsegmentierung, Schlüsselverwaltung und Protokollierung – es entsteht keine zusätzliche Datenhaltung bei einem Dritten und kein weiterer Ort, an dem Bestands-, Schaden- oder Gesundheitsdaten liegen.

Für die Bewertung nach DSGVO verschiebt das die Frage vom Auftragsverarbeiter mit eigener Datenhaltung zum Software-Betrieb im eigenen Verantwortungsbereich, was die Prüfung erheblich verkürzt.

Schutzmaßnahmen im Betrieb

Verschlüsselung, Pseudonymisierung, Audit-Trails und die Versionierung von Prompts und Modellen gehören zum Standardbetrieb. Die Versionierung ist der Punkt, der in Prüfungen am häufigsten übersehen wird und dann Probleme macht: Ohne festgehaltene Modell- und Prompt-Version ist ein früheres Ergebnis nicht reproduzierbar, und damit ist es auch nicht prüfbar.

Anbindung an die Kernsysteme

Die Integration erfolgt leichtgewichtig und ohne Umbau: über eine REST-API für Echtzeitprozesse und über Batch-Verarbeitung für Massenvorgänge. Kompatibilität besteht mit Bestandsführungssystemen wie V'ger, Guidewire, msg und adesso sowie mit Drittsystemen wie CRM, Schadenportalen und Dokumentenmanagementsystemen.

Regulatorischer Rahmen

Das Security- und Compliance-Framework ist auf DSGVO, KI-Verordnung und DORA ausgelegt. DORA ist dabei kein Nebenaspekt: Für Versicherer als Finanzunternehmen gelten Anforderungen an das Management von IKT-Drittdienstleistern, und ein Betriebsmodell in der eigenen Cloud verändert die Einordnung eines Anbieters in diesem Rahmen erheblich.