Ist ein gehostetes KI-Tool eine „Auslagerung“ im Sinne des CSSF-Rundschreibens 22/806?
Für ein CSSF-beaufsichtigtes Unternehmen lautet die Antwort meist ja – mit den Sorgfalts-, Register- und Meldepflichten, die daraus folgen. Hier verläuft die Grenze, und so bleiben Sie auf der richtigen Seite.
Was das Rundschreiben erfasst
Das Rundschreiben CSSF 22/806 zu Auslagerungsvereinbarungen gilt für Kreditinstitute, Wertpapierfirmen, PSF, Zahlungs- und E-Geld-Institute sowie Fondsmanager unter CSSF-Aufsicht. Es behandelt jede Vereinbarung, bei der ein Dienstleister einen Prozess, eine Dienstleistung oder eine Tätigkeit ausführt, die das Unternehmen sonst selbst erbringen würde, als Auslagerung – und IKT-Auslagerung einschließlich Cloud als Kategorie mit eigenen Bedingungen.
Ein gehosteter generativer KI-Dienst, der Ihre Dokumente liest und Analysen liefert, fällt eindeutig darunter: Ein Dritter führt auf seiner Infrastruktur einen Prozess auf Ihren Daten aus.
Was es dann verlangt
Vor Vertragsschluss: Risikobewertung und Sorgfaltsprüfung des Anbieters, einschließlich Weiterverlagerungsketten und Datenstandort. Während der Laufzeit: schriftlicher Vertrag mit Prüf- und Zugangsrechten, Eintrag im Auslagerungsregister, Notfall- und Ausstiegsregelungen. Für kritische oder wichtige Funktionen – was KI auf Kundenakten schnell werden kann – eine vorherige Meldung an die CSSF.
Cloud-Auslagerung ergänzt die cloudspezifischen Bedingungen des Rundschreibens, darunter die Kenntnis, wo und von wem Daten verarbeitet werden.
Warum eine Appliance die Analyse verändert
Eine On-Premise-Appliance ist Hardware, die Ihnen gehört oder die Sie exklusiv mieten, und auf der Open-Weight-Modelle in Ihrer Infrastruktur laufen. Kein Dienstleister führt die Verarbeitung aus; keine Daten verlassen Ihren Perimeter. Es gibt keine Auslagerungsvereinbarung, die zu bewerten, zu registrieren oder zu melden wäre – nur ein IT-Asset, das im bestehenden IKT-Risikorahmen verwaltet wird.
Die verbleibende Lieferantenbeziehung – Installation, Updates, Support – ist ein gewöhnlicher Liefervertrag, vergleichbar mit dem Kauf eines Servers mit Wartungsvertrag, und beinhaltet für sich genommen keinen Zugriff auf Kundendaten.
Technische Orientierung, keine Rechtsberatung. Wir arbeiten mit Ihrem Datenschutzbeauftragten und Ihren Anwälten zusammen.
Offizielle Quellen
Relevante Branchen
Weitere Leitfäden
Sehen Sie es auf Ihren eigenen Dokumenten.
Dreißig Minuten zu Ihrem Anwendungsfall, mit einer Auswahl Ihrer eigenen Dateien. Wir kommen zu Ihnen.