DIFC Regulation 10, erklärt für Plattformverantwortliche

Das Dubai International Financial Centre war eine der ersten Jurisdiktionen, die autonome und teilautonome Systeme direkt reguliert hat. Wenn Sie im DIFC KI auf personenbezogenen Daten betreiben, ist Regulation 10 Ihr Betriebshandbuch — und Ihre Architektur entscheidet, wie schmerzhaft es wird.

Was Regulation 10 abdeckt

Regulation 10, erlassen unter dem DIFC-Datenschutzgesetz, regelt die Verarbeitung personenbezogener Daten durch autonome und teilautonome Systeme — eine Definition, die moderne KI-Assistenten und -Agenten unmittelbar erfasst. Ihre Kernanforderungen wirken vertraut für alle, die den EU AI Act verfolgen, und das ist Absicht: Das DIFC hat sich an entstehenden internationalen Normen ausgerichtet. Operativ zählen die Pflichten zu Verarbeitungsnachweisen, wirksamer menschlicher Aufsicht, Transparenz darüber, wann ein System autonom handelt, und Verantwortlichkeit für Ergebnisse. Bedient Ihr Institut auch betroffene Personen in der EU, leistet derselbe Kontrollsatz doppelte Arbeit — neben den Beschränkungen von Art. 22 DSGVO für ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung.

Verarbeitungsnachweise in der Praxis

Die Aufzeichnungserwartung wird nicht durch eine Dateninventar-Tabelle erfüllt. Bei einer KI-Plattform sind die Fragen der Aufsicht transaktional: Welche Daten hat das System verarbeitet, in wessen Auftrag, mit welchem Modell, mit welcher Ausgabe, mit welcher Folgeaktion? Die Antwort verlangt Protokollierung pro Interaktion — Prompt, abgerufener Kontext, Modellversion, Antwort, nachgelagerte Wirkung —, aufbewahrt in einer Form, die Sie auf Anfrage für ein bestimmtes Datum und einen bestimmten Nutzer vorlegen können. Institute, die das als Reporting-Problem behandeln, rekonstruieren am Ende Geschichte aus Anwendungs-Logs, die dafür nie gedacht waren. Institute, die es als Architekturproblem behandeln, schreiben den Datensatz im Moment der Inferenz und rekonstruieren nie etwas.

Menschliche Aufsicht und Manipulationssicherheit

Die Aufsichtserwartung von Regulation 10 folgt derselben Logik wie Artikel 14 des EU AI Act: Eine Person muss Systemverhalten verstehen, eingreifen und übersteuern können — und nachweisen, dass sie es kann. Die praktische Kontrolle ist ein Freigabe-Gate an folgenreichen Aktionen mit protokollierter Entscheidungsspur. Manipulationssicherheit ist die leisere Anforderung mit den schärferen Zähnen: Ein Compliance-Datensatz, der sich still bearbeiten lässt, ist kein Beweis, sondern eine Aussage. Rechnen Sie damit, dass Prüfer die Log-Integrität hinterfragen — Append-only-Speicherung und kryptografische Verkettung beantworten die Frage, bevor sie gestellt wird; Datenbank-Schreibrechtelisten tun das nicht.

Warum die Deployment-Architektur das Audit entscheidet

Dieses Muster entdecken Plattformverantwortliche in Finanzzentren immer wieder neu: Geteilte Cloud-KI macht jedes Audit zu einer Dreiparteien-Verhandlung zwischen Ihnen, Ihrer Aufsicht und Ihrem Anbieter — Unterauftragsverarbeiter-Ketten, Analysen grenzüberschreitender Übermittlungen, vertragliche Prüfrechte, die an der Grenze des Anbieters enden. On-Prem-Deployment pro Institut bricht dieses Gespräch zusammen. Die Verarbeitung findet auf Infrastruktur statt, die das Institut kontrolliert, in der Jurisdiktion, die die Aufsicht beaufsichtigt, mit Protokollen, die das Institut ohne Mitwirkung eines Dritten übergeben kann. Für Firmen, die zusätzlich unter das IKT-Drittparteirisiko-Regime von DORA oder NIS2 fallen, vereinfacht die kleinere externe Abhängigkeitsfläche auch diese Akten.

• Verarbeitungsnachweise pro Aufruf, geschrieben zum Zeitpunkt der Inferenz, abrufbar nach Nutzer und Datum.
• Freigabe-Gates mit protokollierten menschlichen Entscheidungen bei folgenreichen Aktionen.
• Append-only-Protokollspeicherung mit Manipulationsnachweis innerhalb des Instituts-Perimeters.
• Eine Deployment-Karte ohne Drittland und ohne Dritte im Datenpfad.

Bekommen Sie diese vier Punkte richtig hin, wird ein Regulation-10-Gespräch zur Demonstration statt zur Verhandlung.

Ein DIFC-Nachweispaket durchgehen →