Vorschriften und Unternehmensrichtlinien werden zu integrierten Amazon Bedrock-Sicherheitsmaßnahmen, die bei jeder Eingabe von Mitarbeitern oder Beauftragten durchgesetzt werden, bevor das Modell antwortet, wobei jede Kontrolle auf die zugrunde liegende Verpflichtung zurückgeführt werden kann.

Jedes Unternehmen setzt mittlerweile zwei Arten von KI-Mitarbeitern ein. Mitarbeiter geben den ganzen Tag über Eingaben in große Sprachmodelle und Copiloten ein und teilen dabei Verträge, Kundendaten und Quellcode. Agenten handeln im Namen des Unternehmens mit maschineller Geschwindigkeit. Beide führen Maßnahmen durch, die bereits durch Vorschriften und Unternehmensrichtlinien geregelt sind, und keine der beiden Seiten wird durch ein Richtlinien-Dokument daran gehindert. Risiko-, Compliance- und Sicherheitsteams verfügen bereits über die entsprechenden Richtlinien. Was ihnen bisher gefehlt hat, ist eine Möglichkeit, diese mit maschineller Geschwindigkeit durchzusetzen – und zwar in dem Moment, in dem eine Eingabe ein Modell erreicht. 

Archer® hat heute „Archer Evolv™ AI Compliance“ auf den Markt gebracht, um diese Lücke zu schließen. Die Lösung wandelt die Vorschriften und Richtlinien, denen ein Unternehmen bereits unterliegt, in „Policy as Code“ um: genehmigte Amazon Bedrock Guardrails, die nativ im eigenen AWS-Konto des Kunden bereitgestellt und durchgesetzt werden, bevor ein Modell reagiert – unabhängig davon, ob die Eingabeaufforderung von einem Mitarbeiter oder einem Agenten stammt. Jede Kontrollmaßnahme lässt sich auf die Verpflichtung zurückführen, die sie erforderlich gemacht hat, und jeder Verstoß wird in dem GRC-System erfasst, auf das Unternehmen bereits vertrauen.  

Gestern hat Archer eine regulierte digitale Belegschaft in sein eigenes GRC-System integriert. Heute weitet das Unternehmen denselben Ansatz auf den sicheren und konformen Einsatz von KI im gesamten Unternehmen aus. Archer Evolv AI Compliance basiert auf Archers firmeneigener Regulatory Intelligence und 492 seit 2017 speziell trainierten Modellen und ist ab heute verfügbar. 

Der Großteil der diesjährigen Diskussion über KI-Governance drehte sich um den Zugriff: Identität, Zero-Trust und die Frage, wer auf welches System zugreifen darf. Dabei geht es um eine andere Frage als bei der Compliance. IAM regelt die Identität. Laufzeitschutzmechanismen regeln die Absicht. Ein Mitarbeiter oder Agent kann korrekt abgegrenzt, authentifiziert und protokolliert sein und dennoch eine Eingabe vornehmen, die gegen eine Vorschrift verstößt, die niemand in eine Kontrollmaßnahme umgesetzt hat. Eine Berechtigung legt fest, wer handeln darf, nicht aber, ob die Handlung zulässig war. 

KI-Governance-Plattformen sollen Prinzipien, Richtlinien, Vorschriften und Risikokonzeptionen für verantwortungsvolle KI mit den Laufzeitkontrollen verknüpfen, die KI-Systeme regeln. Ein Großteil des Marktes bietet entweder das Repository oder die Schutzmaßnahmen an, selten jedoch die Verbindung zwischen beiden. Archer Evolv AI Compliance stellt genau diese Verbindung her. Eine einzelne KI-Aktion kann gleichzeitig ein Risikoereignis, eine Verpflichtung und eine Sicherheitslücke darstellen und damit den CRO, den CCO und den CISO gleichermaßen betreffen. Archer ermöglicht allen dreien die kontinuierliche Durchsetzung von Kontrollen direkt dort, wo das Modell ausgeführt wird, rückverfolgbar bis zur zugrunde liegenden Verpflichtung, mit Echtzeit-Risikotransparenz aus einem einzigen System of Record. 

Verhindern Sie den Verstoß und weisen Sie anschließend nach, dass er verhindert wurde 

Das Unterbinden einer Verletzung und der Nachweis, warum diese unterbunden wurde, sind zwei unterschiedliche Probleme. Observability-Tools erkennen und melden. Prompt-Filter blockieren. Keines der beiden steht in Verbindung mit der Vorschrift oder Richtlinie, die die Kontrolle erforderlich gemacht hat. Archer Evolv AI Compliance führt beide Schritte als einen kontinuierlichen Kreislauf innerhalb des eigenen AWS-Kontos des Kunden aus: 

  1. Hören Sie zu. Vorschriften, Datenschutzquellen und unternehmenseigene Richtlinien werden zu nachverfolgbaren Kontrollmechanismen, wobei auf die 22 Millionen Rechtsdokumente von Archer und die Rechtsexperten zurückgegriffen wird, die deren Versionshistorie verfolgen. 
  2. Entscheiden Sie. DurchsetzbareKontrollen werden zu Entwürfen für „Amazon Bedrock Guardrails“ und erst dann implementiert, wenn ein namentlich genannter Verantwortlicher sie genehmigt hat. 
  3. Maßnahme: JedeEingabeaufforderung – sei es von einem Mitarbeiter oder einem Beauftragten – wird vor der Ausführung überprüft; Verstöße werden blockiert und protokolliert. 
  4. Sicherstellen. Die Schutzvorrichtungenwerden in festgelegten Intervallen anhand der genehmigten Kontrollwerte geprüft, sodass das Risiko kontinuierlich bewertet und Abweichungen oder Manipulationen gemeldet werden.  
  5. Erfahren. Die Ergebnissewerden in das Archer-Issue-Management übernommen und im selben System bis zum Abschluss nachverfolgt. 

Im Inferenzpfad befindet sich kein Proxy, und Modelle außerhalb von Bedrock können über die Amazon Bedrock Apply Guardrail-API dieselbe Kontrolle anwenden. Jede Bereitstellung, Bearbeitung und jedes Rollback wird mit einem namentlich genannten Verantwortlichen protokolliert. Quelle, Verpflichtung, Kontrolle, Guardrail und Verstoßereignis bilden einen Prüfpfad, den ein Kunde einem Prüfer auf Anfrage vorlegen kann. Damit wird aus „Wir haben eine Richtlinie“ ein „Wir können Ihnen die Kontrolle nachweisen“. 

Was die Laufzeitsicherheitsmaßnahmen regeln 

Leitplanken sorgen dafür, dass regulierte Inhalte aus einem Modell und dessen Ausgabe ferngehalten werden, und zwar über zwei Verpflichtungsstufen hinweg. 

Organisatorische Verpflichtungen (Sicherheit und Geschäftsrisiken). Inhalte, die gemäß den eigenen Richtlinien des Kunden tabu sind: Anmeldedaten und Geheimnisse wie API-Schlüssel und Tokens – diese stellen das größte Risiko dar, da ein durchgesickertes Geheimnis einen Datenverlust zu einem Zugriffsvorfall macht; Quellcode und firmeneigene technische Ressourcen; vertrauliche Geschäftsinformationen wie Verträge, Preisgestaltung und M&A-Aktivitäten; sowie vom Kunden festgelegte Nutzungsregeln dazu, was ein Modell behandeln, tun oder kombinieren darf. 

Regulatorische Verpflichtungen (Compliance-Risiko). Inhalte, deren Veröffentlichung gegen externe Gesetze, Vorschriften oder Standards verstößt: personenbezogene Daten gemäß DSGVO, CCPA und den Datenschutzgesetzen der einzelnen US-Bundesstaaten; geschützte Gesundheitsdaten gemäß HIPAA; Zahlungs- und Karteninhaberdaten gemäß PCI DSS; sowie regulierte Kategorien wie exportkontrollierte Daten, Wertpapierinformationen und biometrische Daten. 

Was verbleibt im AWS-Konto des Kunden 

Archer stellt über eine einzige, mit einem Scope versehene AWS-IAM-Rolle mit minimalen Berechtigungen eine Verbindung her und liest die Guardrail-Konfiguration sowie Ereignisse aus, niemals jedoch den Kundendatenverkehr. Prompt-Inhalte, Modellantworten, Dokumente, Embeddings, personenbezogene Daten, Modellgewichte und Trainingsdaten gelangen niemals zu Archer. Archer empfängt das Verstoßereignis, das angibt, welche Kontrolle ausgelöst wurde, von wem und wann, sowie den Konfidenzwert und den Versionsverlauf. Wird die Verbindung unterbrochen, setzen die nativen Bedrock-Guardrails die Durchsetzung gemäß der zuletzt bereitgestellten Version fort. 

Die Kunden bestimmen, wie die Durchsetzung umgesetzt wird. Beobachten Sie anhand der Protokolle, was eine Schutzmaßnahme blockieren würde. Leiten Sie Feststellungen mit entsprechenden Belegen an einen namentlich genannten Verantwortlichen weiter. Blockieren Sie Verstöße, bevor sie auftreten. Ohne Genehmigung wird nichts verschärft, und jede Version kann rückgängig gemacht werden. Die Prüfungsfrage hat sich von „Zeigen Sie uns Ihre Richtlinie“ zu „Zeigen Sie uns die Kontrollmaßnahme“ gewandelt. 

„Eine Schutzbarriere ist nur so gut wie die Verpflichtung, die dahinter steht. Jemand muss die Vorschrift erfassen, die Anforderung identifizieren, sie einer Kontrollmaßnahme zuordnen und diese Zuordnung bei Änderungen der Vorschriften auf dem neuesten Stand halten. Das ist die Arbeit, die Archer seit 2017 unter Einbeziehung von Rechts- und Regulierungsexperten leistet, und deshalb weiß die Schutzbarriere, welche Vorschrift sie durchsetzt, und nicht nur, welche Wörter sie blockieren muss. Unsere Kunden müssen diese Kette nicht erst aufbauen. Das haben wir bereits getan. Bei jedem Guardrail ist klar, was es auswertet, was es blockiert und wer es genehmigt hat, sodass Experten die Kontrolle über die Durchsetzung behalten“, sagte Kayvan Alikhani, Chief Product & Technology Officer bei Archer. 

Verfügbarkeit 

Archer Evolv™ AI Compliance ist ab heute direkt bei Archer und im AWS Marketplace erhältlich. Weitere Informationen finden Sie unterhttps://www.archerirm.com/archer-ai-compliance  

Über Archer 

Archer unterstützt weltweit führende Unternehmen dabei, Risiken, Compliance und regulatorische Änderungen zu steuern. Mehr als 1.300 Organisationen nutzen Archer, darunter die Hälfte der Fortune-500-Unternehmen und 37 der 50 weltweit führenden Banken. Alle sieben Minuten tritt irgendwo auf der Welt eine neue regulatorische Änderung in Kraft, und agentische KI übertrifft die Fähigkeiten der meisten Teams, diese zu bewältigen. Archer ersetzt statische Kontrollen und regelmäßige Überprüfungen durch eine speziell entwickelte KI, die auf den umfassendsten regulatorischen Daten und Fachkenntnissen im Bereich GRC basiert: 22 Millionen regulatorische Dokumente und 250 Millionen GRC-Datensätze, validiert von mehr als 200 KI-Ingenieuren und GRC-Fachexperten. Jedes Ergebnis lässt sich bis zu seiner Quelle zurückverfolgen, und jede Entscheidung ist begründbar. Archer bietet Lösungen für das gesamte Spektrum des GRC, einschließlich des Managements regulatorischer Änderungen, der KI-Governance, von Risiken durch Dritte sowie von IT- und Sicherheitsrisiken.