Q&A-Session zu PSD2: So wird die RBI Drittanbietern die APIs zur Verfügung stellen
Die Frist zur Umsetzung der PSD2-Richtlinie endete mit 14. September 2019. In einer Q&A-Session mit dem brutkasten beantworte Christian Wolf, Head of Group Transformation der Raiffeisen Bank International AG, wie seine Bank Drittanbietern über einen neu geschaffenen Marketplace die nötigen APIs zur Verfügung stellen wird.
Die PSD2-Richtlinie der EU sieht vor, dass Banken Drittanbietern, wie FinTechs oder anderen Banken, auf Kundenwunsch den Zugriff auf Daten von Girokonten ermöglichen müssen. Mit 14. September 2019 endete die Frist zur Umsetzung der Richtlinie. In einer Q&A-Session mit dem brutkasten beantworte Christian Wolf, Head of Group Transformation der Raiffeisen Bank International AG, wie die Bank Drittanbietern künftig die nötigen APIs zur Verfügung stellen wird.
Wie wurde die PSD2-Richtlinie innerhalb des Bankenwesens aufgenommen?
Die PSD2-Richtlinie hat im Bankenwesen sicherlich für Unruhe gesorgt. Zunächst ist sie als Bedrohung wahrgenommen worden, da sie die Banken dazu verpflichtet, die Transaktionsdaten ihrer Kunden an Drittanbieter zur Verfügung zu stellen. Dahingehend bestand die Befürchtung, dass die Banken das Interface zum Kunden verlieren.
Wie ging die RBI mit der PSD2-Richtlinie um?
In der RBI haben wir sehr schnell gemerkt, dass wir dieses vermeintliche Bedrohungsszenario als Chance wahrnehmen müssen. Die PSD2-Richtlinie wurde daher Ausgangspunkt unserer Open-Banking-Strategie. Dahingehend haben wir uns Open-Banking-Modelle in den USA und Asien angeschaut. Uns hat insbesondere interessiert, welche Annahmen diesen Modellen zu Grunde liegen. Im Zentrum stand die Frage, warum Banken ihre Daten proaktiv ohne rechtliche Vorgaben für Drittanbieter zur Verfügung stellen.
Wie wurde die PSD2-Richtlinie bei der RBI umgesetzt?
Die PSD2-Richtlinie ist im Jänner 2018 in Kraft getreten. Die Umsetzung war mit der Frist vom 14. September 2019 zu erfüllen. Die RBI ist auf 13 CEE-Märkten vertreten, sechs davon sind EU-Länder, in denen wir nun mit den APIs live sind. Dazu zählen Ungarn, Rumänien, Bulgarien, Kroatien, Tschechien und die Slowakei.
In Tschechien und der Slowakei waren wir allerdings schon früher live, da der lokale Gesetzgeber dies so vorgeschrieben hat. Bei der PSD2 handelt es sich nämlich um eine Richtlinie, die von den jeweiligen Gesetzgebern mit nationalem Recht umzusetzen ist.
Welche konkreten Anwendungen ermöglichen die APIs?
Die klassischen Anwendungsfälle für PSD2-APIs sind Aggregations-Use-Cases sowie Zahlungsauslösedienste. Ein Aggregrations-Use-Case ermöglicht beispielsweise die gleichzeitige Darstellung von mehreren Konten verschiedener Banken in einer App. Zu den über die PSD2- Anforderungen hinausgehenden Anwendungen gehören insbesondere KYC-Prozesse und Identity-Uses-Cases. Weiters zählen auch Pay-Integration-Anwendungen für Corporates und KMU dazu. Bei den Drittanbietern, denen wir die APIs zur Verfügung stellen, handelt es sich um vier Kundengruppen. Zu ihnen zählen FinTechs, Developer, Corporates und BigTechs.
Wie werden die APIs zur Verfügung gestellt?
Die APIs werden künftig über einen eigenen Marketplace zur Verfügung gestellt, der im MVP-Status Ende November gelauncht wird. Dabei verfolgen wir die Philosophie einen zentralen Entry-Point für alle Drittanbieter zu schaffen. Der Marketplace soll sich nicht nur an Developer richten, indem die APIs technisch zur Verfügung gestellt werden, sondern auch einen breiteren Adressatenkreis ansprechen. Über die Plattform wollen wir beispielsweise zeigen, welche Use-Cases es gibt und welche Kooperationsmöglichkeiten den Drittanbietern durch die APIs geboten werden.
Wie sollen die einzelnen Drittanbieter angesprochen werden?
FinTechs erreichen wir sehr gut über das Elevator-Lab der RBI. Der Adressatenkreis beschränkt sich jedoch nicht nur auf dessen Teilnehmer. Bereits jetzt laden wir Corporates, Big Techs und Developer aktiv dazu ein, Use-Cases zu identifizieren, an denen wir künftig gemeinsam arbeiten können. Erste Entwicklungen mit Corporates laufen bereits. Wichtig dabei: Die Open-Banking-Strategie verfolgt nicht das Ziel, private APIs zu entwickeln, sondern die APIs einem breiten Publikum am Marketplace bereitzustellen.
Was erhofft sich die RBI durch die Open-Banking-Strategie?
Im Prinzip geht es bei dieser Strategie darum, wie wir es als Bank schaffen, ein nahtlos integrierter wertstiftender Teil der Customer Journey der Kunden zu werden. Durch die Connected-Economy werden wir früher oder später sicherlich mit Kunden-Anforderungen konfrontiert werden, die wir nicht alleine lösen können. In diesem Fall macht es Sinn auf Partner, wie FinTechs, zuzugehen und mit ihnen gemeinsam an einer Lösung zu arbeiten. Aber auch die gemeinsame Entwicklung neuer Produkte steht für uns im Fokus unserer Open-Banking-Strategie. Die PSD2-Richtlinie ist somit nicht das Ende, sondern der Ausgangspunkt, um die neue Infrastruktur für alle Parteien gewinnbringend einsetzen zu können.
Open Source und KI: “Es geht nicht darum, zu den Guten zu gehören”
Nachlese. Die Nutzung von Open-Source-Modellen eröffnet Unternehmen auch im KI-Bereich weitreichende Möglichkeiten. Es gibt dabei aber auch einiges zu bedenken. Darüber und mehr diskutierten in Folge 5 von "No Hype KI" Stephan Kraft von Red Hat, Florian Böttcher von CANCOM Austria, Natalie Ségur-Cabanac von Women in AI und Patrick Ratheiser von Leftshift.One.
Open Source und KI: “Es geht nicht darum, zu den Guten zu gehören”
Nachlese. Die Nutzung von Open-Source-Modellen eröffnet Unternehmen auch im KI-Bereich weitreichende Möglichkeiten. Es gibt dabei aber auch einiges zu bedenken. Darüber und mehr diskutierten in Folge 5 von "No Hype KI" Stephan Kraft von Red Hat, Florian Böttcher von CANCOM Austria, Natalie Ségur-Cabanac von Women in AI und Patrick Ratheiser von Leftshift.One.
Kollaborativ, transparent, frei zugänglich und nicht profit-orientiert – mit Open-Source-Software wird eine Reihe von Eigenschaften assoziiert. Und oftmals stehen bei der Nutzung ethische Überlegungen im Zentrum. Dabei gibt es auch ganz praktische Gründe, die für eine Verwendung durch Unternehmen sprechen – auch bei der Implementierung von KI-Anwendungen, ist Stephan Kraft, Community Advocate & Business Development OpenShift & Application Services bei Red Hat, überzeugt. In Folge fünf der Serie “No Hype KI” diskutierte er dieses und weitere Themen mit Florian Böttcher, Solution Architect bei CANCOM Austria, Natalie Ségur-Cabanac, Policy Lead bei Women in AI und Patrick Ratheiser, Gründer & CEO von Leftshift.One.
“Thema ein Stück weit aus dieser emotionalen, moralisierenden Ecke herausholen”
“Ich will das Thema ein Stück weit aus dieser emotionalen, moralisierenden Ecke herausholen”, sagt Stephan Kraft. Für Red Hat als weltweit führenden Anbieter für Open-Source-Lösungen für Unternehmen gehen die Argumente für eine Nutzung nämlich weit darüber hinaus. “Es geht nicht darum, Open Source als Selbstzweck zu sehen, um zu den Guten zu gehören”, so der Experte. Tatsächlich sei die Verwendung von Open Source gerade bei der Etablierung von KI im Unternehmen für Startups und KMU eine wichtige Weichenstellung.
Offenheit, um Diskriminierung entgegenzuwirken
Auch Natalie Ségur-Cabanac sieht Open Source als “Key Technology” im KI-Bereich. Für “Women in AI” spiele die Offenheit eine zentrale Rolle: “Diese Offenheit braucht es, um Diskriminierung entgegenzuwirken.” Open Source verbessere den Zugang für Frauen zur Technologie, die Abbildung von Frauen in den Daten und es vergrößere die Möglichkeiten in der Forschung. Man müsse aber auch aufpassen, ob Software wirklich so offen sei, wie behauptet, sagt sie bezogen auf die aktuellen Diskussionen rund um OpenAI, das sich – ursprünglich als offenes Projekt gestartet – zum profitorientierten Unternehmen entwickelte. Es brauche auch eine klare Definition, was “open” sei.
Masse an Möglichkeiten
Leftshift.One-Gründer Patrick Ratheiser betont auch die schiere Masse an Möglichkeiten, die Open Source bietet. “2021 hatten wir weltweit Zugriff auf circa 5.000 Open-Source-Modelle. Jetzt sind es bereits mehr als eine Million.” Die Nutzbarkeit sei also klar gegeben, zudem biete die Technologie eine gewisse Unabhängigkeit und werde über ihre Vielfalt zum Innovationstreiber.
Ist Open Source immer die beste Lösung?
Doch bedeutet das, dass Open Source immer die optimale Lösung ist? Ratheiser sieht das differenziert: “Es ist ganz wichtig zu erkennen, was der Kunde braucht und was in dem Fall gerade notwendig ist. Egal, ob es nun On-Premise, in der Cloud, Open Source oder Closed Source ist.” Florian Böttcher von CANCOM Austria pflichtet hier bei: “Wir setzen genau so auf hybrid.”
Datenstruktur im Hintergrund ist entscheidend
Ein Thema, bei dem bei Open Source Vorsicht geboten ist, spricht Natalie Ségur-Cabanac an. Besonders wichtig sei es bei KI-Anwendungen, eine gute Datenstruktur im Hintergrund zu haben. “Die Verantwortung, dass ein Modell mit sauberen Daten trainiert worden ist, liegt bei den Anbietern. Bei Open Source verschwimmt das ein bisschen. Wer ist wofür zuständig? Das ist eine Herausforderung für die Compliance zu schauen, wo man selbst verantwortlich ist und wo man sich auf einen Anbieter verlassen kann.”
Compliance: Großes Thema – mehr Sichereheit mit professioneller Unterstützung
Stephan Kraft hakt hier ein. Genau aus solchen Gründen gebe es Unternehmen wie Red Hat, die mit ihrem Enterprise-Support für Open-Source-Lösungen die Qualitätssicherung auch im rechtlichen Bereich übernehmen. “Das ist ein ganz wichtiger Teil unseres Versprechens gegenüber Kunden”, so Kraft. Unbedacht im Unternehmen mit Open Source zu arbeiten, könne dagegen in “Compliance-Fallen” führen, pflichtet er Ségur-Cabanac bei.
Das sieht auch Patrick Ratheiser als Thema bei Leftshift.One: “Unsere Lösung ist Closed Source, wir setzen aber im Hintergrund Open Source ein. Wichtig ist, dass wir dem Kunden Compliance garantieren können.” Stephan Kraft empfiehlt Unternehmen bei der Open-Source-Nutzung: “Man kann nicht immer gleich die neueste ‘bleeding edge’-Lösung nehmen sondern sollte etwas konservativer herangehen.”
Infrastruktur: Gut planen, was man wirklich braucht
Unabhängig davon, ob man nun Open Source oder Closed Source nutzt, braucht es für die Nutzung von KI die richtige Infrastruktur. “Es kommt natürlich auf den Use Case an, den ein Unternehmen umsetzen will. Da sind die Anforderungen an die Infrastruktur sehr unterschiedlich”, grenzt Florian Böttcher ein. CANCOM Austria unterstützt seine Kunden in genau der Frage. Anwendungen wie das Training von KI-Modellen würde aus gutem Grund kaum in Österreich umgesetzt. “KI ist sehr stromhungrig und entwickelt viel Hitze. Das ist schwierig für ein eigenes Data-Center im Unternehmen, gerade wenn man die Strompreise in Österreich ansieht”, so Böttcher.
“Rechenleistungs-Hunger” von KI könnte sich in Zukunft verringern
Wichtig sei es letztlich, sich als Unternehmen sehr klar darüber zu sein, was man umsetzen wolle. “Danach, welche Software-Lösung man für seinen Use Case einsetzen muss, richtet sich auch die Infrastruktur”, so Böttcher. Er erwarte aber auch, dass die KI-Modelle im nächsten Entwicklungsschritt effizienter werden und der “Rechenleistungs-Hunger” sich verringere.
Patrick Ratheiser ergänzt: “Es ist grundsätzlich eine Kostenfrage.” Unternehmen müssten sich sehr gut überlegen, ob sie ein eigenes LLM (Large Language Model) betreiben und dieses sogar selbst trainieren wollen, oder lieber doch eine Usage-basierte Lösung wählen. Er sehe bei österreichischen Unternehmen – auch bei größeren – eine klare Tendenz zur zweiten Variante. “Es lässt sich deutlich schneller einrichten, ist kalkulierbarer und auch viel schneller skalierbar”, erklärt Ratheiser.
Etwa im Forschungsbereich sei es jedoch wichtig und notwendig, auch eigene LLMs und die damit verbundene Infrastruktur zu betreiben. Doch auch die Möglichkeit von hybriden Lösungen biete sich an. “Man kann mittlerweile auch Teile in der Cloud lassen und Teile On-Premise. Man kann etwa nur ein datenschutzsicheres LLM selbst betreiben”, erklärt der Experte, der auch bei der Wahl der genutzten Modelle einen hybriden Ansatz empfiehlt: “Man braucht nicht für alle Use Cases das neueste Modell. Manchmal braucht man überhaupt kein LLM.”
Datenschutz: Einige Herausforderungen bei LLMs
Stichwort: Datenschutz. Hier schafft die europäische Datenschutzgrundverordnung (DSGVO) im KI-Bereich besondere Herausforderungen, weiß Natalie Ségur-Cabanac, die vorab betont: “Ich persönlich halte die DSGVO für ein gutes Regulierungswerk, weil sie sehr viel Spielraum gibt. Ich sage immer: Datenschutz ist sehr komplex, aber nicht kompliziert.” Konkret seien etwa der Grundsatz der Zweckbezogenheit, also dass man Daten nur für konkrete Zwecke einsetzen darf, und dass man sie minimierend einsetzen muss, relevant für den KI-Bereich. “Da haben wir schon einen Konflikt, weil man ja [bei LLMs] erst einmal schaut, was man aus möglichst vielen Daten machen kann”, so die Expertin.
Ist KI rechtlich innerhalb der EU sogar per se in einem Graubereich?
Auch Transparenzbestimmungen – sowohl in der DSGVO als auch im AI-Act der EU – seien zu beachten. “Wenn ich KI verwende, muss ich auch wissen, was drinnen ist”, fasst Ségur-Cabanac zusammen. Ist KI also rechtlich innerhalb der EU sogar per se in einem Graubereich? “Nein, das glaube ich nicht. Aber man muss seine Hausaufgaben schon gut machen”, sagt die Expertin. Wichtig sei daher auch die im Rahmen des EU-AI-Acts eingeforderte KI-Kompetenz in Unternehmen – im technischen und rechtlichen Bereich.
KI-Kompetenz als zentrales Thema
Patrick Ratheiser stimmt zu: “Neben der Technologie selber sind bei unseren Kunden die Mitarbeiter ein Riesen-Thema. Man muss sie nicht nur wegen dem AI-Act fit bekommen, sondern es geht darum, sie wirklich auf die Anwendungen einzuschulen.” Wichtig seien dabei auch die Kolleg:innen, die sich bereits mit dem Thema auskennen – die “Pioniere” im Unternehmen. “AI Literacy ist sicherlich das Thema 2025 und in nächster Zeit. So, wie wir gelernt haben, mit dem Smartphone umzugehen, werden wir es auch mit generativer KI lernen”, so Ratheiser.
“Einfach einmal ausprobieren”
Stephan Kraft ergänzt: Neben einer soliden Datenbasis und der notwendigen Kompetenz brauche es bei KI – gerade auch im Bereich Open Source – noch etwas: “Einfach einmal ausprobieren. Es braucht auch Trial and Error. Das ist vielleicht oft das Schwierigste für CFOs und Geschäftsführer.” Dieses Ausprobieren sollte aber innerhalb eines festgelegten Rahmens passieren, damit die KI-Implementierung gelingt, meint Natalie Ségur-Cabanac: “Unternehmen brauchen eine KI-Strategie und müssen wissen, was sie mit der Technologie erreichen wollen.” Auch sich mit den zuvor angesprochenen rechtlichen Anforderungen – Stichwort Compliance – zu beschäftigen, komme zeitlich erst nach der Festlegung der Strategie.
Aktuelle Nachrichten zu Startups, den neuesten Innovationen und politischen Entscheidungen zur Digitalisierung direkt in dein Postfach. Wähle aus unserer breiten Palette an Newslettern den passenden für dich.
