- Das Bureau of Industry and Security (BIS) des US-Handelsministeriums schlägt eine Änderung von 15 CFR Part 7 vor, die von US-IaaS-Anbietern die Identitätsprüfung ausländischer Kunden sowie die Meldung bestimmter AI-Trainingsgeschäfte verlangt
- Der Regelungsvorschlag stützt sich auf E.O. 13984 und E.O. 14110 und zielt auf Situationen ab, in denen ausländische böswillige Cyberakteure US-IaaS-Produkte und ausländische Reseller nutzen, um sich der Nachverfolgung zu entziehen
- Anbieter müssen ein risikobasiertes Customer Identification Program (CIP) erstellen und Namen, Adressen, Zahlungsmittel, E-Mail-Adressen, Telefonnummern, IP-Adressen usw. ausländischer Kunden und ausländischer wirtschaftlich Berechtigter erheben, verifizieren und aufbewahren
- Wenn bekannt wird, dass ein Ausländer eine Transaktion zum Training eines großen AI-Modells durchführt, das für böswillige Cyberaktivitäten genutzt werden könnte, entsteht sowohl für US-IaaS-Anbieter als auch für ausländische Reseller eine Meldepflicht
- Erfasst werden US-IaaS-Anbieter und US-Reseller; bei Verstößen drohen zivil- und strafrechtliche Sanktionen nach dem IEEPA sowie kumulierte Compliance-Kosten von voraussichtlich $270,672 bis $171.7 million
Ziel und Rechtsgrundlage des Regelungsvorschlags
- Das Bureau of Industry and Security (BIS) des Commerce Department will per Proposed Rule Unterregeln zu IaaS in 15 CFR Part 7 ergänzen
- Der Regelungsvorschlag ist so aufgebaut, dass er zwei Executive Orders umsetzt
- E.O. 13984: ermöglicht es US-IaaS-Anbietern, die Identität ausländischer Kunden zu prüfen und Zugangsbeschränkungen für bestimmte ausländische Akteure oder Jurisdiktionen einzuführen
- E.O. 14110: verlangt Meldungen, wenn Ausländer mit bestimmten US-IaaS-Produkten große AI-Modelle trainieren, die für böswillige Cyberaktivitäten genutzt werden könnten
- Die Frist zur Einreichung von Stellungnahmen war der 29. April 2024
- Laut den Metadaten des Federal-Register-Dokuments gingen bei Regulations.gov 523 Stellungnahmen ein
Warum IaaS reguliert werden soll
- IaaS-Produkte ermöglichen Kunden, Software auszuführen und Daten zu speichern, ohne Server selbst zu warten und zu betreiben
- Der Regelungsvorschlag geht davon aus, dass ausländische böswillige Cyberakteure US-IaaS-Produkte genutzt haben, um geistiges Eigentum und sensible Daten zu stehlen, verdeckte Spionageaktivitäten durchzuführen und zentrale US-Infrastrukturen zu bedrohen
- Da böswillige Akteure nach ihren Aktivitäten schnell auf alternative Infrastruktur von US-IaaS-Anbietern ausweichen können, wird die staatliche Nachverfolgung erschwert
- Wenn ausländische Reseller keine Identitätsinformationen nachverfolgen, wird es für Strafverfolgungsbehörden schwierig, über Zwangsverfahren Identifizierungsdaten böswilliger Akteure zu erhalten
- Auch die Möglichkeit, dass großskalige Computing-Infrastruktur zum Training großer AI-Modelle durch ausländische böswillige Akteure genutzt werden kann, dient als Regulierungsgrundlage
Anforderungen an das Customer Identification Program (CIP)
- Jeder US-IaaS-Anbieter muss ein schriftliches CIP unterhalten und umsetzen
- Das CIP muss ein risikobasiertes Verfahren sein, das die Größe des Anbieters, die Art der IaaS-Produkte, die Art der Kontoeröffnung, die Kundenbasis und einschlägige Risiken berücksichtigt
- US-IaaS-Anbieter müssen sicherstellen, dass auch ausländische Reseller ein CIP unterhalten und umsetzen
- US-Reseller können je nach Vereinbarung mit dem ursprünglichen US-IaaS-Anbieter auf dessen CIP verweisen, es nutzen oder übernehmen
- Das Commerce Department rechnet damit, nach Veröffentlichung der finalen Regelung für die Umsetzung einiger Bestimmungen eine Übergangsfrist von bis zu einem Jahr zuzulassen
Zu erhebende und zu verifizierende Kundendaten
- Das CIP muss Verfahren enthalten, mit denen festgestellt werden kann, ob potenzielle Kunden und wirtschaftlich Berechtigte U.S. persons sind
- Vor der Eröffnung eines Kontos für einen ausländischen Kunden oder ausländischen wirtschaftlich Berechtigten müssen mindestens folgende Informationen eingeholt werden
- der rechtliche Name einer natürlichen Person oder der Geschäftsname einer juristischen Person sowie frühere und aktuelle verwendete Geschäftsnamen
- Wohnsitz oder Geschäftsadresse der natürlichen Person sowie der Ort der Nutzung des IaaS-Produkts
- Hauptgeschäftssitz der juristischen Person, Gründungs- bzw. Organisationsjurisdiktion und Name der wirtschaftlich Berechtigten des Kontos
- Zahlungsmittel und Herkunft: Kreditkartennummer, Kontonummer, Kundenkennung, Transaktionskennung, Kennung einer Kryptowallet oder Wallet-Adresse usw.
- E-Mail-Adresse und telefonische Kontaktdaten
- IP-Adressen, die für Zugriff auf oder Verwaltung des Kontos genutzt wurden, sowie Zeitpunkte von Zugriff und Verwaltung
- Die Erhebung und Verifizierung einer national identification number wurde als übermäßig belastend und für die Identitätsprüfung nicht erforderlich angesehen und daher aus den vorgeschlagenen Anforderungen ausgenommen
- Das Commerce Department bat außerdem um Stellungnahmen zu digitalen oder technologiebasierten Identifizierungsmitteln, Technologien zum Schutz der Privatsphäre und zur Notwendigkeit zusätzlicher Datenerhebung
Identitätsprüfung und Kontobehandlung
- Das CIP muss dokumentenbasierte oder nicht dokumentenbasierte Verifizierungsverfahren enthalten, mit denen eine vernünftige Überzeugung über die tatsächliche Identität ausländischer Kunden und ausländischer wirtschaftlich Berechtigter gebildet werden kann
- Die Verifizierungsverfahren müssen die Art der Leistungserbringung, die Art der Kontoeröffnung, verfügbare Identifizierungsinformationen und die Risikobewertung nach Kundenbasis berücksichtigen
- Auch die Verifizierungsweise für Fälle, in denen ein Kunde angeforderte Dokumente nicht vorlegen kann, muss im CIP festgelegt werden
- Wenn die Identität nicht festgestellt werden kann, muss das CIP folgende Behandlungsmaßstäbe enthalten
- Fälle, in denen kein Konto eröffnet werden darf
- Bedingungen, unter denen während der Verifizierung die Kontonutzung mit eingeschränkten Berechtigungen oder verstärktem Monitoring erlaubt ist
- Bedingungen für Kontoschließung oder zusätzliches Monitoring nach fehlgeschlagener Verifizierung
- Abhilfe- und Verwaltungsverfahren für fehlgeschlagene Verifizierungen legitimer Kunden oder für falsche Konten infolge von Informationsdiebstahl
- Wenn der Kunde und alle wirtschaftlich Berechtigten als U.S. persons verifiziert werden, unterliegt das betreffende Konto keinen weiteren Anforderungen dieser Unterregelung
Aufbewahrung von Aufzeichnungen und Zugangsbeschränkung
- Die CIPs von US-IaaS-Anbietern und ausländischen Resellern müssen Verfahren zur Erstellung und Pflege von Aufzeichnungen über Kundeninformationen enthalten, die im Rahmen der Identitätsprüfung gewonnen wurden
- Die Mindestaufzeichnungen umfassen Folgendes
- Identifizierungsdaten des Kunden oder wirtschaftlich Berechtigten
- Kopien oder Beschreibungen der zur Verifizierung verwendeten Dokumente
- nicht dokumentenbasierte Verifizierungsmethoden und deren Ergebnisse
- die Behebung wesentlicher Abweichungen, die bei der Prüfung der Identifizierungsinformationen festgestellt wurden
- Aufzeichnungen müssen mindestens 2 Jahre nach Kontoschließung oder letztem Zugriff aufbewahrt werden
- Aufzeichnungen dürfen nicht an Dritte oder Mitarbeiter ohne Need-to-know weitergegeben werden; Verfügbarkeit, Integrität und Vertraulichkeit müssen etwa durch Verschlüsselung geschützt werden
- Das Teilen von Security Best Practices oder Threat Intelligence mit anderen US-IaaS-Anbietern und einschlägigen Konsortien kann von der Beschränkung ausgenommen sein
Pflichten zur Verwaltung ausländischer Reseller
- US-IaaS-Anbieter müssen sicherstellen, dass ausländische Reseller ein regelkonformes schriftliches CIP unterhalten und umsetzen
- Wenn das Commerce Department das CIP eines ausländischen Resellers anfordert, muss der US-IaaS-Anbieter es innerhalb von 10 Tagen vorlegen
- Wenn ein ausländischer Reseller kein CIP unterhält oder umsetzt oder wenn es Hinweise darauf gibt, dass keine gutgläubigen Bemühungen bestehen, die Nutzung von US-IaaS-Produkten für böswillige Cyberaktivitäten zu verhindern, muss der US-IaaS-Anbieter Maßnahmen ergreifen
- die betreffenden böswilligen Cyberaktivitäten melden und das Konto schließen
- die Reseller-Beziehung innerhalb von 30 Tagen beenden, wenn er erfährt, dass das Problem nicht behoben wurde, oder wenn die Fortsetzung der Reseller-Beziehung das Risiko erhöht
- US-IaaS-Anbieter müssen die Informationen erheben, die für die erstmalige und jährliche CIP-Zertifizierung ausländischer Reseller erforderlich sind
CIP-Meldung, Zertifizierung und Compliance-Bewertung
- US-IaaS-Anbieter müssen dem Commerce Department die Umsetzung des CIP per CIP certification form mitteilen
- Das Zertifizierungsformular umfasst Tools und Verfahren zur Identitätsprüfung, Verfahren zur Mitteilung von Eigentümerwechseln, Tools zur Erkennung böswilliger Cyberaktivitäten, Verfahren zu CIP-Anforderungen für ausländische Reseller und Verfahren zur Identifizierung von Transaktionen für das Training großer AI-Modelle
- Das CIP muss jährlich geprüft und aktualisiert und eine jährliche Zertifizierung eingereicht werden
- Berücksichtigung von Änderungen bei der Leistungserbringung
- Berücksichtigung von Veränderungen der Bedrohungslage
- Prüfung der Regelkonformität
- Erfassung der Anzahl fehlgeschlagener Kundenidentitätsprüfungen und des jeweiligen Ergebnisses
- Auch wesentliche Änderungen des Geschäftsbetriebs oder der Unternehmensstruktur, substanzielle Änderungen des CIP sowie Änderungen des wichtigsten CIP-Ansprechpartners sind mitteilungspflichtig
- Das Commerce Department kann anhand eingereichter Informationen, öffentlicher Informationen usw. Risiken bewerten und bei Bedarf die Vorlage einer CIP-Kopie, Compliance-Bewertungen, Folgebewertungen und Audits anfordern
CIP-Ausnahmen und Abuse of IaaS Products Deterrence Program
- Der Secretary kann US-IaaS-Anbieter, bestimmte Kontotypen, Tenants und bestimmte ausländische Reseller von CIP-Anforderungen befreien
- Die Entscheidung über eine Ausnahme basiert darauf, ob die betreffende Stelle Security Best Practices zur Eindämmung des Missbrauchs von IaaS-Produkten umsetzt
- Anbieter, die eine Ausnahme erhalten wollen, müssen eine schriftliche Einreichung vorlegen, die ihr Abuse of IaaS Products Deterrence Program (ADP) beschreibt
- Das ADP muss folgende Elemente enthalten
- Identifizierung von Red Flags unter Berücksichtigung von Kontotypen, Zugriffsweisen, bisherigen Erfahrungen mit böswilligen Aktivitäten usw.
- Verfahren zur Erkennung von Red Flags
- Reaktionsverfahren wie Kontomonitoring, Kontaktaufnahme mit Kunden, Änderung von Passwörtern und Sicherheitsvorrichtungen, Ablehnung neuer Konten, Kontoschließung oder -sperrung sowie Benachrichtigung von Strafverfolgungsbehörden
- regelmäßige Aktualisierungen entsprechend veränderten Risiken und Änderungen der Geschäftsstruktur
- Genehmigung durch Board bzw. Senior Management, Mitarbeiterschulung und Verfahren zur Aufsicht über Reseller
- Zu den Kriterien für eine Ausnahme gehören auch die Teilnahme an öffentlichen und privaten Konsortien sowie die Unterstützung von Ermittlungen der Strafverfolgungsbehörden
- Eine Ausnahme kann jederzeit widerrufen werden, auch zum Zweck der Verhängung besonderer Maßnahmen
Besondere Maßnahmen gegen bestimmte ausländische Jurisdiktionen und Ausländer
- Der Secretary kann bei hinreichender Grundlage die Eröffnung oder Aufrechterhaltung von US-IaaS-Konten im Zusammenhang mit bestimmten ausländischen Jurisdiktionen oder Ausländern verbieten oder Bedingungen auferlegen
- Zielgruppen sind
- ausländische Jurisdiktionen, in denen es eine erhebliche Zahl von Ausländern gibt, die US-IaaS-Produkte bereitstellen oder direkt erwerben und für böswillige Cyberaktivitäten nutzen
- Ausländer, die ein Muster zeigen, US-IaaS-Produkte bereitzustellen oder direkt zu erwerben, damit sie für böswillige Cyberaktivitäten genutzt werden
- Zu den Abwägungskriterien gehören
- Belege dafür, dass ausländische böswillige Cyberakteure in der betreffenden Jurisdiktion US-IaaS-Produkte erhalten haben
- das Ausmaß, in dem die betreffende Jurisdiktion Quelle böswilliger Cyberaktivitäten ist
- das Bestehen eines Rechtshilfeabkommens mit den USA und Erfahrungen von Strafverfolgungsbehörden bei der Erlangung von Informationen
- das Ausmaß, in dem die Nutzung oder Bereitstellung von US-IaaS-Produkten durch den Ausländer böswillige Aktivitäten erleichtert
- das Ausmaß der Nutzung für legitime Geschäftszwecke
- ob weniger einschneidende Maßnahmen als besondere Maßnahmen ausreichen
- Bei der Auswahl besonderer Maßnahmen werden erhebliche Wettbewerbsnachteile für US-IaaS-Anbieter, übermäßige Kosten und Belastungen, negative Auswirkungen auf legitime Geschäftsaktivitäten sowie Auswirkungen auf nationale Sicherheit, Strafverfolgung, Lieferketten, Außenpolitik, öffentliche Gesundheit und Sicherheit der USA berücksichtigt
- Eine Entscheidung über besondere Maßnahmen kann bis zu 365 Tage wirksam bleiben und per Bekanntmachung im Federal Register verlängert werden
- US-IaaS-Anbieter dürfen nicht verpflichtet werden, besondere Maßnahmen früher als 180 Tage nach Erlass der Entscheidung umzusetzen
Meldung von Transaktionen zum Training großer AI-Modelle
- US-IaaS-Anbieter müssen dem Commerce Department melden, wenn ihnen eine covered transaction bekannt wird, bei der ein Ausländer ein großes AI-Modell trainiert, das für böswillige Cyberaktivitäten genutzt werden könnte
- Auch ausländische Reseller müssen dem US-IaaS-Anbieter melden, wenn ihnen eine covered transaction bekannt wird; der Anbieter muss diese an das Commerce Department weiterleiten
- Eine covered transaction umfasst Fälle, in denen eine Transaktion für einen Ausländer oder im Namen eines Ausländers das Training eines solchen großen AI-Modells bewirkt oder bewirken könnte
- Auch wenn die Bedingungen zunächst nicht erfüllt waren, wird die Transaktion zu einer covered transaction, wenn sie durch Anpassungen des Trainingsverfahrens oder neue Informationen über die Fähigkeiten des Modells die Bedingungen erfüllt
- Die Meldefristen lauten wie folgt
- US-IaaS-Anbieter: innerhalb von 15 Tagen nach Auftreten oder Kenntnisnahme der covered transaction
- ausländischer Reseller: Meldung an den Anbieter innerhalb von 15 Tagen
- US-IaaS-Anbieter: Weiterleitung der Meldung des ausländischen Resellers an das Commerce Department innerhalb von 30 Tagen nach der covered transaction
- Anforderung zusätzlicher Informationen und Korrekturmeldungen: jeweils innerhalb von 15 Tagen nach Anforderung bzw. Kenntnis der Unrichtigkeit
- Die Erstmeldung enthält Informationen zum ausländischen Kunden und wirtschaftlich Berechtigten sowie Angaben zur Trainingsausführung
- geschätzte Zahl der für das Training verwendeten Rechenoperationen
- voraussichtliches Start- und Abschlussdatum
- Trainingspraktiken und Informationen zu den wichtigsten AI-Accelerator-Modellen
- Richtlinien zur sicheren Speicherung von Model Weights und zum Schutz des Zugriffs darauf
- Vorfälle in den letzten 4 Jahren mit unbefugtem Zugriff auf Model Weights oder Source Code oder mit Cybersicherheits- bzw. Insider-Bedrohungen, die erheblichen Schaden verursacht haben
Definitionen und Anwendungsbereich
- U.S. IaaS provider bezeichnet eine U.S. person, die IaaS-Produkte bereitstellt, einschließlich direkter Anbieter und US-Reseller
- Es wird ausdrücklich vorgeschlagen, ausländische Tochtergesellschaften nicht als „United States Infrastructure as a Service provider“ anzusehen
- IaaS product bezeichnet ein Produkt oder eine Dienstleistung, die Verarbeitung, Speicherung, Netzwerk- oder andere grundlegende Computing-Ressourcen bereitstellt und es Kunden ermöglicht, nicht vordefinierte Software wie Betriebssysteme und Anwendungen bereitzustellen und auszuführen
- Die Definition umfasst kostenlose Angebote und Testangebote, Managed und Unmanaged Services, virtualisierte Produkte sowie dedizierte Produkte
- Dem Dokument zufolge kann diese Definition CDN, Proxy-Dienste und Dienste zur Domainnamenauflösung erfassen, nicht jedoch Domainregistrierungsdienste, da diese keine grundlegenden Computing-Ressourcen bereitstellen
- beneficial owner ist definiert als eine natürliche Person, die einen Kunden tatsächlich kontrolliert oder mindestens 25% der Eigentumsanteile am Kunden besitzt oder kontrolliert
Erwartete Kosten und Auswirkungen
- Der Regelungsvorschlag gilt für alle Anbieter und Reseller von US-IaaS-Produkten
- Das Commerce Department schätzt die Zahl der potenziell betroffenen Stellen auf 25 bis 1.837
- die Untergrenze sind rund 25 zentrale IaaS-Anbieter in den USA
- die Obergrenze wurde unter Einbeziehung von 1.812 Unternehmen aus der Census-Bureau-Kategorie Telecommunications Resellers von 2020 berechnet
- Von diesen Telecommunications Resellers werden 99%, also 1.791 Unternehmen, als Unternehmen mit höchstens 500 Beschäftigten eingestuft
- Die erwarteten Compliance-Kosten umfassen das Erlernen der Regel, Entwicklung, Umsetzung und Aktualisierung des CIP, jährliche Zertifizierung, Schulung ausländischer Reseller sowie Verarbeitung von Meldungen ausländischer Reseller und zu AI-Training
- Die kumulierten Compliance-Kosten werden auf $270,672 bis $171.7 million geschätzt
- In der Analyse nach dem Paperwork Reduction Act wird der Aufwand für anfängliches Lernen, Entwicklung und Umsetzung auf 245.229 Stunden, der Aufwand für spätere Aktualisierungen und jährliche Zertifizierungen auf 84.494 Stunden und der Aufwand für Schulung ausländischer Reseller sowie Meldeverarbeitung auf 127.328 Stunden geschätzt
- Die gesamten erwarteten Kosten für die US-Regierung werden auf $409,200 beziffert
Durchsetzung und Sanktionen
- Verstöße gegen den Regelungsvorschlag können zivil- oder strafrechtliche Sanktionen nach dem IEEPA nach sich ziehen
- Zu den verbotenen Handlungen gehören
- das Unterlassen erforderlicher Meldungen, Zertifizierungen oder Rezertifizierungen
- Nichtumsetzung oder Nichtunterhaltung eines CIP
- fortgesetzte Geschäfte mit ausländischen Resellern, die kein CIP umsetzen oder unterhalten
- Bereitstellung von IaaS-Produkten an Ausländer ohne Befolgung von Anweisungen, Entscheidungen oder Bedingungen des Department
- falsche oder irreführende Erklärungen, Mitteilungen oder Zertifizierungen
- Zivilrechtliche Geldbußen können bis zum höheren Betrag aus $250,000 pro Verstoß zuzüglich Inflationsanpassung oder dem Doppelten des Transaktionswerts, der dem Verstoß zugrunde liegt, verhängt werden
- Strafrechtliche Sanktionen bei vorsätzlichen Verstößen können Geldstrafen von bis zu $1,000,000, für natürliche Personen bis zu 20 Jahre Freiheitsstrafe oder beides umfassen
- Wer von einem möglichen Verstoß erfährt, kann das Office of Information and Communications Technology and Services, Bureau of Industry and Security, U.S. Department of Commerce benachrichtigen
1 Kommentare
Hacker-News-Kommentare
Beim Überfliegen des Textes scheint diese Regelung im Wesentlichen darauf abzuzielen, dass IaaS-Infrastrukturanbieter die Identität von Personen prüfen müssen, die ihre Dienste zum Trainieren von KI verwenden.
Es wirkt wie ein Versuch zu verhindern, dass sanktionierte oder böswillige Akteure KI trainieren und dabei insbesondere zwischen Diensten wechseln oder Pseudonyme nutzen, um dasselbe Modell weiter zu trainieren.
Das wirkt ziemlich harmlos, daher verstehe ich die Vergleiche anderer in dieser HN-Diskussion nicht so recht. Ich weiß nicht, ob es um ein Dammbruchargument geht oder ob ich den Geltungsbereich naiv einschätze.
Um am Ende herauszufinden, wer Ausländer ist, müssten Anbieter vermutlich die Identität aller prüfen.
Anders gesagt: Wer sein eigenes WordPress, einen Mastodon-Knoten, eine eigene CMS-Website, Gruppenchat, IRC oder einen Bitcoin-Node betreiben will, müsste sich beim gewünschten Hoster identifizieren.
Das ist ziemlich schlecht und könnte offensichtlich missbraucht werden, um politische Dissidenten zu identifizieren. Außerdem müssten IaaS-Anbieter dem US-Handelsministerium Ausländer melden, die ihre Dienste für das Training großer KI-Modelle nutzen.
Niemand möchte für einen einzelnen DigitalOcean-Droplet ein Selfie und seinen Reisepass einschicken.
Trotzdem verstehe ich auch nicht ganz, welchen Teil dieser Regelung die Leute konkret problematisch finden.
Man kann Dokumente stehlen oder Obdachlosen Geld geben, damit sie die Verifizierung durchführen. Außerdem gibt es in den USA meines Wissens keine zentrale Bürgerdatenbank, weshalb selbst die Dokumentenprüfung schwierig ist.
Ein absoluter Albtraum. Ich wäre überrascht, wenn IaaS-Anbieter sich nicht stark dagegen wehren. Wenn AWS anfängt, KYC-Dokumente zu verlangen, würde ich Cloud-Ressourcen sofort komplett umziehen.
Der Aufwand dafür läge fast bei null.
Selbst wenn man nur gewöhnliches IaC wie Terraform nutzt, müsste man vieles neu schreiben; und wenn man mehr als nur Load Balancer, Compute und Container einsetzt, wirkt das kaum wie nahezu null Aufwand.
Manche Dienste müsste man vielleicht sogar selbst bauen und betreiben, um gleichwertige Funktionen zu bekommen.
Das Ziel selbst wirkt vernünftig, aber es gibt immer die Sorge, dass ein Gesetz viel weiter reicht als die übergeordnete Absicht.
Wenn so ein Umzug tatsächlich so einfach ist, frage ich mich, warum es dann ein „absoluter Albtraum“ sein soll.
Ich arbeite bei einer mittelgroßen bis großen Finanzinstitution mit KYC-Systemen. Der Trend, immer mehr Online-Diensten KYC-Anforderungen aufzubürden, ist besorgniserregend.
KYC ist eine enorme Belastung für jeden, der einen Dienst anbieten will. Die Identifizierung von Nutzern je nach Land und das Verständnis regionaler Vorschriften sind komplex und schaffen erheblichen Aufwand für Anbieter, sodass KYC am Ende an andere Firmen ausgelagert wird.
Die meisten KYC-Anbieter unterstützen aber nicht alle Länder, die man bedienen möchte. Dann muss man den Dienst auf die von diesem Anbieter abgedeckten Regionen beschränken oder mehrere Anbieter integrieren. Da die Anbieter in der Regel Exklusivität bevorzugen, ist auch diese Integration schwierig.
Wenn es bisher noch kein Engineering-Team für KYC gab, wird es nun eines geben. Wahrscheinlich muss auch ein Compliance-Team aufgebaut oder erweitert werden. Das Unternehmen wandelt sich dann in unterschiedlichem Ausmaß von einem Engineering- oder produktzentrierten Unternehmen zu einem compliancezentrierten Unternehmen.
KYC erhöht die Eintrittsbarrieren und zementiert bestehende Marktführer. Man muss sich nur Finanzinstitute und die Pornoindustrie ansehen.
KYC ist meist auch keine evidenzbasierte Politik [1, 2]. Böswillige Akteure umgehen KYC-Anforderungen, während KYC-Systeme für gutwillige Nutzer ein Hindernis darstellen.
Viele KYC-Systeme stützen sich auf Datensammler und Datenbroker, also Leute, die personenbezogene Daten einkaufen. Wer jung oder arm ist oder Wert auf Privatsphäre legt und deshalb „nicht im System“ ist, wird verdächtigt.
Meiner Erfahrung nach sind Betrugspräventionssysteme wirksamer beim Erkennen böswilliger Akteure als staatlich verordnetes Top-down-KYC.
Für alle, die es nicht wissen: KYC steht für „know your customer“, also Kundenidentifizierung. Es ist besser, Abkürzungen beim ersten Auftreten auszuschreiben, zumal sie im verlinkten Artikel selbst gar nicht verwendet werden.
Außerdem sollte man darauf hinweisen, dass sich dieser Vorschlag nicht auf allgemeine „Internetdienste“ bezieht, sondern auf US-Produkte im Bereich Infrastructure as a Service (IaaS).
Eingabe:
Es bleiben genau 4 Tage, um bei der US-Bundesregierung eine Stellungnahme gegen KYC-Anforderungen für Internetdienstanbieter einzureichen.
Dieses Gesetz hilft weder einem freien Internet noch der Gesellschaft.
Kann jemand die stärkste Argumentation der Befürworter zusammenfassen und auch erklären, warum diese Argumentation nicht überzeugt?
Die Definition steht unter https://www.federalregister.gov/d/2024-01580/p-46.
Diese Angelegenheit falsch darzustellen, hilft nicht.
Unser zentrales Argument sollte sein: „Wenn die Banken ihre Kunden kennen, müssen wir das nicht auch noch tun.“
Die Spur der Identitätsprüfung führt letztlich immer zu Zahlung und Finanzsystem.
Wenn Dienste per normaler Bankkartenzahlung oder Überweisung bezahlt werden, kann die Kundenprüfung bei den Banken zentralisiert werden.
Das Problem ist, dass KYC ein Kostenfaktor ohne echten Nutzen ist, außer dass es gesetzlich vorgeschrieben ist, und deshalb schnell zu bloßer Checkbox-Abhakerei verkommt.
Die Branche wird miserable „Compliance-in-a-Box“-Lösungen ausspucken, alle werden sie einsetzen, und am Ende kommt es zu Datenlecks.
Und dann kommen die Leute, die uns in der Viagra-Spam-Ära Bulletproof Hosting gebracht haben, mit einem Bulletproof Rack Full Of Quadros zurück.
Solange es für IaaS-Produkte kein FATF-ähnliches weltweites Governance-System gibt, wird die US-amerikanische IaaS-Branche an Wettbewerbsfähigkeit verlieren.
Der einfache Scan eines Ausweises ist bereits auf dem Rückzug.
Die Dystopie, die wir offenbar verdienen und die tatsächlich kommen wird, ist eine „biometrische Verifizierung“, bei der man für die Nutzung grundlegender Internet-Infrastruktur die Webcam einschalten und einen Fremden ein biometrisches Modell des ganzen Kopfes erstellen lassen muss.
Hoffentlich war „AI“ das alles wert. Mal sehen, ob ihr das von euch geschaffene Problem auch lösen könnt.
Die staatliche Datenbank mit den Gesichtern aller, zusammengekauft und zusammengefügt von privaten Partnern, ist offenbar noch nicht vollständig genug.
Das hat nichts mit AI zu tun, sondern mit einer außer Kontrolle geratenen Exekutive und den Nachrichtendiensten. AI ist nur ein weiteres Werkzeug, das es billiger macht.
Für alle, die nicht wissen, worum es geht: Die Erklärung steht etwas weiter unten auf der Seite.
Kurz gesagt ermächtigt E.O. 13984 das Handelsministerium dazu, als Reaktion auf Bedrohungen durch böswillige Cyber-Aktivitäten von US-IaaS-Anbietern zu verlangen, die Identität ausländischer Nutzer zu überprüfen, Aufzeichnungen über ausländische Nutzer aufzubewahren und den Zugang bestimmter ausländischer Akteure zu beschränken.
Anschließend ermächtigt E.O. 14110 das Handelsministerium dazu, von US-IaaS-Anbietern zu verlangen, dass auch ausländische Wiederverkäufer die Identität ausländischer Nutzer überprüfen, und dass Berichte eingereicht werden, wenn Ausländer Transaktionen durchführen, um große AI-Modelle zu trainieren, die potenziell für böswillige Cyber-Aktivitäten genutzt werden können.
Ein „Infrastructure-as-a-Service-Produkt“ bezeichnet jedes Produkt oder jede Dienstleistung, die Verbrauchern bereitgestellt wird, einschließlich kostenloser oder Testangebote.
Gemeint sind Angebote, die Rechenleistung, Speicher, Netzwerk oder andere grundlegende Computing-Ressourcen bereitstellen und es dem Nutzer ermöglichen, nicht vorab festgelegte Software einschließlich Betriebssystemen und Anwendungen bereitzustellen und auszuführen.
Der Nutzer verwaltet oder kontrolliert in der Regel nicht den größten Teil der zugrunde liegenden Hardware, kontrolliert aber Betriebssysteme, Speicher und die bereitgestellten Anwendungen.
Der Begriff umfasst sowohl „gemanagte“ Produkte und Dienstleistungen, bei denen der Anbieter für einen Teil der Systemkonfiguration oder -wartung verantwortlich ist, als auch „nicht gemanagte“ Produkte und Dienstleistungen, bei denen der Anbieter nur für die Verfügbarkeit des Produkts verantwortlich ist.
Dazu gehören auch „virtualisierte“ Produkte und Dienstleistungen, bei denen die Rechenressourcen einer physischen Maschine in über das Internet zugängliche virtuelle Computer aufgeteilt werden, etwa „virtuelle private Server“, sowie „dedizierte“ Produkte und Dienstleistungen, bei denen die gesamten Rechenressourcen einer physischen Maschine einer einzelnen Person bereitgestellt werden, etwa „Bare-Metal“-Server.
Eine gute Übersicht gibt es hier: https://www.akingump.com/en/insights/alerts/commerce-issues-...