Αξιοποιήστε την ΤΝ για το υλικό των επενδυτικών κεφαλαίων, με ελέγχους που εφαρμόζετε εσείς και τεκμήρια που διατηρείτε.

Το δίλημμα, με απλά λόγια

Η αποστολή μιας προτροπής σε μοντέλο που φιλοξενείται από πάροχο στο εξωτερικό ενδέχεται να συνεπάγεται γνωστοποίηση εμπιστευτικών δεδομένων και δεδομένων προσωπικού χαρακτήρα σε εκτελούντα την επεξεργασία ή άλλον αποδέκτη εκτός του περιβάλλοντος της επιχείρησης. Μπορεί να ενεργοποιεί υποχρεώσεις επαγγελματικού απορρήτου, απαιτήσεις του ΓΚΠΔ, κανόνες για διαβιβάσεις σε τρίτες χώρες, όπου εφαρμόζονται, και ελέγχους για τις προνομιακές πληροφορίες βάσει του Κανονισμού για την κατάχρηση της αγοράς (MAR). Η αξιολόγηση εξαρτάται από την υπηρεσία και τη ροή των δεδομένων.

Η φιλοξενία εντός της ΕΕ δεν επιλύει όλα τα ζητήματα από μόνη της. Η εντοπιότητα των δεδομένων αφορά το πού βρίσκονται· η κυριαρχία των δεδομένων αφορά τον νομικό και επιχειρησιακό έλεγχο επ’ αυτών. Ένας πάροχος που υπάγεται στη δικαιοδοσία των ΗΠΑ ενδέχεται να υποχρεωθεί, μέσω έγκυρης νομικής διαδικασίας βάσει του CLOUD Act, να παραδώσει δεδομένα που βρίσκονται στην κατοχή, στη φύλαξη ή υπό τον έλεγχό του, ανεξάρτητα από τον τόπο αποθήκευσής τους. Η αμερικανική ιδιοκτησία, από μόνη της, δεν αρκεί για να συναχθεί τέτοιο συμπέρασμα.

Εάν είστε ΔΟΕΕ με άδεια λειτουργίας στην ΕΕ (στην Ελλάδα, κατά κανόνα υπό την εποπτεία της Επιτροπής Κεφαλαιαγοράς), η ευθύνη για αυτές τις αξιολογήσεις παραμένει δική σας. Ένας προμηθευτής μπορεί να σας υποστηρίξει στη διενέργειά τους, όχι να αναλάβει την ευθύνη αντί για εσάς.

Τα κανονιστικά πλαίσια που σας δεσμεύουν

Η ΤΝ χρησιμοποιείται για την επεξεργασία υλικού που διέπεται από περισσότερα του ενός υφιστάμενα κανονιστικά πλαίσια. Τα πρακτικά ερωτήματα παραμένουν τα ίδια: ποιος χρησιμοποίησε ποιο υλικό, πού διαβιβάστηκε, ποιοι έλεγχοι εφαρμόστηκαν και ποιος ενέκρινε το αποτέλεσμα;

• AIFMD / AIFMD II. Το πλαίσιο ανάθεσης λειτουργιών της AIFMD, συμπεριλαμβανομένου του άρθρου 20, δεν μεταβιβάζει την ευθύνη του ΔΟΕΕ. Η AIFMD II (Οδηγία (ΕΕ) 2024/927) τέθηκε σε ισχύ στις 15 Απριλίου 2024. Η προθεσμία μεταφοράς της στο εθνικό δίκαιο των κρατών μελών ήταν η 16η Απριλίου 2026, ενώ συγκεκριμένες τροποποιήσεις στις απαιτήσεις υποβολής αναφορών εφαρμόζονται από τις 16 Απριλίου 2027.
• DORA. Ο DORA διέπει τη διαχείριση του κινδύνου από τρίτους παρόχους υπηρεσιών ΤΠΕ για τους ΔΟΕΕ που εμπίπτουν στο πεδίο εφαρμογής του: αξιολόγηση, συμβάσεις, παρακολούθηση, εκτίμηση του κινδύνου συγκέντρωσης και, για υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, τεκμηριωμένες και δοκιμασμένες ρυθμίσεις εξόδου.
• ΓΚΠΔ. Τα δεδομένα προσωπικού χαρακτήρα των επενδυτών και άλλων προσώπων απαιτούν νόμιμη βάση επεξεργασίας, κατάλληλες εγγυήσεις και μέτρα ασφάλειας ανάλογα με τον κίνδυνο. Όταν πραγματοποιείται διαβίβαση σε τρίτη χώρα, απαιτείται συμμόρφωση με το Κεφάλαιο V· ενδέχεται επίσης να χρειάζονται συμπληρωματικά μέτρα. Η αποφυγή περιττής γνωστοποίησης δεδομένων σε μη κρυπτογραφημένη μορφή μπορεί να περιορίσει τις υποχρεώσεις, όχι να τις εξαλείψει.
• MiFID II / MiFIR, MAR, AML, SFDR. Τα πλαίσια αυτά μπορούν να επηρεάζουν το υλικό που παράγεται ή υποβάλλεται σε επεξεργασία με τη συνδρομή ΤΝ, μέσω απαιτήσεων τήρησης αρχείων και κανόνων συμπεριφοράς, ελέγχων για τις προνομιακές πληροφορίες, υποχρεώσεων εμπιστευτικότητας στο πλαίσιο AML/CFT και γνωστοποιήσεων βιωσιμότητας. Η εφαρμογή τους εξαρτάται από την οντότητα, τη δραστηριότητα και το υλικό.
• Κανονισμός της ΕΕ για την ΤΝ. Ο Κανονισμός για την ΤΝ εφαρμόζεται σταδιακά. Οι υποχρεώσεις των παρόχων μοντέλων ΤΝ γενικού σκοπού (GPAI) εφαρμόζονται από τις 2 Αυγούστου 2025· οι υποχρεώσεις διαφάνειας του άρθρου 50 εφαρμόζονται γενικά από τις 2 Αυγούστου 2026. Ο Κανονισμός (ΕΕ) 2026/1744 μεταθέτει την εφαρμογή των βασικών διατάξεων για τα συστήματα υψηλού κινδύνου στις 2 Δεκεμβρίου 2027 για τα συστήματα του άρθρου 6 παράγραφος 2 και του Παραρτήματος III, και στις 2 Αυγούστου 2028 για τα συστήματα του άρθρου 6 παράγραφος 1 και του Παραρτήματος I. Το εάν μια χρήση χαρακτηρίζεται ως υψηλού κινδύνου εξαρτάται από τα συγκεκριμένα πραγματικά περιστατικά.

Πώς έχει σχεδιαστεί το GAIA-CORE για να ελέγχει την εξερχόμενη ροή δεδομένων

Η πύλη προορίζεται να λειτουργεί σε υποδομή εντός της ΕΕ, υπό τον έλεγχο του πελάτη, και όχι σε υποδομή cloud της GAIA25. Ο πραγματικός βαθμός ελέγχου εξαρτάται από την εγκατάσταση, την πρόσβαση για σκοπούς τεχνικής υποστήριξης, τις διασυνδέσεις και την παραμετροποίηση.

Στην προβλεπόμενη προστατευμένη διαδρομή επεξεργασίας, οι ευαίσθητες τιμές που υποστηρίζει ο μηχανισμός αντικαθίστανται με αναστρέψιμα διακριτικά (tokens) πριν από την αποστολή εκτός του περιβάλλοντος του πελάτη, ενώ η αντιστοίχιση παραμένει εντός του περιβάλλοντός του. Ο μηχανισμός έχει υλοποιηθεί, αλλά παραμένει απενεργοποιημένος από προεπιλογή, έως ότου ενεργοποιηθεί μέσω ελεγχόμενης διαδικασίας διακυβέρνησης. Αυτό δεν σημαίνει ότι δεν εξέρχονται καθόλου δεδομένα, ότι εντοπίζεται κάθε ευαίσθητη τιμή ή ότι αποκλείεται η επαναταυτοποίηση. Εξακολουθούν να υφίστανται πληροφορίες που μπορούν να συναχθούν από τα συμφραζόμενα, καθώς και υποχρεώσεις των παρόχων.

Το GAIA-CORE προβλέπεται να διατεθεί με άδεια AGPLv3. Μέχρι τότε, οι πελάτες που συμμετέχουν σε πιλοτικές εφαρμογές μπορούν να διαπραγματευθούν ελεγχόμενη εξέταση του πηγαίου κώδικα, τεκμήρια για τις εξαρτήσεις λογισμικού και τις δοκιμές, αναπαραγώγιμες διαδικασίες κατασκευής του λογισμικού και όρους διασφάλισης της συνέχειας, αντί να βασίζονται σε ισχυρισμούς για ένα αδιαφανές σύστημα.

Τεκμήρια ανά άρθρο, όχι απλές διαβεβαιώσεις

Οι έλεγχοι έχουν αξία μόνο εφόσον μπορείτε να αποδείξετε την εφαρμογή τους. Η πύλη έχει σχεδιαστεί ώστε να παράγει τεκμήρια που μπορούν να εξεταστούν από τη λειτουργία κανονιστικής συμμόρφωσης, έναν ελεγκτή ή την εποπτική αρχή.

Ένα κατάλληλα παραμετροποιημένο ίχνος ελέγχου, στο οποίο τυχόν αλλοίωση είναι ανιχνεύσιμη, μπορεί να καταγράφει το μοντέλο στο οποίο αποστέλλεται το αίτημα, τον χρόνο αποστολής και τα δεδομένα του αιτήματος μετά την αντικατάσταση τιμών με tokens. Αυτό μπορεί να υποστηρίξει την εποπτεία βάσει AIFMD και την τήρηση αρχείων βάσει MiFID II, χωρίς να αρκεί από μόνο του για την εκπλήρωση των σχετικών απαιτήσεων. Τα σημεία πρόσβασης (endpoints) για DPIA και RoPA έχουν σχεδιαστεί ώστε να παρέχουν επικαιροποιημένες πληροφορίες επεξεργασίας για τα αρχεία του άρθρου 30 και τις εκτιμήσεις του άρθρου 35. Η φιλοξενία στην υποδομή του πελάτη και το επίπεδο αφαίρεσης που επιτρέπει την εναλλαγή παρόχων μπορούν να υποστηρίξουν τα μητρώα τρίτων παρόχων και τον σχεδιασμό εξόδου· ο πελάτης οφείλει να αξιολογεί και να διατηρεί επικαιροποιημένα και τα δύο.

Η ένδειξη τεχνικής ωριμότητας προέρχεται από εσωτερικά στοιχεία: 130.595 καταγεγραμμένες γραμμές κώδικα TypeScript, σωρευτική κάλυψη 1.430/1.430 κριτηρίων ελέγχου παλινδρόμησης και ξεχωριστές σειρές δοκιμών HTTP με αποτελέσματα 10/10 και 18/18, στην κατάσταση του πηγαίου κώδικα που αξιολογήθηκε. Πρόκειται για τεκμήρια τεχνικής υλοποίησης, όχι για εξωτερική πιστοποίηση ή αποδεικτικά στοιχεία από χρήση σε πελάτη.

Τα όρια της σημερινής ωριμότητας και η πρώτη ελεγχόμενη πιλοτική εφαρμογή

Το GAIA Brain βρίσκεται λίγο πριν το MVP, χωρίς να έχει πραγματοποιηθεί επίσημη εγκατάσταση σε πελάτη. Οι μηχανισμοί προστασίας της εξερχόμενης ροής δεδομένων παραμένουν απενεργοποιημένοι από προεπιλογή, έως ότου ολοκληρωθούν η δέσμευση των κλειδιών σε μονάδα αξιόπιστης πλατφόρμας (TPM) για παραγωγική λειτουργία, η ενεργοποίηση παρουσία παρατηρητή και η επικύρωση από τον πελάτη. Δεν δηλώνεται γενική διαθεσιμότητα ούτε έχει ανακοινωθεί δημόσια ημερομηνία πιλοτικής εφαρμογής.

Το δηλώνουμε ξεκάθαρα, επειδή οι επιχειρήσεις που αξιολογούν μηχανισμούς ελέγχου της ΤΝ χρειάζονται ειλικρινή ενημέρωση για το επίπεδο ωριμότητάς τους. Καμμία εποπτική ή ρυθμιστική αρχή δεν έχει εγκρίνει ή υποστηρίξει την GAIA25 ή το GAIA Brain. Εάν αντιμετωπίζετε αυτό το πρόβλημα, συζητήστε μαζί μας μια πιλοτική εφαρμογή με σαφώς οριοθετημένο αντικείμενο, ως συνεργάτης σχεδιασμού. Τα επενδυτικά κεφάλαια που διαχειρίζεστε, τα δεδομένα σας και η σχέση σας με την εποπτική αρχή παραμένουν στη δική σας ευθύνη.