Akademisches Tagebuch

25.-27. Januar 2017 – Brüssel: CPDP Conference

Ich habe nur einen von drei Tagen besucht, als die CANVAS Session durchgeführt wurde. Interessant waren vor allem die beiden Sessions am Morgen, die Big Data und Versicherungen bzw. Fintech zum Thema hatten. Zuerst zur Session «Is Big Data steering insurance towards a cliff or a superhighway». Luca Marighetti von Swiss Re führte zuerst die generellen Veränderungen der Versicherungsbranche durch die Digitalisierung vor Augen: es verändert sich, was man versichert (versichern kann) und wie man es versichert. Erinnerung an das Grundproblem, das Versicherungen lösen: Unsicherheit auffangen; Rückversicherer machen dies auf einer grösseren zeitlichen Skala und über verschiedene soziale Domänen. Die Versicherungen müssen dafür wissen: Was kann schiefgehen? Wie viel müssen wir in diesem Fall bezahlen können? Es können dabei immer unerwartete Risiken auftreten, z.B. Asbest. Und dann gibt es zwei weitere Probleme: Versicherungsbetrug und «free rider» (Versicherungsnehmer mit einem Informationsvorsprung bezüglich des eintretenden Risikos). Was ändert Big Data nun? Grundsätzlich werden die Risiken beherrschbarer. Dadurch werden Risiken versicherbar, die vorher nicht versichert werden konnten, z.B. global supply chains. Man kann aber auch die Risiken besser beeinflussen (prediction & prevention). Es entstehen aber auch neue Risiken, insbesondere Cyber-Risiken oder Risiken, die aus der möglichen Verletzung der Privatsphäre resultieren. Zudem wird das Solidaritätsprinzip potenziell unterhöhlt durch die Personalisierung. Was Versicherungen wollen: Eine klare Linie zwischen Fällen, in denen Big Data nichts zu suchen hat und jenen, in denen man das problemlose anwenden kann.

Katia de Vries von der VUB (Uni Brüssel) interessiert sich für behavior change induziert durch Versicherungen und motiviert durch Big Data Analytics durch Belohnen/Bestrafen oder durch nudging. Versicherungen könnten durch Nutzung von Technologien zu einem «monitoring body» werden, was de fakto aber viele Versicherungen noch nicht tun. Es herrscht aber die Angst, dass Start-ups dies tun könnten und dann von den «Grossen» (Google etc.) aufgekauft werden (oder diese machen es selber). Die Frage ist natürlich, ob wir behavior control überhaupt wollen. Sie erinnert an die möglichen Probleme: Als schlecht befundene Verhaltensweisen können auch positive Effekte haben; Leute passen ihr Verhalten an, wenn sie gemessen werden; Leute verhalten sich nicht unbedingt rational (also den Anreizen entsprechend); jede Messung impliziert einen Bias und damit die Gefahr, Vorurteile zu objektivieren; Leute werden nicht bereit sein, bestimmte Dinge messen zu lassen. Die Frage ist also, ob man responsible nudging machen kann.

Duncan Minty (Berater von Versicherungen in Sachen Ethik) spricht über das Potenzial der Personalisierung von Versicherungspolicen (MC:was man sich überlegen sollte: welche systematischen Effekte hat es eigentlich, wenn die Leute, die nicht personalisieren wollen, den entsprechenden Risiko-Pool verlassen?). Es könnte die Möglichkeit kommen, dass Regulierungen den Einsatz von Big Data verlangen. 

Tal Zarski (University of Haifa) schliesslich spricht ebenfalls über Personalisierung. Der Vorteil könnte sein, dass die Prämien insgesamt sinken, weil man die Risiken besser versteht. Der Nachteil für die bestehende Versicherungsindustrie kann sein, dass neue Player auftauchen, die sich nicht an die bestehenden Regulierungen halten (müssen). Das dürfte ein Grundproblem vieler Plattform-Anbieter sein, dass sie das bestehende Regulierungs-Regime unterwandern (ist vielleicht auch ein Vorteil) – auf jeden Fall stellt das aber Fairness-Fragen. Folgende Fairness-Probleme gibt es: Unterschiedliche Leute werden gleich behandelt, weil gewisse Leute das System austricksen. Oder gleiche Leute werden unterschiedlich behandelt, weil die Messmethoden fehlerhaft sind. Und dann gibt es noch die Regulatoren: offenbar gibt es einen UE-Gerichtsentscheid, wonach geschlechtsspezifische Unterschiede bei den Autoversicherungen unfair sind. Und dann ein weiteres, oft unterschätztes Problem: Big Data wird sich zunehmend auf machine learning abstützen. Doch die Lerndaten unterliegen ebenfalls Veränderungsprozessen: Validierung, neue Datenquellen etc. Sind die datenrelevanten Zeitskalen auf jene des Lernprozesses abgestimmt? Oft dürfte das nicht der Fall sein, d.h. man trainiert mit veralteten Daten. Zudem: jedes machine learning impliziert einen Bias.

Nun zum Fintech-Panel «It’s getting personal: AI and privacy challenges in fintech». Bjorn Thon aus Norwegen (Datatilsynet) präsentiert die Ergebnisse einer Umfrage (aus Norwegen?): 70% wollen keine personalisierten Versicherungen, 69% wollen ihr epersönlichen Daten nicht für gewisse Vorteile verkaufen, 72% sind dagegen, dass Versicherungen in irgendeiner Weise den Leuten Verhaltensvorschläge machen, 75% wollen kein credit rating aufgrund von Big Data, 79% wollen nicht Finanzdienstleistungen von Google etc. beanspruchen. Es gibt also robuste Mehrheiten gegen die Veränderungen, von denen alle sprechen. Cecile Wendling (AXA Group) spricht über ein privacy advisory panel, das sie offenbar haben und das alle neuen Anwendungen diesbezüglich prüft. Javier Calderon von einem Kreditanbieter (Kreditech) spricht generelle über die Risiken, verweist aber auch darauf, dass die neuen Big Data Ansätze auf bestehende Diskriminierungen aufmerksam machen können. Augustin Reyna schliesslich spricht von den Grundprinzipien, denen solche Anwendungen genügen sollten: Zustimmung und Nichtdiskriminierung.

Am Nachmittag folgt das CANVAS Panel (hierzu haben wir die meisten Slides). Eine Bemerkung in der Einführung von Michael Meier, der über intrusion detection spricht: Ein falscher Alarm führt dazu, dass die Reputation eines Unschuldigen geschädigt wird. Das Panel war (zu) divers, es fehlten die gegenseitigen Bezüge. Athina Karatzogianni sprach in erster Linie über Überwachung und Aktivistengruppen (was mit dem Thema nur am Rande zu tun hat). Mikko Hypponen gab den Vortrag mit dem besten thematischen Fit. Er arbeitet seit 26 Jahren im Bereich Cybersecurity. Das Grundproblem: Komplexität ist der Feind von Security. Jede neue Software sollte an sich die Zahl der Features reduzieren, das Gegenteil ist der Fall. Er unterscheidet zwischen der Ethik der Hacker (Angreifer) und Verteidiger. Die Angreifer unterscheiden sich stark hinsichtlich Motive und Ziele. White hat Hacker suchen nach Schwachstellen mit dem Ziel, diese zu verbessern. Hier ist die Frage, was sie tun sollen, wenn der Software-Anbieter nicht auf diese Hinweise reagiert – ab wann betreibt man ein responsible disclosure? Dann gibt es natürlich die kriminellen Hacker, welche es auf Geld abgesehen haben. Hacktivists wiederum verfolgen politische Ziele und sehen ihre Handlungen als Protest gegen ausgewählte Ziele. Deren ethische Motivation kann unterschiedlich beurteilt werden. Und dann gibt es zunehmend auch die staatlichen Hacker, welche man in den Cyberwar-Kontext stellen kann. Ein Merkmal hier ist die denyability, die je nach Kontext Angriffe sehr effektiv machen kann (interessanter Punkt: wenn an sich jeder weiss, wer es war, erreicht man eine Abschreckung ohne im juristischen Sinn verantwortlich zu sein). Beispiel einer ethischen Cyberwaffe ist Stuxnet mit einem eingebauten Verfalldatum (2. Juni 2012). Dann zur Ethik der Verteidiger. Ein Grundproblem ist, dass Verteidiger sehr viel über das zu überwachende System wissen, d.h. es besteht ein Missbrauchspotential. Diese können (im Auftrag) auch als Angreifer wirken (und erhalten damit noch mehr sensitive Informationen). Seine Lösung: Transparenz. F-Secure sagt seinen Kunden genau, welche Daten sie sammeln. Was passiert eigentlich, wenn die Verteidiger aufgrund ihrer Überwachung feststellen, dass der Kunde ethisch problematisches Verhalten macht? Don Howard verteidigte in seinem Vortrag einen Tugend-Ansatz im Gegensatz zu einem Rechte-Ansatz zur Rechtfertigung von ethisch korrektem Verhalten (es fehlte aber der Bezug zur Cybersecurity). Francesco Lapenta machte generelle soziologische Bemerkungen, wobei der konkrete Bezug zu Ethik und Cybersecurity (mir) nicht klar wurde.

Interessant war dann das danach folgende Panel zu «genetic privacy». Irina Vasiliu stellte die neue general data protection directive der EU vor. Dara Hallinan machte interessante Ausführungen zur Frage, ob man biologische Samples als personal data verstehen kann. Heute ist das nicht der Fall, man versteht sie als Objekte (dass die personal sind, ist unbestritten) aufgrund von zwei Argumenten: Erstens, es sind materielle Objekte. Aber ist das Argument schlüssig? Man kann DNA beispielsweise als Daten ansehen (je nach Definition von Daten) und dann ist der Schritt zu Samples nicht weit. Zweitens, Daten seien nur elektronisch gespeicherte Daten – doch auch hier gibt es etablierte Definitionen, die das anders sehen (ISO 2382-1; 1998). Würde man Samples als Daten ansehen, dann würde die data protection directive auch hierfür gelten – darüber sollte man nachdenken. Jean-Marc (Nachname?) und Evert-Ben van Veen sprachen dann über rechtliche und biologische Aspekte von DNA-Proben.

Im Panel «Ethics, Observational Platforms, Mathematics and fundamelntal rights» sprachen dann vorab Industrievertreter, wie sie Privacy schützen wollen. Apple will hier offenbar sehr weit gehen und akzeptiert z.B. im Gesundheitsbereich keine Apps, bei denen die Daten kommerzialisiert werden, selbst wenn die Leute dafür zustimmen könnten (Jane Horvath).