Nexus nennt auf seiner öffentlichen Vergleichsseite ISO 27001, ISO 42001 und DSGVO-Konformität9. Das Unternehmen bestätigt zusätzlich, dass ein SOC 2 Typ 2 Bericht vorliegt6. Für Banken, die ihre KI-Governance gegenüber Revision und Aufsicht dokumentieren müssen, verdient ISO 42001 besondere Aufmerksamkeit. Hebbia, Glean und WRITER führen diese Norm ebenfalls49,50,51.
Laut Datenschutzerklärung hat das Unternehmen angemessene technische und organisatorische Schutzmassnahmen umgesetzt52. Was über den Workspace eines Nutzers hereinkommt, etwa über Google-Schnittstellen, dient nicht dazu, allgemeine KI-Modelle aufzubauen oder zu trainieren53. Spätestens achtzehn Monate nach Ende eines Kontos werden Daten gelöscht, ausser eine gesetzliche Pflicht verlangt eine längere Frist54. In der Datenschutzerklärung vom 31. Dezember 2023 erklärt das Unternehmen, in den davorliegenden zwölf Monaten keine personenbezogenen Daten verkauft oder zu geschäftlichen Zwecken an Dritte gegeben zu haben55,56. Zahlungsinformationen verwahrt Stripe57.
Beim Hosting liegt die grösste offene Frage für ein Schweizer Institut. Ob Nexus auf eigenen Servern des Kunden, in einer privaten Cloud oder VPC, im Selbstbetrieb, in einer frei wählbaren Region oder nur innerhalb der EU betrieben werden kann, ist auf den geprüften Seiten nicht öffentlich angegeben. Die älteren Nutzungsbedingungen von 2023, verfasst für gpt.nexus, verorten den Betrieb in den USA58,59. Auf der Telekommunikationsseite heisst es nur, der Dienst sei binnen Wochen beim Kunden in Betrieb60. Einen Hinweis gibt die Erwähnung von Steuerungsmöglichkeiten für den Datenstandort4. Ob Daten in der Schweiz verarbeitet werden können, lässt sich daraus nicht ableiten; ein Rechenzentrum in der Schweiz ist auf den geprüften Seiten nicht öffentlich angegeben. Eine Bank sollte diesen Punkt vor dem Proof of Concept schriftlich klären lassen, zusammen mit Verschlüsselung, Penetrationstests, Zugang zum SOC 2 Bericht und Service Levels, zu denen die Seiten ebenfalls schweigen.