Residenza dei dati
La residenza dei dati (data residency) è il requisito che i dati siano archiviati, e spesso elaborati, in un paese o in una regione precisi. Per l'IA riguarda il luogo in cui il modello elabora i prompt, oltre al luogo in cui si conservano i dati dell'account e i log.
Perché conta per le aziende
Le regole del GDPR sui trasferimenti, le autorità di settore e i contratti con i clienti spesso impongono un luogo. Il luogo di archiviazione e il luogo di elaborazione sono domande distinte, e una revisione deve porle entrambe.
Anche i provider cloud li documentano separatamente. Google Cloud indica che i dati inattivi di Vertex AI restano nella località scelta e che, con endpoint giurisdizionali, anche l'elaborazione ML resta in quell'area geografica.
Esempio
I contratti di un assicuratore tedesco richiedono che i dati personali siano elaborati in Europa. L'IT pone tre domande a ogni fornitore di IA: dove sono elaborati i prompt, dove sono archiviati i log e cosa succede quando l'endpoint preferito non è disponibile.
Cosa significa per un'azienda che usa API di IA
Fate ai fornitori due domande distinte: dove il modello elabora i prompt, e dove sono archiviati log, dati dell'account e backup. Poi chiedete cosa succede in caso di failover. Su Amazon Bedrock, per esempio, i profili di inferenza interregionale geografici mantengono le richieste all'interno di un'area geografica come l'UE, mentre i profili globali possono instradarle verso qualsiasi regione commerciale supportata con un costo inferiore di circa il 10%: è quell'unica impostazione a decidere dove può essere elaborato un prompt.
Dove è definito: Nessuna legge definisce da sola la residenza dei dati. Il GDPR non impone che i dati personali restino nell'UE; il capo V (articoli da 44 a 49) fissa le condizioni per i trasferimenti verso paesi terzi. I provider cloud definiscono la residenza per i propri servizi, per esempio Google con la pagina Vertex AI data residency (in inglese).
Cosa fa Standard Compute
I dati del vostro account e di utilizzo sono archiviati a Francoforte, in Germania, e il nostro gateway europeo gira in Finlandia. I record delle richieste contengono solo metadati (modello, provider, token, costo e stato), mai i vostri prompt o le risposte.
Impostate una regola Europa per l'azienda, un team o una singola chiave, e ogni richiesta, compresi i tentativi ripetuti e i fallback, è servita solo da endpoint di inferenza europei approvati. Se nessun endpoint europeo può servirla, la richiesta viene rifiutata prima che il prompt venga inviato.
Domande frequenti delle aziende
- Il GDPR impone che i dati restino nell'UE?
- No. Il GDPR consente trasferimenti fuori dall'UE quando sono rispettate le condizioni del capo V, per esempio una decisione di adeguatezza o le clausole tipo di protezione dei dati. I requisiti di residenza nascono di solito da contratti, norme di settore o dalla policy dell'azienda.
- Residenza dei dati e sovranità dei dati sono la stessa cosa?
- No. La residenza riguarda il luogo. La sovranità chiede anche quale legge si applica e chi controlla il provider, quindi dati archiviati in Europa da un provider soggetto a un'altra giurisdizione possono soddisfare una regola di residenza ma non ogni requisito di sovranità.
- Come verifico dove un modello cloud ha elaborato una richiesta?
- Chiedete record per singola richiesta. Su Amazon Bedrock, per esempio, CloudTrail registra le richieste di inferenza interregionale nella regione di origine, e il campo inferenceRegion indica dove è stata elaborata ogni richiesta.
Termini correlati
Pagine correlate
- API LLM con DPA e sub-responsabili
- API LLM senza addestramento sui dati
- Gateway IA europeo
- Sub-responsabili del trattamento (in inglese)
- Sicurezza (in inglese)
- Glossario dell'IA per le aziende