Dataresidens
Dataresidens är kravet att data lagras, och ofta behandlas, i ett visst land eller en viss region. För AI gäller det både var modellen behandlar prompter och var kontodata och loggar sparas.
Varför det spelar roll för företag
GDPR:s regler om överföring, branschtillsyn och kundavtal anger ofta en plats. Lagringsplats och behandlingsplats är separata frågor, och en granskning bör ställa båda.
Molnleverantörerna dokumenterar dem också separat. Google Cloud skriver att lagrade data i Vertex AI stannar på den valda platsen, och att ML-behandlingen med jurisdiktionella slutpunkter stannar inom den specifika geografiska regionen.
Exempel
Ett tyskt försäkringsbolags avtal kräver att personuppgifter behandlas i Europa. IT ställer tre frågor till varje AI-leverantör: var behandlas prompter, var lagras loggar, och vad händer när den föredragna slutpunkten inte är tillgänglig.
Vad det betyder för ett företag som använder AI-API:er
Ställ två separata frågor till leverantörerna: var modellen behandlar prompterna, och var loggar, kontodata och säkerhetskopior lagras. Fråga sedan vad som händer när trafiken går över till en reservväg. Hos Amazon Bedrock håller till exempel geografiska profiler för cross-Region inference förfrågningar inom ett geografiskt område som EU, medan globala profiler kan routa till vilken kommersiell region som helst som stöds, för ungefär 10 procent lägre kostnad. Den enda inställningen avgör alltså var en prompt kan behandlas.
Var begreppet definieras: Ingen enskild lag definierar dataresidens. Dataskyddsförordningen (GDPR) kräver inte att personuppgifter stannar i EU; kapitel V (artiklarna 44 till 49) anger villkoren för överföring av personuppgifter till tredjeländer. Molnleverantörer definierar residens för sina egna tjänster, till exempel Googles sida Vertex AI data residency (på engelska).
Så hanterar Standard Compute det
Era konto- och användningsdata lagras i Frankfurt, Tyskland, och vår EU-gateway körs i Finland. Förfrågningsposter innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar.
Sätt en Europa-regel för företaget, ett team eller en enskild nyckel, så betjänas varje förfrågan, även nya försök och reservvägar, endast av godkända europeiska inferensslutpunkter. Om ingen europeisk slutpunkt kan betjäna den avvisas förfrågan innan er prompt skickas.
Vanliga frågor från företag
- Kräver GDPR att data stannar i EU?
- Nej. GDPR tillåter överföringar utanför EU när villkoren i kapitel V är uppfyllda, till exempel genom ett beslut om adekvat skyddsnivå eller standardiserade dataskyddsbestämmelser (standardavtalsklausuler). Krav på residens kommer oftast från avtal, branschregler eller företagets egen policy.
- Är dataresidens samma sak som datasuveränitet?
- Nej. Residens handlar om plats. Suveränitet frågar också vilken lag som gäller och vem som kontrollerar leverantören, så data som lagras i Europa av en leverantör under en annan jurisdiktion kan uppfylla ett residenskrav men inte alla suveränitetskrav.
- Hur kan vi kontrollera var en molnmodell behandlade en förfrågan?
- Be om poster per förfrågan. Hos Amazon Bedrock loggar till exempel CloudTrail förfrågningar via cross-Region inference i källregionen, och fältet inferenceRegion visar var varje förfrågan behandlades.
Relaterade begrepp
Relaterade sidor
- LLM-API med biträdesavtal och underbiträden
- LLM-API:er som inte tränar på era data
- Europeisk AI-gateway
- Underbiträden (på engelska)
- Säkerhet (på engelska)
- Ordlista: AI i företaget