Tietojen sijainti (data residency)
Tietojen sijainti (data residency) on vaatimus, että tiedot tallennetaan ja usein myös käsitellään tietyssä maassa tai tietyllä alueella. Tekoälyssä se koskee sekä sitä, missä malli käsittelee kehotteet, että sitä, missä tilitiedot ja lokit säilytetään.
Miksi sillä on merkitystä yrityksille
Tietosuoja-asetuksen siirtosäännöt, toimialan valvonta ja asiakassopimukset määräävät usein sijainnin. Tallennuspaikka ja käsittelypaikka ovat eri kysymyksiä, ja arvioinnissa kannattaa esittää molemmat.
Pilvipalveluntarjoajat dokumentoivat ne myös erikseen. Google Cloud kertoo, että Vertex AI:n tallennetut tiedot pysyvät valitussa sijainnissa ja että koneoppimiskäsittely pysyy lainkäyttöaluekohtaisilla päätepisteillä tietyn maantieteellisen alueen sisällä.
Esimerkki
Saksalaisen vakuutusyhtiön sopimus edellyttää, että henkilötiedot käsitellään Euroopassa. IT esittää jokaiselle tekoälytoimittajalle kolme kysymystä: missä kehotteet käsitellään, missä lokit säilytetään ja mitä tapahtuu, kun ensisijainen päätepiste ei ole käytettävissä.
Mitä tämä tarkoittaa yritykselle, joka käyttää tekoälyrajapintoja
Kysykää toimittajilta kaksi erillistä kysymystä: missä malli käsittelee kehotteet ja missä lokit, tilitiedot ja varmuuskopiot säilytetään. Kysykää sitten, mitä tapahtuu, kun pyyntö siirtyy vikatilanteessa varareitille. Esimerkiksi Amazon Bedrockissa alueiden välisen inferenssin maantieteelliset profiilit pitävät pyynnöt maantieteellisen alueen, kuten EU:n, sisällä, kun taas globaalit profiilit voivat reitittää mille tahansa tuetulle kaupalliselle alueelle noin 10 % edullisemmin, joten tämä yksi asetus ratkaisee, missä kehote voidaan käsitellä.
Missä käsite on määritelty: Mikään yksittäinen laki ei määrittele tietojen sijaintia. Tietosuoja-asetus ei edellytä, että henkilötiedot pysyvät EU:ssa; sen V luku (44 artiklasta 49 artiklaan), Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille, asettaa siirtojen edellytykset. Pilvitoimittajat määrittelevät tietojen sijainnin omille palveluilleen, esimerkiksi Googlen Vertex AI data residency -sivulla (englanniksi).
Näin Standard Compute hoitaa sen
Tili- ja käyttötietonne tallennetaan Frankfurtiin Saksaan, ja EU-gatewaymme toimii Suomessa. Pyyntötietueet sisältävät vain metatietoja (malli, palveluntarjoaja, tokenit, kustannus ja tila), eivät koskaan kehotteitanne tai vastauksianne.
Asettakaa Eurooppa-rajaus yritykselle, tiimille tai yksittäiselle avaimelle, niin jokaista pyyntöä, myös uusintayrityksiä ja varareittejä, palvelevat vain hyväksytyt eurooppalaiset inferenssipäätepisteet. Jos mikään eurooppalainen päätepiste ei voi palvella pyyntöä, se hylätään ennen kuin kehotettanne lähetetään.
Yritysten usein kysymät kysymykset
- Vaatiiko tietosuoja-asetus, että tiedot pysyvät EU:ssa?
- Ei. Tietosuoja-asetus sallii siirrot EU:n ulkopuolelle, kun V luvun edellytykset täyttyvät, esimerkiksi tietosuojan riittävyyttä koskevan päätöksen tai tietosuojaa koskevien vakiolausekkeiden perusteella. Sijaintivaatimukset tulevat yleensä sopimuksista, toimialan säännöistä tai yrityksen omasta politiikasta.
- Onko tietojen sijainti sama asia kuin suvereniteetti?
- Ei. Sijainti koskee paikkaa. Suvereniteetti kysyy myös, minkä maan lakia sovelletaan ja kuka palveluntarjoajaa hallitsee, joten toisen lainkäyttöalueen palveluntarjoajan Euroopassa säilyttämät tiedot voivat täyttää sijaintivaatimuksen mutta eivät jokaista suvereniteettivaatimusta.
- Miten voi tarkistaa, missä pilvimalli käsitteli pyynnön?
- Pyytäkää pyyntökohtaiset tietueet. Esimerkiksi Amazon Bedrockissa CloudTrail kirjaa alueiden väliset inferenssipyynnöt lähtöalueelle, ja kenttä inferenceRegion näyttää, missä kukin pyyntö käsiteltiin.
Liittyvät käsitteet
Aiheeseen liittyvää
- LLM-rajapinta, tietojenkäsittelysopimus ja alikäsittelijät
- LLM-rajapinnat, jotka eivät kouluta malleja datallanne
- Eurooppalainen AI-gateway
- Alikäsittelijät (englanniksi)
- Tietoturva (englanniksi)
- Sanasto: tekoäly yrityksessä