Rezydencja danych
Rezydencja danych to wymóg, aby dane były przechowywane, a często także przetwarzane, w określonym kraju lub regionie. W AI dotyczy to zarówno miejsca, w którym model przetwarza prompty, jak i miejsca przechowywania danych konta i logów.
Dlaczego to ważne dla firm
Przepisy RODO o przekazywaniu danych, nadzór sektorowy i umowy z klientami często wskazują lokalizację. Miejsce przechowywania i miejsce przetwarzania to osobne pytania i ocena powinna obejmować oba.
Dostawcy chmury też opisują je osobno. Google Cloud podaje, że dane przechowywane w Vertex AI pozostają w wybranej lokalizacji, a przetwarzanie ML z jurysdykcyjnymi punktami końcowymi pozostaje w obrębie danego regionu geograficznego.
Przykład
Umowa niemieckiego ubezpieczyciela wymaga, aby dane osobowe były przetwarzane w Europie. Dział IT zadaje każdemu dostawcy AI trzy pytania: gdzie przetwarzane są prompty, gdzie przechowywane są logi i co się dzieje, gdy preferowany punkt końcowy jest niedostępny.
Co to oznacza dla firmy korzystającej z API AI
Zadajcie dostawcom dwa osobne pytania: gdzie model przetwarza prompty oraz gdzie przechowywane są logi, dane konta i kopie zapasowe. Potem zapytajcie, co dzieje się przy przełączeniu awaryjnym. W Amazon Bedrock geograficzne profile wnioskowania między regionami utrzymują na przykład żądania w obrębie obszaru takiego jak UE, a profile globalne mogą kierować je do dowolnego obsługiwanego regionu komercyjnego za około 10% niższą cenę; to jedno ustawienie decyduje więc, gdzie prompt może zostać przetworzony.
Gdzie pojęcie jest zdefiniowane: Żaden pojedynczy przepis nie definiuje rezydencji danych. RODO nie wymaga, aby dane osobowe pozostawały w UE; rozdział V (art. 44 do 49), „Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych”, określa warunki przekazywania. Dostawcy chmury definiują rezydencję dla własnych usług, na przykład na stronie Google Vertex AI data residency (po angielsku).
Jak robi to Standard Compute
Dane Waszego konta i dane o wykorzystaniu są przechowywane we Frankfurcie w Niemczech, a nasza bramka UE działa w Finlandii. Dzienniki żądań zawierają wyłącznie metadane (model, dostawca, tokeny, koszt i status), nigdy Wasze prompty ani odpowiedzi.
Ustawcie ograniczenie do Europy dla firmy, zespołu lub pojedynczego klucza, a każde żądanie, łącznie z ponowieniami i trasami zapasowymi, obsłużą wyłącznie zatwierdzone europejskie punkty końcowe inferencji. Jeśli żaden europejski punkt końcowy nie może go obsłużyć, żądanie zostaje odrzucone, zanim Wasz prompt zostanie wysłany.
Pytania, które zadają firmy
- Czy RODO wymaga, aby dane pozostawały w UE?
- Nie. RODO dopuszcza przekazywanie danych poza UE, jeśli spełnione są warunki z rozdziału V, na przykład istnieje decyzja stwierdzająca odpowiedni stopień ochrony albo zastosowano standardowe klauzule ochrony danych. Wymogi rezydencji wynikają zwykle z umów, przepisów sektorowych lub wewnętrznej polityki firmy.
- Czy rezydencja danych to to samo co suwerenność danych?
- Nie. Rezydencja dotyczy lokalizacji. Suwerenność obejmuje też pytanie, czyje prawo ma zastosowanie i kto kontroluje dostawcę, więc dane przechowywane w Europie przez dostawcę podlegającego innej jurysdykcji mogą spełniać wymóg rezydencji, ale nie każdy wymóg suwerenności.
- Jak sprawdzić, gdzie model w chmurze przetworzył żądanie?
- Poproście o zapisy dla każdego żądania. W Amazon Bedrock CloudTrail rejestruje na przykład żądania wnioskowania między regionami w regionie źródłowym, a pole inferenceRegion pokazuje, gdzie każde żądanie zostało przetworzone.
Powiązane pojęcia
Powiązane strony
- API LLM z umową powierzenia i dalszymi podmiotami przetwarzającymi
- API LLM, które nie trenują na Waszych danych
- Europejska bramka AI
- API LLM dla firm zgodnie z RODO
- Dalsze podmioty przetwarzające (po angielsku)
- Słownik: AI w firmie