Dataresidentie
Dataresidentie is de eis dat data in een bepaald land of een bepaalde regio wordt opgeslagen, en vaak ook verwerkt. Bij AI gaat het zowel om waar het model prompts verwerkt als om waar accountgegevens en logs worden bewaard.
Waarom dit belangrijk is voor bedrijven
De doorgifteregels van de AVG, sectortoezichthouders en klantcontracten schrijven vaak een locatie voor. Opslaglocatie en verwerkingslocatie zijn aparte vragen, en een beoordeling hoort naar allebei te vragen.
Cloudleveranciers documenteren ze ook apart. Google Cloud schrijft dat data van Vertex AI in rust "remains at rest in that location", en dat met jurisdictionele endpoints "ML processing stays within that specific geographical region".
Voorbeeld
De contracten van een Duitse verzekeraar eisen dat persoonsgegevens in Europa worden verwerkt. IT vraagt elke AI-leverancier drie dingen: waar prompts worden verwerkt, waar logs worden opgeslagen en wat er gebeurt als het voorkeurs-endpoint niet beschikbaar is.
Wat dit betekent voor een bedrijf dat AI-API's gebruikt
Stel leveranciers twee aparte vragen: waar het model prompts verwerkt, en waar logs, accountgegevens en back-ups worden opgeslagen. Vraag daarna wat er bij een failover gebeurt. Bij Amazon Bedrock houden geografische inference-profielen voor cross-Region inference verzoeken bijvoorbeeld binnen een geografie zoals de EU, terwijl globale profielen naar elke ondersteunde commerciële regio kunnen routeren voor ongeveer 10% lagere kosten; die ene instelling bepaalt dus waar een prompt kan worden verwerkt.
Waar het begrip is gedefinieerd: Geen enkele wet definieert dataresidentie. De AVG eist niet dat persoonsgegevens in de EU blijven; hoofdstuk V (artikelen 44 tot en met 49) regelt de voorwaarden voor doorgiften van persoonsgegevens aan derde landen. Cloudleveranciers definiëren residentie voor hun eigen diensten, bijvoorbeeld Google op de pagina Vertex AI data residency (Engelstalig).
Zo regelt Standard Compute dit
Uw account- en gebruiksgegevens worden opgeslagen in Frankfurt, Duitsland, en onze EU-gateway draait in Finland. Verzoekrecords bevatten alleen metadata (model, provider, tokens, kosten en status), nooit uw prompts of output.
Stel een Europa-regel in voor uw bedrijf, een team of één sleutel, en elk verzoek, inclusief herhalingen en fallbacks, wordt alleen bediend door goedgekeurde Europese inference-endpoints. Kan geen Europees endpoint het bedienen, dan wordt het verzoek geweigerd voordat uw prompt wordt verstuurd.
Vragen die bedrijven stellen
- Eist de AVG dat data in de EU blijft?
- Nee. De AVG staat doorgiften buiten de EU toe als aan de voorwaarden van hoofdstuk V is voldaan, bijvoorbeeld via een adequaatheidsbesluit of standaardbepalingen inzake gegevensbescherming. Eisen over de locatie komen meestal uit contracten, sectorregels of het eigen beleid van een bedrijf.
- Is dataresidentie hetzelfde als datasoevereiniteit?
- Nee. Residentie gaat over de locatie. Soevereiniteit vraagt ook welk recht van toepassing is en wie de provider controleert, dus data die in Europa wordt opgeslagen door een provider onder een andere jurisdictie kan aan een residentie-eis voldoen, maar niet aan elke soevereiniteitseis.
- Hoe controleer ik waar een cloudmodel een verzoek heeft verwerkt?
- Vraag om records per verzoek. Bij Amazon Bedrock logt CloudTrail verzoeken via cross-Region inference bijvoorbeeld in de bronregio, en het veld inferenceRegion laat zien waar elk verzoek is verwerkt.
Verwante begrippen
Gerelateerde pagina's
- LLM-API met verwerkersovereenkomst en subverwerkers
- LLM-API's die niet op uw data trainen
- Europese AI-gateway (Engelstalig)
- Subverwerkers (Engelstalig)
- Beveiliging (Engelstalig)
- Woordenlijst AI voor bedrijven