Rezidența datelor în AI: legea întreabă unde, iar răspunsul este o setare

Rezidența și confidențialitatea sunt tratate ca aceeași întrebare, dar nu sunt. Confidențialitatea întreabă ce se întâmplă cu datele. Rezidența întreabă unde sunt procesate și stocate. O organizație poate îndeplini una și poate eșua la cealaltă.

Ce cere legea, în propriile cuvinte

DORA este explicit. Articolul 30 alineatul (2) enumeră ce trebuie să conțină aranjamentele contractuale privind utilizarea serviciilor ICT, iar litera (b) cere:

the locations, namely the regions or countries, where the contracted or subcontracted functions and ICT services are to be provided and where data is to be processed, including the storage location, and the requirement for the ICT third-party service provider to notify the financial entity in advance if it envisages changing such locations

Regulamentul (UE) 2022/2554, articolul 30 alineatul (2) litera (b)

A doua jumătate este importantă. Contractul trebuie să numească locațiile și să oblige furnizorul să anunțe în avans înainte de a le schimba. Aceasta nu este o preferință pentru găzduire europeană. Este cerința ca răspunsul să fie scris și menținut la zi.

Regulamentul stabilește și cine poartă obligația. Considerentul 64 spune că „A financial entity should at all times remain fully responsible for complying with its obligations set out in this Regulation.” Externalizarea serviciului nu externalizează responsabilitatea.

De ce răspunsul poate fi mai greu decât pare

Un serviciu AI din cloud bine documentat răspunde la întrebare, iar răspunsul are condiții. Documentația Microsoft pentru modelele vândute de Azure arată că „For any deployment type labeled 'Global,' prompts and responses may be processed in any geography where the relevant model sold by Azure is deployed”, iar pentru o implementare DataZone creată într-un stat membru al Uniunii Europene procesarea poate avea loc „in that or any other European Union Member Nation”.

Aceeași pagină arată unde se află datele stocate: „Is stored at rest in the Foundry resource in the customer's Azure tenant, within the same geography as the resource”.

Prin urmare, răspunsul cerut de articolul 30 alineatul (2) litera (b) pentru acel serviciu nu este o singură linie. Este câte o linie per tip de implementare și se schimbă dacă un inginer schimbă tipul de implementare. Aceasta este o problemă de guvernanță, nu un defect tehnic.

Rezidența nu înseamnă conformitate

Păstrarea datelor în Uniunea Europeană nu face legală o prelucrare în sensul GDPR, iar păstrarea lor în România nu face un sistem sigur. Rezidența răspunde la o întrebare din mai multe. Este necesară în unele contracte și suficientă în niciunul.

Rezidența este o întrebare pusă de contract. Conformitatea este o întrebare la care răspunde întreaga activitate de prelucrare.

Ce schimbă inferența locală

Cu inferența în rețeaua proprie a organizației, răspunsul cerut de articolul 30 alineatul (2) litera (b) este scurt și nu depinde de o setare dintr-o consolă. Locația este clădirea. Nu există o locație de procesare subcontractată de urmărit și nici o clauză de notificare prealabilă de monitorizat, pentru că nu există un furnizor care să o poată muta.

Pentru o organizație de treizeci de oameni, fără echipă de privacy engineering, asta valorează mai mult decât pare. Mai puține componente nu este o afirmație de marketing. Sunt mai puține paragrafe care trebuie să fie adevărate.