Η τοποθεσία δεν είναι κυριαρχία. Μια region ΕΕ σε κονσόλα αμερικανικού παρόχου δεν αλλάζει το ποιος μπορεί να διαταχθεί να παραδώσει τα δεδομένα σας.

Κάθε κονσόλα αμερικανικού hyperscaler έχει ένα dropdown region, και η επιλογή eu-central μοιάζει με απόφαση συμμόρφωσης. Δεν είναι. Ο CLOUD Act προσαρτάται στον πάροχο, όχι στον ταχυδρομικό κώδικα του server: μια εταιρεία με έδρα στις ΗΠΑ που λειτουργεί datacenter στη Φρανκφούρτη μπορεί να υποχρεωθεί να παραδώσει δεδομένα που κρατά εκεί. Το πού ζουν τα δεδομένα και το ποιος μπορεί να διαταχθεί να τα παραδώσει είναι δύο διαφορετικά ερωτήματα, και το dropdown απαντά μόνο στο πρώτο.

Τι φτάνει ο CLOUD Act

Ο Clarifying Lawful Overseas Use of Data Act, που ψηφίστηκε το 2018, επιτρέπει σε αμερικανικό δικαστήριο να διατάξει έναν πάροχο που υπόκειται σε αμερικανική δικαιοδοσία να παραδώσει δεδομένα που έχει στην κατοχή, φύλαξη ή έλεγχό του, ανεξάρτητα από το αν τα δεδομένα αποθηκεύονται εντός ή εκτός Ηνωμένων Πολιτειών. Το κριτήριο είναι η νομική εμβέλεια του παρόχου, όχι η τοποθεσία του δίσκου. Μια εταιρεία συσταθείσα στις ΗΠΑ, ή που λειτουργεί εκεί, ή με αμερικανική μητρική που ελέγχει την οντότητα που τρέχει τη region ΕΕ σας, μπορεί να εμπίπτει σε αυτή την εμβέλεια.

Αυτή είναι όλη η διάκριση. Η τοποθεσία είναι δήλωση γεωγραφίας: τα bytes είναι σε έναν δίσκο στην ΕΕ. Η κυριαρχία είναι δήλωση δικαίου: οι νομικές διαταγές που φτάνουν αυτά τα bytes είναι διαταγές ΕΕ, επιδιδόμενες σε οντότητα ΕΕ, εκτελούμενες από ανθρώπους που εργάζονται υπό δίκαιο ΕΕ. Η τοποθεσία αγοράζεται εύκολα και φαίνεται εύκολα σε έναν χάρτη. Η κυριαρχία είναι ιδιότητα της εταιρικής δομής, και κανένα dropdown δεν μπορεί να την απονείμει.

Γιατί οι τυπικές συμβατικές λύσεις δεν κλείνουν το κενό

Οι συνήθεις απαντήσεις είναι χαρτί: τυποποιημένες συμβατικές ρήτρες, ένα παράρτημα επεξεργασίας δεδομένων, ένα πλαίσιο διαβίβασης, μια υπόσχεση του παρόχου να αμφισβητήσει ξένα αιτήματα. Καθεμία από αυτές είναι σύμβαση ανάμεσα σε εσάς και τον πάροχο. Καμία δεν δεσμεύει αμερικανικό δικαστήριο. Όταν φτάνει μια νόμιμη διαταγή, η σύγκρουση ανάμεσα στη σύμβαση του παρόχου μαζί σας και στην υποχρέωσή του προς το δικαστήριο επιλύεται από τους δικηγόρους του παρόχου, στο χρονοδιάγραμμα του παρόχου, με εσάς ενημερωμένους αν το επιτρέπει η διαταγή. Οι ρήτρες μπορούν να αλλάξουν το πώς ανταποκρίνεται ένας πάροχος σε ένα αίτημα. Δεν μπορούν να αλλάξουν το αν το αίτημα μπορεί να γίνει.

• Οι τυποποιημένες συμβατικές ρήτρες διέπουν διαβιβάσεις ανάμεσα σε εσάς και τον εκτελούντα την επεξεργασία. Δεν λένε τίποτα σε ένα δικαστήριο που διατάζει τον εκτελούντα να παραδώσει δεδομένα.
• Μια «κυρίαρχη» προσφορά από μη ευρωπαϊκή μητρική μεταφέρει την οντότητα λειτουργίας και το προσωπικό, κάτι που βοηθά, εφόσον η μητρική δεν μπορεί να την κατευθύνει. Διαβάστε ποιος έχει την οντότητα και ποιος μπορεί να της δώσει εντολές.
• Τα κλειδιά κρυπτογράφησης που κρατά ο πελάτης είναι η ισχυρότερη λύση στο χαρτί, και πάλι αφήνουν τον πάροχο να κρατά το ciphertext, τα metadata και τα access logs, και πάλι αφήνουν τη διαχείριση κλειδιών κάτω από το λογισμικό του.
• Τα πλαίσια διαβίβασης κάνουν τη διαβίβαση νόμιμη κατά τον GDPR. Δεν αίρουν την ξένη δικαιοδοσία που έκανε το ερώτημα να προκύψει.

Το τριμερές τεστ

Μια δομική απάντηση πρέπει να περνά τρία ερωτήματα ταυτόχρονα. Αν οποιοδήποτε από αυτά αποτύχει, μια νομική διαδρομή πίσω στα δεδομένα σας μπορεί να ανοίξει εκτός ΕΕ, όπως κι αν διαβάζεται το marketing.

Εφαρμόστε το τεστ σε οποιονδήποτε πάροχο, και σε εμάς. Η Euclid Services Ltd έχει την εταιρική της έδρα στην Κύπρο· το hardware στα datacenters μας σε Αθήνα και Άμστερνταμ είναι δικό μας και το λειτουργούν οι δικοί μας μηχανικοί. Κάντε τα ίδια τρία ερωτήματα σε οποιονδήποτε άλλο και οι απαντήσεις ξεχωρίζουν γρήγορα τους παρόχους.

Γιατί οι φόρτοι AI το νιώθουν πρώτοι

Αυτό το κενό μετράει περισσότερο για φόρτους AI, γιατί τα prompts είναι τα πιο ειλικρινή δεδομένα που παράγει μια εταιρεία: συμβόλαια, σημειώσεις ασθενών, πηγαίος κώδικας, οι ερωτήσεις που κανείς δεν γράφει πουθενά αλλού. Ένα hosted μοντέλο τα λαμβάνει σε απλό κείμενο, και ένα hosted API τα διατηρεί όπου τα διατηρεί ο διαχειριστής του. Ένας ρυθμιζόμενος οργανισμός μπορεί να ελέγξει τι μπαίνει σε ένα πεδίο βάσης δεδομένων. Δεν μπορεί να ελέγξει τι πληκτρολογεί ένας υπάλληλος σε ένα κουτί prompt, και ακριβώς γι' αυτό το πού ζει αυτό το κουτί είναι δομικό ερώτημα.

Ένα μοντέλο ανοιχτών βαρών σε single-tenant hardware μέσα στο datacenter ενός παρόχου ΕΕ αφαιρεί τον τρίτο από την εικόνα. Το μοντέλο τρέχει στο μηχάνημά σας, τα prompts μένουν στο μηχάνημά σας, και οι μόνοι άνθρωποι που μπορούν να αγγίξουν αυτό το μηχάνημα εργάζονται υπό δίκαιο ΕΕ. Είναι η ίδια απάντηση με το υπόλοιπο άρθρο: όχι μια ρύθμιση, μια δομή.