Var hamnar datan? EU-lagring för AI-verktyg

Lagringsplats eller behandlingsplats

När en leverantör skriver EU-lagring menar den oftast att konversationsloggar, uppladdade filer och kontouppgifter sparas i en EU-region. Själva modellen kan ändå köras i en annan region när kapaciteten i EU inte räcker, och prompterna kan passera ett globalt routinglager. Leta efter formuleringen om behandling i villkoren, ofta kallad regional behandling eller data residency för inferens, och om den gäller er prisnivå eller bara företagsavtal.

Underbiträden och överföring till tredjeland

Enligt GDPR är leverantören normalt ert personuppgiftsbiträde, och varje företag den anlitar för att leverera tjänsten är ett underbiträde. Seriösa leverantörer publicerar listan, som ändras över tid, och låter er prenumerera på ändringar. Varje post anger syfte och land.

• Molndrift och själva modelleverantören, som ofta är ett annat bolag än appen ni köper.
• Innehållsmoderering och missbruksövervakning, som kan spara prompter en begränsad tid.
• Supportverktyg, där personal utanför EU ibland kan se data för att lösa ett ärende.
• Analys- och loggtjänster som tar emot metadata om er användning.

En överföring till land utanför EU/EES kräver stöd i kapitel V i GDPR: ett beslut om adekvat skyddsnivå, som EU–US Data Privacy Framework för certifierade amerikanska företag, eller standardavtalsklausuler med en överföringsbedömning. Ramverket gäller men har ifrågasatts förut, så en leverantör som också skriver under standardavtalsklausuler ger er en reserv. Vår guide om ChatGPT på jobbet och GDPR tar upp medarbetarsidan av frågan.

Träning på er data

Om det ni skriver används för att förbättra leverantörens modeller avgörs av abonnemanget, inte av produktnamnet. Samma assistent kan träna på data i ett gratis privatkonto men inte i en företagsmiljö. Inställningarna kan också ändras när villkoren uppdateras.

Frågor att ställa till leverantören

1. Var lagras prompter, filer och svar, och hur länge?
2. Var körs modellen för vår nivå, och kan behandlingen lämna EU?
3. Vilka underbiträden får vår data, och hur informeras vi om ändringar?
4. Används vår data för träning, och var i avtalet står det?
5. Kan supportpersonal utanför EU se vårt innehåll, och med vilka kontroller?
6. Skriver ni personuppgiftsbiträdesavtal med standardavtalsklausuler som reserv?
7. Hur raderar vi data, och hur exporterar vi den om vi byter leverantör?

En leverantör som svarar skriftligt på detta inom några dagar duger oftast för vanlig affärsdata. Svävande svar, eller ett biträdesavtal som bara finns för den dyraste nivån, visar var verktyget hör hemma i er policy.

När lokal drift eller ren EU-lösning är värt det

Strikt EU-behandling, en modellvärd i EU eller en öppen modell på egna servrar kostar mer i pengar och underhåll, och de modeller som finns tillgängliga ligger ibland ett steg efter. Det är värt det i några tydliga fall:

• Ni behandlar hälsouppgifter, uppgifter om barn eller andra känsliga kategorier.
• Era kunder, ofta offentlig sektor eller större företag, kräver EU-behandling i sina avtal.
• Er riskbedömning landar i att överföring till tredjeland inte är godtagbar för just denna data.
• Ni behöver att systemet går att driva under egen kontroll, oberoende av en enskild leverantörs villkor.

När ni inte behöver det: för att skriva marknadstext, sammanfatta offentliga dokument eller brainstorma internt utan personuppgifter räcker oftast en företagsnivå hos en stor leverantör med ordentligt biträdesavtal. En skräddarsydd lösning ger lite där. Är du osäker på var era användningsfall hamnar kartlägger en AI-genomlysning dataflödena verktyg för verktyg, eller så kan du boka ett kort samtal först.

Vanliga frågor