Az EU-ban tárolt AI-adat nem feltétlenül marad végig az EU-ban

Egy AI-szolgáltatás „európai adattárolást” kínál. Ebből még nem következik, hogy a modell minden kérést az EU-ban dolgoz fel, vagy hogy a biztonsági napló és a support is ott marad. Az adat helyét mindig az adatfajta, a művelet és a termék pontos leírásával együtt kell értelmezni.

Az „EU”, az „EGT” és az „Európa” sem azonos földrajzi ígéret. Az Európai Gazdasági Térség az EU-tagállamokon túl Izlandot, Liechtensteint és Norvégiát is magában foglalja. Ha a megbízás kifejezetten EU-n belüli feldolgozást ír elő, az EGT-régió önmagában nem ugyanaz a szerződéses teljesítés.

Három külön állítás

Kifejezés	Mit fedhet le?	Mi maradhat nyitva?
EU/EGT-adattárolás	Meghatározott ügyféltartalom tárolása kiválasztott régióban	Modellhívás, napló, support, másolat, alfeldolgozó
EU/EGT-feldolgozás	Meghatározott művelet, például következtetés a régióban	Más műveletek és funkciók útvonala
„EU-only”	Az adott szerződésben meghatározott adat és művelet kizárólag EU-n belül	A pontos érvényességi kört és a kivételeket írásban kell tisztázni

Az „EU-only” itt szerződéses és technikai követelmény, nem önálló GDPR-minősítés. Az EU-n kívüli adattovábbítás sem automatikusan jogellenes. A GDPR szerinti megfelelő továbbítási jogalapot és garanciákat kell vizsgálni; az általános szerződési feltételek (SCC) lehetnek ennek egyik eszköze. Az SCC viszont nem állítás arról, hogy az adat fizikailag csak az EU-ban marad.

Egy kérésnek több útvonala lehet

1. Ügyvédi irodaPrompt, fájl és azonosító adatok.
2. AI-szolgáltatásTermék, csomag és régiós konfiguráció.
3. ModellfeldolgozásA következtetés régiója külön feltétel.
4. Beszélgetés és fájlAz adattárolási ígéret határa.
5. Biztonsági naplóEltérő megőrzés és régió lehet.
6. Support és alfeldolgozókHozzáférés és továbbítás külön vizsgálandó.
7. Irodai másolat és végleges ügyiratSaját napló, export, ellenőrzött munkatermék: az iroda felelőssége.

A prompt, a csatolt irat, a válasz és a technikai metaadat nem feltétlenül ugyanabba a tárolóba kerül. Ha az iroda saját alkalmazást vagy keresőintegrációt használ, annak naplója és modellútvonala is hozzáadódik. Az adatútvonal rajza ezért a szolgáltató mellett az irodai rendszereket is tartalmazza.

Konkrét példa: az OpenAI Business európai adattárolása

Az OpenAI ChatGPT Business adattárolási tájékoztatója a jogosult ügyfeleknek meghatározott elsődleges ügyféltartalom kiválasztott régióban történő tárolását írja le. Ugyanez az oldal kifejezetten jelzi, hogy ez nem tartalmazza a régión belüli modellfeldolgozást. A visszaélés-ellenőrzési naplók az Egyesült Államokban maradnak, és a promptok vagy válaszok korlátozott idejű másolata is ott tárolódhat. A „Business + európai adattárolás” tehát nem egyenlő „minden feldolgozás EU-only” állítással.

Más terméknél más lehet a határ. Az OpenAI API adatrezidencia-leírása projekt, endpoint és támogatott modell szerint határozza meg a regionális kontrollokat, illetve felsorolja, mi nem tartozik a régiós ígéret körébe. A webes Business-fiók és az API-projekt nem felcserélhető. A többi szolgáltató tárolási, megőrzési és tréningre vonatkozó kiindulópontjait az AI-szolgáltatók adatkezelési összehasonlítása foglalja táblázatba.

Mit kérjen az iroda a szolgáltatótól?

1. Pontosan mely termék, csomag, tenant/projekt, funkció és adatfajta tartozik a régiós ígéret alá?
2. Hol tárolják a promptot, a feltöltött fájlt, a választ, a biztonsági naplót és a mentést?
3. Hol történik a modell következtetése; van-e másik régióba vagy modellhez vezető tartalék útvonal?
4. Kik férhetnek hozzá support, incidens vagy alfeldolgozói feladat miatt, és honnan?
5. Ha harmadik ország érintett, milyen továbbítási mechanizmus és kiegészítő intézkedés vonatkozik rá?
6. Milyen bizonyíték van a kiválasztott régiós konfigurációról, és mikor kell újraellenőrizni?

Az állításokat a szerződés, az adatfeldolgozási megállapodás, a termékspecifikus dokumentáció és a tényleges konfiguráció alapján rögzítsük. Új modell, integráció, alfeldolgozó vagy feltételmódosítás után vizsgáljuk felül az irodai engedélyezést.

Ha a szükséges EU-only feltétel nem igazolt, ne töltsük ki a hiányt egy marketingmondattal. Az iroda külön engedélyezheti a nyilvános vagy szintetikus adatokkal való kipróbálást, miközben az azonosítható ügyirat használatát a szerződéses és technikai bizonyítékig visszatartja. A szolgáltatói jóváhagyási ellenőrzőlista ehhez döntési lapot ad.