Hvorfor vi holder dataene i EU, og drifter noe selv

De fleste diskusjoner om AI handler om hva modellene kan. Langt færre handler om hva de får se. Men i det øyeblikket en bedrift tar AI inn i driften, og ikke bare inn i en presentasjon, blir svaret på det andre spørsmålet viktigere enn det første.

En agent som skal hjelpe med prosjektøkonomi, trenger regnskapet. En som skal lese kontrakter, trenger kontraktene. En som skal hjelpe med bemanning, trenger å vite hvem som jobber hvor. Det er bedriftens mest følsomme data, og de blir kontekst for en modell.

Da er «hvor er dataene våre?» et spørsmål som fortjener et presist svar. Vi har bestemt oss for at vi alltid skal kunne gi det.

Hvorfor EU

Personvernforordningen, GDPR, gjelder i hele EU og EØS, også i Norge. Så lenge personopplysninger lagres og behandles innenfor det området, gjelder de samme reglene hele veien, og ingen trenger å forsvare en overføring til et annet land.

Så snart data sendes ut av EØS, blir det mer komplisert. Da må det finnes et gyldig grunnlag for overføringen, og det grunnlaget har vist seg å være skjørt. Avtalen som regulerte overføringer til USA, ble underkjent av EU-domstolen i 2020. Ordningen som erstattet den, har vært i bruk siden 2023, men den hviler på amerikanske regler som kan endres, og den er allerede blitt prøvd for retten.

For en bedrift betyr det en usikkerhet som ikke har noe med AI å gjøre, men som AI gjør større. Derfor holder vi kundedataene i Relation OS i EU og EØS.

Hvor dataene står, er ikke hele svaret

Det er lett å tro at et datasenter i Europa løser alt. Det gjør det ikke. Hvor dataene står fysisk, er én ting. Hvem som eier tjenesten, og hvilke lands lover eieren må følge, er en annen.

En leverandør med hovedsete utenfor EU kan være pålagt av sine egne myndigheter å utlevere data, uansett hvor de er lagret. Det betyr ikke at det skjer, og det betyr ikke at de store skyleverandørene er uforsvarlige. Det betyr at en seriøs vurdering må se på både sted og eierskap, og på hvilken type data det gjelder.

Hvorfor vi drifter noe selv

Noe av det vi lager, drifter vi selv. Ikke fordi vi tror vi er bedre enn de store skyleverandørene til å drifte maskiner. Det er vi ikke. Men for noen deler betyr andre ting mer enn bekvemmelighet:

• Kontroll. Vi vet hvor dataene er, hvem som har tilgang, og hva som logges. Det kan vi dokumentere overfor kunden, ikke bare love.
• Forutsigbare kostnader. AI brukes i stadig større volum. En pris per kall som virker liten i en pilot, kan bli stor i drift.
• Uavhengighet. Et abonnement på én leverandørs pakke er også et abonnement på leverandørens prisliste og utgivelsesplan. AI bør gå i bedriftens tempo, ikke leverandørens.
• Følsomme oppgaver. Der dataene er så følsomme at de ikke bør forlate vår kontroll, kan oppgaven løses med en modell vi kjører selv.

Resten kjøper vi, der det er riktig. Å drifte alt selv ville vært like ubevisst som å drifte ingenting.

Personvern er en del av designet

Personvern blir ofte behandlet som et vedlegg: noe juristene ser på etter at løsningen er valgt. Da er det for sent. Hvilke data en agent får se, hvor de behandles, og hvem som kan lese loggene, er valg som må tas når løsningen tegnes.

Derfor er dette innebygd i hvordan vi jobber. En agent arver aldri mer tilgang enn mennesket den jobber for. Alt den gjør, logges. Og kilde, tolkning og handling holdes atskilt, så det går an å etterprøve hva som ble brukt til hva.

Hva dette ikke betyr

Det betyr ikke at vi aldri bruker amerikanske tjenester. Noen av de beste modellene og verktøyene kommer derfra, og der oppgaven og dataene tåler det, bruker vi dem, med databehandleravtale på plass.

Det betyr at vi velger bevisst, for hver type data, og at vi aldri svarer «det er i skyen» når en kunde spør hvor dataene deres er. De skal få et presist svar, og det skal være sant.