Przejrzystość w gąszczu danych związanych z chmurą i sztuczną inteligencją
Kontrola nad danymi – a co za tym idzie, suwerenność danych – nie jest czymś, co organizacje osiągają raz, a potem o tym zapominają. To ciągły obowiązek. Zaawansowane platformy typu Software-as-a-Service (SaaS) oraz aplikacje oparte na sztucznej inteligencji sprawiają, że obowiązek ten jest bardziej złożony niż kiedykolwiek. Mimo to organizacje sektora publicznego mogą zachować kontrolę, budować zaufanie i wywiązywać się ze swoich zobowiązań w zakresie zgodności z przepisami.
Model „oprogramowanie jako usługa” (SaaS) zapewnia skalowalność, elastyczność oraz niższe nakłady inwestycyjne na początku. Sztuczna inteligencja (AI) potrafi analizować, porządkować i generować informacje, pomagając organizacjom w uzyskiwaniu cennych wniosków przy jednoczesnym ograniczeniu nakładu pracy ręcznej. U podstaw obu technologii leżą dane – niezależnie od tego, czy są to wrażliwe informacje dotyczące obywateli, dane rządowe, czy też dokumentacja medyczna pacjentów w służbie zdrowia.
Kluczowe pytanie brzmi: kto zachowuje kontrolę nad danymi, gdy opuszczają one infrastrukturę danej organizacji? Kto ponosi odpowiedzialność, gdy dostawcy usług SaaS lub modele sztucznej inteligencji przetwarzają informacje w środowiskach chmury publicznej? I, co być może najważniejsze, kto jest odpowiedzialny za ochronę tych danych – klient czy dostawca usług?
W praktyce odpowiedź nie jest ani prosta, ani jednoznaczna. Zależy to od tego, jak zdefiniowano obowiązki, w jaki sposób świadczone są usługi oraz jak wdrażane są środki bezpieczeństwa. W kontekście coraz bardziej złożonej sytuacji geopolitycznej oraz nasilającej się debaty na temat europejskiej suwerenności danych organizacje sektora publicznego muszą dokładnie zrozumieć, gdzie zaczyna się i kończy ich odpowiedzialność – oraz w jaki sposób mogą zachować kontrolę nad swoimi danymi.
Czym jest kontrola danych?
Kontrola danych odnosi się do uprawnień, odpowiedzialności i praw decyzyjnych związanych z danymi w całym cyklu ich życia. Dotyczy ona nie tylko kwestii prawnej własności, ale przede wszystkim tego, kto decyduje o sposobie dostępu do danych, ich wykorzystania i ochrony. W praktyce wymaga to jasnych ram zarządzania, precyzyjnie określonych ustaleń umownych oraz odpowiednich środków kontroli technicznej.
Kontrola danych jest zatem pojęciem operacyjnym, podczas gdy suwerenność danych stanowi szerszą zasadę strategiczną. Suwerenność danych oznacza, że organizacje zachowują skuteczną kontrolę nad swoimi danymi niezależnie od tego, gdzie są one fizycznie przechowywane lub przetwarzane. W Niemczech suwerenność technologiczna i cyfrowa jest obecnie rozwijana poprzez takie inicjatywy, jak „High-Tech Agenda Germany” (HTAD) oraz program modernizacji rządu federalnego dotyczący administracji rządowej i publicznej.
Chmura zasłania obraz
Niezależnie od tego, czy chodzi o administrację publiczną, centra obsługi klienta, czy też jakiekolwiek inne środowisko, w którym przetwarzane są poufne informacje, aplikacje SaaS zapewniają elastyczny dostęp i mogą być szybko skalowane w celu dostosowania się do zmieniającego się zapotrzebowania. Zapewniają one ciągłe innowacje dzięki regularnym aktualizacjom i zazwyczaj wymagają znacznie niższych nakładów początkowych niż tradycyjne rozwiązania lokalne.
Jednocześnie przeniesienie danych do chmury może sprawić, że nie będzie już tak oczywiste, kto ostatecznie sprawuje kontrolę nad tymi informacjami. To samo dotyczy aplikacji opartych na sztucznej inteligencji, które często przetwarzają dane w środowiskach chmury publicznej. Chociaż sztuczna inteligencja może generować cenne wnioski na podstawie dużych zbiorów informacji, stawia ona również większe wymagania w zakresie przejrzystości, zarządzania oraz jasno określonych zasad przetwarzania i przechowywania danych.
Organizacje sektora publicznego muszą zatem opracować jasne zasady regulujące sposób wykorzystania sztucznej inteligencji, określające, jakie dane mogą być przetwarzane oraz jak długo dane te są przechowywane.
Niemieckie organy publiczne i władze lokalne stoją przed dylematem
Organizacje sektora publicznego stoją przed szczególnymi wyzwaniami w zakresie kontroli nad danymi i suwerenności danych. Wielu czołowych dostawców technologii ma obecnie siedziby poza Europą. W związku z tym korzystanie z usług chmury publicznej oferowanych przez gigantów technologicznych, takich jak AWS, Microsoft Azure i Google Cloud, często rodzi złożone pytania dotyczące europejskiej suwerenności danych, zgodności z przepisami oraz jurysdykcji.
Jednocześnie europejscy dostawcy chmury suwerennej nie zawsze oferują tak szeroki zakres usług, globalną skalę działania ani taką samą konkurencyjność rynkową, jak najwięksi dostawcy chmury hiperskalowej. Organizacje sektora publicznego muszą zatem starannie wyważyć możliwości technologiczne, wymogi regulacyjne oraz poziom kontroli, jaki chcą zachować nad swoimi danymi.
Przejrzystość to punkt wyjścia
W tym złożonym kontekście pierwszym krokiem do zapewnienia skutecznej kontroli nad danymi jest zrozumienie, w jaki sposób, gdzie i przez kogo dane są przechowywane i przetwarzane.
Zasadniczo organizacje sektora publicznego zachowują kontrolę nad swoimi danymi. W praktyce jednak dane są często przetwarzane na wielu platformach SaaS, w ramach usług opartych na sztucznej inteligencji oraz w środowiskach chmurowych, co powoduje, że sytuacja staje się znacznie bardziej złożona. Powstały w ten sposób ekosystem dostawców oprogramowania, platform chmurowych oraz, w niektórych przypadkach, dodatkowych zewnętrznych dostawców usług może być trudny do nadzorowania. Wraz ze wzrostem złożoności rośnie również wyzwanie związane z utrzymaniem jasnego podziału obowiązków – szczególnie w zakresie bezpieczeństwa danych i zgodności z przepisami.
Wspólna odpowiedzialność: Kto ponosi odpowiedzialność?
Jednym z powszechnie stosowanych podejść jest model wspólnej odpowiedzialności. W ramach tego modelu dostawca odpowiada za zabezpieczenie infrastruktury bazowej, w tym platformy chmurowej i samej aplikacji. Organizacje sektora publicznego pozostają jednak odpowiedzialne za takie obszary, jak zarządzanie tożsamością i dostępem, konfiguracja danych oraz bezpieczeństwo integracji i interfejsów.
Ten podział obowiązków jest często źle rozumiany. Jeśli błąd konfiguracji spowoduje ujawnienie danych wrażliwych, odpowiedzialność spoczywa zazwyczaj na organizacji sektora publicznego, a nie na dostawcy. Z punktu widzenia przepisów często ma drugorzędne znaczenie, czy incydent miał swoje źródło u dostawcy usług w chmurze, czy u właściciela usługi. Kluczową kwestią jest to, czy każda ze stron wywiązała się ze swoich obowiązków w zakresie bezpieczeństwa. W przypadku gdy dostawca nie wywiązał się ze swoich obowiązków, również on może zostać poddany kontroli organów regulacyjnych.
Czy zarządzanie danymi to projekt, czy też ciągły proces?
Wymogi regulacyjne sprawiły, że ochrona danych – a w szczególności ochrona informacji wrażliwych – stała się jednym z najważniejszych priorytetów. Nie jest to jednak kwestia, którą można rozwiązać w ramach jednorazowego projektu. Platformy SaaS i aplikacje oparte na sztucznej inteligencji nieustannie się rozwijają, wprowadzając nowe możliwości, ale także nowe zagrożenia.
W związku z tym zarządzanie danymi i zapewnienie zgodności z przepisami należy traktować jako stałe obowiązki, a nie jednorazowe działania. Organizacje, które potrafią jednoznacznie wykazać, że sprawują kontrolę nad swoimi danymi, wzmacniają zaufanie organów regulacyjnych, partnerów i obywateli, jednocześnie ograniczając ryzyko w miarę dalszego rozwoju technologii SaaS i sztucznej inteligencji.
Co mogą teraz zrobić organy publiczne i władze lokalne?
Organizacje sektora publicznego powinny zapewnić skuteczną kontrolę danych poprzez połączenie zabezpieczeń umownych, przejrzystości i środków kontroli technicznej.
W praktyce wszystko zaczyna się od dokładnego zrozumienia umów i zakresu obowiązków. Kto jest administratorem danych, a kto podmiotem przetwarzającym dane? Z jakich podwykonawców przetwarzania danych i dostawców usług w chmurze korzysta dostawca oprogramowania SaaS lub rozwiązań AI? W jaki sposób zarządzane jest przetwarzanie, przechowywanie i usuwanie danych, zwłaszcza w momencie wygaśnięcia umowy?
Oprócz tego organizacje powinny prowadzić szczegółowy wykaz przepływów danych. Muszą wiedzieć, gdzie dane są tworzone, gdzie są przechowywane, przetwarzane i replikowane, które funkcje sztucznej inteligencji mają dostęp do poszczególnych kategorii informacji oraz które systemy i aplikacje stron trzecich są zintegrowane z ich środowiskiem.
Wdrażanie wewnętrznych zasad
Opierając się na tych podstawach, organizacje sektora publicznego powinny opracować jasne zasady dotyczące bezpieczeństwa i zarządzania sztuczną inteligencją. Powinny one określać, kto ma prawo dostępu do jakich danych oraz w jaki sposób dostęp ten jest zabezpieczony, na przykład poprzez scentralizowane zarządzanie tożsamością, logowanie jednokrotne (SSO) oraz uwierzytelnianie wieloskładnikowe (MFA).
Równie ważne są jasno określone role i uprawnienia, kompleksowe rejestrowanie zdarzeń audytowych, szyfrowanie danych zarówno w spoczynku, jak i podczas przesyłania, a także środki techniczne umożliwiające automatyczną identyfikację i maskowanie informacji wrażliwych w odpowiednich przypadkach.
W odpowiednich przypadkach oprogramowanie typu open source może również przynosić korzyści, ponieważ jego kod źródłowy jest publicznie dostępny, co umożliwia niezależną weryfikację i ocenę bezpieczeństwa. Należy jednak pamiętać, że powinno to zawsze stanowić część szerszej strategii bezpieczeństwa i zarządzania, a nie być traktowane jako samodzielny środek bezpieczeństwa.
Ponadto organizacje powinny określić jasne zasady przechowywania i usuwania danych, aby zapewnić, że informacje są przechowywane tylko tak długo, jak to konieczne. Systemy sztucznej inteligencji wymagają również jasno określonych zabezpieczeń, które precyzują, jakie dane mogą być przetwarzane, jakie zastosowania są dozwolone oraz w jaki sposób dane wejściowe, wyjściowe i decyzje generowane przez sztuczną inteligencję są rejestrowane, dokumentowane i przechowywane.
Wspólna praca na rzecz osiągnięcia wspólnego celu
Kontrola danych musi być wdrożona w całej organizacji. Gdy tylko poszczególne działy zaczną samodzielnie wdrażać rozwiązania typu SaaS lub oparte na sztucznej inteligencji, mogą szybko powstać odizolowane systemy z własnymi zasadami dotyczącymi danych, uprawnieniami i regułami przechowywania, co spowoduje powstanie „martwych punktów” w zarządzaniu i ograniczy nadzór organizacyjny.
Zespoły ds. IT, bezpieczeństwa i zarządzania powinny zatem być angażowane od samego początku przy każdym definiowaniu nowych wymagań, wyborze dostawców, wyborze regionów wdrożenia lub wprowadzaniu funkcji sztucznej inteligencji.
Jednocześnie organizacje sektora publicznego potrzebują jasno określonych ról i obowiązków. Kto zatwierdza nowe przypadki zastosowania sztucznej inteligencji? Kto weryfikuje aktualizacje oprogramowania i nowe wersje? Kto odpowiada za audyty, dokumentację zgodności i bieżące zarządzanie? Ostatecznie skuteczną kontrolę danych można osiągnąć tylko wtedy, gdy każdy dział stosuje te same ramy zarządzania we wszystkich systemach i aplikacjach.
Jaka jest różnica między kontrolą nad danymi a suwerennością danych?
Podczas gdy kontrola nad danymi jest praktyczną koncepcją operacyjną, suwerenność danych stanowi szerszy cel strategiczny zarówno na poziomie politycznym, jak i organizacyjnym. Celem jest zapewnienie, by dane wrażliwe pozostawały pod kontrolą prawną i operacyjną organizacji za nie odpowiedzialnej, niezależnie od tego, gdzie dane te są przechowywane lub przetwarzane.
Suwerenność danych ma również na celu ograniczenie zależności od poszczególnych dostawców oraz uniknięcie nadmiernego uzależnienia od jednego dostawcy. Można to osiągnąć poprzez takie środki, jak otwarte standardy, przenoszalność danych, architektury zapewniające interoperacyjność oraz, w stosownych przypadkach, wykorzystanie oprogramowania open source.
Dlaczego suwerenność danych jest ważna dla Europy?
Obecna debata na szczeblu europejskim jest kształtowana przez napięcia geopolityczne oraz zmiany w amerykańskim ustawodawstwie. Na mocy takich aktów prawnych jak amerykańska ustawa CLOUD Act oraz ustawa o nadzorze wywiadowczym w sprawach zagranicznych (FISA) władze amerykańskie mogą, pod określonymi warunkami prawnymi, wymagać od dostawców z siedzibą w Stanach Zjednoczonych ujawnienia określonych danych – nawet jeśli dane te są przechowywane w europejskich centrach danych.