Överskådlighet i datadjungeln kring molntjänster och AI
Datakontroll – och därmed datasuveränitet – är inte något som organisationer uppnår en gång för alla och sedan glömmer bort. Det är ett fortlöpande ansvar. Kraftfulla SaaS-plattformar (Software-as-a-Service) och AI-applikationer gör detta ansvar mer komplext än någonsin. Trots detta kan organisationer inom den offentliga sektorn behålla kontrollen, bygga upp förtroende och uppfylla sina efterlevnadskrav.
Software-as-a-Service (SaaS) erbjuder skalbarhet, flexibilitet och lägre initiala investeringar. Artificiell intelligens (AI) kan analysera, organisera och generera information, vilket hjälper organisationer att få värdefulla insikter samtidigt som den manuella arbetsinsatsen minskas. I centrum för båda dessa tekniker står data – oavsett om det rör sig om känslig information om medborgare, myndighetsdata eller patientjournaler inom hälso- och sjukvården.
Den centrala frågan är: vem har kontrollen när uppgifterna lämnar organisationens egen infrastruktur? Vem bär ansvaret när SaaS-leverantörer eller AI-modeller bearbetar information i offentliga molnmiljöer? Och, kanske viktigast av allt, vem är ansvarig för att skydda dessa uppgifter – kunden eller tjänsteleverantören?
I praktiken är svaret varken enkelt eller entydigt. Det beror på hur ansvarsfördelningen är utformad, hur tjänsterna tillhandahålls och hur säkerhetsåtgärderna genomförs. Mot bakgrund av ett allt mer komplext geopolitiskt landskap och den växande debatten kring europeisk datasuveränitet behöver organisationer inom den offentliga sektorn ha en tydlig förståelse för var ansvaret börjar och slutar – och hur de kan behålla kontrollen över sina data.
Vad är datakontroll?
Med datakontroll avses den befogenhet, det ansvar och den beslutanderätt som är förknippade med data under hela dess livscykel. Det handlar inte bara om den juridiska frågan om äganderätt, utan framför allt om vem som bestämmer hur data ska nås, användas och skyddas. I praktiken kräver detta tydliga styrningsramar, väl definierade avtalsvillkor och lämpliga tekniska kontrollåtgärder.
Datakontroll är alltså ett operativt begrepp, medan datasuveränitet är en bredare strategisk princip. Datasuveränitet innebär att organisationer behåller den faktiska kontrollen över sina data, oavsett var de fysiskt lagras eller behandlas. I Tyskland främjas för närvarande teknisk och digital suveränitet genom initiativ som ”High-Tech Agenda Germany” (HTAD) och förbundsregeringens moderniseringsagenda för statlig och offentlig förvaltning.
Molnen skymmer utsikten
Oavsett om det gäller offentlig förvaltning, kontaktcenter eller någon annan miljö där känslig information hanteras, erbjuder SaaS-applikationer flexibel åtkomst och kan snabbt skalas upp för att möta förändrad efterfrågan. De bidrar till kontinuerlig innovation genom regelbundna uppdateringar och kräver vanligtvis betydligt lägre initiala investeringar än traditionella lokala lösningar.
Samtidigt kan överföringen av data till molnet göra det svårare att avgöra vem som i slutändan har kontrollen över informationen. Detsamma gäller AI-applikationer, som ofta bearbetar data i offentliga molnmiljöer. Även om AI kan generera värdefulla insikter från stora datamängder, ställer det också högre krav på transparens, styrning och tydligt definierade regler för databehandling och lagring.
Organisationer inom den offentliga sektorn måste därför fastställa tydliga riktlinjer för hur AI ska användas, vilka uppgifter som får behandlas och hur länge dessa uppgifter ska sparas.
Tyska statliga och kommunala myndigheter står inför ett dilemma
Organisationer inom den offentliga sektorn står inför särskilda utmaningar när det gäller datakontroll och datasuveränitet. Många av dagens ledande teknikleverantörer har sitt huvudkontor utanför Europa. Detta innebär att användningen av publika molntjänster från hyperscalers som AWS, Microsoft Azure och Google Cloud ofta ger upphov till komplexa frågor kring europeisk datasuveränitet, efterlevnad av regelverk och jurisdiktion.
Samtidigt erbjuder europeiska molntjänstleverantörer som är underkastade EU:s lagstiftning inte alltid samma bredd på tjänsterna, samma globala räckvidd eller samma kommersiella konkurrenskraft som de största hyperscalers-företagen. Organisationer inom den offentliga sektorn måste därför hitta en noggrann balans mellan teknisk kapacitet, lagstadgade krav och den kontroll de vill behålla över sina data.
Öppenhet är utgångspunkten
I detta komplexa sammanhang är det första steget mot en effektiv datakontroll att förstå hur, var och av vem data lagras och behandlas.
I princip behåller organisationer inom den offentliga sektorn kontrollen över sina data. I praktiken behandlas dock data ofta över flera SaaS-plattformar, AI-tjänster och molnmiljöer, vilket skapar en betydligt mer komplex bild. Det ekosystem av programvaruleverantörer, molnplattformar och, i vissa fall, ytterligare tredjepartsleverantörer som uppstår kan vara svårt att överblicka. I takt med att komplexiteten ökar blir det också svårare att upprätthålla tydliga ansvarsförhållanden – särskilt när det gäller datasäkerhet och efterlevnad av regelverk.
Delat ansvar: Vem bär ansvaret?
En metod som har fått stor spridning är modellen för delat ansvar. Enligt denna modell ansvarar leverantören för att säkra den underliggande infrastrukturen, inklusive molnplattformen och själva applikationen. Organisationer inom den offentliga sektorn förblir dock ansvariga för områden som identitets- och åtkomsthantering, datakonfiguration samt säkerheten kring integrationer och gränssnitt.
Denna ansvarsfördelning missförstås ofta. Om ett konfigurationsfel leder till att känsliga uppgifter exponeras ligger ansvaret i allmänhet hos den offentliga organisationen snarare än hos leverantören. Ur ett tillsynsperspektiv är det ofta av underordnad betydelse om incidenten har sitt ursprung hos molnleverantören eller tjänsteägaren. Den avgörande frågan är om varje part har fullgjort sina respektive säkerhetsförpliktelser. Om en leverantör har underlåtit att fullgöra sina egna skyldigheter kan även denne bli föremål för tillsynsmyndigheternas granskning.
Är datahantering ett projekt eller en fortlöpande process?
Lagstiftningen har gjort att dataskydd – och i synnerhet skyddet av känslig information – nu står högst upp på dagordningen. Detta är dock inte något som kan hanteras genom ett engångsprojekt. SaaS-plattformar och AI-applikationer utvecklas ständigt, vilket medför både nya möjligheter och nya risker.
Följaktligen måste datakontroll och efterlevnad betraktas som fortlöpande ansvarsområden snarare än engångsåtgärder. Organisationer som tydligt kan visa att de har kontroll över sina data stärker förtroendet hos tillsynsmyndigheter, samarbetspartner och medborgare, samtidigt som de minskar riskerna i takt med att SaaS- och AI-tekniken fortsätter att utvecklas.
Vad kan statliga och kommunala myndigheter göra nu?
Organisationer inom den offentliga sektorn bör införa en effektiv datakontroll genom en kombination av avtalsmässiga skyddsåtgärder, öppenhet och tekniska kontroller.
I praktiken börjar detta med en tydlig förståelse av avtal och ansvarsfördelning. Vem är personuppgiftsansvarig och vem är personuppgiftsbiträde? Vilka underbiträden och molntjänstleverantörer använder SaaS- eller AI-leverantören? Hur hanteras databehandling, lagring och radering, särskilt när ett avtal upphör att gälla?
Utöver detta bör organisationerna upprätthålla en omfattande översikt över sina dataflöden. De måste ha en förståelse för var data skapas, var den lagras, bearbetas och replikeras, vilka AI-funktioner som har tillgång till vilka kategorier av information samt vilka tredjepartssystem och -applikationer som är integrerade i miljön.
Genomförande av interna riktlinjer
Med utgångspunkt i detta bör organisationer inom den offentliga sektorn införa tydliga riktlinjer för säkerhet och styrning av AI. Dessa bör fastställa vem som har behörighet att få tillgång till vilka uppgifter och hur denna åtkomst skyddas, till exempel genom centraliserad identitetshantering, enkel inloggning (SSO) och multifaktorautentisering (MFA).
Lika viktigt är tydligt definierade roller och behörigheter, omfattande revisionsloggning, kryptering av data både i lagrad form och under överföring samt tekniska kontroller som automatiskt kan identifiera och maskera känslig information när så är lämpligt.
I lämpliga fall kan programvara med öppen källkod också erbjuda fördelar, eftersom dess källkod är allmänt tillgänglig för oberoende granskning och säkerhetsbedömning. Detta bör dock alltid ingå i en bredare strategi för säkerhet och styrning, snarare än att betraktas som en säkerhetsåtgärd i sig.
Dessutom bör organisationer fastställa tydliga riktlinjer för lagring och radering av data för att säkerställa att informationen endast sparas så länge som det är nödvändigt. AI-system kräver också väl definierade skyddsåtgärder som anger vilka uppgifter som får behandlas, vilka användningsfall som är tillåtna och hur AI-systemets indata, utdata och beslut loggas, dokumenteras och bevaras.
Att arbeta tillsammans mot ett gemensamt mål
Datastyrningen måste genomsyra hela organisationen. Så snart enskilda avdelningar börjar införa SaaS- eller AI-lösningar på egen hand kan det snabbt uppstå isolerade system med egna datapolicyer, behörigheter och regler för datalagring, vilket skapar blinda fläckar i styrningen och minskar organisationens överblick.
IT-, säkerhets- och styrningsgrupper bör därför involveras redan från början när nya krav fastställs, leverantörer väljs ut, driftsregioner väljs eller AI-funktioner införs.
Samtidigt behöver organisationer inom den offentliga sektorn ha tydligt definierade roller och ansvarsområden. Vem godkänner nya användningsfall för AI? Vem granskar programuppdateringar och nya versioner? Vem ansvarar för revisioner, dokumentation av efterlevnad och löpande styrning? I slutändan kan effektiv datakontroll endast uppnås när varje avdelning följer samma styrningsramverk för alla system och applikationer.
Vad är skillnaden mellan datakontroll och datasuveränitet?
Medan datakontroll är ett praktiskt, operativt begrepp, utgör datasuveränitet ett bredare strategiskt mål på både politisk och organisatorisk nivå. Syftet är att säkerställa att känsliga uppgifter förblir under den rättsliga och operativa kontrollen av den organisation som ansvarar för dem, oavsett var dessa uppgifter lagras eller behandlas.
Datasuveränitet syftar också till att minska beroendet av enskilda leverantörer och undvika överdriven leverantörsberoende. Detta kan främjas genom åtgärder som öppna standarder, dataportabilitet, interoperabla arkitekturer och, där så är lämpligt, användning av programvara med öppen källkod.
Varför är datasuveränitet viktigt för Europa?
Den pågående debatten på europeisk nivå präglas av geopolitiska spänningar och utvecklingen inom den amerikanska lagstiftningen. Enligt rättsliga ramverk som den amerikanska CLOUD Act och Foreign Intelligence Surveillance Act (FISA) kan amerikanska myndigheter, under vissa rättsliga förutsättningar, kräva att leverantörer med säte i USA lämnar ut vissa uppgifter – även om dessa uppgifter lagras i europeiska datacenter.