用語集
更新日
データレジデンシー（保管地域）は、ソブリンティ（主権）やローカライゼーション（データ現地化）とどのように異なるのでしょうか？
これら3つの用語は混同して使用されがちですが、それぞれ意味が異なります。レジデンシーとは、データが物理的にどこに配置されるかに関する確約であり、多くの場合、法的義務ではなく契約上の合意に基づきます。ローカライゼーションは、一部のインド、中国、ロシアの規制に見られるように、特定のデータを管轄区域内にとどめなければならないという法的要件です。ソブリンティはさらに一歩進んだ概念であり、どの政府がそのデータへのアクセスを強制できるかに関わります。そのため、米国に本社を置くプロバイダーが運営するEUホスト型のサービスは、レジデンシーは満たすことができても、ソブリンティ（主権）に関する懸念は依然として残ることになります。調達時のアンケートでは、しばしばこれらの用語が混同されて質問されます。
なぜAIの導入によってこの問題がより難しくなるのでしょうか？
従来のデータガバナンスでは、ストレージの場所をマッピングして制御することが可能でした。しかし、AIは見落としやすいデータの移動を発生させます。顧客データを含むプロンプトがホスト型モデルに送信されることも「データ移転」であり、その応答やプロバイダーが保持するログも同様です。リトリーバル（検索）システムは、あるリージョンのドキュメントを、別のリージョンで処理されるコンテキストウィンドウにプルします。ファインチューニング（微調整）は、他の場所で実行されている可能性のあるトレーニングパイプラインにデータをコピーします。さらに、SaaS製品に組み込まれたベンダー提供のAIは、顧客が設定を行うことなくデータを移動させます。その結果、データベース層で交わされたレジデンシーの確約が、インファレンス（推論）層で破られることが頻繁に発生します。
GDPR（一般データ保護規則）は何を求めているのでしょうか？
GDPRはデータのローカライゼーションを義務付けているわけではありません。適法な移転メカニズムが適用されない限り、EEA（欧州経済領域）外への個人データの移転を制限しているだけであり、これはより柔軟な異なる概念です。これらのメカニズムには、移転先国に対する十分性認定、移転影響評価を伴う標準契約条項、または拘束的企業ルールが含まれます。GDPRを「EU内での保管のみを義務付けるもの」と誤解している企業は、自社のアーキテクチャを過度に制限しがちです。一方で、移転ルールを無視している企業は、文書化されていないメカニズムに依存することになってしまいます。DORAやPRA SS2/21を含む各規制については、AIのデータレジデンシー要件のガイドで詳しく解説しています。
監査に耐えうるコントロール（管理策）にはどのようなものがありますか？
ストレージと推論エンドポイントの双方を特定のリージョンに固定してデプロイし、モデルの呼び出しがデータと同じ管轄区域内にとどまるようにすること。処理場所、プロンプトと出力の保持期間、および入力データがトレーニングに使用されるかどうかをカバーする、AIプロバイダーからの契約上の確約。トレーニングへの顧客データの使用を無効化する設定（そのオプションが存在する場合）。国境を越えたフローごとに依存している移転メカニズムの記録。そして、どのリージョンのどのモデルがどのリクエストを処理したかを捕捉するログの取得です。これこそが規制当局が求める証拠であり、通常最も欠落している部分です。
AIガバナンスにおいて、これはどのように具現化されますか？
レジデンシーはシステム固有の特性であり、所有者やリスク層と並んでAIインベントリに登録されるべきものです。各AIシステムについて、ホスティングリージョン、プロバイダー、移転の法的根拠、および保持条件を記録しておくことで、レジデンシーの管理は定期的な手作業のタスクから、いつでも即座に回答可能な状態へと変わります。また、最も重要なケース、すなわち誰も登録していないシャドーAIやベンダー組み込み機能など、事前の評価なしにデータが国境を越えてしまっている状況を浮き彫りにすることができます。
例
ドイツの保険会社が、保険金請求に関する案内文書の下書きを作成するアシスタントを導入します。保険契約者のデータはフランクフルトのデータベースに保管されており、データ常駐（レジデンシー）の要件を満たしています。このアシスタントは、米国リージョンでホストされている大規模言語モデルを呼び出すため、請求の詳細を含むすべてのプロンプトは、欧州経済領域（EEA）域外への個人データの移転にあたります。同社は、モデルのエンドポイントをEUリージョンに固定し、プロンプトが保持されたりトレーニングに使用されたりしないことを確認する契約条項を締結します。さらに、残存するベンダーのサポートアクセスについて移転影響評価を実施した上で標準契約条項（SCC）を文書化し、AIインベントリ内のシステムに対してリージョンとプロバイダーを記録します。監督当局から、EEA域外で保険契約者のデータを処理しているシステムはどれかとの問い合わせがあった際にも、1回のクエリで即座に回答を得ることができます。