Spesso sì, ma la risposta dipende da quattro decisioni, non dal marchio del modello: dove sono archiviati i dati, dove gira l'inferenza, chi agisce come responsabile del trattamento e se i dati personali attraversano un confine lungo il percorso. Prendete queste decisioni per ogni flusso di lavoro, mettetele per iscritto e fatele confermare dai vostri legali. Questo articolo non costituisce consulenza legale.
#Punti chiave
- Non è il nome del modello a determinare la conformità, ma archiviazione, inferenza, responsabile del trattamento e trasferimento.
- Il luogo dell'inferenza conta quanto quello dell'archiviazione, perché ogni chiamata al modello tratta i dati ovunque giri il modello.
- I modelli che un fornitore offre in ciascun paese cambiano spesso, quindi fatevi dare l'elenco aggiornato delle regioni per iscritto, con una data.
- Scegliete prima l'hosting e poi il modello, altrimenti il pilota potrebbe non essere mai autorizzato ad andare in produzione.
- Nulla di tutto questo è consulenza legale: i vostri legali confermano la base giuridica prima di usare qualsiasi dato dei clienti.
#Cosa disciplinano le leggi sulla protezione dei dati degli Emirati e dell'Arabia Saudita?
Negli Emirati Arabi Uniti i dati personali sono disciplinati dal Decreto-legge federale n. 45 del 2021 sulla protezione dei dati personali (portale del governo degli Emirati). In Arabia Saudita, la legge sulla protezione dei dati personali (PDPL) è diventata pienamente applicabile il 14 settembre 2024, con la SDAIA come autorità di controllo (Clyde & Co, settembre 2024).
Entrambe le leggi disciplinano come i dati personali vengono trattati e trasferiti. Cosa richiedano per il vostro specifico flusso di lavoro, e come trattino una chiamata al modello effettuata da un altro paese, sono domande per i vostri legali. Questo articolo vi fornisce le decisioni da portare a quella conversazione. Non costituisce consulenza legale, quindi verificate ogni punto con i legali.
#Perché conta il luogo dell'inferenza, non solo quello dell'archiviazione?
Molti team verificano dove si trova il database e si fermano lì. Ma ogni volta che un flusso di lavoro invia un record di un cliente a un modello, quel record viene trattato ovunque giri il modello. Se l'archiviazione è nel paese e l'inferenza avviene in un'altra regione, i dati personali hanno comunque viaggiato. Chiedete al fornitore la regione di inferenza per iscritto, per ogni modello, con la data in cui l'ha confermata.
Lo stesso vale per log, cache dei prompt, copie per le valutazioni e accessi del supporto del fornitore. Ciascuno è un luogo in cui i dati dei clienti possono restare o essere letti. Elencateli accanto al database principale, non dopo.
#Quali modelli AI si possono ospitare negli Emirati o in Arabia Saudita?
Qui non indicheremo un modello e un paese, perché la disponibilità per regione è stabilita da ciascun cloud provider e fornitore di modelli e cambia con i nuovi rilasci. Chiedete al fornitore l'elenco aggiornato delle regioni per l'esatta versione del modello che intendete usare. Fatevelo dare per iscritto, conservate la data e ricontrollatelo prima di ogni nuovo flusso di lavoro.
Le opzioni da confrontare di solito includono un modello offerto nella regione nazionale di un cloud provider, un modello open-weight eseguito su un'infrastruttura che controllate voi e l'API del fornitore stesso. Ciascuna dà una risposta diversa alle decisioni elencate qui sotto, quindi confrontatele su quelle decisioni e non sui punteggi dei benchmark.
#Cosa mettere per iscritto per ogni flusso di lavoro?
- Archiviazione: dove si trovano i dati di origine, i log ed eventuali copie, e chi può leggerli.
- Inferenza: la regione in cui gira il modello per questo flusso di lavoro, confermata per iscritto dal fornitore, con una data.
- Responsabile del trattamento: chi tratta i dati per vostro conto, il fornitore del modello, il cloud provider o entrambi, e cosa prevede il contratto.
- Trasferimento transfrontaliero: se qualche passaggio invia dati personali fuori dal paese, e quale base giuridica hanno confermato i vostri legali.
- Minimizzazione: quali campi servono davvero al modello. Nomi, identificativi e numeri di conto si possono spesso mascherare prima della chiamata.
Abbiamo trattato in dettaglio la questione del responsabile del trattamento in chi è il responsabile del trattamento quando l'AI gira sul vostro cloud. Trattate anche il testo dei clienti come input non affidabile: la prompt injection è il primo rischio della OWASP Top 10 for LLM Applications.
We are
Stennir mappa archiviazione, inferenza, responsabile del trattamento e trasferimento per ogni flusso di lavoro, ospita dove le vostre regole lo richiedono e vi lascia la proprietà di account, dati e interruttore di spegnimento.
We aren't
Stennir non è uno studio legale e non fornisce pareri legali. I vostri legali confermano la base giuridica prima che qualsiasi cosa giri sui dati dei clienti.
#Si può automatizzare un flusso di lavoro senza spostare i dati su un cloud statunitense?
Spesso sì, scegliendo l'hosting prima del modello. Partite dal flusso di lavoro e dai dati che tocca, scegliete un'installazione che mantenga archiviazione e inferenza dove le vostre regole lo richiedono, poi scegliete un modello disponibile lì. Scegliere prima il modello è il modo in cui i team finiscono con un pilota che l'ufficio legale non approverà per la produzione.
Chi acquista lo chiede anche in arabo: «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». Il quadro è lo stesso, e Stennir lo affronta con il vostro team in arabo e in inglese.
#Cosa dovrebbe fare ora un responsabile compliance o operations?
Scegliete un flusso di lavoro che tocca dati dei clienti e compilate le cinque decisioni qui sopra. Portate il documento AI vostri legali. La consulenza AI include la regione di hosting nella realizzazione raccomandata, e l'implementazione AI fa girare il flusso di lavoro dove le vostre regole lo richiedono. Consultate AI per la compliance, fate la valutazione di prontezza gratuita oppure prenotate una chiamata di 30 minuti.
#Domande frequenti
È legale usare ChatGPT con i dati dei clienti in Arabia Saudita?
Dipende da come i dati vengono trattati, archiviati e trasferiti, non dal nome del prodotto. La PDPL è applicata dalla SDAIA, e i vostri legali devono confermare la base giuridica per ogni flusso di lavoro. Questo non costituisce consulenza legale. Portate AI legali le decisioni su archiviazione, inferenza, responsabile del trattamento e trasferimento per l'uso specifico.
Dove restano i nostri dati?
Dove decidete voi, flusso di lavoro per flusso di lavoro. Stennir mette per iscritto la regione di archiviazione, la regione di inferenza e ogni luogo in cui può restare una copia, come log e cache. Gli account sono intestati a voi, quindi potete vedere le impostazioni direttamente e modificarle o chiuderle senza chiederci nulla.
Di cosa avete bisogno da noi per iniziare?
Del flusso di lavoro che avete in mente, dei campi che tocca, dei vostri attuali contratti con cloud provider e fornitori e di un referente legale o compliance. Con questi elementi, la decisione sull'hosting si può prendere prima di scegliere qualsiasi modello, ed è quest'ordine che permette poi a un pilota di arrivare in produzione.
Cosa potrebbe andare storto?
L'errore più comune è verificare l'archiviazione e trascurare l'inferenza: il database resta nel paese mentre ogni chiamata al modello va altrove. Altri sono log conservati in un'altra regione, personale di supporto del fornitore in grado di leggere i prompt e un fornitore che modifica l'elenco delle regioni dopo la firma. Ricontrollate l'elenco prima di ogni nuovo flusso di lavoro.
