Datasuvereniteetti on noussut nopeasti tietosuoja-, tietoturva- ja teknologiajohtajien agendalle. Kehittyvä sääntely, geopoliittinen epävarmuus, kasvavat kyberuhat ja tekoälyn yleistyminen ovat saaneet organisaatiot pohtimaan yksinkertaista kysymystä: kuka todella hallitsee meidän dataamme?
Vaikka datasuvereniteetti sekoitetaan usein datan sijainti -käsitteeseen (data residency) tai datan lokalisaatio -käsitteeseen (data localization), kyse on pohjimmiltaan kontrollista. Datasuvereniteetti liittyy siihen, mitä lakeja dataan sovelletaan, kenellä on siihen pääsy ja voivatko organisaatiot säilyttää valvonnan kriittiseen informaatioon riippumatta datan fyysisestä sijainnista.
Miksi datasuvereniteetilla on nyt merkitystä?
Datasuvereniteettiin liittyvät keskustelut keskittyivät aiemmin kansainvälisiin tiedonsiirtoihin ja GDPR-vaatimusten noudattamiseen. Tänä päivänä keskustelu datasuvereniteetistä on huomattavasti laajempaa.
Organisaatioiden on arvioitava, kuinka riippuvaisia ne ovat kansainvälisistä pilvipalveluista, miten uudet sääntelyvaatimukset vaikuttavat niiden toimintavarmuuteen sekä millaisia riskejä liittyy tekoälyjärjestelmien käyttöön tilanteissa, joissa tietoja voidaan käsitellä useissa eri maissa ja eri maiden lainsäädäntöjen alaisuudessa. Uudet aloitteet, kuten ehdotettu Tekoälyn ja pilvipalveluiden kehittämisen säädös (Cloud and AI Development Act, CADA) osoittavat, kuinka suvereniteetista on tullut strateginen prioriteetti Euroopassa. Tavoitteena on vahvistaa eurooppalaisia pilvi- ja tekoälyinfrastruktuureja sekä vähentää kriittisiä riippuvuuksia. Samanaikaisesti sääntelykokonaisuus, kuten GDPR, NIS2, DORA, EU:n datasäädös (Data Act) ja EU:n tekoälyasetus (AI Act), korostavat yhä enemmän hallintaa, vastuullisuutta, toimintakykyä ja kontrollia.
Datasuvereniteetti tekoälyn aikakaudella
Tekoäly tuo suvereniteettiin uuden ulottuvuuden. Organisaatiot eivät enää ole kiinnostuneita vain siitä, missä data sijaitsee, vaan myös esimerkiksi seuraavista kysymyksistä:
- Missä tekoälymalleja koulutetaan ja ylläpidetään?
- Minkä maan tai alueen lait säätelevät tekoälypalveluntarjoajan toimintaa?
- Kenellä on pääsy käyttäjien syötteisiin, tekoälyn tuottamiin vastauksiin ja mallien kouluttamisessa käytettyihin tietoihin?
- Miten tekoälypalvelun tarjoaja hyödyntää asiakkaiden tietoja?
- Ovatko palvelun toiminnan kannalta keskeiset järjestelmät ja palvelimet EU:n ulkopuolella?
Kun tekoäly integroidaan yhä syvemmin liiketoimintaprosesseihin, datasuvereniteetista tulee enemmän myös tekoälyn hallintaan liittyvä kysymys.
Olemassa olevan dokumentaation hyödyntäminen
Yleinen väärinkäsitys on, että datasuvereniteetin varmistaminen vaatii täysin uuden vaatimustenmukaisuuden hallintamallin rakentamista. Käytännössä kuitenkin useilla organisaatioilla on jo olemassa dokumentaatiota, joka tukee datasuvereniteettiin liittyviä tavoitteita. Esimerkkejä tällaisesta dokumentaatiosta ovat:
- Käsittelytoimiseloste (ROPA), jonka avulla voidaan tunnistaa, missä tietoja käsitellään ja mihin niitä siirretään.
- Tietosuojaa koskevat vaikutustenarvioinnit (DPIA), jonka avulla arvioidaan tietosuojaan ja sovellettavaan lainsäädäntöön liittyviä riskejä.
- Henkilötietojen siirtoa koskevat vaikutustenarvioinnit (TIA) kansainvälisiä tiedonsiirtoja varten.
- Toimittajasopimukset ja henkilötietojen käsittelysopimukset (DPA) vastuiden ja hallinnan määrittämiseksi.
- Tietoturvaa koskeva dokumentaatio, joka kattaa esimerkiksi salauksen, käyttöoikeuksien hallinnan ja poikkeamatilanteiden käsittelyn.
Sen sijaan, että organisaatiot rakentaisivat uusia hallintamalleja, ne voivat usein hyödyntää nykyistä dokumentaatiotaan ja täydentää sitä datasuvereniteettia koskevilla vaatimuksilla.
Kohti datasuvereniteettia vahvistavia ratkaisuja
Datasuvereniteetin vahvistamisen ei tarvitse olla ”kaikki tai ei mitään” -tyyppinen projekti. Käytännöllinen lähestymistapa datasuvereniteetin kehittämiseen sisältää tyypillisesti seuraavat kolme vaihetta:
1.Ymmärrä dataympäristösi
Tunnista, mitä kriittisiä tietoja organisaatiossa käsitellään, käytössä olevat tekoälyratkaisut, keskeiset toimittajat ja rajat ylittävät riippuvuudet.
2. Arvioi suvereniteettiriskit
Selvitä, missä tietoja säilytetään ja käsitellään, mitä lakeja niihin sovelletaan ja millaisia käyttöoikeuksia palveluntarjoajilla voi olla.
3. Ota käyttöön tarkoituksenmukaiset suojatoimet
Näitä voivat olla esimerkiksi vahvemmat sopimukselliset suojatoimet, salauksen vahvistaminen, salausavainten pitämistä organisaation omassa hallinnassa, alueelliset hosting-ratkaisut, suvereenit pilvipalvelut sekä tekoälyratkaisut, jotka on suunniteltu täyttämään datasuvereniteettiin liittyvät vaatimukset.
Oikea lähestymistapa riippuu organisaation riskitasosta, lakisääteisistä velvoitteista ja strategisista tavoitteista.
Mitä seuraavaksi?
Datasuvereniteetti ei ole enää pelkästään tietosuojakysymys. Se yhdistää sääntelyn noudattamisen, kyberturvallisuuden, pilvipalvelut, toimintavarmuuden ja tekoälyn hallinnan näkökulmat.
Organisaatiot, jotka hyödyntävät olemassa olevaa dokumentaatiotaan, tunnistavat riippuvuutensa ja huomioivat datasuvereniteetin teknologiapäätöksissään, ovat paremmin varautuneita toimimaan yhä monimutkaisemmassa digitaalisessa toimintaympäristössä.
Haasteena ei enää ole ymmärtää, miksi datasuvereniteetti on tärkeää. Haasteena on päättää, mitä toimenpiteitä tehdään seuraavaksi.
Tutustu seuraaviin palveluihimme: