Les promesses de résidence des données de Microsoft à Hyderabad suscitent des questions
La nouvelle région cloud de Microsoft à Hyderabad, en Inde, propose des "charges de travail sensibles éligibles", mais le traitement des services d'IA peut avoir lieu ailleurs, soulevant des questions pour les industries réglementées.
Microsoft a informé ses clients indiens le 21 septembre que des "charges de travail sensibles éligibles" pourraient être exécutées dans sa nouvelle région cloud d'Hyderabad, mais cette capacité est subordonnée à la "disponibilité des services pris en charge". Cette qualification est essentielle pour les entreprises des secteurs tels que la banque, l'assurance et la santé, qui déplacent de plus en plus de données sensibles vers des outils d'IA et doivent naviguer dans les réglementations indiennes complexes en matière de localisation des données.
L'entreprise a désigné la région India South Central, sa quatrième dans le pays, comme un "hub stratégique" pour l'Asie et le Sud mondial, et a annoncé que toutes ses régions indiennes étaient désormais "activées par l'IA". Microsoft Foundry, une plateforme pour la création d'applications d'IA, devrait également être bientôt disponible dans la région. Plusieurs grandes entreprises indiennes, dont HDFC Bank, auraient déjà signé.
Alors que Microsoft affirme que ses régions indiennes sont "alignées sur les directives MeitY", elle ne spécifie pas ces directives et reporte la charge de la conformité sur le client. "Les clients restent responsables de déterminer quelles exigences s'appliquent à leurs organisations et à leurs charges de travail", a noté l'entreprise.
Le problème principal réside dans la distinction entre les données au repos et les données en mouvement. La documentation de Microsoft sépare ces deux éléments, indiquant que si les données peuvent être stockées à Hyderabad, les invites et les réponses des modèles d'IA peuvent être traitées ailleurs, en fonction du déploiement choisi par le client. Les options vont du traitement mondial à des "Zones de données" spécifiques, ce qui signifie que les données stockées en Inde pourraient potentiellement être traitées ailleurs.
La situation est encore compliquée par des outils tels qu'Azure Key Vault et Customer Lockbox, qui sont promis pour la région d'Hyderabad "dès que les services pris en charge seront disponibles", sans indication claire de leur statut actuel. De plus, le CLOUD Act américain permet aux autorités américaines d'accéder aux données contrôlées par des entreprises américaines, quel que soit leur emplacement physique, ajoutant une autre couche de complexité aux données gérées en Inde par Microsoft.