Cross-Region-Inferenz braucht Zielregion-Nachweise

Cross-Region-Inferenz kann Kapazität und Verfügbarkeit erhöhen, verändert aber den Datenpfad. AWS hat den Zugriff auf mehrere OpenAI-GPT-Modelle in Amazon Bedrock aus fünf asiatisch-pazifischen Regionen erweitert. Die globalen Inferenzprofile können Anfragen dabei laut AWS in jede unterstützte kommerzielle AWS-Region routen.

Die Quellregion ist nicht die Verarbeitungsregion

Ein API-Aufruf startet beispielsweise in Thailand oder Singapur. Das Modell kann die Anfrage dennoch in einer anderen Zielregion verarbeiten. Für Architekturdiagramme, Datenschutzprüfungen und Lieferantensteuerung reicht die konfigurierte Quellregion deshalb nicht als Nachweis.

AWS erklärt, dass Kundendaten bei der normalen Inferenz weder in der Quell- noch in der Zielregion gespeichert werden. Der aktuelle Beitrag nennt jedoch eine wichtige Ausnahme: Wird Datenverkehr durch die automatisierte Missbrauchserkennung markiert, kann AWS ihn bis zu 30 Tage in der Zielregion aufbewahren. Unternehmen müssen daher nicht nur den Normalpfad, sondern auch Ausnahmen und Aufbewahrungsregeln bewerten.

Aus Routing muss Evidenz werden

AWS dokumentiert die tatsächlich verwendete Region im CloudTrail-Feld inferenceRegion. Daraus lässt sich ein belastbarer Kontrollpfad bauen:

• Profil: Welches globale oder geografisch begrenzte Inferenzprofil ist für den Workload erlaubt?
• Zielraum: Welche möglichen Zielregionen umfasst dieses Profil zum Freigabezeitpunkt?
• Nachweis: Wird inferenceRegion zentral protokolliert, überwacht und einer Anwendung zugeordnet?
• Abweichung: Was geschieht, wenn eine nicht freigegebene Region erscheint oder Telemetrie fehlt?
• Ausnahme: Welche Aufbewahrung kann bei Abuse Detection entstehen, und wer bewertet sie?

Ein automatischer Fallback auf ein globales Profil darf keine stillschweigende Betriebsentscheidung sein. Er braucht dieselbe fachliche, technische und datenschutzbezogene Freigabe wie der primäre Pfad.

Was das für DACH-Unternehmen bedeutet

Die Europäische Kommission weist darauf hin, dass Übermittlungen personenbezogener Daten außerhalb der EU eine Angemessenheitsentscheidung oder geeignete Garantien benötigen. Daraus folgt nicht automatisch, dass jedes Cross-Region-Routing unzulässig ist. Es macht die dokumentierte Zielregion aber zu einem Bestandteil von Datenfluss, Transferbewertung und Auftragsverarbeiter-Kontrolle.

Prüfen Sie deshalb nicht nur, wo eine Anfrage startet. Legen Sie fest, wo sie verarbeitet werden darf, wie Sie die tatsächliche Zielregion belegen und welche Ausnahmen einen erneuten Review auslösen. Die Region im SDK ist eine Konfiguration. Die Region im Audit-Log ist der Betriebsnachweis.