Чтобы запустить новую модель Anthropic на Bedrock, AWS придётся хранить и передавать ваши данные

Что заметил автор поста

Это тред в духе Ask HN, так что сама дискуссия и есть история. Утверждение под разбором: чтобы использовать Mythos и будущие модели, AWS Bedrock будет требовать передачу данных в Anthropic (с их хранением) c оговорками «кроме редких случаев, когда это часть расследования безопасности или мы обязаны хранить их по закону». Для платформы, чьё всё корпоративное предложение строится на изоляции данных, это заметный разворот, и первым делом тред спросил: зачем AWS на такое согласилась.

Завсегдатай с высокой кармой дал несентиментальный ответ:

«Спрос на модель беспрецедентный, и единственный минус для Anthropic, откажи AWS, — часть выручки сдвинулась бы на квартал, пока они доводят Fable на недавно купленных мощностях у xAI и Google». — baq

Корпоративное возражение предметно

Практическое беспокойство касалось не абстрактной приватности, а того, что реально течёт через эти эндпоинты:

«„Хранение 30 дней для продвинутых моделей“ звучит разумно само по себе — пока не вспомнишь, что многие команды гонят через эти системы проприетарный код, внутренние документы или чувствительный клиентский контекст». — Torikul007

Кто-то из регулируемой отрасли подтвердил, что охлаждающий эффект уже стал политикой: «У нас в корпорации запрещено использование локальных моделей из-за опасений вроде „агент отправит код в сеть“», — и отметил сложности с FedRAMP, когда данные покидают защищённый периметр.

Юристы из ЕС спорят друг с другом

Самым показательным был обмен двух практиков, пришедших к противоположным выводам об одном и том же режиме. Скептик — по бэкграунду CISO:

«В ЕС это не пройдёт». — _pdp_, в перерыве от обязанностей CISO

Возражение строилось на том, что GDPR прямо это разрешает, если всё раскрыто:

«В ЕС это пройдёт. Пока компания указывает срок, в течение которого хранит данные, и затем их удаляет, у GDPR нет претензий к такому хранению. Их оговорки про безопасность (общественный интерес) и закон — тоже допустимые исключения в GDPR». — dhruvrrp

Второй голос с высокой кармой поддержал оптимиста: «Ещё как пройдёт — есть ясная цель, и клиент явно соглашается». Итог от наблюдавшего за позицией Anthropic: компания может просто не давать модель там, где не может выполнить требования: «Anthropic тут держится довольно принципиально».

Где это на самом деле приземляется

Юридический раскол реален, но, вероятно, разрешим: раскрытое хранение с ограниченным сроком и заявленными целями — ровно то, что GDPR и был создан разрешать. Сложнее проблема, которую назвали комментаторы из регулируемых отраслей: вопрос не в том, законно ли отправлять свой код в модель, которая его хранит, а в том, разрешит ли вам это служба комплаенса. Для нагрузок под FedRAMP и под регулирование ЕС именно фраза «обязаны хранить по закону» превращает удобство в риск, и поэтому это конкретное изменение Bedrock значит больше, чем подсказывает скромная цифра в 30 дней.