Az adatlokalitás csendes politikája
The server room nobody wanted to visit
The first serious lesson I learned about data locality came from a basement that smelled faintly of coffee, concrete, and institutional patience. A public organisation had invited a group of managers to see the room where its most sensitive records were kept. The tour was meant to be symbolic. The data was not glamorous. There were no glass walls, no cinematic blue lights, no dashboard counting innovation per minute. There were racks, labels, locked cabinets, a clipboard, and a person who knew which circuit breaker should never be touched unless you wanted an afternoon with legal.
Someone asked whether the organisation should move more of the workload elsewhere because the basement looked old fashioned. The facility manager did not defend the room as sacred ground. He simply asked who would be able to stop a bad access request at three in the morning, who could prove which copy was authoritative, who owned the keys, who could restore the record without asking a foreign helpdesk, and who would explain the choice to a citizen if the record crossed a border by accident. The question was not where the metal box looked modern. The question was where authority landed.
That is the quiet politics of data locality. It rarely announces itself as politics. It appears as architecture, procurement, latency, backup design, contract language, key management, logging, support access, and the apparently innocent field that says region. Then one day there is a dispute, an audit, a breach, a budget shock, a new law, a merger, or a service failure. Suddenly everyone discovers that the place where data sits has been making institutional decisions all along, just with better cable management.
Data locality is often reduced to a simple sentence: keep data close. That is not wrong, but it is too small. Locality is not only physical distance. It is the arrangement of legal reach, operational command, technical dependency, economic exposure, and human responsibility around a record. The data can be stored in one country while the power to read, copy, delete, route, or price it lives somewhere else. A map can say local while the control plane says please hold.
Location is not control
The most common mistake is treating geography as a substitute for governance. A data centre inside a border can be useful. It can reduce latency, simplify inspection, satisfy sector rules, and make incident response less dependent on distant teams. But the building is only one layer. If identity, encryption keys, support tooling, orchestration, telemetry, billing, and administrative override live elsewhere, the record is local in the same way a bicycle is secure because the front wheel is locked to itself. It looks like a measure. It is not the whole measure.
Az ellenőrzés rétegezett. Ott van a tárolás helye, amely arra ad választ, hogy hol pihennek a bitek. Ott van a kulcs helye, amely arra ad választ, hogy ki teheti olvashatóvá azokat a biteket. Ott van az identitásréteg, amely arra ad választ, hogy ki kérdezhet. Ott van a műveleti réteg, amely arra ad választ, hogy ki módosíthat, függeszthet fel, telepíthet át, replikálhat, készíthet pillanatképet vagy törölhet. Ott van a bizonyítékok rétege, amely arra ad választ, hogy ki igazolhatja, mi történt. Ott van a szerződéses réteg, amely arra ad választ, hogy mely ígéretek számítanak, amikor a dolgok már nem vidámak. A lokalitás csak akkor válik valóságossá, ha ezek a rétegek olyan hatóságra mutatnak, amelyet az intézmény ténylegesen felügyelhet.
Ez nem azt jelenti, hogy minden szervezetnek minden szervert birtokolnia kell. Furcsa következtetés lenne, és ajándék azoknak, akik pincéket árulnak. Azt jelenti, hogy a vezetőknek abba kell hagyniuk azt a kérdést, hogy helyi-e az adat, mintha a lokalitás egy jelölőnégyzet lenne. A hasznos kérdések konkrétabbak. Melyik másolat számít. Kinél vannak a kulcsok. Mely rendszergazdák írhatják felül a szabályzatot. Mely naplók függetlenek. Mely joghatóság melyik szereplőt kényszerítheti. Mely függőség akadályozna meg minket a költözésben. Mely költség jelenik meg, amikor megpróbáljuk.
Ezek a kérdések addig tűnnek technikainak, amíg nem azok. Egy kórházban a lokalitás azt befolyásolja, hogy a klinikai feljegyzések elérhetők maradnak-e hálózati szakadás idején. Egy önkormányzatnál azt befolyásolja, hogy az állampolgári adatok ellenőrizhetők-e a közjogi elvárások szerint. Egy iskolában azt befolyásolja, hogy a tanulási feljegyzések felhasználhatók-e az eredeti céljukon túl. Egy banknál azt befolyásolja, hogy mely felügyeleti szervek mely nyomvonalat láthatják. Egy kutatóintézetben azt befolyásolja, hogy az adatok megoszthatók-e anélkül, hogy az intézmény működési jövőjét elárulnák. Egyik sem elvont. Ez a hatalom csatornarendszere.
A jogi térkép nem ugyanaz, mint a hálózati térkép
A hálózatok nagyon jól rejtik a politikát. A csomagok átlépik a határokat anélkül, hogy kis ceremóniát kérnének. A replikák azért jelennek meg, mert a rendelkezésre állás igényli őket. A támogató mérnököknek vészhelyzeti eszközökre van szükségük, mert a rendszerek kényelmetlen órákban hibásodnak meg, ami a számítástechnika egyik kevés megbízható ténye. Az elemző csapatok másolatokat akarnak, mert a várakozás unalmas. A biztonsági csapatok telemetriát akarnak, mert az alternatíva a hivatalos nyelvű találgatás. Mindegyik ok lehet jogos. Mindegyik áthelyezheti a hatalmat is.
A jogi hatalom feleket, szerződéseket, joghatóságokat, leányvállalatokat, rendszergazdákat, feldolgozókat, alvállalkozó feldolgozókat és néha meglepő értelmezéseket követ a hozzáférésről. Egy rekord Amszterdamban lehet, miközben egy országon kívüli vállalat kötelezhető a hozzáféréshez való segítségnyújtásra. Egy kulcsot becsomagolhat egy olyan szolgáltatás, amely technikailag távoli. Egy napló tárolható olyan régióban, amelyet azért választottak, mert ez volt az alapértelmezett. Egy biztonsági másolat túlélhet olyan helyen, amelyet senki sem említett az igazgatósági bemutató során. A rendszerábra lehet helyes, és mégis politikailag hiányos.
Ezért kelt az adatrezidencia kifejezés gyakran hamis nyugalmat. A rezidencia mond valamit arról, hogy hol tárolják az adatokat. Nem mondja meg automatikusan, hogy ki befolyásolhatja, vizsgálhatja meg, foglalhatja le, függesztheti fel, árazhatja, vagy teheti csendben lehetetlenné a távozást. A rezidencia egy szobaszám. A lokalitás, helyesen értelmezve, a bérleti szerződés, a pótkulcs, a bérbeadó, a takarítási ütemterv, a biztosítási kötvény és az a személy, aki tudja, melyik ablak nem csukódik be.
Az intézményeknek jogi-működési térképre van szükségük, nem csak felhőrégió-térképre. Ennek a térképnek meg kell mutatnia a hiteles rekordot, a replikákat, a biztonsági másolatokat, a naplókat, a modellbemeneteket, a származtatott adatokat, a hozzáférési közvetítőket, a kulcstartókat, az emberi támogatási útvonalakat és a szerződéses szűk keresztmetszeteket. Azt is meg kell mutatnia, hogy mi történik terhelés alatt. A normál működési ábrák gyakran udvariasak. A terhelési ábrák az igazat mondják.
Az üzemeltetési kontroll a szuverenitás unalmas formája
A szuverenitásról szóló közbeszéd gyakran zászlókhoz, stratégiai autonómiához vagy hősi hangvételhez nyúl, amikor a saját lábunkon való megállásról beszél. Az üzemeltetésben a szuverenitás kevésbé színpadias. Ez a képesség arra, hogy kérlelés nélkül javítsunk, találgatás nélkül állítsunk helyre, a szolgáltatás megtörése nélkül utasítsunk el egy hozzáférési utat, pánik nélkül cseréljünk kulcsokat, az intézmény újraírása nélkül helyezzünk át munkaterheléseket, és bizonyítékot állítsunk elő anélkül, hogy egy képernyőfotó köré bizottságot szerveznénk. Ez nem egy beszéd. Ez egy kedd délután egy változtatási ablakkal.
Az üzemeltetési kontroll azért számít, mert az adatlokalitást incidensek próbálják ki, nem szlogenek. Normál működés közben szinte minden architektúra jól mutat a brosúrában. A valódi kérdés az, hogy mi történik, amikor az identitásszolgáltatás leáll, a szállítói fiókot befagyasztja egy számlázási vita, a szabályozó láncnyilvántartást kér, egy kulcsváltás meghiúsul, egy érintett törlést kér, egy modell rossz forrást kezd használni, vagy a két hely közötti hálózat drágává, lassúvá vagy politikailag kínossá válik. Ha az intézmény ezekben a pillanatokban nem tud cselekedni, akkor semmilyen hasznos értelemben nem ellenőrzi az adatokat.
A jó lokalitástervezés megnevezett jogosultságokat ad az üzemeltetőknek. Látják, hol vannak a nyilvántartások. Le tudják állítani a replikációt. Bizonyítani tudják, melyik másolat a hiteles. El tudnak vágni egy támogatási utat. Exportálni tudják a nyilvántartásokat használható formátumban. Vissza tudják játszani a hozzáféréseket. Meg tudják mutatni, melyik származtatott artefaktum melyik forrásból jött. A szabályzatnak megfelelően törölni vagy megőrizni tudnak. Ezek szerény képességek. Nem teszik ragyogóvá a konferenciaszínpadokat. Megakadályozzák, hogy valódi emberek hétvégéket töltsenek azzal, hogy azt a biztonsági másolatot keressék, amelynek senki sem volt a gazdája.
Itt van egy munkaerő-kérdés is. Amikor a lokalitás homályos, az emberek kompenzálnak. A megfelelőségi csapatok az architektúracsapatokat hajszolják. Az architektúracsapatok a platformcsapatokat hajszolják. A platformcsapatok a szállítókat hajszolják. A szállítók diagramokat küldenek, amelyek sok dobozt és kevesebb választ tartalmaznak. A költség nem csak pénz. Ez az intézményi figyelem. Minden óra, amelyet azzal töltenek, hogy kiderítsék, hová kerültek az adatok, egy óra, amelyet nem arra fordítanak, hogy eldöntsék, mit kezdjen velük az intézmény.
A költség politikai jelzés
Az adatlokalitást gyakran megfelelőségi költségként mutatják be. Néha az is. A helyi tárolás, a helyi üzemeltetés, a helyi személyzet, a redundáns létesítmények, a független auditnyomok és az áttelepítési jogok mind pénzbe kerülnek. De a költségbeszéd általában túl szűk. A nem-lokalitásnak is vannak költségei. Csak éppen szét vannak osztva számlákban, késedelmekben, kockázati tartalékokban, kiviteli díjakban, incidens-munkában, auditmunkában, párhuzamos eszközökben és abban a furcsa szokásban, hogy fizetünk azért, hogy visszakapjuk a saját nyilvántartásainkat onnan, amelyet azért választottunk, mert egy dián olcsónak tűnt.
A legolcsóbb architektúra az első napon lehet, hogy az, amelyik az ezredik napon drágává teszi a kilépést. Egy tárolási választás hatékonynak tűnhet, amíg minden elemzési felhasználás nagy mennyiségű adat mozgatását nem igényli határokon át. Egy központosított platform egyszerűsítheti a beszerzést, miközben minden intézményt egy olyan közös ütemtervtől tesz függővé, amelyet nem tud befolyásolni. Egy távoli vezérlősík csökkentheti az üzemeltetési terhet, miközben olyan jogi kérdést vet fel, amelyet senki sem akar magára vállalni. A költség nem különül el a hatalomtól. Ez az egyik módja annak, ahogy a hatalom megszólal, miután a beszerzés elhagyta a szobát.
A lokalitási döntéseket ezért időben kell árazni. Mennyibe kerül az üzemeltetés. Mennyibe kerül az auditálás. Mennyibe kerül egy új megőrzési szabály betartása. Mennyibe kerül a szállítóváltás. Mennyibe kerül egy adatkészlet elválasztása egy másiktól. Mennyibe kerül egy minimális helyi üzemeltetési képesség fenntartása. Mennyibe kerül a törlés bizonyítása. Mennyibe kerül, amikor a késleltetés arra kényszeríti az embereket, hogy nem hivatalos másolatokat használjanak, mert a hivatalos út lassabb, mint a hétköznapi emberi türelem.
Az intézmények gyakran csak akkor fedezik fel a lokalitás árát, amikor szükségük van a választási lehetőségre. A választási lehetőség drága, ha későn vásárolják meg. Olcsóbb, ha korán tervezik: nyílt formátumok, egyértelmű adatszerződések, független naplók, helyi kulcskezelés, dokumentált exportútvonalak, tesztelt helyreállítási gyakorlatok, valamint olyan személyzeti modell, amely nem kezeli az összes üzemeltetési tudást külső előfizetésként. Ez nem a tulajdonlás iránti nosztalgia. Ez hosszabb figyelmet igénylő számvitel.
A függetlenség azt jelenti, hogy képesek vagyunk csalódást okozni egy szállítónak
Az intézményi függetlenség nagyszerűen hangzik, amíg próbára nem teszik. Egy hasznos gyakorlati meghatározás egyszerű: tud-e az intézmény nemet mondani anélkül, hogy elveszítené a működési képességét. Meg tudja-e tagadni az áremelést. El tudja-e utasítani a kockázatos támogatási utat. Át tudja-e telepíteni a munkaterhelést. Gyorsabban tudja-e módosítani a politikát, mint a szállító ütemterve. Tovább tudja-e szolgálni az állampolgárokat, betegeket, diákokat, ügyfeleket vagy kutatókat az újratárgyalás közben. Ha a válasz nem, az intézmény talán többet adott ki külső kezekbe, mint az infrastruktúrát. Talán a jövő idejét adta ki.
Ez nem érv a szállítók ellen. A komoly intézmények mindig függenek más szervezetektől. A kórházak függenek az orvosi beszállítóktól. A városok függenek a vállalkozóktól. Az egyetemek függenek a folyóiratoktól, laboratóriumoktól és hálózatoktól. A függés normális. A veszély a kormánykerék nélküli függés. A lokalitás az egyik módja annak, hogy elegendő irányítási hatalmat tartsunk az intézmény küldetéséhez közel.
Az önállóságnak kulturális dimenziója is van. Azok a csapatok, amelyek soha nem működtetik a saját bizonyítékaikat, elveszítik a jó kérdések feltevésének képességét. Folyékonyan mozognak a szállítói portálokon, de kevésbé értenek a saját nyilvántartásaikhoz. Tudnak jelentéseket kérni, de nem tudják megkérdőjelezni a feltételezéseket. El tudnak fogadni irányítópultokat, de nem tudják ellenőrizni az adatok származását. Végül az intézmény összekeveri a szolgáltatáshoz való hozzáférést a képesség feletti rendelkezéssel. Ez a keveredés kényelmes, egészen addig, amíg drágává nem válik.
A lokalitási stratégiának meg kell őriznie az intézményi kompetenciát. Tartsunk fenn annyi architekturális tudást, hogy értsük a mozgást. Tartsunk fenn annyi adatkezelési tudást, hogy értsük a származást. Tartsunk fenn annyi biztonsági tudást, hogy értsük a kulcskezelést. Tartsunk fenn annyi jogi tudást, hogy értsük a joghatóságot. Tartsunk fenn annyi üzemeltetési tudást, hogy le tudjunk futtatni egy helyreállítási gyakorlatot anélkül, hogy kiderülne, a forgatókönyv egy dekoratív PDF. A cél nem az, hogy mindent egyedül csináljunk. A cél az, hogy képes megbízó maradjunk, ne pedig jól finanszírozott utas.
Az AI-réteg megnehezíti a lokalitást
Az AI-rendszerek bonyolítják a lokalitást, mert nagy sebességgel hoznak létre származtatott artefaktumokat. Egy rekordból lehet beágyazás, jellemző, prompt, finomhangolási példa, lekérdezési darab, összefoglaló, moderációs jel, gyorsítótár-bejegyzés, értékelési halmaz vagy naplósor. Minden származék hordozhat érzékeny jelentést, még akkor is, ha már nem hasonlít az eredetire. Ha a lokalitási szabályzat csak a forrásrekordra terjed ki, az intézmény bezárta a bejárati ajtót, miközben kiosztja a ház vázlatrajzait.
A lekérdező rendszerek egyszerű példát jelentenek. Egy dokumentum helyben maradhat, de a kinyert szövege, vektoros reprezentációja, metaadatai és lekérdezési naplói máshol élhetnek. Egy modell soha nem tárolja a dokumentumot, de feldolgozhat olyan promptokat, amelyek annyit tartalmaznak belőle, amennyi már számít. Egy értékelési folyamat exportálhat nehéz eseteket a rendszer fejlesztéséhez. Egy megfigyelőeszköz rögzíthet felhasználói kérdéseket, amelyek bizalmas tényeket tárnak fel. Egyik ilyen adatfolyam sem eleve rosszindulatú. Csak az adat veszi a kerülőutat, ahogyan az adat tenni szokta, amikor a mérnökök segítőkészek akarnak lenni.
A lokalitásnak az AI esetében ezért származási szabályokra van szüksége. Hogy mi számít származtatott adatnak. Mely származékok öröklik a forrás lokalitási követelményeit. Mely naplóknak kell helyben maradniuk. Mely promptok léphetik át a határt. Mely modellkimenetek számítanak rekordnak. Mely gyorsítótárak járnak le. Mely értékelési minták engedélyezettek. Mely emberi felülvizsgálók láthatnak mely tartalmakat. E szabályok nélkül az AI-irányítás egy tál jó szándék lesz, mellékelve egy GPU-számlával.
A válasz nem a mozgás betiltása. A válasz az, hogy a mozgás átláthatóvá váljon. Az AI-rendszerek tervezhetők helyi lekérdezéssel, helyi indexekkel, helyi kulcsokkal, átvitel előtti szerkesztéssel, célhoz kötött naplókkal, külön értékelési adathalmazokkal és a származtatott artefaktumok kifejezett törlésével. Az architektúrának nem kell paranoiásnak lennie. Csak abba kell hagynia, hogy a származtatott adatot ártalmatlannak állítsa be, mert átöltözött.
Gyakorlati lokalitási nyilvántartás
A gyakorlati eszköz, amelyre a legtöbb szervezetnek szüksége van, nem egy kiáltvány. Hanem egy lokalitási nyilvántartás. Minden jelentős adathalmaz esetében a nyilvántartásnak azonosítania kell a hiteles másolatot, a tárolási régiót, a kulcskezelő hatóságot, az identitáskezelő hatóságot, az üzemeltetési rendszergazdákat, a támogatási hozzáférést, a replikákat, a biztonsági másolatokat, a naplókat, a származtatott adatokat, a jogalapot, a megőrzési szabályt, az exportálási útvonalat, a törlési útvonalat és a tulajdonost. Ha ez soknak hangzik, még mindig kevesebb munka, mint incidens közben rekonstruálni, amikor hárman szabadságon vannak, és az egyetlen ember, aki ismeri az örökölt rendszert, felfedezte a kertészkedést.
The register should be tied to decisions, not kept as documentation theatre. When a new application is approved, it gets a locality entry. When data is replicated, the entry changes. When a model uses a dataset, derived artefacts are recorded. When a supplier adds a subprocessor, the map is reviewed. When keys move, the control entry changes. When an incident happens, the register is used. A register that nobody uses is just a spreadsheet waiting to become archaeology.
Locality also needs thresholds. Not every dataset deserves the same controls. A public events calendar does not need the same treatment as medical records, child welfare data, trade secrets, or legal case files. Classify by sensitivity, mission criticality, legal exposure, reversibility, and public trust. Then match locality controls to risk. This avoids two bad extremes: treating everything as sacred, which makes work impossible, and treating everything as ordinary, which makes apology letters unusually active.
Finally, test the exit path. Do not merely ask whether export exists. Run it. Restore from it. Measure it. Check whether metadata survives. Check whether permissions survive. Check whether derived artefacts can be separated. Check whether the institution can still understand the data outside the original system. Exit that works only in contract language is not exit. It is a polite hostage note.
Local does not mean lonely
A mature locality position is not a bunker. The goal is not to trap every record in a national cupboard and call it strategy. Many forms of collaboration require movement: cross-border research, regional healthcare, fraud prevention, climate modelling, logistics, education, and public safety. Data can and should move when the purpose is clear, the authority is named, the record is protected, and the return path is understood. Locality is not a fear of movement. It is movement with memory.
The best locality designs are federated in spirit. They let institutions keep authoritative control while sharing what is necessary through declared interfaces, contracts, proofs, anonymisation where appropriate, and logs that survive enthusiasm. They avoid both extremes: central hoarding that turns every local institution into a branch office, and isolated purity that makes cooperation impossible. The sweet spot is rarely romantic. It is usually a careful agreement, a boring protocol, and a test that runs before the minister visits.
Ez különösen fontos Európában, ahol sok intézmény állami, félállami, ágazati vagy regionális elszámoltatással működik. Kötelezettségeik nem azonosak. Egy egyetemnek, egy kórháznak, egy vízügyi hatóságnak, egy városnak és egy kis gyártónak egyaránt szüksége lehet AI- és adatinfrastruktúrára, de nem mindegyiküknek van szüksége ugyanarra a lokalitási stratégiára. A függetlenség nem abból fog fakadni, hogy úgy teszünk, mintha egyetlen architektúra megfelelne minden küldetésnek. Hanem abból, hogy az intézményeknek elegendő közös alapot adunk az együttműködéshez, és elegendő helyi ellenőrzést a felelősségre vonhatósághoz.
A local-first kifejezés akkor lehet hasznos, ha azt jelenti: induljunk ki az intézmény kötelességéből, és haladjunk kifelé tudatosan. Kevesebb haszna van, ha reflexszerű ellenérzéssé válik minden távoli megoldással szemben. Egy távoli szolgáltatás lehet megfelelő. Egy helyi rendszer lehet rosszul irányított. A kérdés nem az, hogy a kábel átlépi-e a határt. A kérdés az, hogy a felelősség észrevétlenül átlépi-e.
A kimondatlan dolgot le kell írni
Az adatlokalitás politikája azért marad kimondatlan, mert megvalósítási részletekbe van ágyazva. Ez a hallgatás kockázatos. Amikor a hatalom az alapértelmezésekben rejtőzik, az intézmények megszűnnek tudatos döntéseket hozni. Egyszerűen öröklik azokat. Egy régióválasztó legördülő menüből jogi álláspont lesz. Egy támogatási fiókból hozzáférési rendszer. Egy felügyelt kulcsból szuverenitási igény. Egy biztonsági mentési beállításból adatmegőrzési szabályzat. Egy irányítópult bizonyítékká válik, mert senki sem őrzött meg jobbat. Így csúszik át a kormányzás az architektúrába, majd úgy tesz, mintha mindig is technikai kérdés lett volna.
A kimondatlan dolog leírása megváltoztatja a beszélgetést. Lehetővé teszi, hogy a testületek lássák: a lokalitás nem ideológiai preferencia, hanem működési tények együttese. Lehetővé teszi a mérnököknek, hogy elmagyarázzák, miért fontos a kulcsok feletti ellenőrzés, anélkül hogy úgy hangzana, mintha sárkányt őriznének. Lehetővé teszi a beszerzésnek, hogy a hosszú távú kitettséget hasonlítsa össze, ne csak a havi árat. Lehetővé teszi a jogi csapatoknak, hogy a gyakorlati hozzáférési utakról beszéljenek. Lehetővé teszi a felhasználóknak, hogy megkérdezzék, hová kerülnek az adataik. Közös nyelvet ad az intézménynek az incidens előtt, ami hagyományosan kellemesebb, mint utána.
A leírásnak egyszerűnek kell lennie. Ehhez az adatkészlethez a hiteles másolat itt található. A kulcsokat itt ellenőrzik. A támogatási hozzáférés így működik. A naplók itt tárolódnak. A származtatott adatokra ezek a szabályok vonatkoznak. A kilépést félévente tesztelik. Ezek a szerepkörök hagyhatják jóvá az adatmozgást. Ezek az események felülvizsgálatot igényelnek. Ez a tulajdonos válaszol a kérdésekre. Ez nem költészet. Jobb annál. A költészet ritkán állít helyre egy adatbázist.
Nincs tökéletes lokalitás. Csak explicit kompromisszumok és rejtettek léteznek. Az explicit fajta irányítható. A rejtett fajta irányít téged. Ez a téma politikai magja. Az, hogy hol vannak az adatok, meghatározza, ki cselekedhet, ki utasíthat vissza, ki fizet, ki bizonyít, ki vár, és ki marad elég független ahhoz, hogy irányt váltson. Igen, csendes téma. Csendes, ahogy egy alapítvány is csendes. Ha elég sokáig figyelmen kívül hagyod, az épület végül hozzáteszi a maga véleményét.
A tanulság
Az adatlokalitás nem dekoratív preferencia a közeli gépek iránt. A rekordok körüli hatalom elrendezésének módja. A fizikai hely számít, de csak a kulcsokkal, az identitással, a műveletekkel, a bizonyítékokkal, a szerződésekkel, a származtatott adatokkal, az emberekkel és a kilépéssel együtt. Az az intézmény, amely érti ezeket a rétegeket, eldöntheti, hol és miért tárolja az adatait. Az az intézmény, amely nem érti őket, szintén dönt, csak véletlenül.
A gyakorlati feladat szerény és igényes: feltérképezni a hatásköröket, árazni a kilépést, megőrizni a bizonyítékokat, osztályozni a kockázatokat, tesztelni az adatmozgást, és megőrizni annyi működési hozzáértést, hogy az intézmény felelősségre vonható maradjon. A jó lokalitás nem ígér tisztaságot. Azt ígéri, hogy amikor egy rekord mozog, nyugalomban van vagy hasznossá válik, az intézmény továbbra is meg tudja magyarázni, kinek volt hatalma felette. Ez nem szlogen. Ez kormányzás alaprajzzal.