ChatGPT Enterprise wchodzi do rządu USA z FedRAMP

OpenAI uzyskało autoryzację FedRAMP Moderate — teraz ChatGPT Enterprise i OpenAI API mogą oficjalnie zasilać systemy amerykańskich agencji federalnych.

FedRAMP Moderate to nie przelewki

FedRAMP (Federal Risk & Authorization Management Program) to jeden z bardziej wymagających standardów bezpieczeństwa dla chmury, jaki można zdobyć w USA. Agencje rządowe nie mogą po prostu odpalić dowolnej usługi SaaS — każde narzędzie musi przejść przez rygorystyczny audyt obejmujący setki kontroli bezpieczeństwa. Poziom Moderate oznacza, że system może przetwarzać dane, których naruszenie miałoby „poważne” skutki — nie katastrofalne, ale zdecydowanie niemałe. Dla porównania, wyższy poziom High obejmuje dane obronne i wywiadowcze.

Do tej pory brak certyfikatu FedRAMP był twardą blokadą dla większości federalnych wdrożeń OpenAI. IT departamenty agencji po prostu nie mogły podpisać umów — bez względu na entuzjazm pracowników czy nacisk kierownictwa.

Kto skorzysta jako pierwszy?

Autoryzacja obejmuje dwa produkty: ChatGPT Enterprise oraz OpenAI API. To ważne rozróżnienie. API oznacza, że agencje mogą budować własne aplikacje oparte na modelach OpenAI — nie tylko korzystać z gotowego interfejsu czatu. Departamenty zajmujące się przetwarzaniem dokumentów, analizą danych czy automatyzacją procesów wewnętrznych dostają zielone światło na budowanie własnych rozwiązań.

Rynek federalny w USA to dziesiątki agencji zatrudniających łącznie ponad 4 miliony pracowników. Kontrakty rządowe z dostawcami chmury liczone są w miliardach dolarów rocznie — Microsoft z Azure Government czy Amazon z AWS GovCloud od lat inkasują poważne sumy właśnie dzięki posiadaniu FedRAMP.

Czy OpenAI dogania konkurencję zbyt późno?

Microsoft Azure OpenAI Service — czyli dostęp do modeli OpenAI przez infrastrukturę Azure — ma autoryzację FedRAMP od dłuższego czasu. Wiele agencji federalnych już używało GPT-4 i innych modeli właśnie przez tę furtkę. OpenAI certyfikując własne produkty bezpośrednio, wchodzi na ten sam teren co własny partner.

To rodzi pytanie o kanibalizację. Microsoft płaci OpenAI miliardy, ale jednocześnie OpenAI zaczyna sprzedawać bezpośrednio do klientów, do których Microsoft dotąd miał uprzywilejowany dostęp przez Azure. Napięcie między partnerami nie jest nowe — pojawia się regularnie przy każdym ruchu OpenAI w stronę enterprise.

Anthropic i Google też nie śpią. Anthropic’s Claude jest dostępny przez AWS GovCloud z własnym zestawem certyfikatów. Google Workspace ma FedRAMP od lat. OpenAI wchodzi na rynek, gdzie inni gracze zdążyli już podpisać pierwsze kontrakty i zbudować relacje z agencjami.

Compliance to dopiero start

Sama autoryzacja FedRAMP nie wystarczy, żeby agencja federalna wdrożyła narzędzie jutro rano. Każda agencja przeprowadza własny proces ATO (Authority to Operate), który może trwać od kilku tygodni do kilkunastu miesięcy. FedRAMP Moderate to warunek konieczny, ale niewystarczający.

Dodatkowo agencje zajmujące się danymi szczególnie wrażliwymi — jak IRS, Department of Veterans Affairs czy NIH — będą musiały ocenić, czy poziom Moderate faktycznie pasuje do ich profilu ryzyka. Część z nich może wymagać poziomu High, którego OpenAI jeszcze nie posiada.

Według danych FedRAMP Marketplace, aktualnie autoryzowanych jest ponad 300 usług chmurowych. OpenAI dołącza do tej listy jako jeden z ostatnich dużych graczy AI — Salesforce, ServiceNow czy SAP mają swoje autoryzacje od lat.

OpenAI nie podało harmonogramu starania się o FedRAMP High — a bez niego dostęp do najbardziej lukratywnych kontraktów obronnych i wywiadowczych pozostaje zamknięty.”, “coverImageAlt”: “Ilustracja budynku rządowego USA z symbolami zabezpieczeń cyfrowych i logo AI