Qligħ:
- Kapaċità li tevalwa bejjiegħ AI fuq ċertifikazzjoni, ħażna, residenza tad-dejta u assi ta 'sottoproċessur
- Kapaċità li tivverifika assigurazzjonijiet b'dokumenti u klawsoli tal-kuntratt u ma tistrieħx fuq kliem verbali
- Kapaċità li torbot DPA u kundizzjonijiet ta' opt-out/tħassir mar-reviżjoni tas-sigurtà qabel ix-xiri
Ħafna mill-organizzazzjonijiet ma jħarrġux il-mudelli tagħhom stess; juża l-API tal-fornitur. Dan ma jeliminax ir-riskju — jittrasferih biss lil xi ħadd ieħor, u hija r-responsabbiltà tiegħek li tevalwa r-riskju li qed tittrasferixxi. Kull parti terza li tmur id-data tiegħek hija estensjoni tal-konfini tas-sigurtà tiegħek. F'din l-unità inti titgħallem kif tevalwa fornitur AI; Aħna se nitgħallmu kif twettaq reviżjoni tas-sigurtà qabel ix-xiri permezz ta 'ċertifikati ta' konformità, ftehim għall-ipproċessar tad-dejta (DPA), ħażna tad-dejta, domiċilju tad-dejta u sottoproċessuri.
Għaliex Riskju għal Partijiet Terzi?
Fil-każ ta 'verifika jew ksur, id-difiża ta' "aħna ma pproċessajna d-dejta, il-fornitur għamel" mhux se ssalvak. Int il-kontrollur tad-dejta; Il-fornitur huwa l-proċessur tad-dejta. Il-KVKK u l-GDPR jagħmlu din id-distinzjoni, iżda l-biċċa l-kbira tar-responsabbiltà tibqa’ miegħek. Huwa għalhekk li l-għażla ta 'fornitur mhijiex deċiżjoni ta' xiri, iżda deċiżjoni ta 'sigurtà.
Attenzjoni: "Fornitur kbir u magħruf" mhix garanzija ta 'sigurtà. L-assigurazzjoni tiġi minn klawsoli kuntrattwali ffirmati u ċertifikazzjonijiet verifikabbli; mhux minħabba r-reputazzjoni tal-marka.
Assi ta' Evalwazzjoni
Eżamina bejjiegħ AI fuq seba' assi:
- Ċertifikazzjonijiet ta' konformità: SOC 2 Tip II (verifika indipendenti tal-kontrolli tas-sigurtà ta' organizzazzjoni), ISO/IEC 27001 (standard tal-ġestjoni tas-sigurtà tal-informazzjoni) u dejjem aktar ISO/IEC 42001 (standard tas-sistema ta' ġestjoni tal-intelliġenza artifiċjali).
- Żamma tad-dejta: Kemm idum jinżamm il-pront/rispons? Huwa offrut ZDR (żero żamma tad-dejta)?
- Użu fit-taħriġ: Id-dejta tiegħek tintuża biex tħarreġ il-mudell? (Ġeneralment "le" fil-livelli korporattivi.)
- Residenza tad-dejta: F'liema pajjiż/reġjun id-dejta tiġi pproċessata u maħżuna?
- Sottoproċessuri: Liema kumpaniji oħra juża l-fornitur (sħaba, monitoraġġ)? Huma wkoll parti mill-konfini tiegħek.
- Karatteristiċi tas-sigurtà: Encryption (fi tranżitu/fil-mistrieħ), kontroll tal-aċċess, log tal-awditjar, ħin tan-notifika tal-avveniment.
- Kuntratt u ħruġ: Hemm DPA? Id-data tiegħek hija garantita li titħassar jekk is-servizz jintemm? X'inhu r-riskju ta' lock-in?
Pass pass: Reviżjoni tal-Fornitur
- Ibgħat stħarriġ tas-sigurtà. Dawwar l-assi ta' hawn fuq f'lista ta' mistoqsijiet.
- Itlob għall-evidenza. Ivverifika t-talbiet bid-dokumentazzjoni (rapport SOC 2, ċertifikat ISO, abbozz DPA).
- Map tal-fluss tad-dejta. Liema data tmur fejn u għal liema proċess?
- Innegozja d-DPA. Tibdiex il-produzzjoni mingħajr ma tiffirma ftehim għall-ipproċessar tad-dejta (it-test legali li jispeċifika kif il-fornitur se jipproċessa d-dejta).
- Ir-reviżjoni tas-sottoproċessuri. Ikkunsidra l-katina kollha.
- Stabbilixxi skeda ta' valutazzjoni mill-ġdid. Ir-riskju tal-fornitur għandu jiġi eżaminat mill-ġdid mill-inqas darba fis-sena.
Erba' Mudelli Kopjabbli
Il-qalba tal-istħarriġ tas-sigurtà tal-fornitur:
Affarijiet li tistaqsi lill-fornitur:1. Liema ċertifikazzjonijiet ta' konformità għandek? (SOC 2 Tip II, ISO 27001/42001) Tista’ taqsam ir-rapport?2. Kemm hija miżmuma dejta dwar it-talba/rispons? Hemm għażla ZDR?3. Id-dejta tagħna tintuża fit-taħriġ tal-mudell? Huwa miktub fil-kuntratt?4. F'liema reġjun hija pproċessata/maħżuna d-dejta? Nistgħu nagħżlu reġjun?5. Min huma s-sottoproċessuri tiegħek? Kif tinnotifika meta tinbidel?6. X'inhu l-perjodu ta' notifika tiegħek f'każ ta' ksur?7. Kif u meta titħassar id-dejta tagħna meta jintemm il-kuntratt?
Regola tal-verifika tal-verifika tal-evidenza:
Għal kull talba, "hemm evidenza?" iċċekkja:- Talba ta' ċertifikazzjoni -> rajt ir-rapport attwali/numru taċ-ċertifikat?- ZDR/talba għall-ħażna -> hija miktuba fil-klawżola tal-kuntratt?- Nuqqas ta' użu fit-taħriġ -> Hemm klawżola miftuħa fid-DPA? Immarka kull talba mingħajr evidenza bħala "MHUX VERIFIKATA"; Taċċettax kliem verbali.
Immappjar tal-fluss tad-dejta fil-pront:
Oħroġ il-fluss tad-dejta għall-integrazzjoni li ġejja: {{ xenarju }}Speċifika f'kull pass: liema dejta (fih PII), fejn tmur (liema kumpanija/reġjun), għal liema skop, kemm hija maħżuna. Immarka kull pass u sottoproċessuri li jaqsmu l-konfini tal-intrapriża.
Scorecard tar-riskju tal-fornitur:
Score kull assi b'punteġġ ta '0-2 (0=xejn, 1=parzjali, 2=sħiħ):ċertifikat, ZDR/żamma, tużax fit-taħriġ, residenza tad-dejta, trasparenza tas-sottoproċessur, notifika ta' ksur, ħruġ/tħassir. Jekk it-total < 10 jew kwalunkwe assi huwa 0: "RISKJU GĦOLI, poġġi fil-produzzjoni".
Prompt Dgħajjef / Prompt Qawwija
approċċ fqir
Approċċ qawwi
Jekk nassumu "kumpanija kbira, sigura"
Ivverifika ċertifikat u DPA bid-dokument
isserraħ fuq assigurazzjonijiet verbali
Tgħaqqad kull assigurazzjoni mal-klawżola tal-kuntratt
Irrevedi biss il-fornitur
Ikkunsidra wkoll il-katina tas-sottoproċessur
agħżel darba u tinsa
Kalendarju annwali ta' valutazzjoni mill-ġdid
Tliet Każijiet Mini
Każ 1 — Proġett mibdi mingħajr DPA twaqqaf. Kumpanija tal-bejgħ bl-imnut malajr ġabet assistent fil-produzzjoni; It-tim legali sussegwentement skopra li ma kien hemm l-ebda DPA iffirmat mal-fornitur. Il-proġett ġie sospiż waqt li d-dejta tal-klijenti kienet qed tiġi pproċessata, id-DPA ġiet innegozjata u reġgħet infetħet wara li d-domiċilju tad-dejta ġie ffissat fir-reġjun tal-UE.
Każ 2 — Il-katina tas-sottoproċessur tarmi sorpriża. Kumpanija tal-kura tas-saħħa kienet approvat il-fornitur primarju; Madankollu, l-immappjar tal-fluss tad-dejta żvela li l-fornitur kien qed juża kumpanija f'pajjiż terz għall-monitoraġġ. Dan kiser ir-rekwiżit tar-residenza tad-dejta. Il-kumpanija żiedet iż-żjara fir-reġjun mal-kuntratt.
Każ 3 — Scorecard eliminat l-offerta irħas. Ġew evalwati tliet proposti. L-orħos fornitur irċieva 0 (l-ebda SOC 2) fuq l-assi taċ-ċertifikazzjoni. Ir-regola tal-iscorecard "jekk xi assi huwa 0, poġġiha fil-produzzjoni" ġiet eliminata; Intgħażel fornitur 22% aktar għali iżda kklassifikat bis-sħiħ u d-deċiżjoni ġiet iddokumentata għall-awditjar.
Tip: Qatt ma tħawwad żewġ garanziji differenti: "id-dejta tagħna mhix maħżuna (ZDR)" u "id-dejta tagħna ma tintużax fit-taħriġ" huma klawsoli separati. Fornitur jista' joffri wieħed iżda mhux l-ieħor; Itlob għat-tnejn b'mod ċar fil-kuntratt.
Żbalji komuni
- Meta wieħed iqis id-daqs/marka tal-fornitur bħala assigurazzjoni tas-sigurtà.
- Li sserraħ fuq fomm mingħajr ma tivverifika t-talbiet b'dokumentazzjoni.
- Nidħol fil-produzzjoni mingħajr ma tiffirma DPA.
- Injora l-katina tas-sottoproċessur (ir-residenza tad-dejta hija mtaqqba hemm).
- Taħseb li ZDR u l-garanzija "mhux użati fl-edukazzjoni" huma l-istess.
- Japprova l-fornitur darba u ma jerġax jevalwa kull sena.
Fil-qosor
- Int il-kontrollur tad-dejta; L-għażla tal-fornitur hija deċiżjoni ta’ sigurtà, mhux deċiżjoni ta’ xiri.
- Evalwa fuq seba 'assi: ċertifikazzjoni, żamma/ZDR, użu edukattiv, residenza tad-dejta, sottoproċessuri, karatteristiċi ta' sigurtà, kuntratt/ħruġ.
- Ivverifika kull assigurazzjoni b'dokument u klawżola kuntrattwali; Il-marka u l-fomm mhumiex biżżejjed.
- Ikkunsidra wkoll il-katina tas-sottoproċessur; residenza tad-data huwa spiss imtaqqba hemmhekk.
- Tibdix il-produzzjoni qabel ma jiġi ffirmat DPA u erġa' evalwa lill-fornitur kull sena.
Kompitu ta' applikazzjoni
Imla l-istħarriġ tas-sigurtà hawn fuq għal bejjiegħ AI li tuża (jew tevalwa) u staqsi "hemm prova?" għal kull tweġiba. Immarka l-kolonna. Imbagħad immappja l-fluss tad-dejta u mmarka kull pass li jaqsam il-konfini tal-intrapriża. Fl-aħħarnett, iċċekja s-seba 'assi u pproduċi skeda ta' valutazzjoni tar-riskju u staqsi "huwa adattat għall-produzzjoni?" Ikteb ir-raġunijiet għad-deċiżjoni tiegħek.
lista ta' kontroll
- [ ] Iddokumentajjt iċ-ċertifikazzjonijiet ta' konformità tal-fornitur (SOC 2 / ISO 27001).
- [ ] Il-klawżoli dwar il-ħażna tad-dejta, ZDR u "nuqqas ta' użu fl-edukazzjoni" huma miktuba fil-kuntratt.
- [ ] Tissodisfa r-rekwiżit tar-residenza tad-dejta tiegħi (KVKK/GDPR).
- [ ] Immappjt u evalwajt il-katina tas-sottoproċessur.
- [ ] Ma dħaltx fil-produzzjoni mingħajr DPA iffirmat.
- [ ] I stabbilixxa kalendarju annwali ta' evalwazzjoni mill-ġdid għall-fornitur.