Winst:
- Mogelijkheid om een AI-leverancier te beoordelen op certificering, opslag, datalocatie en subprocessorassen
- Mogelijkheid om garanties te verifiëren met documenten en contractclausules en niet te vertrouwen op mondelinge woorden
- Mogelijkheid om DPA- en opt-out-/verwijderingsvoorwaarden te koppelen aan een veiligheidsbeoordeling voorafgaand aan de aankoop
De meeste organisaties trainen hun eigen modellen niet; maakt gebruik van de API van een provider. Dit elimineert het risico niet; het wordt alleen overgedragen aan iemand anders, en het is uw verantwoordelijkheid om het risico dat u overdraagt te evalueren. Elke derde partij waar uw gegevens naartoe gaan, is een verlengstuk van uw beveiligingsgrens. In deze unit leer je hoe je een AI-leverancier evalueert; We zullen leren hoe we een veiligheidsbeoordeling voorafgaand aan de aankoop kunnen uitvoeren via nalevingscertificaten, gegevensverwerkingsovereenkomst (DPA), gegevensopslag, gegevensdomicilie en subverwerkers.
Waarom risico van derden?
In het geval van een audit of een inbreuk zal de verdediging van "wij hebben de gegevens niet verwerkt, de provider heeft dit gedaan" u niet redden. U bent de gegevensbeheerder; De aanbieder is de gegevensverwerker. KVKK en GDPR maken dit onderscheid, maar de meeste verantwoordelijkheid blijft bij u. Daarom is het kiezen van een leverancier geen aankoopbeslissing, maar een veiligheidsbeslissing.
Let op: "Een grote en bekende aanbieder" is geen garantie voor de veiligheid. De zekerheid komt voort uit ondertekende contractclausules en verifieerbare certificeringen; niet vanwege de reputatie van het merk.
Evaluatie Assen
Onderzoek een AI-leverancier op zeven assen:
- Nalevingscertificeringen: SOC 2 Type II (onafhankelijke audit van de beveiligingscontroles van een organisatie), ISO/IEC 27001 (standaard voor informatiebeveiligingsbeheer) en in toenemende mate ISO/IEC 42001 (standaard voor beheersysteem voor kunstmatige intelligentie).
- Gegevensbewaring: Hoe lang wordt de prompt/reactie bewaard? Wordt ZDR (zero data retentie) aangeboden?
- Gebruik tijdens training: worden uw gegevens gebruikt om het model te trainen? (Meestal "nee" op bedrijfsniveau.)
- Gegevensresidentie: In welk land/regio worden de gegevens verwerkt en opgeslagen?
- Subverwerkers: Van welke andere bedrijven maakt de aanbieder gebruik (cloud, monitoring)? Ze maken ook deel uit van je grens.
- Beveiligingsfuncties: Encryptie (onderweg/in rust), toegangscontrole, auditlogboek, meldingstijd van gebeurtenissen.
- Contract en uittreding: Is er sprake van een DPA? Worden uw gegevens gegarandeerd verwijderd als de service eindigt? Wat is het risico van lock-in?
Stap voor stap: Leveranciersbeoordeling
- Dien een veiligheidsonderzoek in. Verander de bovenstaande assen in een lijst met vragen.
- Vraag om bewijs. Verifieer claims met documentatie (SOC 2-rapport, ISO-certificaat, DPA-concept).
- Breng de datastroom in kaart. Welke gegevens gaan waar en voor welk proces?
- Onderhandel over de DPA. Start de productie niet zonder een gegevensverwerkingsovereenkomst te ondertekenen (de juridische tekst waarin is vastgelegd hoe de aanbieder de gegevens zal verwerken).
- Subverwerkers beoordelen. Denk aan de hele keten.
- Stel een herevaluatieschema op. Het leveranciersrisico moet minstens één keer per jaar opnieuw worden onderzocht.
Vier kopieerbare sjablonen
Kern van het leveranciersveiligheidsonderzoek:
Dingen die u aan de aanbieder kunt vragen: 1. Welke conformiteitscertificeringen heeft u? (SOC 2 Type II, ISO 27001/42001) Kunt u het rapport delen?2. Hoeveel vraag-/antwoordgegevens worden bewaard? Is er een ZDR-optie?3. Worden onze gegevens gebruikt in modeltraining? Staat dit in het contract? 4. In welke regio worden de gegevens verwerkt/opgeslagen? Kunnen we een regio kiezen?5. Wie zijn uw subverwerkers? Hoe geef je een melding als er iets verandert?6. Wat is uw meldingstermijn bij overtreding?7. Hoe en wanneer worden onze gegevens verwijderd als het contract eindigt?
Controleregel voor bewijsverificatie:
Voor elke bewering: “is er bewijs?” check:- Certificeringsclaim -> heb ik het huidige rapport-/certificaatnummer gezien? - ZDR/opslagclaim -> staat dit in de contractclausule? - Niet-gebruik in training -> Is er een open clausule in de DPA? Markeer elke bewering zonder bewijs als "NIET GEVERIFIEERD"; Accepteer geen verbale woorden.
Prompt voor gegevensstroomtoewijzing:
Pak de gegevensstroom uit voor de volgende integratie: {{ scenario }}Specificeer bij elke stap: welke gegevens (bevat deze PII), waar deze naartoe gaan (welk bedrijf/regio), voor welk doel, hoeveel er wordt opgeslagen. Markeer elke stap en subverwerkers die de bedrijfsgrens overschrijden.
Scorekaart leveranciersrisico:
Geef elke as een score van 0-2 (0=geen, 1=gedeeltelijk, 2=volledig): certificaat, ZDR/retentie, niet gebruiken in training, datalocatie, transparantie van subprocessor, melding van overtreding, afsluiten/verwijderen. Als totaal < 10 of een willekeurige as 0 is: "RISICO HOOG, in productie genomen".
Zwakke prompt/sterke prompt
slechte aanpak
Sterke aanpak
Uitgaande van "groot bedrijf, veilig"
Certificaat en DPA verifiëren met document
vertrouwen op mondelinge toezeggingen
Elke toezegging koppelen aan de contractclausule
Controleer gewoon de aanbieder
Houd ook rekening met de keten van subverwerkers
één keer kiezen en vergeten
Jaarlijkse herbeoordelingskalender
Drie mini-hoesjes
Geval 1 — Project gestart zonder dat DPA werd stopgezet. Een detailhandelsbedrijf bracht snel een assistent in productie; Het juridische team ontdekte vervolgens dat er geen ondertekende DPA met de provider was. Het project werd opgeschort terwijl klantgegevens werden verwerkt, er werd onderhandeld over de DPA en deze werd heropend nadat de gegevensdomicilie in de EU-regio was vastgesteld.
Geval 2 – Subprocessorketen zorgt voor een verrassing. Een gezondheidszorgbedrijf had de primaire aanbieder goedgekeurd; Uit dataflow mapping bleek echter dat de provider een bedrijf in een derde land gebruikte voor monitoring. Dit was in strijd met de vereiste van gegevensresidentie. Het bedrijf voegde verblijf in de regio toe aan het contract.
Geval 3 — Scorecard elimineerde het goedkope bod. Er zijn drie voorstellen beoordeeld. De goedkoopste aanbieder kreeg een 0 (geen SOC 2) op de certificeringsas. De scorekaartregel "als een as 0 is, breng deze dan in productie" werd geëlimineerd; Er werd een 22% duurdere maar volledig beoordeelde aanbieder geselecteerd en de beslissing werd gedocumenteerd voor audit.
Tip: Verwar nooit twee verschillende garanties: "onze gegevens worden niet opgeslagen (ZDR)" en "onze gegevens worden niet gebruikt in training" zijn afzonderlijke clausules. Een aanbieder kan het ene aanbieden, maar het andere niet; Vraag beide duidelijk in het contract.
Veel voorkomende fouten
- Rekening houden met de grootte/merk van de aanbieder als veiligheidsgarantie.
- Vertrouwen op mond-tot-mondreclame zonder claims met documentatie te verifiëren.
- In productie gaan zonder een DPA te ondertekenen.
- Het negeren van de subprocessorketen (de gegevensresidentie wordt daar doorbroken).
- Denken dat ZDR en de garantie "niet gebruikt in het onderwijs" hetzelfde zijn.
- De leverancier eenmalig goedkeuren en niet jaarlijks opnieuw beoordelen.
Samengevat
- U bent de gegevensbeheerder; Leveranciersselectie is een veiligheidsbeslissing, geen aankoopbeslissing.
- Evalueer op zeven assen: certificering, retentie/ZDR, educatief gebruik, gegevensresidentie, subverwerkers, beveiligingsfuncties, contract/exit.
- Controleer elke verzekering per document en contractuele clausule; Merk en mond-tot-mondreclame zijn niet voldoende.
- Houd ook rekening met de keten van subverwerkers; gegevensresidentie wordt daar vaak doorboord.
- Start de productie niet voordat een DPA is ondertekend en evalueer de leverancier jaarlijks opnieuw.
Applicatie taak
Vul de bovenstaande beveiligingsenquête in voor een AI-leverancier die u gebruikt (of evalueert) en vraag “is er bewijs?” voor elk antwoord. Vink de kolom aan. Breng vervolgens de gegevensstroom in kaart en markeer elke stap die de bedrijfsgrens overschrijdt. Geef ten slotte een score op de zeven assen en maak een risicoscorekaart met de vraag “is deze geschikt voor productie?” Schrijf de redenen voor uw beslissing op.
controlelijst
- [ ] Ik heb de nalevingscertificeringen van de aanbieder gedocumenteerd (SOC 2 / ISO 27001).
- [ ] In het contract zijn clausules voor gegevensopslag, ZDR en "niet-gebruik in het onderwijs" opgenomen.
- [ ] Het voldoet aan mijn gegevensverblijfseis (KVKK/GDPR).
- [ ] Ik heb de subprocessorketen in kaart gebracht en geëvalueerd.
- [ ] Ik ben niet in productie gegaan zonder een ondertekende DPA.
- [ ] Ik heb voor de leverancier een jaarlijkse herevaluatiekalender opgesteld.