"Füllen Sie unsere Vendor Security Assessment (VSA)" - der AI Abschnitt, Frage für Frage
Nicht jeder Fragebogen ist ein SIG oder ein CAIQ. Einige Käufer senden ihre eigene Tabelle - eine "Vendor Security Assessment", die von ihrem Sicherheitsteam in Excel erstellt wurde, mit ihren Tabs, ihrer Phrasierung und keiner veröffentlichten Anleitung. Da nichts veröffentlicht wurde, um sich darauf zu stützen, lädt der AI-Abschnitt einer benutzerdefinierten VSA zur Improvisation ein, und improvisierte Rechtsansprüche sind genau das, was die Due Diligence demontiert. Hier ist die Methode. (Wenn es gerade angekommen ist, laufen) Die erste 24-Stunden-Triage zuerst.
Warum benutzerdefinierte VSAs härter sind als Standards
Ein SIG oder ein AI-CAIQ kommt mit Fragecodes, Definitionen und Struktur; eine benutzerdefinierte VSA kommt mit allem, was das Team des Käufers geschrieben hat, manchmal mehrdeutig, manchmal nicht einmal als Fragen formuliert. Der Fix besteht nicht darin, die Tabelle zu beantworten - es geht darum, das zugrunde liegende Steuerelement zu beantworten und es dann für die Tabelle zu formulieren. Eine benutzerdefinierte AI-Frage ist in der Praxis eine selbst entwickelte Version von etwas, das ein bekanntes Framework bereits fragt.
Schritt 1 - Zuordnung jeder AI-Frage zu einem Framework, das Sie zitieren können
Die Referenzpunkte: die AI-CAIQ (Cloud Security Alliance, Oktober 2025) Führung), die SIG 2026 AI Domäne nach ISO 42001 abgebildet (Führung), die EU-Mustervertragsklauseln für AI (MCC-AI, aktualisiert März 2025), und Article 50 von Regulation (EU) 2024/1689. Typische Abbildungen:
| Der VSA fragt | Es fragt wirklich nach | Antwort mit |
|---|---|---|
| "Verwenden Sie AI in Ihrem Produkt?" | AI Systembestand | Pro Merkmal: Modell, Anbieter, Version, Zweck, Feinabstimmung ja/nein, Verarbeitungsregion — Vollständige Struktur |
| "Werden unsere Daten verwendet, um Ihre Modelle zu trainieren?" | Schulungsdatenpolitik | Die richtlinie des modellanbieters wurde vor dem schreiben mit seiner aktuellen DPA verifiziert, plus ihre eigene richtlinie —. Einzelheiten |
| "Sind Sie konform mit dem EU AI Act?" | Einstufung und Pflichten | Niemals ein bloßes Ja: Klassifizierung, anwendbare Verpflichtungen (typischerweise Art. 50 und Art. 4), Status pro Verpflichtung, Lücken mit Daten — Die vierteilige Antwort |
| "Wissen die Benutzer, dass sie mit AI interagieren?" | Art. 50(1) Transparenz | Wenn Sie ein Drittmodell unter Ihrer eigenen Marke versenden, sind Sie der Anbieter und die Pflicht liegt bei Ihnen, es sei denn, der AI ist für eine Person "vernünftig gut informiert, aufmerksam und umsichtig" |
| "Welche AI-Zertifizierungen haben Sie?" | ISO/IEC 42001, SOC 2 | Wenn keine: "derzeit nicht zertifiziert; unser AI-Governance-Programm deckt [Inventar, Transparenz, Aufsicht] ab; wir bewerten die Zertifizierung auf der Grundlage der Kundennachfrage" - keine erfundenen Daten |
| "Liste AI Subprozessoren und Datenflüsse" | Dritte Parteien und Regionen | Modellanbieter als Subprozessoren, Verarbeitungsregionen und der im DPA jedes Anbieters genannte Übertragungsmechanismus |
Die zitierten Formulierungen sind illustrative Vorlagen - Platzhalter in Klammern, überprüfen Sie jede Klausel mit Ihren eigenen Fakten und dem aktuellen DPA jedes Anbieters, bevor Sie sie einreichen.
Halten Sie die Daten gerade, während Sie Karte: Article 50 gilt ab 2 August 2026 und wurde nicht durch Digital Omnibus verschoben; die Inhaltskennzeichnung unter Article 50(2) hat einen Übergang, bis 2. Dezember 2026 für generative Systeme, die vor 2. August 2026 in Verkehr gebracht wurden; Article 4 AI-Kennzeichnungsmaßnahmen seit 2. Februar 2025 angewendet wurden; und das Hochrisikoregime beginnt an einem Datum pro Route von Article 6 — 2. Dezember 2027 für die Annex III Anwendungsfälle (Article 6(2)), 2. August 2028 für die Annex I regulierte Produktroute (Article 6(1)). Wenn Sie nicht sicher sind, welche Article 50-Zölle Ihr Produkt getroffen haben, ist die kostenlose Article 50 Checker bildet es in sieben Fragen ab und Der Article 50 Guide deckt, wer was schuldet.
Schritt 2 — die Konsistenzregel über Tabs hinweg
Benutzerdefinierte VSAs wiederholen oft die gleiche Frage in verschiedenen Registerkarten mit unterschiedlichen Worten: Die Sicherheitsregisterkarte fragt nach "Datenschutz in AI-Funktionen", die Datenschutzregisterkarte über "personenbezogene Daten in maschinellen Lernsystemen", die Registerkarte AI über "Trainingsdaten". Wenn diese drei Antworten divergieren - "Ja" hier, "teilweise" dort - haben Sie dem Rezensenten ein Due-Diligence-Flag ausgehändigt, das keine individuelle Antwort ausgelöst hätte. Die Regel: Eine Person besitzt das kanonische Antwort-SetJede Zelle ist eine Anpassung einer kanonischen Antwort, niemals eine neue Improvisation. Und nehmen Sie an, der Rezensent liest den VSA neben Ihrer Website und Ihrem DPA - Konsistenz ist Cross-Dokument, nicht nur Cross-Tab.
Schritt 3 - Lücken im Format, das die Überprüfung überlebt
Wo eine Kontrolle fehlt oder teilweise ist: aktueller Zustand, kompensierende Kontrolle, "in Arbeit" und ein Zieldatum, das jemand in Ihrem Unternehmen tatsächlich genehmigt hat. Wenn ein Dropdown Ja / Nein erzwingt, wählen Sie den nächstgelegenen Wert und geben Sie die eigentliche Antwort in die Notizenspalte. Erfinden Sie niemals eine Kontrolle, um eine Zelle grün zu machen - Ihre Antworten können vertraglich gerechtfertigt sein, und unter Article 99(4)(g) kann ein Verstoß gegen Article 50 Geldbußen von bis zu €15,000,000 oder 3% des weltweiten Jahresumsatzes in Anspruch nehmen, je nachdem, welcher Wert höher ist (für KMU und Startups, der niedrigere der beiden, Article 99(6)). Deshalb ist unser Standard jeder Rechtsanspruch, der zu seinem Artikel zitiert wird, und warum die vollständige Methode in So beantworten Sie den AI-Abschnitt Er behandelt Genauigkeit als das Lieferbare.
Mini-FAQ
Der Dropdown erlaubt nur Ja / Nein, aber die ehrliche Antwort ist "teilweise" - was tun wir?
Nächster Wert im Dropdown, echte Antwort in der Spalte Notizen: Zustand, Ausgleichskontrolle, in Bearbeitung, genehmigtes Datum. Niemals ein hoffnungsvolles Ja.
Sollten wir eine benutzerdefinierte VSA anders beantworten als eine SIG oder CAIQ?
Gleiche Substanz, unterschiedliche Verpackung. Erstellen Sie eine kanonische Antwort pro zugrunde liegender Frage, die dem Framework zugeordnet ist, und passen Sie die Phrasierung pro Tabellenkalkulation an. Die Bibliothek macht den nächsten Fragebogen schneller.
Was ist, wenn eine Frage nicht auf unser Produkt zutrifft?
"Nicht zutreffend" plus eine Zeile warum. Ein nacktes n a liest sich als ausweichen und lädt eine weitere runde ein; ein vernünftiger schließt die frage.
Related: Alle Antwortleitfäden für die einzelnen Fragen innerhalb der VSA und den ehrlichen Vergleich Ihrer Lieferoptionen Wenn Sie entscheiden, wer es ausfüllt.