Ολοκληρώστε την αξιολόγηση ασφάλειας των προμηθευτών μας (VSA)" — το τμήμα AI, ερώτηση με ερώτηση
Δεν είναι όλα τα ερωτηματολόγια SIG ή CAIQ. Μερικοί αγοραστές στέλνουν το δικό τους λογιστικό φύλλο — μια εκτίμηση ασφάλειας του εντολέα" που χτίστηκε στο Excel από την ομάδα ασφαλείας τους, με τις καρτέλες τους, τη διατύπωση τους, και καμία δημοσιευμένη καθοδήγηση. Με τίποτα δημοσιευμένο για να στηριχθεί, το τμήμα AI ενός προσαρμοσμένου VSA προσκαλεί αυτοσχεδιασμό, και αυτοσχέδιες νομικές αξιώσεις είναι ακριβώς αυτό που η δέουσα επιμέλεια διαλύει. Εδώ είναι η μέθοδος. (Αν μόλις έφτασε, τρέξτε) η τριάδα των πρώτων 24 ωρών Πρώτον.)
Γιατί τα προσαρμοσμένα VSAs είναι δυσκολότερα από τα πρότυπα
Ένα SIG ή ένα AI-CAIQ έρχεται με τους κώδικες ερωτήσεων, τους ορισμούς και τη δομή? ένα έθιμο VSA έρχεται με ό, τι η ομάδα του αγοραστή έγραψε, μερικές φορές διφορούμενη, μερικές φορές ούτε καν διατυπώνεται ως ερωτήσεις. Ο καθορισμός δεν είναι να απαντήσει στο λογιστικό φύλλο — είναι να απαντήσει στον υποκείμενο έλεγχο, και στη συνέχεια να το διατυπώσει για το λογιστικό φύλλο. Μια προσαρμοσμένη ερώτηση AI είναι, στην πράξη, μια σπιτική έκδοση κάτι που ένα γνωστό πλαίσιο ήδη asksωτά.
Βήμα 1 — χαρτογράφηση κάθε ερώτησης AI σε ένα πλαίσιο που μπορείτε να αναφέρετε
Τα σημεία αναφοράς: AI-CAIQ (Συμμαχία Ασφαλείας Cloud, Οκτώβριος 2025 — οδηγός), τον τομέα SIG 2026 AI που χαρτογραφήθηκε στο ISO 42001 (οδηγός), τα πρότυπα συμβατικών ρητρών της ΕΕ για το AI (MCC-AI, επικαιροποιημένο Μάρτιο 2025), και το Article 50 του Regulation (EU) 2024/1689. Τυπικές χαρτογραφήσεις:
| Ο VSA ρωτάει | Ρωτάει πραγματικά για | Απάντηση |
|---|---|---|
| Χρησιμοποιείτε AI στο προϊόν σας | Απογραφή συστημάτων AI | Ανά χαρακτηριστικό: μοντέλο, πάροχος, έκδοση, σκοπός, εξομάλυνση με λεπτότητα ναι/όχι, περιοχή επεξεργασίας - πλήρης δομή |
| Τα δεδομένα μας χρησιμοποιούνται για να εκπαιδεύσουν τα μοντέλα σας. | Πολιτική κατάρτισης-δεδομένων | Η πολιτική του παρόχου του μοντέλου επαληθεύτηκε έναντι του τρέχοντος DPA πριν γράψετε, συν τη δική σας πολιτική - λεπτομέρειες |
| Είσαι συμβατός με το EU AI Act | Ταξινόμηση και υποχρεώσεις | Κατάταξη, ισχύουσες υποχρεώσεις (συνήθως Art. 50 και Art. 4), κατάσταση ανά υποχρέωση, κενά με ημερομηνίες — η απάντηση σε τέσσερα μέρη |
| Οι χρήστες ξέρουν ότι αλληλεπιδρούν με το AI | Διαφάνεια Art. 50(1) | Εάν στείλετε ένα μοντέλο τρίτου μέρους με τη δική σας μάρκα, είστε ο πάροχος και το καθήκον είναι δικό σας, εκτός αν το AI είναι προφανές σε ένα πρόσωπο " λογικά καλά ενημερωμένο, παρατηρητικό και επιφυλακτικό. |
| Ποιες πιστοποιήσεις AI έχετε; | ISO/IEC 42001, SOC 2 | Εάν κανένα: "δεν έχει πιστοποιηθεί επί του παρόντος· το πρόγραμμα διακυβέρνησης AI καλύπτει [απογραφή, διαφάνεια, επίβλεψη]· αξιολογούμε την πιστοποίηση με βάση τη ζήτηση πελατών" — δεν επινοήθηκαν ημερομηνίες |
| "Λίστα AI υποεπεξεργαστές και ροές δεδομένων" | Τρίτες και περιφέρειες | Παροχείς μοντέλων ως υποεπεξεργαστές, περιοχές επεξεργασίας και ο μηχανισμός μεταφοράς που ορίζεται στο DPA κάθε παρόχου |
Οι παρατιθέμενες διατυπώσεις είναι ενδεικτικά υποδείγματα — κάτοχοι θέσεων σε παρένθεση, επαληθεύουν κάθε ρήτρα έναντι των δικών σας γεγονότων και του τρέχοντος DPA κάθε παρόχου πριν από την υποβολή.
Διατήρηση των ημερομηνιών κατά τη διάρκεια του χάρτη: Article 50 ισχύει από 2 August 2026 και δεν αναβλήθηκε από το Digital Omnibus· η σήμανση περιεχομένου στο πλαίσιο του Article 50(2) έχει μια μετάβαση έως ότου τα μέτρα πιστοποίησης 2 Δεκεμβρίου 2026 για τα γεννητικά συστήματα που διατίθενται στην αγορά πριν από το 2 Αυγούστου 2026· Article 4 AI έχουν εφαρμοστεί από το 2 Φεβρουαρίου 2025· και το καθεστώς υψηλού κινδύνου ξεκινά σε ημερομηνία ανά διαδρομή Article 6 — 2 Δεκεμβρίου 2027 για τις περιπτώσεις χρήσης Annex III (Article 6(2)), 2 Αυγούστου 2028 για τη διαδρομή ρυθμιζόμενων προϊόντων Annex I (Article 6(1)). Εάν δεν είστε σίγουροι ποια Article 50 δασμούς χτύπησε το προϊόν σας, το δωρεάν Έλεγχος Article 50 το χαρτογραφεί σε επτά ερωτήσεις, και ο οδηγός Article 50 Καλύπτει ποιος χρωστάει τι.
Βήμα 2 — ο κανόνας συνέπειας στις καρτέλες
Προσαρμοσμένες VSAs συχνά επαναλαμβάνουν την ίδια ερώτηση σε διαφορετικές καρτέλες με διαφορετικές λέξεις: η καρτέλα ασφαλείας ρωτάει για "προστασία δεδομένων σε AI χαρακτηριστικά", η καρτέλα απορρήτου για "προσωπικά δεδομένα σε συστήματα μηχανικής μάθησης", η καρτέλα AI για "δεδομένα κατάρτισης. Εάν αυτές οι τρεις απαντήσεις αποκλίνουν — "ναι" εδώ, "εν μέρει" εκεί — έχετε δώσει στον κριτή μια σημαία οφειλόμενης ανοχής καμία ατομική απάντηση δεν θα είχε εγείρει. Ο κανόνας: Ένα άτομο κατέχει την κανονική απάντησηΚάθε κύτταρο είναι μια προσαρμογή μιας κανονικής απάντησης, ποτέ ένας φρέσκος αυτοσχεδιασμός. Και υποθέστε ότι ο κριτής διαβάζει το VSA δίπλα στην ιστοσελίδα σας και DPA σας - συνέπεια είναι διασταυρούμενο έγγραφο, όχι μόνο cross-tab.
Βήμα 3 — κενά στη μορφή που επιβιώνει της επανεξέτασης
Όταν ένας έλεγχος λείπει ή εν μέρει: τρέχουσα κατάσταση, αντισταθμίζοντας τον έλεγχο, "σε εξέλιξη", και μια ημερομηνία-στόχος κάποιος στην εταιρεία σας πραγματικά ενέκρινε. Αν μια πτώση αναγκάζει ναι/όχι, επιλέξτε την πλησιέστερη τιμή και βάλτε την πραγματική απάντηση στη στήλη σημειώσεων. Ποτέ μην εφεύρετε έναν έλεγχο για να κάνει ένα πράσινο κελί — οι απαντήσεις σας μπορεί να καταλήξουν δικαιολογημένες συμβατικά, και υπό Article 99(4)(g) μια παραβίαση Article 50 μπορεί να συντάξει πρόστιμα μέχρι €15,000,000 ή 3% του συνολικού ετήσιου κύκλου εργασιών παγκοσμίως, όποιο είναι υψηλότερο (για τις ΜΜΕ και τις νεοφυείς επιχειρήσεις, το χαμηλότερο από τα δύο, Article 99(6)). Αυτός είναι ο λόγος που το πρότυπο μας είναι κάθε νομική αξίωση που αναφέρεται στο άρθρο του, και γιατί η πλήρης μέθοδος πώς να απαντήσετε στην ενότητα AI αντιμετωπίζει την ακρίβεια ως το παραδοτέο.
Μίνι-FAQ
Η πτώση επιτρέπει μόνο ναι/όχι, αλλά η ειλικρινής απάντηση είναι "εν μέρει" — τι κάνουμε;
Κλειστή τιμή στην πτώση, πραγματική απάντηση στη στήλη σημειώσεων: κατάσταση, αντιστάθμιση ελέγχου, σε εξέλιξη, εγκεκριμένη ημερομηνία. Ποτέ ένα ελπιδοφόρο ναι.
Να απαντήσουμε σε ένα προσαρμοσμένο VSA διαφορετικά από ένα SIG ή CAIQ;
Ίδια ουσία, διαφορετική συσκευασία. Φτιάξτε μια κανονική απάντηση ανά υποκείμενη ερώτηση, χαρτογραφημένη στο πλαίσιο της, και να προσαρμόσετε τη διατύπωση ανά λογιστικό φύλλο. Η βιβλιοθήκη κάνει το επόμενο ερωτηματολόγιο πιο γρήγορο.
Τι γίνεται αν μια ερώτηση δεν ισχύει για το προϊόν μας;
"Δεν ισχύει" συν μία γραμμή του γιατί. Ένας γυμνός Μ/Α διαβάζει ως φοροδιαφυγή και προσκαλεί έναν άλλο γύρο· ένας λογικός κλείνει την ερώτηση.
Σχετικά: όλοι οι οδηγοί απάντησης για τις μεμονωμένες ερωτήσεις εντός του VSA, και την τίμια σύγκριση των επιλογών παράδοσης σας αν αποφασίζετε ποιος το συμπληρώνει.