"Lista każdego podprocesora AI i gdzie dane idą" - pytanie podprocesora
Jest to kwestia, w której dwa rozporządzenia spotykają się w jednej komórce arkusza kalkulacyjnego. Zespół ochrony prywatności kupującego potrzebuje listy do przeglądu GDPR - kto przetwarza dane osobowe, gdzie, na podstawie którego podstawa transferu. Przeglądarka AI nabywcy potrzebuje tej samej listy, aby mapować, które modele siedzą wewnątrz produktu, zanim Article 50 z EU AI Act zacznie obowiązywać na 2 sierpnia 2026. Jedna tabela odpowiada na oba - co również oznacza, że niedokładny wiersz zostaje złapany dwa razy.
Dlaczego jedna tabela służy teraz dwa opinie
Standardowe instrumenty duediligence AI - AI-CAIQ (Cloud Security Alliance, October 2025) i SIG 2026 Domena AI - poproś o te same podstawowe artefakty: inwentaryzację systemów AI, pochodzenie modeli, podprocesory AI za nimi, a dane płyną w kierunku tych modeli. Lista podprocesorów jest tam, gdzie wszystkie cztery zbiegają się. Wnosi również bezpośrednio do przeglądu DPA kupującego: funkcja AI po cichu nazywana modelem API przetworzonym przez USA jest, od przewodniczącego zespołu ds. prywatności, międzynarodowym transferem ich danych - a GDPR rozdział V daje im krótkie menu zgodnych z prawem tras: decyzja adekwatności (Article 45), odpowiednie zabezpieczenia, takie jak standardowe klauzule umowne (Article 46; decyzja wykonawcza (UE) 2021 / 914) lub wąskie odstępstwa Article 49 jako opcja rezydualna.
Budowanie prawdziwej listy
Jeden wiersz na podprocesor, który dotyka funkcji AI, z tych kolumn - nawiasy są do sprawdzenia, nigdy nie odgadnąć:
| Podprzetwórca (podmiot prawny) | Rola | Dane, które do niego docierają | Region przetwórstwa | Mechanizm transferu |
|---|---|---|---|---|
| [Podmiot zamawiający dostawcy modelu] | LLM API dla [funkcja] | [Prompy / zawartość klienta z modułu X] | [Region dla podpisanego DPA] | [Certyfikaty DPF lub SCC w DPA - zweryfikować przed nazwaniem] |
| [Cloud / hosting provider] | Hosting, przechowywanie | [Wszystkie dane klientów] | [np. region UE] | [- w przypadku gdy przetwarzanie pozostaje w EOG, nie można uzasadnić przeniesienia z państwa trzeciego] |
| [Vector DB / transkrypcja / sprzedawca OCR] | [Obsługa AI] | [Co faktycznie płynie] | [Region] | [Weryfikacja w tym sprzedawcy DPA] |
Trzy nawyki sprawiają, że lista przetrwa recenzję. Korzystanie z zamawiających podmiotów prawnych, a nie nazw produktów - recenzent może sprawdzić krzyżowo stronę podprocesora publicznego, więc zachować obie zsynchronizowane. Opisz przepływ danych przez to, co faktycznie opuszcza granicę, a nie przez marketing funkcji. I jeśli model działa samodzielnie w swojej infrastrukturze, powiedz tak: model, który nigdy nie otrzymuje danych klientów zewnętrznie jest najprostszym wierszem na stronie.
Kolumna mechanizmu przenoszenia: zweryfikować, nigdy nie odgadnąć
Typowy przypadek: sprzedawca UE lub UE obsługujący model API przetwarzany w Stanach Zjednoczonych. Dwa mechanizmy zazwyczaj go obejmują, a który ma zastosowanie jest faktem, a nie konwencją gatunkową:
- Ramy prywatności danych UE-USA (DPF). Decyzja Komisji Europejskiej w sprawie adekwatności 10 lipca 2023 (C (2023) 4745) obejmuje transfery do organizacji amerykańskich posiadanie aktywnej certyfikacji DPF. Czy podmiot zamawiający danego usługodawcy jest certyfikowany jest do sprawdzenia na oficjalnej liście w dataprivacyframework.gov - sprawdzić go; nie odpowiadać z pamięci. W przypadku transferów z Zjednoczonego Królestwa od czasu wprowadzenia 12 października 2023 obowiązuje most danych UK- US (rozszerzenie Zjednoczonego Królestwa na DPF).
- Standardowe klauzule umowne (SCC). Jeżeli dostawca nie posiada certyfikatu DPF, mechanizm ten jest zazwyczaj SCC (decyzja wykonawcza (UE) 2021 / 914) włączonym do DPA podpisanego z nimi. To czyni podpisane DPA - nie strony marketingowe dostawcy - źródłem tej komórki.
Sformułowanie, które zamyka pytanie raz zweryfikowane: "Transfery do [dostawcy] (USA) są objęte [certyfikatem ramowym UE-USA w zakresie ochrony danych / standardowymi klauzulami umownymi (decyzja (UE) 2021 / 914) włączonymi do umowy o przetwarzaniu danych dostawcy], zweryfikowanymi od dnia [data]". Jeśli nie możesz zweryfikować ani dzisiaj, napisz "mechanizm transferu w trakcie weryfikacji przeciwko podpisanemu DPA" - komórka oczekująca na potwierdzenie jest wiarygodna; niewłaściwy mechanizm nazwany pewnie jest pisemnym błędnym oświadczeniem o danych kupującego.
Pytanie AI Act ukrywające się na liście
Ta sama tabela mówi kupującemu, którego modele statków produktów - co stawia pytanie w sekcji AI pyta następnie: dostawca systemu wynikowego? Jeśli oferujesz model trzeciej partii pod własną marką, jesteś dostawcą do celów Article 50(1), z obowiązków przejrzystości, które wiąże się z 2 sierpnia 2026 - Digital Omnibus nie przełożył Article 50. Pełna logika jest w "Kto jest dostawcą systemu AI?" oraz nasz przewodnik ankietowy Article 50; wolny Sprawdzanie Article 50 mapuje Twoje specyficzne cechy w siedmiu pytaniach.
Mini- FAQ
Czy nasz dostawca modeli AI jest podprocesorem?
Jeśli zawartość klienta zawierająca dane osobowe dociera do API dostawcy, nabywcy będą się tego spodziewać na liście - tak mapować, co faktycznie płynie do każdego modelu przed odpowiedzią. Jeśli twoja architektura trzyma dane osobowe z dala od modelu API, powiedz to dokładnie i bądź gotowy do udowodnienia tego. Oryginalne sprawy klasyfikacyjne należą do adwokata.
Co jeśli nie możemy teraz zweryfikować mechanizmu transferu?
Nie zgaduj. Sprawdź obecny status DPF dostawcy na oficjalnej liście i mechanizm w podpisie DPA; do tego czasu oznacz komórkę jako oczekującą na weryfikację. Oczekiwanie jest wiarygodne; błąd jest błędem.
Czy EU AI Act wymaga listy podprocesorów?
Lista jest GDPR i artefakt zamówień. AI Act siedzi za nim: lista ujawnia, czyj model wysyłasz, a wysyłanie trzeciego modelu strony pod własną marką sprawia, że dostawca pod Article 50(1), stosowany od 2 sierpnia 2026.
Powiązane: pytanie zwykle podróżuje z "Czy nasze dane są używane do szkolenia twoich modeli?" - ten sam DPA, następny rząd w dół. Jeśli kwestionariusz właśnie wylądował, zacząć od pierwszy-24-godzinny podręcznik, i przeglądać resztę odpowiedz do biblioteki na pytania wokół tego.