List fiecare subprocesor AI și în cazul în care datele se duce
Aceasta este întrebarea în cazul în care două regulamente se întâlnesc într-o singură celulă foaie de calcul. Echipa de confidențialitate a cumpărătorului are nevoie de lista pentru revizuirea GDPR Reviewerul AI al cumpărătorului are nevoie de aceeași listă pentru a cartografia modelele care stau în interiorul produsului înainte de Article 50 al EU AI Act începe să se aplice pe 2 august 2026. Un tabel raspunde atat la
De ce o masă servește acum două comentarii
Standard AI instrumente de due-diligence Lista subprocesorului este unde toate cele patru converg. De asemenea, se hrănește direct cu revizuirea DPA a cumpărătorului: o caracteristică AI de asteptare în liniște a unui model API US-procesat este, din scaunul echipei de confidențialitate, un transfer internațional al datelor lor
Construirea listei reale
Un rând pe subprocesor care atinge caracteristicile AI, cu aceste coloane paranteză sunt ale tale pentru a verifica, niciodată să ghicească:
| Subprocesor (entitate juridică) | Rol | Date care ajung la ea | Regiunea de prelucrare | Mecanismul de transfer |
|---|---|---|---|---|
| [entitate contractantă a furnizorului de model] | LLM API pentru [Feture] | [Prompts / conținut client din modulul X] | [Regiune pe DPA semnat] | [certificare DPF sau SCC în DPA |
| Furnizor de cloud/hosting | Gazduire, depozitare | [Toate datele clienților] | [de exemplu, regiunea UE] | [ |
| [Vector DB / transcriere / Vânzător OCR] | [Suporting AI service] | [Ce curge de fapt] | [Region] | [Verificați în DPA vânzătorului] |
Trei obiceiuri fac lista să supravieţuiască revizuirii. Utilizați persoanele juridice contractante, nu numele produselor Descrieți fluxurile de date prin ceea ce părăsește de fapt limita ta, nu prin caracteristic marketing. Și dacă un model rulează auto-hosted în propria infrastructură, spuneți așa: un model care nu primește niciodată date ale clienților în exterior este cel mai ușor rând de pe pagină.
Coloana de transfer-mecanicism: verifica, nu ghici
Cazul tipic: un furnizor de servicii UE sau UE care solicită un model API procesat în Statele Unite. Două mecanisme o acoperă de obicei, și care se aplică este un fapt per furnizor, nu o convenție gen:
- Cadrul UE-SUA privind confidențialitatea datelor (DPF). Decizia Comisiei Europene privind caracterul adecvat al 10 iulie 2023 (C(2023) 4745) acoperă transferurile către organizațiile americane deține o certificare DPF activă. Dacă entitatea contractantă a furnizorului dumneavoastră este certificată poate fi verificată pe lista oficială la dataprivacy small.gov verificați-o; nu răspundeți din memorie. Pentru transferurile din Regatul Unit, podul de date UK-SUA (extinderea Regatului Unit la DPF) este în vigoare de la 12 octombrie 2023.
- Clauze contractuale standard (SCC). În cazul în care furnizorul nu este certificat de DPF, mecanismul este, în mod normal, CCS [Decizia de punere în aplicare (UE) 2021/914] încorporat în DPA pe care l-ați semnat cu acestea. Asta face ca DPA semnat nu paginile de marketing ale furnizorului
Cuvântul care închide întrebarea odată verificată: "Transferurile către [prestator] (SUA) sunt reglementate de [certificatul UE-SUA privind cadrul de confidențialitate a datelor/Clauzele contractuale standard [Decizia (UE) 2021/914] încorporat în Acordul de prelucrare a datelor al furnizorului], revizuit începând cu [data]." Dacă nu puteți verifica nici astăzi, scrieți "mecanism de transfer sub verificare împotriva DPA semnat"
Întrebarea AI Act ascunsă în interiorul listei
Același tabel spune cumpărătorului ale căror modele navele de produse furnizor a sistemului rezultat? Dacă oferiţi un model terţ sub propria marcă, sunteţi furnizorul în sensul Article 50(1), cu taxele de transparenţă care rezultă din 2 august 2026 Întreaga logică este în "Cine este furnizorul sistemului AI?" şi Ghidul nostru de chestionar Article 50; liber Verificator Article 50 hărți caracteristicile specifice în șapte întrebări.
Mini-FAQ
Este nostru AI furnizor de model un subprocesor?
Dacă conţinutul clienţilor conţinând date cu caracter personal ajunge la API-ul furnizorului, cumpărătorii se vor aştepta ca acesta să apară pe listă, astfel încât să cartografieze ce curge efectiv la fiecare model înainte de a răspunde. Dacă arhitectura ta ţine datele personale departe de modelul API, spune-o exact şi fii pregătit să le dovedeşti. Cazuri reale de clasificare margine aparțin cu sfat.
Dacă nu putem verifica mecanismul de transfer chiar acum?
Nu ghici. Verificați starea DPF curentă a furnizorului pe lista oficială și mecanismul din DPA pe care l-ați semnat efectiv; până atunci, marcați celula ca fiind în curs de verificare. Aşteptarea este credibilă; greşeala este o afirmaţie greşită.
Are EU AI Act nevoie de o listă de subprocesor?
Lista este un GDPR și artefact de achiziție. AI Act se află în spatele ei: lista dezvăluie al cărui model îl expediați, și transportul unui model terț sub propria marcă te face furnizorul sub Article 50(1), aplicabil de la 2 august 2026.
Legate: întrebarea călătorește de obicei cu "Este datele noastre utilizate pentru a instrui modelele?" Același DPA, rândul următor în jos. Dacă chestionarul tocmai a aterizat, începe cu primul playbook 24 de ore, și răsfoiți restul biblioteca de răspunsuri pentru întrebările din jurul acesteia.