"Complete our seller security assessment (VSA) "
Nu fiecare chestionar este un SIG sau un CAIQ. Unii cumpărători trimit propria lor foaie de calcul Cu nimic publicat pe care să se sprijine, secțiunea AI a unui VSA personalizat invită improvizație, iar cererile legale improvizate sunt exact ceea ce se demontează due diligence. Iată metoda. (Dacă tocmai a sosit, fugi primul triaj de 24 de ore primul.)
De ce VSA personalizate sunt mai greu decât standardele
Un SIG sau un AI-CAIQ vine cu coduri de întrebare, definiții și structură; un VSA personalizat vine cu orice a scris echipa cumpărătorului, uneori ambiguu, uneori nici măcar nu sub formă de întrebări. Fix nu este de a răspunde foii de calcul O întrebare personalizată AI este, în practică, o versiune homegrown a ceva ce un cadru cunoscut deja cere.
Pasul 1 Harta fiecare întrebare AI la un cadru puteți cita
Punctele de referinţă: AI-CAIQ (Alianţa de Securitate Cloud, octombrie 2013) ghid), domeniul SIG 2026 AI cartografiat conform ISO 42001 (ghid), modelele de clauze contractuale ale UE pentru AI (MCC-AI, actualizat în martie 2025) și Article 50 din Regulation (EU) 2024/1689. Cartografiere tipică:
| VSA întreabă | Este într-adevăr întrebat despre | Răspuns cu |
|---|---|---|
| "Ai folosit AI în produsul dumneavoastră?" | Inventarul sistemului AI | Per caracteristică: model, furnizor, versiune, scop, fin-tunting da/nu, regiune de prelucrare structură completă |
| "Este datele noastre utilizate pentru a instrui modelele?" | Politica de formare-date | Politica furnizorului model verificata impotriva DPA actuala inainte de a scrie, plus propria politica de dvs. detalii |
| "Esti conform cu EU AI Act?" | Clasificare și obligații | Niciodata un da simplu: clasificare, obligatii aplicabile (de obicei Art. 50 si Art. 4), status per obligatie, goluri cu date răspunsul în patru părți |
| "Utilizatorii ştiu că interacţionează cu AI?" | Transparență Art. 50(1) | Dacă trimiteți un model terț sub propria marcă, sunteți furnizorul și datoria este a ta, cu excepția cazului în AI este evident pentru o persoană "în mod rezonabil bine informat, atent și circumspect" |
| "Ce certificări AI ai?" | ISO/IEC 42001, SOC 2 | În cazul în care nici unul: "necertificat în prezent; programul nostru de guvernare AI acoperă [inventare, transparență, supraveghere]; noi evaluăm certificarea bazată pe cererea clientului" |
| "List AI subprocesoare și fluxuri de date" | Părțile terțe și regiunile | Modele de furnizori ca subprocesoare, regiuni de prelucrare, și mecanismul de transfer numit în DPA fiecărui furnizor |
Formularele citate sunt sufixe în mod ilustrativ
Păstrați datele drepte în timp ce harta: Article 50 se aplică de la 2 August 2026 și nu a fost amânată de Digital Omnibus; marcarea conținutului sub Article 50(2) are o tranziție până când 2 decembrie 2026 pentru sistemele generatoare introduse pe piață înainte de 2 august 2026; Article 4 AI-literacy s-au aplicat de la 2 februarie 2025; iar regimul cu risc ridicat începe pe o dată pe rută Article 6 Dacă nu sunteți sigur care taxe Article 50 lovit produsul dumneavoastră, gratuit Verificator Article 50 hărţi în şapte întrebări şi Ghidul Article 50 acoperă cine datorează ce.
Etapa 2
VSA personalizate repetă adesea aceeași întrebare în diferite file cu cuvinte diferite: fila de securitate cere despre "protecție a datelor în caracteristicile AI," tab-ul de confidențialitate despre "datele personale în sistemele de învățare automată," fila AI despre "date de formare." În cazul în care aceste trei răspunsuri se diferențiază Regula: o persoană deține setul de răspuns canonic; fiecare celulă este o adaptare a unui răspuns canonic, niciodată o improvizație proaspătă. Și presupune recenzorul citește VSA lângă site-ul dvs. și dvs. DPA consistență este cross-document, nu doar cross-tab.
Pasul 3
În cazul în care un control lipsește sau este parțial: starea actuală, controlul compensatoriu, "în curs" și o dată țintă cineva din compania dumneavoastră a aprobat de fapt. Dacă o scădere forţează da/nu, alege cea mai apropiată valoare şi pune răspunsul real în coloana notelor. Niciodată nu inventa un control pentru a face o celulă verde Acesta este motivul pentru care standardul nostru este fiecare cerere legală menționată la articolul său, și de ce metoda completă în cum să răspundeți secțiunii AI tratează precizia ca fiind livrabilă.
Mini-FAQ
Dropdown permite doar da / nu, dar răspunsul sincer este "parțial"
Cea mai apropiată valoare în scădere, răspuns real în coloana note: stare, compensare de control, în curs de desfășurare, data aprobată. Niciodată un da plin de speranţă.
Ar trebui să răspundem unui VSA personalizat diferit de un SIG sau CAIQ?
Aceeaşi substanţă, ambalaj diferit. Construi un răspuns canonic per întrebare de bază, cartografiat la cadrul său, și de a adapta frazarea pe foaie de calcul. Biblioteca face următorul chestionar mai rapid.
Ce se întâmplă dacă o întrebare nu se aplică produsului nostru?
"Nu este cazul" plus o linie de motiv. Un N/A gol citeste ca evaziune și invită o altă rundă; unul motivat închide întrebarea.
Legate: toate ghidurile de răspuns pentru întrebările individuale din cadrul VSA; și compararea onestă a opțiunilor de livrare dacă decideţi cine îl completează.