Cum de a răspunde secțiunea AI a unui chestionar de securitate
Cumpărătorul tău a trimis o evaluare a vânzătorului. Undeva în jurul paginii 4, secțiunea AI începe: ce modele folosiţi, le formează datele clienţilor, sunteţi conform cu EU AI ActNimeni din echipa ta nu a mai răspuns la una, înţelegerea aşteaptă, şi orice răspuns greşit poate fi descoperit mai târziu. Aceasta este metoda pe care o folosim la fiecare angajament AI-CAIQ, a SIG 2026, sau foaia de calcul personalizată a cumpărătorului.
Pasul 1
O treime până la jumătate din orice secțiune AI derivă dintr-un artefact: inventarul sistemelor AI. O pagină, un rând per capacitate AI:
- Ce face capacitatea (de exemplu, "generarea de proiecte din documentele clienților")
- Model și furnizor (OpenAI / Anthropic / Google / auto-hosted), și dacă sunteți fin-tune
- Ce date ale clienților ajung la model și în ce regiune este procesată
- Supravegherea umană (care evaluează producția, atunci când este obligatoriu)
- Înregistrarea și păstrarea promptelor/ieșirilor
- Informarea utilizatorilor (etichete, anunțuri)
- Dacă furnizorul apare pe lista de subprocesor public, și DPA pe care le dețineți cu ei
Răspunde la chestionar din inventarul și fiecare răspuns rămâne consistent
Pasul 2
"Este datele clienților utilizate pentru a instrui sau a forma modele AI?" are nevoie de un răspuns pe două straturi: practica ta (nu fin-tune) și termenii contractuali ai furnizorului. Enterprise API de la marii furnizori nu se antrenează în mod implicit pe datele API dar verificați versiunea DPA pe care ați semnat-o înainte de a o afirma în scris. Citând acordul specific este diferența dintre un răspuns care închide întrebarea și unul care dă naştere la trei urmăriri.
Pasul 3
Niciodată o pătură "da" Patru părți:
- Clasificare: Cele mai multe B2B SaaS sunt limitate/risc minimal Spune-o explicit.
- Obligații aplicabile: Transparența Art. 50 (de la 2 august 2026 Feriţi-vă de capcana furnizor-vs-administrator: un SaaS transport maritim un model sub propria marcă datorează taxele furnizor de Art. 50(1) nostru Ghid Article 50 acoperă harta completă.
- Măsuri în vigoare: controalele pe care le executați de fapt, a declarat faptic.
- Lucrări în curs: golurile reale, fiecare cu un plan.
Etapa 4
Starea actuală + controlul compensatoriu + "în curs" + obiectivul realist. Exemplu: "O politică oficială de risc AI nu este încă documentată. Control interimar: revizuire umană obligatorie a tuturor producției AI și exploatare forestieră de 90 de zile. Adoptarea politicilor este în curs de desfășurare, vizate înainte de [data la care conducerea dvs. a fost efectiv aprobată]." Niciodată să nu inventezi un control. Niciodată să nu comiţi o dată pe care nimeni nu a aprobat-o. Un defensiv "nu încă, aici e planul" câștigă oferte; un "da" plin de speranță se prăbușește în due due due due due due" și prin etapa contractului puteți fi întrebat pentru a justifica răspunsurile.
Pasul 5
Întrebările referitoare la sectoarele reglementate, biometria, deciziile privind ocuparea forţei de muncă sau notarea creditelor vă pot modifica clasificarea legală. Ghicitul este modul în care vânzătorii ajung cu răspunsuri chestionar care contrazic propriile contracte. Marcaţi aceste elemente "sub control legal"
Matematica timpului (și scurtătură)
Adoptată în casă pentru prima dată, acest lucru este în mod realist una până la două săptămâni de atenție a fondatorului sau inginerului Acesta este comerțul pentru care existăm: vom livra proiectul complet Și dacă doriți dovezi înainte de comiterea: trimite chestionarul și Raspundem gratuit la primele 3 intrebariDeci judeci munca în sine. A se vedea eșantion complet livrabil aici.
- Regulation (EU) 2024/1689 — Art. 4, Art. 50, Art. 113, Annex III
- Regulation (EU) 2026/1744 (Digital Omnibus pe AI), JO 24 iulie 2026, în vigoare 27 iulie 2026 (date cu risc ridicat mutate; Art. 50 nemodificate)
- CSA AI-CAIQ (Oct 2025); Evaluările partajate SIG 2026; Clauzele EU MCC-AI (Mar 2025)