Due diligence pentru furnizorii AI: ghid practic pentru echipele SaaS

Due diligence funcționează când transformă o utilizare propusă într-o decizie operațională care poate fi justificată. Echipa trebuie să înțeleagă funcția, datele și persoanele afectate, furnizorii de modele și infrastructură, testele, rolurile juridice, angajamentele contractuale și monitorizarea schimbărilor. Rezultatul nu este un chestionar completat, ci aprobare, aprobare condiționată, pilot limitat, escaladare sau respingere motivată, cu responsabili.

AI Act nu conține o listă universală numită „AI vendor due diligence”. Profunzimea depinde de sistem, scop, clasificare, rolul în lanțul valoric, prelucrarea datelor și normele sectoriale. Un asistent pentru notițe și un sistem care ordonează candidați necesită evaluări diferite. Începeți cu cazul de utilizare și cereți dovezi proporționale cu efectele.

De ce evaluarea obișnuită nu ajunge

Accesul, criptarea, disponibilitatea, subcontractanții, incidentele și ștergerea rămân importante. Dar un serviciu AI poate schimba modele, surse de retrieval, filtre sau folosirea prompturilor și rezultatelor fără un release convențional. Calitatea poate varia după limbă, grup sau input, iar „sprijinul decizional” poate deveni în practică decisiv sub presiune.

Evaluați furnizorul și sistemul: companie, hosting, modele, securitate, contract și continuitate; apoi scop, utilizatori, persoane afectate, date, comportament, supraveghere umană, integrări și acțiuni ulterioare. Separarea lor recreează limitele evaluărilor manuale în timpul scalării.

Când aprofundați

Este necesară o analiză extinsă când intră date personale, confidențiale, reglementate sau ale clientului; rezultatul influențează decizii importante; serviciul acționează autonom sau schimbă producția; se conectează cunoștințe proprietare; eroarea este greu de observat sau inversat; lanțul este opac; ori eșecul produce prejudicii semnificative.

Nu deduceți clasificarea din marketing. În AI Act contează scopul și rolul. Articolul 25 poate transfera obligațiile furnizorului prin rebranding, modificare substanțială sau un nou scop cu risc ridicat. Furnizorii de sisteme cu risc ridicat și terții care furnizează componente trebuie să schimbe informațiile necesare prin acorduri scrise. La 30 august 2026, o mare parte din AI Act este aplicabilă; datele modificate pentru risc ridicat sunt 2 decembrie 2027 pentru anexa III și 2 august 2028 pentru produse reglementate. Folosiți intervalul pentru pregătire.

Dovezi de solicitat

1. Sistem și lanț: limite, modele și furnizori, regiuni, integrări, surse, subcontractanți, utilizări permise și interzise, limitări, versiuni și notificări.
2. Date și confidențialitate: scop, locație, acces, păstrare, ștergere, antrenare și divulgare pentru prompturi, fișiere, rezultate, feedback, metadate și loguri. Dacă furnizorul este persoană împuternicită GDPR, articolul 28 cere garanții suficiente și contract corect. EDPB descrie evaluarea specifică și continuă a expertizei, fiabilității, resurselor, politicilor, auditurilor și certificărilor.
3. Securitate și reziliență: rapoarte și domeniu, vulnerabilități, incidente, criptare, identități, izolare, recuperare și dependențe. Pentru GenAI: prompt injection, scurgeri, instrumente nesigure și surse compromise.
4. Performanță și impact: grupuri și limbi testate, baseline, praguri, condiții, limite și erori. Testați propria configurație cu intrări dificile, escaladare, intervenție umană și recuperare.
5. Guvernanță: responsabilii furnizorului pentru securitate, confidențialitate, AI governance, incidente și notificări; responsabili interni de business și risc; reclamații, rezultate nocive și dovezi după încetare.

NIST AI RMF voluntar recomandă politici, controale documentate, planuri de rezervă și monitorizare pentru AI terță. Profilul GenAI menționează verificări de achiziție, SLA, rapoarte de asigurare și transparența lanțului. Sunt referințe de proiectare, nu dovadă de conformitate juridică.

Contract și decizie

Contractul urmează dovezile: scop, utilizatori și date; antrenare; modele, subcontractanți, locații și notificări; securitate, incidente și cooperare; documentație; limite și supraveghere; schimbări; continuitate, portabilitate, ștergere și ieșire; răspundere proporțională. Contractul nu repară un sistem nepotrivit, dar protejează informația și remediile.

1. Descrieți scopul, utilizatorii, persoanele afectate, intrările, rezultatele, integrările, automatizarea, controlul uman și acțiunea ulterioară.
2. Atribuiți nivel preliminar și roluri AI Act/GDPR, consemnând transferuri, norme și incertitudini.
3. Cereți dovezi proporționale și reutilizați documente actuale care răspund efectiv.
4. Testați produsul configurat cu date reprezentative legale; păstrați versiunile și rezultatele.
5. Tratați lacunele prin remediere, control compensatoriu, domeniu restrâns, pilot temporar, acceptare sau respingere.
6. Reevaluați la schimbări de scop, model, furnizor, date, integrare, autonomie, incident sau lege.

Fișa deciziei conține produs și versiune, utilizări permise și interzise, lanț, nivel, roluri, justificare, dovezi, teste, lacune, contract, decizie, condiții, termene și monitorizare. Așteptările de AI governance cer dovezi actualizate.

FAQ

Care este scopul practic?

Să decideți justificabil dacă și cum poate fi folosit un serviciu, să găsiți devreme lacunele, să atribuiți controalele și să păstrați dovezi pentru clienți, audituri, incidente și reevaluare.

Ce documentați mai întâi?

Utilizarea exactă: utilizatori, persoane afectate, date, intrări, rezultate, integrări, control uman și acțiune ulterioară. Fără această limită, răspunsurile și rolurile nu pot fi evaluate corect.

Care este eroarea principală?

Tratarea due diligence ca schimb unic de documente. O evaluare solidă leagă domeniul, dovezile, testele, contractul, condițiile, monitorizarea și factorii clari de reevaluare.