Dine leverandører har tilføjet AI. Fik nogen det at vide?

Det stille skift: AI kommer med opdateringer

Når du tager et nyt AI-værktøj i brug, går det gennem registrering, sikkerhedsgennemgang og jura. Når en eksisterende leverandør tilføjer AI til et produkt, du allerede bruger, sker der intet af det. Kontrakten er den samme, fakturaen er den samme, og funktionen er ofte slået til fra start. Dine data kan nu gå til en modelleverandør, du aldrig har hørt om, på vilkår, der blev skrevet, før funktionen fandtes.

Det handler ikke om leverandører, der opfører sig dårligt. AI-funktioner er det, kunderne beder om. Problemet er, at ingen på købersiden bliver bedt om at se på det igen.

Hvorfor dine kontroller overser det

• SOC 2-rapporter blev ikke skrevet til det her En SOC 2-rapport viser, at leverandørens kontroller virkede i en periode. Den siger sjældent, hvilke modeller de bruger, hvilke data modellerne ser, eller om dine data træner dem.

• Spørgeskemaerne er ældre end funktionen Blev dit sikkerhedsspørgeskema skrevet før 2023, har det sandsynligvis ingen spørgsmål om AI. Selv nyere skemaer spørger ofte "Bruger I AI?" og stopper der.

• Kontrakterne siger intet, eller noget værre De fleste ældre aftaler nævner ikke AI. Nogle giver leverandøren brede rettigheder til at bruge "aggregerede" data eller "brugsdata" til at forbedre tjenesterne, og det kan i det stille omfatte træning af modeller på dine data.

• Gennemgange sker én gang En leverandør, der blev vurderet ved opstarten, bliver sjældent vurderet igen, før noget går galt. AI-funktionerne ændrer sig med hver version.

Seks ting du kan gøre i dette kvartal

• 1. Find den AI, du allerede har List de leverandører, der berører kunde-, medarbejder- eller økonomidata, og gennemgå det seneste års versionsnoter for AI-funktioner. Notér for hver leverandør, om den bruger AI, og hvad AI'en gør. Du kan ikke styre det, du ikke har skrevet ned.

• 2. Spørg, om dine data træner deres modeller Det er det vigtigste spørgsmål. Kig efter rettigheder til "forbedring af tjenesten", "aggregerede data" og "produktanalyse" i kontrakten, tjek om administrationskonsollen lader dig fravælge træning, og få svaret skriftligt.

• 3. Skriv oplysning om AI ind i kontrakten Kræv varsel, før leverandøren tilføjer eller væsentligt ændrer AI i tjenesten, med ret til at gøre indsigelse. Kombinér det med en klausul mod træning og underretning om AI-hændelser. Du finder et eksempel nedenfor.

• 4. Stil AI-specifikke spørgsmål Send leverandørerne et kort spørgeskema om deres AI: modeller, data, menneskelig kontrol, test og hændelser. Ti målrettede spørgsmål giver bedre svar end hundrede generelle. Vores står nedenfor.

• 5. Rangér leverandører efter, hvad AI'en faktisk gør "Bruger AI" er ikke et risikoniveau. En assistent, der skriver tekst, som en person godkender, er noget helt andet end en model, der træffer beslutninger om kunder, eller en agent, der handler på egen hånd. Vægt AI'ens rolle, hvor følsomme data den når, og om den lærer af dine data.

• 6. Tjek igen hvert år, og ved hver fornyelse Bekræft én gang om året, at svarene fra hver AI-leverandør stadig holder. Fornyelsen er dit bedste tidspunkt: Der har du forhandlingskraft til at få klausulerne ovenfor med.

Eksempel på klausul: oplysning om brug af AI

Et udgangspunkt for jeres jurister, ikke juridisk rådgivning. Tilpas den til aftalen og til dansk ret:

"Leverandøren skal skriftligt underrette Kunden mindst tredive (30) dage, før Leverandøren indfører eller væsentligt ændrer funktionalitet baseret på kunstig intelligens eller maskinlæring, der bruges til at levere Tjenesterne eller behandle Kundens data. Underretningen skal beskrive funktionaliteten, hvilke af Kundens data den behandler, og eventuelle tredjeparts modelleverandører. Gør Kunden indsigelse, skal parterne drøfte ændringen i god tro, og er indsigelsen ikke løst inden for tredive (30) dage, kan Kunden opsige de berørte Tjenester uden omkostninger."

Kombinér den med en klausul, der forhindrer leverandøren i at bruge dine data, eller noget afledt af dem, til at træne eller forbedre AI-modeller uden skriftligt samtykke, og en der kræver underretning om AI-hændelser inden for en fast frist.

Ti spørgsmål du kan sende til leverandørerne

• AI i tjenesten Bruger tjenesten AI eller maskinlæring, også AI som jeres medarbejdere bruger for at levere den?

• Hvad den gør Hvad gør AI'en i den tjeneste, I leverer til os?

• Modeller og drift Hvilke modeller eller AI-leverandører bruger I, og hvor driftes de?

• Træning Bruges vores data til at træne eller forbedre AI-modeller?

• Data Hvilke af vores data behandler AI'en, og hvor længe opbevares de?

• Selvstændighed Træffer AI'en beslutninger eller udfører handlinger, uden at en person godkender dem?

• Kontrol Hvordan kan mennesker gennemgå, rette eller tilsidesætte det, AI'en gør?

• Test Hvordan tester I AI'en for nøjagtighed, bias og sikkerhed før og efter ændringer?

• Hændelser Hvordan og hvor hurtigt underretter I os om AI-hændelser eller væsentlige ændringer i AI'en?

• Dokumentation Har I ISO/IEC 42001 eller en anden certificering eller revision af jeres AI-styring?

Sådan hjælper Granur

Vi har bygget disse trin ind i Granur, så de sker som en del af leverandørstyringen og ikke som et særskilt projekt:

• AI-brug på hver leverandør Siden for hver leverandør viser, hvad AI'en gør, om den træner på dine data, om kontrakten kræver oplysning, og hvor meget den selv bestemmer. Tilsammen giver det leverandøren et AI-risikoniveau, og Trust status viser niveauet for alle leverandører i én oversigt.

• Spørgeskemaet, besvaret af leverandøren Send de ti spørgsmål ovenfor via et sikkert upload-link. Leverandøren svarer uden konto, og svarene udfylder det, dit team ikke har besvaret endnu.

• AI-vilkår i kontraktgennemgangen AI-gennemgangen af kontrakter viser, om kontrakten kræver oplysning om AI, og om den tillader træning på dine data, og markerer det, der mangler.

• Klausuler klar til brug Klausulbiblioteket foreslår fem AI-klausuler (oplysning, ingen træning på dine data, underretning om hændelser, menneskelig kontrol og ret til information), som du tilføjer med ét klik og kan redigere.

• Årlig ny bekræftelse Hver AI-leverandør får en årlig påmindelse om at bekræfte, at svarene holder, og fornyelsesguiden spørger, om der er kommet nye AI-funktioner, før du fornyer.

De leverandører, der overrasker dig, er ofte dem, du holdt op med at kigge på. Start med de fem, der har dine mest følsomme data, og stil dem træningsspørgsmålet i denne uge.