Leverandørene dine har lagt til KI. Fikk noen vite det?

Det stille skiftet: KI kommer med oppdateringer

Når du tar i bruk et nytt KI-verktøy, går det gjennom registrering, sikkerhetsgjennomgang og juridisk. Når en eksisterende leverandør legger KI til i et produkt du allerede bruker, utløser det ingenting av dette. Kontrakten er den samme, fakturaen er den samme, og funksjonen er ofte slått på som standard. Dataene dine kan nå gå til en modellleverandør du aldri har hørt om, på vilkår som ble skrevet før funksjonen fantes.

Dette handler ikke om leverandører som oppfører seg dårlig. KI-funksjoner er det kundene ber om. Problemet er at ingen på kjøpersiden blir bedt om å se på det igjen.

Hvorfor kontrollene du har, ikke fanger det opp

• SOC 2-rapporter ble ikke skrevet for dette En SOC 2-rapport forteller at leverandørens kontroller virket i en periode. Den sier sjelden hvilke modeller de bruker, hvilke data modellene ser, eller om dataene dine trener dem.

• Spørreskjemaene er eldre enn funksjonen Ble sikkerhetsspørreskjemaet ditt skrevet før 2023, har det trolig ingen spørsmål om KI. Selv nyere skjemaer spør gjerne "Bruker dere KI?" og stopper der.

• Kontraktene sier ingenting, eller noe verre De fleste eldre avtaler nevner ikke KI. Noen gir leverandøren vide rettigheter til å bruke "aggregerte" data eller "bruksdata" for å forbedre tjenestene, og det kan i det stille omfatte trening av modeller på dataene dine.

• Gjennomganger skjer én gang En leverandør som ble vurdert ved oppstart, blir sjelden vurdert igjen før noe går galt. KI-funksjonene endrer seg med hver versjon.

Seks ting å gjøre dette kvartalet

• 1. Finn KI-en du allerede har List opp leverandørene som berører kunde-, ansatt- eller økonomidata, og sjekk versjonsnotatene fra det siste året etter KI-funksjoner. Noter for hver leverandør om den bruker KI, og hva KI-en gjør. Du kan ikke styre det du ikke har skrevet ned.

• 2. Spør om dataene dine trener modellene deres Dette er det viktigste spørsmålet. Se etter rettigheter til "tjenesteforbedring", "aggregerte data" og "produktanalyse" i kontrakten, sjekk om adminkonsollen lar deg reservere deg mot trening, og få svaret skriftlig.

• 3. Skriv opplysningsplikt for KI inn i kontrakten Krev varsel før leverandøren legger til eller vesentlig endrer KI i tjenesten, med rett til å protestere. Kombiner det med en klausul mot trening og varsling av KI-hendelser. Du finner et eksempel under.

• 4. Still KI-spesifikke spørsmål Send leverandørene et kort spørreskjema om KI-en deres: modeller, data, menneskelig kontroll, testing og hendelser. Ti målrettede spørsmål gir bedre svar enn hundre generelle. Vårt står under.

• 5. Ranger leverandører etter hva KI-en faktisk gjør "Bruker KI" er ikke et risikonivå. En assistent som skriver tekst en person godkjenner, er noe helt annet enn en modell som tar beslutninger om kunder, eller en agent som handler på egen hånd. Vekt KI-ens rolle, hvor sensitive data den når, og om den lærer av dataene dine.

• 6. Sjekk på nytt hvert år, og ved hver fornyelse Bekreft én gang i året at svarene fra hver KI-leverandør fortsatt stemmer. Fornyelsen er ditt beste øyeblikk: da har du forhandlingskraft til å få inn klausulene over.

Eksempel på klausul: opplysning om KI-bruk

Et utgangspunkt for juristene deres, ikke juridisk rådgivning. Tilpass den til avtalen og til norsk rett:

"Leverandøren skal varsle Kunden skriftlig minst tretti (30) dager før Leverandøren innfører eller vesentlig endrer funksjonalitet basert på kunstig intelligens eller maskinlæring som brukes til å levere Tjenestene eller behandle Kundens data. Varselet skal beskrive funksjonaliteten, hvilke av Kundens data den behandler, og eventuelle tredjeparts modellleverandører. Protesterer Kunden, skal partene drøfte endringen i god tro, og er protesten ikke løst innen tretti (30) dager, kan Kunden si opp de berørte Tjenestene uten omkostninger."

Kombiner den med en klausul som hindrer leverandøren i å bruke dataene dine, eller noe som er utledet av dem, til å trene eller forbedre KI-modeller uten skriftlig samtykke, og en som krever varsel om KI-hendelser innen en fast frist.

Ti spørsmål du kan sende leverandørene

• KI i tjenesten Bruker tjenesten KI eller maskinlæring, også KI som de ansatte bruker for å levere den?

• Hva den gjør Hva gjør KI-en i tjenesten dere leverer til oss?

• Modeller og drift Hvilke modeller eller KI-leverandører bruker dere, og hvor driftes de?

• Trening Brukes dataene våre til å trene eller forbedre KI-modeller?

• Data Hvilke av dataene våre behandler KI-en, og hvor lenge lagres de?

• Selvstendighet Tar KI-en beslutninger eller utfører handlinger uten at en person godkjenner dem?

• Kontroll Hvordan kan folk gjennomgå, rette eller overstyre det KI-en gjør?

• Testing Hvordan tester dere KI-en for nøyaktighet, skjevhet og sikkerhet før og etter endringer?

• Hendelser Hvordan og hvor raskt varsler dere oss om KI-hendelser eller vesentlige endringer i KI-en?

• Dokumentasjon Har dere ISO/IEC 42001 eller en annen sertifisering eller revisjon av KI-styringen?

Slik hjelper Granur

Vi har bygget disse stegene inn i Granur, så de skjer som en del av leverandørstyringen og ikke som et eget prosjekt:

• KI-bruk på hver leverandør Siden til hver leverandør viser hva KI-en gjør, om den trener på dataene dine, om kontrakten krever opplysning, og hvor mye den bestemmer selv. Til sammen gir det leverandøren et KI-risikonivå, og Trust status viser nivået for alle leverandører i én oversikt.

• Spørreskjemaet, besvart av leverandøren Send de ti spørsmålene over gjennom en sikker opplastingslenke. Leverandøren svarer uten konto, og svarene fyller ut det teamet ditt ikke har besvart ennå.

• KI-vilkår i kontraktsgjennomgangen KI-gjennomgangen av kontrakter viser om kontrakten krever opplysning om KI, og om den tillater trening på dataene dine, og flagger det som mangler.

• Klausuler klare til bruk Klausulbiblioteket foreslår fem KI-klausuler (opplysning, ingen trening på dataene dine, varsling av hendelser, menneskelig kontroll og rett til informasjon) som du legger til med ett klikk og kan redigere.

• Årlig ny bekreftelse Hver KI-leverandør får en årlig påminnelse om å bekrefte at svarene stemmer, og fornyelsesveiviseren spør om nye KI-funksjoner har kommet før du fornyer.

Leverandørene som overrasker deg, er gjerne de du sluttet å følge med på. Start med de fem som har de mest sensitive dataene, og still dem treningsspørsmålet denne uken.