Dina leverantörer har lagt till AI. Fick någon veta det?

Det tysta skiftet: AI kommer med uppdateringar

När du tar in ett nytt AI-verktyg går det genom registrering, säkerhetsgranskning och juridik. När en befintlig leverantör lägger till AI i en produkt du redan använder händer inget av detta. Avtalet är detsamma, fakturan är densamma, och funktionen är ofta påslagen från start. Dina data kan nu gå till en modellleverantör du aldrig hört talas om, på villkor som skrevs innan funktionen fanns.

Det här handlar inte om leverantörer som beter sig illa. AI-funktioner är vad kunderna ber om. Problemet är att ingen på köparsidan ombeds titta igen.

Varför dina kontroller missar det

• SOC 2-rapporter skrevs inte för det här En SOC 2-rapport visar att leverantörens kontroller fungerade under en period. Den säger sällan vilka modeller de använder, vilka data modellerna ser eller om dina data tränar dem.

• Frågeformulären är äldre än funktionen Skrevs ditt säkerhetsformulär före 2023 har det troligen inga frågor om AI alls. Även nyare formulär frågar ofta "Använder ni AI?" och stannar där.

• Avtalen säger ingenting, eller något värre De flesta äldre avtal nämner inte AI. Vissa ger leverantören breda rättigheter att använda "aggregerade" data eller "användningsdata" för att förbättra tjänsterna, vilket i det tysta kan omfatta träning av modeller på dina data.

• Granskningar sker en gång En leverantör som granskades vid starten granskas sällan igen förrän något går fel. AI-funktionerna ändras med varje version.

Sex saker att göra det här kvartalet

• 1. Hitta den AI du redan har Lista leverantörerna som berör kund-, personal- eller ekonomidata och gå igenom det senaste årets versionsnoteringar efter AI-funktioner. Notera för varje leverantör om den använder AI och vad AI:n gör. Du kan inte styra det du inte har skrivit ner.

• 2. Fråga om dina data tränar deras modeller Det här är den viktigaste frågan. Leta efter rättigheter kring "tjänsteförbättring", "aggregerade data" och "produktanalys" i avtalet, kontrollera om adminkonsolen låter dig välja bort träning, och få svaret skriftligt.

• 3. Skriv in AI-information i avtalet Kräv att leverantören meddelar dig innan den lägger till eller väsentligt ändrar AI i tjänsten, med rätt att invända. Kombinera med en klausul mot träning och anmälan av AI-incidenter. Du hittar ett exempel nedan.

• 4. Ställ AI-specifika frågor Skicka ett kort frågeformulär om AI:n till leverantörerna: modeller, data, mänsklig kontroll, tester och incidenter. Tio riktade frågor ger bättre svar än hundra allmänna. Vårt finns nedan.

• 5. Rangordna leverantörer efter vad AI:n faktiskt gör "Använder AI" är ingen risknivå. En assistent som skriver text som en person godkänner är något helt annat än en modell som fattar beslut om kunder, eller en agent som agerar på egen hand. Väg in AI:ns roll, hur känsliga data den når och om den lär sig av dina data.

• 6. Kontrollera varje år, och vid varje förnyelse Bekräfta en gång om året att svaren från varje AI-leverantör fortfarande stämmer. Förnyelsen är ditt bästa läge: då har du förhandlingskraft att få in klausulerna ovan.

Exempel på klausul: information om AI-användning

En utgångspunkt för era jurister, inte juridisk rådgivning. Anpassa den till avtalet och till svensk rätt:

"Leverantören ska skriftligen underrätta Kunden minst trettio (30) dagar innan Leverantören inför eller väsentligt ändrar funktionalitet baserad på artificiell intelligens eller maskininlärning som används för att tillhandahålla Tjänsterna eller behandla Kundens data. Underrättelsen ska beskriva funktionaliteten, vilka av Kundens data den behandlar och eventuella tredjepartsleverantörer av modeller. Om Kunden invänder ska parterna diskutera ändringen i god tro, och om invändningen inte är löst inom trettio (30) dagar får Kunden säga upp de berörda Tjänsterna utan kostnad."

Kombinera den med en klausul som hindrar leverantören från att använda dina data, eller något som härletts ur dem, för att träna eller förbättra AI-modeller utan skriftligt samtycke, och en som kräver anmälan av AI-incidenter inom en fast tid.

Tio frågor att skicka till leverantörerna

• AI i tjänsten Använder tjänsten AI eller maskininlärning, även AI som er personal använder för att leverera den?

• Vad den gör Vad gör AI:n i tjänsten ni levererar till oss?

• Modeller och drift Vilka modeller eller AI-leverantörer använder ni, och var driftas de?

• Träning Används våra data för att träna eller förbättra AI-modeller?

• Data Vilka av våra data behandlar AI:n, och hur länge sparas de?

• Självständighet Fattar AI:n beslut eller utför åtgärder utan att en person godkänner dem?

• Kontroll Hur kan människor granska, rätta eller åsidosätta det AI:n gör?

• Tester Hur testar ni AI:n för träffsäkerhet, snedvridning och säkerhet före och efter ändringar?

• Incidenter Hur och hur snabbt meddelar ni oss om AI-incidenter eller väsentliga ändringar i AI:n?

• Underlag Har ni ISO/IEC 42001 eller någon annan certifiering eller revision av er AI-styrning?

Så hjälper Granur

Vi har byggt in de här stegen i Granur, så att de sker som en del av leverantörsstyrningen och inte som ett eget projekt:

• AI-användning på varje leverantör Varje leverantörs sida visar vad AI:n gör, om den tränar på dina data, om avtalet kräver information och hur mycket den bestämmer själv. Tillsammans ger det leverantören en AI-risknivå, och Trust status visar nivån för alla leverantörer i en vy.

• Frågeformuläret, besvarat av leverantören Skicka de tio frågorna ovan via en säker uppladdningslänk. Leverantören svarar utan konto, och svaren fyller i det ditt team inte har besvarat än.

• AI-villkor i avtalsgranskningen AI-granskningen av avtal visar om avtalet kräver information om AI och om det tillåter träning på dina data, och flaggar det som saknas.

• Klausuler redo att använda Klausulbiblioteket föreslår fem AI-klausuler (information, ingen träning på dina data, anmälan av incidenter, mänsklig kontroll och rätt till information) som du lägger till med ett klick och kan redigera.

• Årlig ny bekräftelse Varje AI-leverantör får en årlig påminnelse om att bekräfta att svaren stämmer, och förnyelseguiden frågar om nya AI-funktioner har tillkommit innan du förnyar.

Leverantörerna som överraskar dig är ofta de du slutade titta på. Börja med de fem som har dina känsligaste data, och ställ träningsfrågan till dem den här veckan.