Mitä LLM-gatewayn tai tekoälyalustan tarjouspyyntöön pitäisi sisältyä?

Missä tietoja käsitellään, mitä säilytetään, kuka saa käyttää tietoja koulutukseen, alikäsittelijät ja DPA, identiteetti ja pääsynhallinta (kertakirjautuminen, SCIM, avaimet), kulujen hallinta, sallitut mallit ja palveluntarjoajat, auditointilokit ja vienti, tuki tekoälysäädöksen käyttöönottajan velvollisuuksille, irtautumisehdot ja SLA. Tämä pohja kattaa jokaisen alueen 43 vaatimuksella ja pyydettävällä näytöllä.

Voivatko julkiset hankintayksiköt käyttää tätä pohjaa tarjouspyynnössä?

Kyllä. Pohja on vapaasti kopioitavissa ja muokattavissa. Hankintayksiköt käyttävät sitä tyypillisesti teknisten vaatimusten liitteenä ja liittävät sopimukseen vapaaehtoiset EU:n tekoälyä koskevat mallisopimuslausekkeet (MCC-AI). Tarkistakaa vaatimukset hankintalainsäädäntöä vasten ja merkitkää ehdottomat vaatimukset ennen julkaisua.

Mitä ovat EU:n tekoälyä koskevat mallisopimuslausekkeet?

Mallilausekkeita tekoälyjärjestelmien hankintaan. Ne on julkaissut tekoälyn julkisia hankintoja käsittelevä Community of Practice Euroopan komission Public Buyers Community -sivustolla. Maaliskuun 2025 päivityksessä on täysi versio suuririskiselle tekoälylle ja kevyt versio (Light) muulle tekoälylle. Lausekkeet ovat vapaaehtoisia, ja ne on tarkoitettu sopimuksen liitteeksi. Sopimuksen on silti katettava tietosuoja, vastuu ja immateriaalioikeudet.

Onko mallitoimittaja AI-gatewayn alikäsittelijä?

Yleensä on. Kun gateway välittää henkilötietoja sisältäviä kehotteita mallitoimittajalle, tämä käsittelee tietoja gatewayn lukuun. Siksi rivit 13 ja 14 edellyttävät alikäsittelijäluetteloa, jossa ovat mukana inferenssipalveluntarjoajat, ja ennakkoilmoitusta ennen uusien lisäämistä.

Kuinka kauan tekoälyalustan pitäisi säilyttää pyyntölokeja?

Suuririskisessä käytössä tekoälysäädöksen 26 artiklan 6 kohta edellyttää, että käyttöönottajat säilyttävät hallinnassaan olevat lokit vähintään kuusi kuukautta, jollei muussa lainsäädännössä toisin säädetä. Monet hankkijat vaativat 12 kuukauden pyyntölokit, joissa on vain metatietoja eikä tallennettua sisältöä.

Tarjouspyynnön vaatimukset LLM-gatewaylle tai tekoälyalustalle

Päivitetty 9. marraskuuta 2026. Vapaasti kopioitavissa, muokattavissa ja käytettävissä omissa tarjouspyyntöasiakirjoissanne.

Yritys tai julkinen organisaatio, joka hankkii suurten kielimallien käyttöä henkilöstölleen ja sovelluksilleen, hankkii yleensä gatewayn: yhden tilin ja yhden API:n, jonka kautta käytetään usean mallitoimittajan malleja. Tämä pohja luettelee hankintaa varten 43 vaatimusta siinä järjestyksessä, jossa tietoturva- ja hankintatarkastus ne käy läpi. Jokaisen kohdalla kerrotaan, miksi vaatimus on tärkeä ja mitä näyttöä toimittajalta kannattaa pyytää.

Pohja on toimittajaneutraali, ja se sopii tarjouspyynnön vaatimusliitteeksi, julkisen hankinnan tarjouspyyntöön tai toimittajan tietoturva-arviointiin. Tekoälyä koskeviin sopimusehtoihin yhdistäkää se vapaaehtoisiin EU:n tekoälyä koskeviin mallisopimuslausekkeisiin (MCC-AI), jotka julkaistiin Euroopan komission Public Buyers Community -sivustolla maaliskuussa 2025.

Lataa pohja (.md)Taulukko (.csv)

CSV avautuu Excelissä, Google Sheetsissä tai Numbersissa, ja siinä on tyhjät sarakkeet painoarvolle, toimittajan vastaukselle ja saadulle näytölle.

Vaatimukset

Jokainen vaatimus on muotoiltu niin, että toimittaja voi vastata siihen yhdellä kappaleella ja liittää näytön. Merkitkää ehdottomat vaatimuksenne, antakaa muille painoarvot ja poistakaa ne, jotka eivät koske teitä.

1. Tietojen sijainti

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
1	Käsittelyalue. Toimittaja voi rajata inferenssin hankintayksikön nimeämälle alueelle, kuten EU:hun/ETA:an tai Eurooppaan, koko organisaatiolle, tiimille tai yksittäiselle API-avaimelle, myös uusintayrityksissä ja varareiteissä.	Miksi se on tärkeäGatewayt siirtävät liikennettä toimittajalta toiselle. Ilman aluerajausta, joka kattaa jokaisen yrityskerran, varareitti voi siirtää kehotteen toiselle lainkäyttöalueelle kenenkään huomaamatta.	Pyydettävä näyttöRajatun liikenteen reitityskäytäntö, kullakin alueella sallitut inferenssipäätepisteet sijainteineen sekä se, mitä tapahtuu, kun mikään alueen päätepiste ei voi palvella pyyntöä.
2	Alueen määritelmä. Toimittaja kertoo, mitkä maat kukin alue kattaa, esimerkiksi vain EU/ETA tai myös Yhdistynyt kuningaskunta, Sveitsi tai muut maat.	Miksi se on tärkeäMyyntimateriaalissa Eurooppaa ja EU:ta käytetään usein toistensa synonyymeina. Siirtojen arviointinne riippuu tarkasta maaluettelosta.	Pyydettävä näyttöKirjallinen määritelmä kullekin alueelle ja jokaisen siihen kuuluvan alikäsittelijän käsittelypaikka.
3	Liikenteen sisääntulon ja gatewayn sijainti. Toimittaja kertoo, missä TLS päätetään, missä gateway toimii ja mitä isäntänimeä alueelliseen käsittelyyn käytetään.	Miksi se on tärkeäPyyntöä voi palvella oikealla alueella oleva malli, ja silti se voi kulkea ensin globaalin reunaverkon kautta.	Pyydettävä näyttöIsäntänimet alueittain, kuormantasaajan ja gatewayn palveluntarjoaja ja alue sekä tietovuokaavio.
4	Metatietojen ja lokien sijainti. Toimittaja kertoo, missä tilitiedot, käyttötiedot, käyttölokit, varmuuskopiot ja sähköpostit tallennetaan ja käsitellään.	Miksi se on tärkeäTietojen sijaintia koskevat vastaukset kattavat usein vain kehotteet. Myös metatiedoissa on henkilötietoja, kuten nimiä, sähköpostiosoitteita ja IP-osoitteita.	Pyydettävä näyttöTallennuspaikka tietoluokittain, varmuuskopiot ja järjestelmän lähettämät sähköpostit mukaan lukien.

2. Säilytys ja tietojen säilytyskielto (ZDR)

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
5	Toimittaja ei tallenna sisältöä. Toimittaja käsittelee kehotteita ja tuotoksia vain pyynnön palvelemiseksi tai kertoo tarkasti, mitä sisältöä se tallentaa, missä ja kuinka kauan.	Miksi se on tärkeäGateway näkee jokaisen organisaationne lähettämän kehotteen. Sen oma säilytys on ensimmäinen tarkistettava riski.	Pyydettävä näyttöKuvaus tietovuosta, lokirakenne, josta näkyvät kirjoitettavat kentät, ja vastaava tietojenkäsittelysopimuksen (DPA) ehto.
6	ZDR mallitoimittajilla. Hankintayksikkö voi vaatia, että pyynnöt ohjataan vain päätepisteisiin, jotka sitoutuvat olemaan säilyttämättä kopiota sisällöstä, organisaation, tiimin tai avaimen tasolla, eivätkä alemmat tasot voi kytkeä vaatimusta pois.	Miksi se on tärkeäMallitoimittajat säilyttävät kehotteita tavallisesti jonkin aikaa väärinkäytösten valvontaa varten, ellei päätepisteeseen sovelleta ZDR-järjestelyä.	Pyydettävä näyttöSäilytysehdot toimittajittain, miten asetus pannaan täytäntöön jokaisessa pyynnössä ja mitkä toiminnot on poistettu käytöstä, kun asetus on päällä.
7	Sisältöä tallentavat toiminnot. Toimittaja luettelee jokaisen sisältöä tallentavan toiminnon (kehotteiden välimuisti, tallennetut vastaukset, keskusteluhistoria, tiedostot, eräajot) säilytysaikoineen ja asetuksen, jolla sen saa pois päältä.	Miksi se on tärkeäSäilytystä koskevissa sitoumuksissa on yleensä toimintokohtaisia poikkeuksia. Luettelo näyttää, missä ne ovat.	Pyydettävä näyttöToimintoluettelo, jossa on säilytysaika toiminnoittain ja asetus, jolla toiminnon voi poistaa käytöstä.
8	Poistaminen sopimuksen päättyessä. Toimittaja poistaa tai palauttaa hankintayksikön tiedot määräajassa palvelun päättymisestä ja vahvistaa sen kirjallisesti.	Miksi se on tärkeäTietosuoja-asetuksen 28 artiklan 3 kohdan g alakohta edellyttää, että käsittelijän kanssa tehty sopimus kattaa tietojen poistamisen tai palauttamisen palvelujen päättyessä.	Pyydettävä näyttöDPA:n ehto määräaikoineen, varmuuskopioiden käsittely ja malli poistovahvistuksesta.

3. Koulutus ja tietojen käyttö

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
9	Toimittaja ei käytä tietoja koulutukseen. Toimittaja ei käytä kehotteita, tuotoksia tai metatietoja mallien kouluttamiseen tai parantamiseen.	Miksi se on tärkeäKoulutuskäyttö on se käyttö, jonka hankkijat useimmin sulkevat pois, ja rajaus sitoo vain, jos se on kirjattu sopimukseen.	Pyydettävä näyttöSopimuksen tai DPA:n ehto ja vastaava kohta tietosuojaselosteessa.
10	Mallitoimittajat eivät käytä tietoja koulutukseen. Toimittaja ohjaa hankintayksikön liikenteen vain toimittajille, jotka sitoutuvat olemaan käyttämättä sitä mallien kouluttamiseen, ja kertoo, miten tämä pannaan täytäntöön jokaisessa pyynnössä.	Miksi se on tärkeäGatewayn oma lupaus ei sido sen takana olevia mallitoimittajia.	Pyydettävä näyttöToimittajan ehdot päätepisteittäin, täytäntöönpanon mekanismi ja liikenne, jota se koskee.
11	Muu toissijainen käyttö. Toimittaja kertoo, käytetäänkö sisältöä tai metatietoja analytiikkaan, vertailuanalyyseihin, tuotekehitykseen tai ihmisten tekemään tarkastukseen, ja miten siitä voi kieltäytyä.	Miksi se on tärkeäToissijainen käyttö jää rekisterinpitäjän käsittelijälle antamien ohjeiden ulkopuolelle, ellei siitä ole sovittu.	Pyydettävä näyttöLuettelo toissijaisista käyttötavoista, ihmisten tekemää tarkastusta koskeva käytäntö ja kieltäytymisen asetus.

4. Alikäsittelijät ja tietojenkäsittelysopimus

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
12	Tietojenkäsittelysopimus. Tietosuoja-asetuksen 28 artiklan mukainen DPA on saatavilla ennen allekirjoitusta ja kattaa käsittelyn kohteen, keston, ohjeet, luottamuksellisuuden, turvallisuuden, avustamisen, poistamisen ja auditoinnit.	Miksi se on tärkeä28 artiklan 3 kohdassa luetellaan, mitä käsittelijän kanssa tehdyn sopimuksen on sisällettävä. Gateway käsittelee henkilötietoja jokaisessa kehotteessa, jossa mainitaan henkilö.	Pyydettävä näyttöDPA:n teksti, sovellettava laki ja allekirjoitustapa.
13	Alikäsittelijäluettelo. Toimittaja julkaisee jokaisen alikäsittelijän (toinen käsittelijä) käyttötarkoituksineen, käsiteltävine tietoineen ja sijainteineen, malli- ja inferenssitoimittajat mukaan lukien.	Miksi se on tärkeäGatewayn kohdalla jokainen mallitoimittaja, joka voi palvella liikennettänne, on alikäsittelijä.	Pyydettävä näyttöLuettelon URL-osoite ja sen viimeisimmän muutoksen päivämäärä.
14	Ilmoitus uusista alikäsittelijöistä. Toimittaja ilmoittaa ennalta määritellyssä ajassa ennen alikäsittelijän lisäämistä tai vaihtamista ja antaa oikeuden vastustaa muutosta.	Miksi se on tärkeä28 artiklan 2 kohta edellyttää, että rekisterinpitäjälle ilmoitetaan muutoksista ja annetaan mahdollisuus vastustaa niitä.	Pyydettävä näyttöDPA:n ehto ilmoitusaikoineen ja kanava, jonka kautta ilmoitukset tehdään.
15	Kansainväliset siirrot. Kaikesta ETA:n ulkopuolisesta käsittelystä toimittaja nimeää siirtoperusteen (tietosuojan riittävyyttä koskeva päätös, vakiosopimuslausekkeet, UK IDTA).	Miksi se on tärkeäSiirroilla on oltava tietosuoja-asetuksen V luvun mukainen oikeusperuste, ja hankintayksikkö dokumentoi arvionsa.	Pyydettävä näyttöVakiosopimuslausekkeiden liitteet ja tiivistelmä toimittajan siirtovaikutusten arvioinnista.
16	Tietoturvaloukkauksista ilmoittaminen. Toimittaja ilmoittaa henkilötietojen tietoturvaloukkauksista ilman aiheetonta viivytystä ja määritellyn tuntimäärän kuluessa.	Miksi se on tärkeäRekisterinpitäjällä on 33 artiklan mukaan 72 tuntia aikaa ilmoittaa valvontaviranomaiselle, joten käsittelijän määräajan on oltava lyhyempi tai yhtä pitkä.	Pyydettävä näyttöDPA:n ehto, tiivistelmä häiriöiden hallintaprosessista ja tietoturvayhteyshenkilö.

5. Identiteetti ja pääsynhallinta

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
17	Kertakirjautuminen. SAML 2.0- tai OpenID Connect -kirjautuminen hankintayksikön identiteetintarjoajalla, kuten Microsoft Entra ID:llä, Oktalla tai Google Workspacella, sekä hallintakonsoliin että käyttäjille.	Miksi se on tärkeäTyötilit sitovat pääsyn työsuhteeseen, ja niissä sovelletaan hankintayksikön monivaiheista tunnistautumista ja kirjautumiskäytäntöjä.	Pyydettävä näyttöTuetut protokollat ja identiteetintarjoajat, käyttöönotto-ohje ja testiyhteys.
18	Pakollinen kertakirjautuminen. Hankintayksikkö voi vaatia kertakirjautumista kaikilta käyttäjiltä ja poistaa käytöstä salasanakirjautumisen ja muut kirjautumistavat.	Miksi se on tärkeäKertakirjautuminen salasanojen rinnalla jättää tilejä identiteetintarjoajan hallinnan ulkopuolelle.	Pyydettävä näyttöAsetus ja se, miten se vaikuttaa olemassa oleviin istuntoihin ja API-avaimiin.
19	Käyttäjien provisiointi. SCIM 2.0 -provisiointi ja -deprovisiointi identiteetintarjoajasta sekä ryhmien yhdistäminen rooleihin tai tiimeihin.	Miksi se on tärkeäIlman deprovisiointia lähteneet työntekijät säilyttävät pääsynsä, kunnes joku muistaa poistaa sen.	Pyydettävä näyttöTuetut SCIM-resurssit (käyttäjät, ryhmät) ja kuinka nopeasti deprovisiointi mitätöi istunnot ja avaimet.
20	Roolit ja API-avaimet. Roolipohjainen pääsynhallinta, oma avain jokaiselle henkilölle ja sovellukselle, rajatut avaimet ja välitön mitätöinti.	Miksi se on tärkeäYhteiskäyttöiset avaimet peittävät sen, kuka lähetti minkäkin pyynnön, eikä niitä voi mitätöidä yhdeltä henkilöltä.	Pyydettävä näyttöRoolimatriisi ja avainten elinkaari: luonti, rajaus, kierrätys ja mitätöinti.
21	Työpöytäsovellukset ja koodausagentit. Toimittaja kertoo, miten työntekijät tunnistautuvat tekoälyn työpöytäsovelluksissa ja koodausagenteissa (esimerkiksi Claude Desktop, Claude Code ja IDE-laajennukset): työtilillä kirjautumalla vai jaetuilla avaimilla.	Miksi se on tärkeäNäissä työkaluissa henkilökohtaiset tilit ja kopioidut avaimet ilmaantuvat hankintojen ohi.	Pyydettävä näyttöKäyttöönotto-ohje ja luettelo tuetuista työkaluista.

6. Kulujen hallinta

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
22	Budjetit niillä tasoilla, joita hallitsette. Ehdottomat kuukausirajat käyttäjää, sovellusta ja tiimiä tai osastoa kohden, niin että kulut pysähtyvät rajaan.	Miksi se on tärkeäAgentit ja eräajot voivat kuluttaa kuukauden budjetin tunneissa. Raja, joka vain varoittaa, on pelkkä raportti.	Pyydettävä näyttöTuetut tasot ja se, mitä rajan kohdalla tapahtuu: esto, varoitus tai ylitys.
23	Organisaation katto ja hälytykset. Katto koko organisaatiolle ja hälytykset ennen kuin mikään raja täyttyy.	Miksi se on tärkeäTaloushallinto tarvitsee yhden luvun, jota ei voi ylittää, tapahtui alemmilla tasoilla mitä tahansa.	Pyydettävä näyttöAsetukset ja hälytyskanavat.
24	Hinnat ja laskutus. Hinta mallia tai tilausta kohden, laskutusvaluutta, laskut hankintayksikön yritystiedoilla ja ALV-tunnisteella sekä kustannusraportointi käyttäjittäin ja sovelluksittain sisäistä laskutusta varten.	Miksi se on tärkeäTokenihinnat eroavat mallien välillä kertaluokittain, joten vertailu edellyttää hinnoitteluperustetta ja raportointia.	Pyydettävä näyttöHinnasto, mallilasku ja malliraportti käytöstä.

7. Mallien käyttö ja sallittujen luettelot

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
25	Mallivalikoima. Tarjotut kärkimallit ja avoimet mallit sekä se, mitkä niistä ovat saatavilla kunkin aluerajauksen piirissä.	Miksi se on tärkeäMalli, joka ei ole saatavilla alueellanne, ei ole teidän käytettävissänne, kun aluerajaus on käytössä.	Pyydettävä näyttöMalliluettelo alueittain ja käytäntö uusien mallien lisäämisestä.
26	Sallittujen mallien luettelot. Ylläpitäjät päättävät, mitä malleja kukin tiimi, sovellus tai avain saa käyttää. Pyynnöt muihin malleihin hylätään.	Miksi se on tärkeäMallin hyväksyntä, joka on kirjattu vain ohjeeseen, ei estä ketään kutsumasta toista mallia.	Pyydettävä näyttöAsetus ja virheilmoitus, joka palautetaan mallista, jota ei ole sallittu.
27	Sallittujen palveluntarjoajien luettelot. Ylläpitäjät päättävät, mitkä inferenssipalveluntarjoajat saavat palvella liikennettä. Varareitit noudattavat luetteloa, eikä uusia palveluntarjoajia lisätä koskaan ilman hyväksyntää.	Miksi se on tärkeäToimittajan lisäämä palveluntarjoaja on uusi paikka, jossa tietojanne käsitellään.	Pyydettävä näyttöAsetus, miten varareitit soveltavat sitä ja mitä tapahtuu, kun toimittaja lisää palveluntarjoajan.
28	Mallimuutokset. Toimittaja ilmoittaa etukäteen mallien käytöstä poistamisesta ja versiomuutoksista, ja hankintayksikkö voi lukita version.	Miksi se on tärkeäHuomaamaton mallimuutos muuttaa tuotosten laatua ja voi tehdä käyttötapaukselle tehdyn arvioinnin tyhjäksi.	Pyydettävä näyttöKäytöstä poistamista koskeva käytäntö ja ilmoituskanava.
29	Reitityksen läpinäkyvyys. Jos toimittaja reitittää automaattisesti mallien tai palveluntarjoajien välillä kustannusten tai saatavuuden perusteella, se dokumentoi säännöt ja kirjaa, mikä malli ja palveluntarjoaja palveli kunkin pyynnön.	Miksi se on tärkeäAutomaattisesta reitityksestä on hyötyä vain, jos näette, minne kukin pyyntö meni.	Pyydettävä näyttöReitityksen dokumentaatio ja esimerkki pyyntökohtaisesta lokimerkinnästä.

8. Auditointilokit ja vienti

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
30	Ylläpitäjän auditointiloki. Jokainen käyttäjiin, avaimiin, budjetteihin ja käytäntöihin tehty muutos tekijöineen, ajankohtineen sekä muutosta edeltävine ja sen jälkeisine arvoineen.	Miksi se on tärkeäTarkastajat kysyvät, kuka muutti käytäntöä ja milloin. Ilman edeltäviä ja jälkeisiä arvoja loki ei kerro, mikä muuttui.	Pyydettävä näyttöEsimerkki lokimerkinnästä ja säilytysaika.
31	Pyyntöloki. Jokaisesta pyynnöstä aika, käyttäjä tai avain, malli, palveleva palveluntarjoaja, aluerajaus, tila, tokenit ja kustannus ilman sisältöä, ellei hankintayksikkö erikseen ota sitä käyttöön, sekä ilmoitettu säilytysaika.	Miksi se on tärkeäSuuririskisessä käytössä tekoälysäädöksen 26 artiklan 6 kohta edellyttää, että käyttöönottajat säilyttävät hallinnassaan olevat lokit vähintään kuusi kuukautta. Pyyntöloki on myös tekoälyluettelon näyttö.	Pyydettävä näyttöKenttäluettelo, säilytysaika ja esimerkkivienti.
32	Vienti. Lokit voi viedä CSV-muodossa tai API:n kautta ja lähettää hankintayksikön SIEM-järjestelmään.	Miksi se on tärkeäKirjauksia, joita hankintayksikkö ei saa ulos, se ei voi käyttää omassa auditoinnissaan.	Pyydettävä näyttöMuodot, rivi- tai aikarajat ja API-dokumentaatio.

9. Tekoälysäädöksen käyttöönottajan velvollisuudet

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
33	Tuki luettelolle ja tekoälylukutaidolle. Toimittaja antaa tiedot, joita hankintayksikkö tarvitsee tekoälyluetteloonsa ja 4 artiklan mukaisiin tekoälylukutaidon toimiin: sovelluksittain käytetyt mallit, niiden tarjoajat ja niiden dokumentoidut rajoitukset.	Miksi se on tärkeä4 artiklaa on sovellettu 2. helmikuuta 2025 alkaen, ja luettelo on lähtökohta kaikille muille tekoälysäädöksen velvollisuuksille.	Pyydettävä näyttöSovelluskohtaiset tiedot malleista ja tarjoajista sekä linkit mallien dokumentaatioon.
34	Suuririskinen käyttö. Jos hankintayksikkö käyttää palvelua liitteessä III lueteltuun tarkoitukseen, toimittaja ilmoittaa roolinsa tekoälysäädöksen mukaan ja hyväksyy EU:n tekoälyä koskevien mallisopimuslausekkeiden asiaankuuluvat ehdot.	Miksi se on tärkeäLiitteen III käyttöönottajan velvollisuuksia sovelletaan 2. joulukuuta 2027 alkaen, ja ne riippuvat tiedoista, jotka ovat vain toimittajalla ja mallin tarjoajalla.	Pyydettävä näyttöToimittajan selvitys roolistaan ja täytetty MCC-AI-liite (High Risk tai Light).
35	Yleiskäyttöisten tekoälymallien dokumentaatio. Jokaisesta tarjotusta yleiskäyttöisestä tekoälymallista toimittaja linkittää dokumentaation, jonka mallin tarjoaja asettaa jatkotarjoajien saataville, sekä julkisen tiivistelmän koulutukseen käytetystä sisällöstä.	Miksi se on tärkeä53 artikla velvoittaa yleiskäyttöisten tekoälymallien tarjoajat asettamaan nämä saataville, ja hankkijat arkistoivat ne malleittain.	Pyydettävä näyttöLinkit malleittain ja hakupäivämäärä.
36	Avoimuus. Toimittaja kertoo, merkitäänkö tuotokset koneellisesti luettavassa muodossa ja miten se tukee hankintayksikön ilmoitusvelvollisuuksia.	Miksi se on tärkeä50 artiklan avoimuusvelvoitteita sovelletaan 2. elokuuta 2026 alkaen.	Pyydettävä näyttöMallikohtaiset tiedot merkinnöistä ja ohjeet ilmoittamiseen.

10. Irtautuminen ja siirrettävyys

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
37	Vakiorajapinta. API noudattaa laajasti käytettyä rajapintaa, kuten OpenAI-yhteensopivaa chat completions -muotoa, joten sovellukset voi siirtää ilman uudelleenkirjoitusta.	Miksi se on tärkeäSuljettu rajapinta tekee toimittajan vaihdosta ohjelmistoprojektin.	Pyydettävä näyttöAPI-kuvaus sekä SDK:t ja työkalut, joiden tiedetään toimivan sen kanssa.
38	Tietojen vienti irtautuessa. Hankintayksikkö voi viedä asetukset, käyttäjät, avainten metatiedot, käyttötiedot ja lokit koneellisesti luettavassa muodossa ennen sopimuksen päättymistä ja sen jälkeen.	Miksi se on tärkeäJos palvelu on datasäädöksen mukainen datankäsittelypalvelu, VI luku antaa asiakkaalle oikeuden vaihtaa palvelua, eikä 12. tammikuuta 2027 alkaen vaihtomaksuja saa periä.	Pyydettävä näyttöVientimuodot, tarjottu siirtymätuki ja aika, jonka tiedot ovat saatavilla irtisanomisen jälkeen.
39	Sopimuskausi ja irtisanominen. Sopimuskausi, irtisanomisaika, mahdolliset päättämismaksut ja siirtymäaika.	Miksi se on tärkeäPitkät sopimuskaudet ja päättämismaksut ratkaisevat, mitä irtautuminen maksaa.	Pyydettävä näyttöKaupalliset ehdot ja irtisanomisehto.

11. Tuki ja SLA

Nro	Vaatimus	Miksi se on tärkeä	Pyydettävä näyttö
40	Käytettävyys-SLA. Kuukausittainen käytettävyyssitoumus hyvityksineen, mittaustapoineen ja poikkeuksineen.	Miksi se on tärkeäTekoäly siirtyy tuotannon työnkulkuihin, joissa käyttökatkoilla on hintansa.	Pyydettävä näyttöSLA-asiakirja, julkinen tilasivu ja viimeisten 12 kuukauden käytettävyys.
41	Vikasieto palveluntarjoajien välillä. Kun palveluntarjoaja ei ole käytettävissä, pyynnöt siirtyvät saman mallin toiselle hyväksytylle palveluntarjoajalle aluerajausten ja sallittujen luetteloiden rajoissa.	Miksi se on tärkeäVikasieto, joka ohittaa aluerajauksen tai sallittujen luettelon, rikkoo säännöt juuri silloin, kun häiriö on jo käynnissä.	Pyydettävä näyttöVikasiedon rakenne ja palveluntarjoajien määrä mallia kohden kunkin aluerajauksen piirissä.
42	Tuki ja viestintä häiriötilanteissa. Tukikanavat, vasteajat vakavuusluokittain, kielet ja tapa, jolla häiriöistä viestitään.	Miksi se on tärkeäHankintayksikön oma häiriöprosessi riippuu toimittajan prosessista.	Pyydettävä näyttöTukikäytäntö, tilasivun URL-osoite ja viimeaikaiset häiriöraportit.
43	Tietoturvadokumentaatio. Tietoturvan yleiskuvaus, täytetty tietoturvakysely sekä varmennusraportit tai sertifioinnit, jotka toimittajalla ja sen palvelinkapasiteetin tarjoajilla on.	Miksi se on tärkeäTämä on se, minkä hankintayksikön tietoturvatiimi käy läpi ennen hyväksyntää. Kun sen pyytää jo tarjouspyynnössä, säästyy yksi kierros.	Pyydettävä näyttöTietoturvasivu, täytetty kysely, kuten avoin LLM-gatewayn tietoturvakysely (englanniksi), ja mahdolliset raportit.

Lataa pohja (.md)Taulukko (.csv)

Standard Computen vastaukset

Standard Compute on eurooppalainen AI-gateway: yksi yritystili ja yksi API Claudelle, GPT:lle, Geminille ja avoimille malleille. Sitä ylläpitää Standard Compute AS Oslossa. Tässä ovat vastauksemme yllä oleviin vaatimuksiin samoin sanoin kuin tietoturvasivullamme ja tietojenkäsittelysopimuksessamme. Numerot viittaavat pohjan riveihin.

Nro	Tila	Vastauksemme
Nro 1	Käytössä, otetaan käyttöön erikseen	Asettakaa Eurooppa-rajaus yrityksellenne, tiimille tai yksittäiselle avaimelle, niin jokaista pyyntöä, myös uusintayrityksiä ja varareittejä, palvelevat vain hyväksytyt eurooppalaiset inferenssipäätepisteet. Jos mikään eurooppalainen päätepiste ei voi palvella pyyntöä, pyyntö hylätään ennen kuin kehotettanne lähetetään.
Nro 2	Käytössä	Eurooppa-rajaus sallii vain ne hyväksytyt eurooppalaiset päätepisteet, jotka on lueteltu alikäsittelijäluettelossamme käsittelypaikkoineen.
Nro 3	Käytössä	EU-gatewaymme osoitteessa eu.stdcmpt.com päättää TLS:n ja toimii Suomessa, ja tilitietonne tallennetaan Frankfurtiin.
Nro 4	Käytössä	Tili- ja käyttötietonne tallennetaan Saksan Frankfurtiin. Pyyntölokeissa on vain metatietoja (malli, palveluntarjoaja, tokenit, kustannus ja tila), ei koskaan kehotteitanne tai tuotoksianne. Jokainen alustan alikäsittelijä on lueteltu sijainteineen.
Nro 5	Käytössä	Käsittelemme kehotteitanne muistissa kunkin pyynnön palvelemiseksi emmekä koskaan kirjoita niitä tallennustilaan tai lokeihin.
Nro 6	Käytössä, otetaan käyttöön erikseen	Ottakaa ZDR käyttöön yrityksellenne, tiimille tai avaimelle, niin jokainen pyyntö ohjataan vain päätepisteisiin, jotka sitoutuvat olemaan säilyttämättä kopiota tiedoistanne. Tiimit ja avaimet perivät vaatimuksen, eivätkä ne voi koskaan kytkeä sitä pois.
Nro 8	Käytössä	DPA:n mukaan kaikki muut asiakkaan henkilötiedot poistetaan tai palautetaan 30 päivän kuluessa sopimuksen päättymisestä (kohta 10).
Nro 9, 10	Käytössä	Standard Compute ei koskaan kouluta malleja kehotteillanne tai tuotoksillanne. Kun aluerajaus tai ZDR on käytössä, jokainen pyyntö menee vain palveluntarjoajille, jotka sitoutuvat olemaan käyttämättä sitä mallien kouluttamiseen.
Nro 12, 16	Käytössä	Allekirjoittakaa tietojenkäsittelysopimuksemme hallintapaneelissa muutamassa minuutissa. Se sitoo meidät olemaan kouluttamatta malleja tiedoillanne, olemaan säilyttämättä sisältöänne ja ilmoittamaan tietoturvaloukkauksista 72 tunnin kuluessa. Sopimukseen sovelletaan Norjan lakia.
Nro 13, 14	Käytössä	Julkaisemme jokaisen alikäsittelijän käyttötarkoituksineen, tietoineen ja sijainteineen ja ilmoitamme 14 päivää ennen uuden alikäsittelijän lisäämistä.
Nro 15	Käytössä	Siirtoihin ETA-alueelta tai Yhdistyneestä kuningaskunnasta maahan, josta ei ole tehty tietosuojan riittävyyttä koskevaa päätöstä, sovelletaan EU:n vakiosopimuslausekkeita ja Yhdistyneen kuningaskunnan tietoihin UK IDTA:ta (DPA:n kohta 6).
Nro 17	Käytössä	Yhdistäkää Microsoft Entra ID tai mikä tahansa SAML-identiteetintarjoaja, niin henkilöstönne kirjautuu Standard Computeen työtileillään. Jokainen vahvistetun verkkotunnuksenne käyttäjä liittyy yritykseenne automaattisesti.
Nro 18	Osittain	SAML-kirjautuminen on käytössä jokaisella yrityksellä, jolla on kertakirjautuminen. Salasanakirjautuminen on edelleen käytettävissä sen rinnalla, joten kertakirjautuminen ei ole ainoa tapa kirjautua.
Nro 19, 21	Käytössä	Työntekijät kirjautuvat Claude Desktopiin ja Claude Codeen Microsoft-työtilillään EU-gatewaymme kautta, joten API-avaimia ei tarvitse jakaa. Pääsy seuraa Microsoft Entra -ryhmiänne SCIM-provisioinnin kautta.
Nro 20	Käytössä	Jakakaa yrityksenne tiimeihin, kutsukaa kollegat sähköpostilla ja antakaa jokaiselle henkilölle ja sovellukselle oma avain, kaikki yhden yritystilin alla. Roolit ovat ylläpitäjä ja jäsen.
Nro 22, 23	Osittain	Jokainen henkilö ja sovellus saa kiinteän kuukausibudjetin, joka ei koskaan ylity, ja voitte asettaa kulukatot avainkohtaisesti ja koko yritykselle. Erillistä tiimikohtaista budjettia ei ole: tiimejä hallitaan niiden henkilöiden ja sovellusten budjeteilla.
Nro 24	Käytössä	Kiinteät kuukausihinnat henkilöä tai sovellusta kohden ilman yllätyksiä tokenikuluissa, ja Stripe-laskut yrityksenne nimellä ja ALV-tunnisteella. Hinnat ovat Yhdysvaltain dollareissa.
Nro 25	Käytössä	Käyttäkää johtavia avoimia malleja, kuten GLM:ää, DeepSeekiä, MiniMaxia ja Kimiä, Clauden, GPT:n ja Geminin rinnalla yhden API:n kautta. GLM:ää, DeepSeekiä ja MiniMaxia palvelevat myös eurooppalaiset palveluntarjoajat Eurooppaan rajatuissa työtiloissa.
Nro 26	Käytössä	Päättäkää, mitä malleja kukin avain saa käyttää, niin jokainen sovellus ja tiimin jäsen saa juuri ne mallit, jotka hyväksytte.
Nro 27	Käytössä	Valitkaa tarkasti, mitkä inferenssipalveluntarjoajat saavat käsitellä tietojanne, koko yritykselle, tiimille tai yksittäiselle avaimelle. Alemmat tasot voivat vain kaventaa sääntöjä, uusia palveluntarjoajia ei koskaan lisätä ilman ylläpitäjän hyväksyntää, eivätkä varareitit voi koskaan kiertää luetteloanne.
Nro 29	Käytössä	Jokainen vaihe menee halvimmalle mallille, joka pystyy sen tekemään, ja halvimmalle palveluntarjoajalle, joka on riittävän nopea, ja pyyntölokista näkyvät malli ja pyynnön palvellut palveluntarjoaja.
Nro 30, 31, 32	Käytössä	Jokainen ylläpitäjän muutos kirjataan edeltävine ja jälkeisine arvoineen, ja voitte viedä lokin jokaisesta pyynnöstä, ja siitä näkyvät malli, pyynnön palvellut palveluntarjoaja ja voimassa ollut aluerajaus. Lokeja säilytetään 12 kuukautta. Viennit ovat CSV-muodossa.
Nro 33	Käytössä	Oma avain jokaiselle henkilölle ja sovellukselle, mallit, joita kukin avain saa käyttää, sekä jokaisen pyynnön malli ja palveluntarjoaja: tiedot, joita käyttöönottajan tarkistuslistamme tekoälysäädökseen edellyttää.
Nro 37	Käytössä	Yksi OpenAI-yhteensopiva API (chat completions -muoto) kaikille malleille, kuvattu API-dokumentaatiossa.
Nro 40, 41	Käytössä	Jos palveluntarjoajalla on katkos, pyyntönne siirtyy automaattisesti saman mallin toiselle hyväksytylle palveluntarjoajalle poistumatta alue- tai palveluntarjoajarajauksistanne. Enterprise-pakettiin sisältyy 99,9 %:n kuukausittaisen käytettävyyden SLA palveluhyvityksineen. Ajantasainen tila on julkisesti nähtävillä osoitteessa /status.
Nro 43	Käytössä	Tietoturvasivumme, täytetty tietoturvakyselymme, alikäsittelijäluettelo ja tietojenkäsittelysopimus ovat julkisia.

Rivit, joita ei ole lueteltu, käydään läpi tarjouksessanne yhdessä yhteyshenkilönne kanssa. Yllä oleva pohja pysyy toimittajaneutraalina: käyttäkää sitä minkä tahansa toimittajan kanssa.

Luo yritystili

Kysymyksiä

Mitä LLM-gatewayn tai tekoälyalustan tarjouspyyntöön pitäisi sisältyä?: Missä tietoja käsitellään, mitä säilytetään, kuka saa käyttää tietoja koulutukseen, alikäsittelijät ja DPA, identiteetti ja pääsynhallinta (kertakirjautuminen, SCIM, avaimet), kulujen hallinta, sallitut mallit ja palveluntarjoajat, auditointilokit ja vienti, tuki tekoälysäädöksen käyttöönottajan velvollisuuksille, irtautumisehdot ja SLA. Tämä pohja kattaa jokaisen alueen 43 vaatimuksella ja pyydettävällä näytöllä.
Voivatko julkiset hankintayksiköt käyttää tätä pohjaa tarjouspyynnössä?: Kyllä. Pohja on vapaasti kopioitavissa ja muokattavissa. Hankintayksiköt käyttävät sitä tyypillisesti teknisten vaatimusten liitteenä ja liittävät sopimukseen vapaaehtoiset EU:n tekoälyä koskevat mallisopimuslausekkeet (MCC-AI). Tarkistakaa vaatimukset hankintalainsäädäntöä vasten ja merkitkää ehdottomat vaatimukset ennen julkaisua.
Mitä ovat EU:n tekoälyä koskevat mallisopimuslausekkeet?: Mallilausekkeita tekoälyjärjestelmien hankintaan. Ne on julkaissut tekoälyn julkisia hankintoja käsittelevä Community of Practice Euroopan komission Public Buyers Community -sivustolla. Maaliskuun 2025 päivityksessä on täysi versio suuririskiselle tekoälylle ja kevyt versio (Light) muulle tekoälylle. Lausekkeet ovat vapaaehtoisia, ja ne on tarkoitettu sopimuksen liitteeksi. Sopimuksen on silti katettava tietosuoja, vastuu ja immateriaalioikeudet.
Onko mallitoimittaja AI-gatewayn alikäsittelijä?: Yleensä on. Kun gateway välittää henkilötietoja sisältäviä kehotteita mallitoimittajalle, tämä käsittelee tietoja gatewayn lukuun. Siksi rivit 13 ja 14 edellyttävät alikäsittelijäluetteloa, jossa ovat mukana inferenssipalveluntarjoajat, ja ennakkoilmoitusta ennen uusien lisäämistä.
Kuinka kauan tekoälyalustan pitäisi säilyttää pyyntölokeja?: Suuririskisessä käytössä tekoälysäädöksen 26 artiklan 6 kohta edellyttää, että käyttöönottajat säilyttävät hallinnassaan olevat lokit vähintään kuusi kuukautta, jollei muussa lainsäädännössä toisin säädetä. Monet hankkijat vaativat 12 kuukauden pyyntölokit, joissa on vain metatietoja eikä tallennettua sisältöä.

Lähteet

Vastatkaa koko pohjaan yhden toimittajan voimin: eurooppalainen gateway kärkimalleihin ja avoimiin malleihin, ja kaikki hallintakeinot yhdellä yritystilillä.