# Tarjouspyynnön vaatimukset LLM-gatewaylle tai tekoälyalustalle

Päivitetty 9. marraskuuta 2026. Vapaasti kopioitavissa, muokattavissa ja käytettävissä omissa tarjouspyyntöasiakirjoissanne.

Yritys tai julkinen organisaatio, joka hankkii suurten kielimallien käyttöä henkilöstölleen ja sovelluksilleen, hankkii yleensä gatewayn: yhden tilin ja yhden API:n, jonka kautta käytetään usean mallitoimittajan malleja. Tämä pohja luettelee hankintaa varten 43 vaatimusta siinä järjestyksessä, jossa tietoturva- ja hankintatarkastus ne käy läpi. Jokaisen kohdalla kerrotaan, miksi vaatimus on tärkeä ja mitä näyttöä toimittajalta kannattaa pyytää.

Pohja on toimittajaneutraali, ja se sopii tarjouspyynnön vaatimusliitteeksi, julkisen hankinnan tarjouspyyntöön tai toimittajan tietoturva-arviointiin. Tekoälyä koskeviin sopimusehtoihin yhdistäkää se vapaaehtoisiin EU:n tekoälyä koskeviin mallisopimuslausekkeisiin (MCC-AI) (https://public-buyers-community.ec.europa.eu/communities/procurement-ai/resources/updated-eu-ai-model-contractual-clauses), jotka julkaistiin Euroopan komission Public Buyers Community -sivustolla maaliskuussa 2025.

Jokainen vaatimus on muotoiltu niin, että toimittaja voi vastata siihen yhdellä kappaleella ja liittää näytön. Merkitkää ehdottomat vaatimuksenne, antakaa muille painoarvot ja poistakaa ne, jotka eivät koske teitä.

## 1. Tietojen sijainti

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 1 | Käsittelyalue. Toimittaja voi rajata inferenssin hankintayksikön nimeämälle alueelle, kuten EU:hun/ETA:an tai Eurooppaan, koko organisaatiolle, tiimille tai yksittäiselle API-avaimelle, myös uusintayrityksissä ja varareiteissä. | Gatewayt siirtävät liikennettä toimittajalta toiselle. Ilman aluerajausta, joka kattaa jokaisen yrityskerran, varareitti voi siirtää kehotteen toiselle lainkäyttöalueelle kenenkään huomaamatta. | Rajatun liikenteen reitityskäytäntö, kullakin alueella sallitut inferenssipäätepisteet sijainteineen sekä se, mitä tapahtuu, kun mikään alueen päätepiste ei voi palvella pyyntöä. |
| [ ] | 2 | Alueen määritelmä. Toimittaja kertoo, mitkä maat kukin alue kattaa, esimerkiksi vain EU/ETA tai myös Yhdistynyt kuningaskunta, Sveitsi tai muut maat. | Myyntimateriaalissa Eurooppaa ja EU:ta käytetään usein toistensa synonyymeina. Siirtojen arviointinne riippuu tarkasta maaluettelosta. | Kirjallinen määritelmä kullekin alueelle ja jokaisen siihen kuuluvan alikäsittelijän käsittelypaikka. |
| [ ] | 3 | Liikenteen sisääntulon ja gatewayn sijainti. Toimittaja kertoo, missä TLS päätetään, missä gateway toimii ja mitä isäntänimeä alueelliseen käsittelyyn käytetään. | Pyyntöä voi palvella oikealla alueella oleva malli, ja silti se voi kulkea ensin globaalin reunaverkon kautta. | Isäntänimet alueittain, kuormantasaajan ja gatewayn palveluntarjoaja ja alue sekä tietovuokaavio. |
| [ ] | 4 | Metatietojen ja lokien sijainti. Toimittaja kertoo, missä tilitiedot, käyttötiedot, käyttölokit, varmuuskopiot ja sähköpostit tallennetaan ja käsitellään. | Tietojen sijaintia koskevat vastaukset kattavat usein vain kehotteet. Myös metatiedoissa on henkilötietoja, kuten nimiä, sähköpostiosoitteita ja IP-osoitteita. | Tallennuspaikka tietoluokittain, varmuuskopiot ja järjestelmän lähettämät sähköpostit mukaan lukien. |

## 2. Säilytys ja tietojen säilytyskielto (ZDR)

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 5 | Toimittaja ei tallenna sisältöä. Toimittaja käsittelee kehotteita ja tuotoksia vain pyynnön palvelemiseksi tai kertoo tarkasti, mitä sisältöä se tallentaa, missä ja kuinka kauan. | Gateway näkee jokaisen organisaationne lähettämän kehotteen. Sen oma säilytys on ensimmäinen tarkistettava riski. | Kuvaus tietovuosta, lokirakenne, josta näkyvät kirjoitettavat kentät, ja vastaava tietojenkäsittelysopimuksen (DPA) ehto. |
| [ ] | 6 | ZDR mallitoimittajilla. Hankintayksikkö voi vaatia, että pyynnöt ohjataan vain päätepisteisiin, jotka sitoutuvat olemaan säilyttämättä kopiota sisällöstä, organisaation, tiimin tai avaimen tasolla, eivätkä alemmat tasot voi kytkeä vaatimusta pois. | Mallitoimittajat säilyttävät kehotteita tavallisesti jonkin aikaa väärinkäytösten valvontaa varten, ellei päätepisteeseen sovelleta ZDR-järjestelyä. | Säilytysehdot toimittajittain, miten asetus pannaan täytäntöön jokaisessa pyynnössä ja mitkä toiminnot on poistettu käytöstä, kun asetus on päällä. |
| [ ] | 7 | Sisältöä tallentavat toiminnot. Toimittaja luettelee jokaisen sisältöä tallentavan toiminnon (kehotteiden välimuisti, tallennetut vastaukset, keskusteluhistoria, tiedostot, eräajot) säilytysaikoineen ja asetuksen, jolla sen saa pois päältä. | Säilytystä koskevissa sitoumuksissa on yleensä toimintokohtaisia poikkeuksia. Luettelo näyttää, missä ne ovat. | Toimintoluettelo, jossa on säilytysaika toiminnoittain ja asetus, jolla toiminnon voi poistaa käytöstä. |
| [ ] | 8 | Poistaminen sopimuksen päättyessä. Toimittaja poistaa tai palauttaa hankintayksikön tiedot määräajassa palvelun päättymisestä ja vahvistaa sen kirjallisesti. | Tietosuoja-asetuksen 28 artiklan 3 kohdan g alakohta edellyttää, että käsittelijän kanssa tehty sopimus kattaa tietojen poistamisen tai palauttamisen palvelujen päättyessä. | DPA:n ehto määräaikoineen, varmuuskopioiden käsittely ja malli poistovahvistuksesta. |

## 3. Koulutus ja tietojen käyttö

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 9 | Toimittaja ei käytä tietoja koulutukseen. Toimittaja ei käytä kehotteita, tuotoksia tai metatietoja mallien kouluttamiseen tai parantamiseen. | Koulutuskäyttö on se käyttö, jonka hankkijat useimmin sulkevat pois, ja rajaus sitoo vain, jos se on kirjattu sopimukseen. | Sopimuksen tai DPA:n ehto ja vastaava kohta tietosuojaselosteessa. |
| [ ] | 10 | Mallitoimittajat eivät käytä tietoja koulutukseen. Toimittaja ohjaa hankintayksikön liikenteen vain toimittajille, jotka sitoutuvat olemaan käyttämättä sitä mallien kouluttamiseen, ja kertoo, miten tämä pannaan täytäntöön jokaisessa pyynnössä. | Gatewayn oma lupaus ei sido sen takana olevia mallitoimittajia. | Toimittajan ehdot päätepisteittäin, täytäntöönpanon mekanismi ja liikenne, jota se koskee. |
| [ ] | 11 | Muu toissijainen käyttö. Toimittaja kertoo, käytetäänkö sisältöä tai metatietoja analytiikkaan, vertailuanalyyseihin, tuotekehitykseen tai ihmisten tekemään tarkastukseen, ja miten siitä voi kieltäytyä. | Toissijainen käyttö jää rekisterinpitäjän käsittelijälle antamien ohjeiden ulkopuolelle, ellei siitä ole sovittu. | Luettelo toissijaisista käyttötavoista, ihmisten tekemää tarkastusta koskeva käytäntö ja kieltäytymisen asetus. |

## 4. Alikäsittelijät ja tietojenkäsittelysopimus

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 12 | Tietojenkäsittelysopimus. Tietosuoja-asetuksen 28 artiklan mukainen DPA on saatavilla ennen allekirjoitusta ja kattaa käsittelyn kohteen, keston, ohjeet, luottamuksellisuuden, turvallisuuden, avustamisen, poistamisen ja auditoinnit. | 28 artiklan 3 kohdassa luetellaan, mitä käsittelijän kanssa tehdyn sopimuksen on sisällettävä. Gateway käsittelee henkilötietoja jokaisessa kehotteessa, jossa mainitaan henkilö. | DPA:n teksti, sovellettava laki ja allekirjoitustapa. |
| [ ] | 13 | Alikäsittelijäluettelo. Toimittaja julkaisee jokaisen alikäsittelijän (toinen käsittelijä) käyttötarkoituksineen, käsiteltävine tietoineen ja sijainteineen, malli- ja inferenssitoimittajat mukaan lukien. | Gatewayn kohdalla jokainen mallitoimittaja, joka voi palvella liikennettänne, on alikäsittelijä. | Luettelon URL-osoite ja sen viimeisimmän muutoksen päivämäärä. |
| [ ] | 14 | Ilmoitus uusista alikäsittelijöistä. Toimittaja ilmoittaa ennalta määritellyssä ajassa ennen alikäsittelijän lisäämistä tai vaihtamista ja antaa oikeuden vastustaa muutosta. | 28 artiklan 2 kohta edellyttää, että rekisterinpitäjälle ilmoitetaan muutoksista ja annetaan mahdollisuus vastustaa niitä. | DPA:n ehto ilmoitusaikoineen ja kanava, jonka kautta ilmoitukset tehdään. |
| [ ] | 15 | Kansainväliset siirrot. Kaikesta ETA:n ulkopuolisesta käsittelystä toimittaja nimeää siirtoperusteen (tietosuojan riittävyyttä koskeva päätös, vakiosopimuslausekkeet, UK IDTA). | Siirroilla on oltava tietosuoja-asetuksen V luvun mukainen oikeusperuste, ja hankintayksikkö dokumentoi arvionsa. | Vakiosopimuslausekkeiden liitteet ja tiivistelmä toimittajan siirtovaikutusten arvioinnista. |
| [ ] | 16 | Tietoturvaloukkauksista ilmoittaminen. Toimittaja ilmoittaa henkilötietojen tietoturvaloukkauksista ilman aiheetonta viivytystä ja määritellyn tuntimäärän kuluessa. | Rekisterinpitäjällä on 33 artiklan mukaan 72 tuntia aikaa ilmoittaa valvontaviranomaiselle, joten käsittelijän määräajan on oltava lyhyempi tai yhtä pitkä. | DPA:n ehto, tiivistelmä häiriöiden hallintaprosessista ja tietoturvayhteyshenkilö. |

## 5. Identiteetti ja pääsynhallinta

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 17 | Kertakirjautuminen. SAML 2.0- tai OpenID Connect -kirjautuminen hankintayksikön identiteetintarjoajalla, kuten Microsoft Entra ID:llä, Oktalla tai Google Workspacella, sekä hallintakonsoliin että käyttäjille. | Työtilit sitovat pääsyn työsuhteeseen, ja niissä sovelletaan hankintayksikön monivaiheista tunnistautumista ja kirjautumiskäytäntöjä. | Tuetut protokollat ja identiteetintarjoajat, käyttöönotto-ohje ja testiyhteys. |
| [ ] | 18 | Pakollinen kertakirjautuminen. Hankintayksikkö voi vaatia kertakirjautumista kaikilta käyttäjiltä ja poistaa käytöstä salasanakirjautumisen ja muut kirjautumistavat. | Kertakirjautuminen salasanojen rinnalla jättää tilejä identiteetintarjoajan hallinnan ulkopuolelle. | Asetus ja se, miten se vaikuttaa olemassa oleviin istuntoihin ja API-avaimiin. |
| [ ] | 19 | Käyttäjien provisiointi. SCIM 2.0 -provisiointi ja -deprovisiointi identiteetintarjoajasta sekä ryhmien yhdistäminen rooleihin tai tiimeihin. | Ilman deprovisiointia lähteneet työntekijät säilyttävät pääsynsä, kunnes joku muistaa poistaa sen. | Tuetut SCIM-resurssit (käyttäjät, ryhmät) ja kuinka nopeasti deprovisiointi mitätöi istunnot ja avaimet. |
| [ ] | 20 | Roolit ja API-avaimet. Roolipohjainen pääsynhallinta, oma avain jokaiselle henkilölle ja sovellukselle, rajatut avaimet ja välitön mitätöinti. | Yhteiskäyttöiset avaimet peittävät sen, kuka lähetti minkäkin pyynnön, eikä niitä voi mitätöidä yhdeltä henkilöltä. | Roolimatriisi ja avainten elinkaari: luonti, rajaus, kierrätys ja mitätöinti. |
| [ ] | 21 | Työpöytäsovellukset ja koodausagentit. Toimittaja kertoo, miten työntekijät tunnistautuvat tekoälyn työpöytäsovelluksissa ja koodausagenteissa (esimerkiksi Claude Desktop, Claude Code ja IDE-laajennukset): työtilillä kirjautumalla vai jaetuilla avaimilla. | Näissä työkaluissa henkilökohtaiset tilit ja kopioidut avaimet ilmaantuvat hankintojen ohi. | Käyttöönotto-ohje ja luettelo tuetuista työkaluista. |

## 6. Kulujen hallinta

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 22 | Budjetit niillä tasoilla, joita hallitsette. Ehdottomat kuukausirajat käyttäjää, sovellusta ja tiimiä tai osastoa kohden, niin että kulut pysähtyvät rajaan. | Agentit ja eräajot voivat kuluttaa kuukauden budjetin tunneissa. Raja, joka vain varoittaa, on pelkkä raportti. | Tuetut tasot ja se, mitä rajan kohdalla tapahtuu: esto, varoitus tai ylitys. |
| [ ] | 23 | Organisaation katto ja hälytykset. Katto koko organisaatiolle ja hälytykset ennen kuin mikään raja täyttyy. | Taloushallinto tarvitsee yhden luvun, jota ei voi ylittää, tapahtui alemmilla tasoilla mitä tahansa. | Asetukset ja hälytyskanavat. |
| [ ] | 24 | Hinnat ja laskutus. Hinta mallia tai tilausta kohden, laskutusvaluutta, laskut hankintayksikön yritystiedoilla ja ALV-tunnisteella sekä kustannusraportointi käyttäjittäin ja sovelluksittain sisäistä laskutusta varten. | Tokenihinnat eroavat mallien välillä kertaluokittain, joten vertailu edellyttää hinnoitteluperustetta ja raportointia. | Hinnasto, mallilasku ja malliraportti käytöstä. |

## 7. Mallien käyttö ja sallittujen luettelot

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 25 | Mallivalikoima. Tarjotut kärkimallit ja avoimet mallit sekä se, mitkä niistä ovat saatavilla kunkin aluerajauksen piirissä. | Malli, joka ei ole saatavilla alueellanne, ei ole teidän käytettävissänne, kun aluerajaus on käytössä. | Malliluettelo alueittain ja käytäntö uusien mallien lisäämisestä. |
| [ ] | 26 | Sallittujen mallien luettelot. Ylläpitäjät päättävät, mitä malleja kukin tiimi, sovellus tai avain saa käyttää. Pyynnöt muihin malleihin hylätään. | Mallin hyväksyntä, joka on kirjattu vain ohjeeseen, ei estä ketään kutsumasta toista mallia. | Asetus ja virheilmoitus, joka palautetaan mallista, jota ei ole sallittu. |
| [ ] | 27 | Sallittujen palveluntarjoajien luettelot. Ylläpitäjät päättävät, mitkä inferenssipalveluntarjoajat saavat palvella liikennettä. Varareitit noudattavat luetteloa, eikä uusia palveluntarjoajia lisätä koskaan ilman hyväksyntää. | Toimittajan lisäämä palveluntarjoaja on uusi paikka, jossa tietojanne käsitellään. | Asetus, miten varareitit soveltavat sitä ja mitä tapahtuu, kun toimittaja lisää palveluntarjoajan. |
| [ ] | 28 | Mallimuutokset. Toimittaja ilmoittaa etukäteen mallien käytöstä poistamisesta ja versiomuutoksista, ja hankintayksikkö voi lukita version. | Huomaamaton mallimuutos muuttaa tuotosten laatua ja voi tehdä käyttötapaukselle tehdyn arvioinnin tyhjäksi. | Käytöstä poistamista koskeva käytäntö ja ilmoituskanava. |
| [ ] | 29 | Reitityksen läpinäkyvyys. Jos toimittaja reitittää automaattisesti mallien tai palveluntarjoajien välillä kustannusten tai saatavuuden perusteella, se dokumentoi säännöt ja kirjaa, mikä malli ja palveluntarjoaja palveli kunkin pyynnön. | Automaattisesta reitityksestä on hyötyä vain, jos näette, minne kukin pyyntö meni. | Reitityksen dokumentaatio ja esimerkki pyyntökohtaisesta lokimerkinnästä. |

## 8. Auditointilokit ja vienti

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 30 | Ylläpitäjän auditointiloki. Jokainen käyttäjiin, avaimiin, budjetteihin ja käytäntöihin tehty muutos tekijöineen, ajankohtineen sekä muutosta edeltävine ja sen jälkeisine arvoineen. | Tarkastajat kysyvät, kuka muutti käytäntöä ja milloin. Ilman edeltäviä ja jälkeisiä arvoja loki ei kerro, mikä muuttui. | Esimerkki lokimerkinnästä ja säilytysaika. |
| [ ] | 31 | Pyyntöloki. Jokaisesta pyynnöstä aika, käyttäjä tai avain, malli, palveleva palveluntarjoaja, aluerajaus, tila, tokenit ja kustannus ilman sisältöä, ellei hankintayksikkö erikseen ota sitä käyttöön, sekä ilmoitettu säilytysaika. | Suuririskisessä käytössä tekoälysäädöksen 26 artiklan 6 kohta edellyttää, että käyttöönottajat säilyttävät hallinnassaan olevat lokit vähintään kuusi kuukautta. Pyyntöloki on myös tekoälyluettelon näyttö. | Kenttäluettelo, säilytysaika ja esimerkkivienti. |
| [ ] | 32 | Vienti. Lokit voi viedä CSV-muodossa tai API:n kautta ja lähettää hankintayksikön SIEM-järjestelmään. | Kirjauksia, joita hankintayksikkö ei saa ulos, se ei voi käyttää omassa auditoinnissaan. | Muodot, rivi- tai aikarajat ja API-dokumentaatio. |

## 9. Tekoälysäädöksen käyttöönottajan velvollisuudet

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 33 | Tuki luettelolle ja tekoälylukutaidolle. Toimittaja antaa tiedot, joita hankintayksikkö tarvitsee tekoälyluetteloonsa ja 4 artiklan mukaisiin tekoälylukutaidon toimiin: sovelluksittain käytetyt mallit, niiden tarjoajat ja niiden dokumentoidut rajoitukset. | 4 artiklaa on sovellettu 2. helmikuuta 2025 alkaen, ja luettelo on lähtökohta kaikille muille tekoälysäädöksen velvollisuuksille. | Sovelluskohtaiset tiedot malleista ja tarjoajista sekä linkit mallien dokumentaatioon. |
| [ ] | 34 | Suuririskinen käyttö. Jos hankintayksikkö käyttää palvelua liitteessä III lueteltuun tarkoitukseen, toimittaja ilmoittaa roolinsa tekoälysäädöksen mukaan ja hyväksyy EU:n tekoälyä koskevien mallisopimuslausekkeiden asiaankuuluvat ehdot. | Liitteen III käyttöönottajan velvollisuuksia sovelletaan 2. joulukuuta 2027 alkaen, ja ne riippuvat tiedoista, jotka ovat vain toimittajalla ja mallin tarjoajalla. | Toimittajan selvitys roolistaan ja täytetty MCC-AI-liite (High Risk tai Light). |
| [ ] | 35 | Yleiskäyttöisten tekoälymallien dokumentaatio. Jokaisesta tarjotusta yleiskäyttöisestä tekoälymallista toimittaja linkittää dokumentaation, jonka mallin tarjoaja asettaa jatkotarjoajien saataville, sekä julkisen tiivistelmän koulutukseen käytetystä sisällöstä. | 53 artikla velvoittaa yleiskäyttöisten tekoälymallien tarjoajat asettamaan nämä saataville, ja hankkijat arkistoivat ne malleittain. | Linkit malleittain ja hakupäivämäärä. |
| [ ] | 36 | Avoimuus. Toimittaja kertoo, merkitäänkö tuotokset koneellisesti luettavassa muodossa ja miten se tukee hankintayksikön ilmoitusvelvollisuuksia. | 50 artiklan avoimuusvelvoitteita sovelletaan 2. elokuuta 2026 alkaen. | Mallikohtaiset tiedot merkinnöistä ja ohjeet ilmoittamiseen. |

## 10. Irtautuminen ja siirrettävyys

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 37 | Vakiorajapinta. API noudattaa laajasti käytettyä rajapintaa, kuten OpenAI-yhteensopivaa chat completions -muotoa, joten sovellukset voi siirtää ilman uudelleenkirjoitusta. | Suljettu rajapinta tekee toimittajan vaihdosta ohjelmistoprojektin. | API-kuvaus sekä SDK:t ja työkalut, joiden tiedetään toimivan sen kanssa. |
| [ ] | 38 | Tietojen vienti irtautuessa. Hankintayksikkö voi viedä asetukset, käyttäjät, avainten metatiedot, käyttötiedot ja lokit koneellisesti luettavassa muodossa ennen sopimuksen päättymistä ja sen jälkeen. | Jos palvelu on datasäädöksen mukainen datankäsittelypalvelu, VI luku antaa asiakkaalle oikeuden vaihtaa palvelua, eikä 12. tammikuuta 2027 alkaen vaihtomaksuja saa periä. | Vientimuodot, tarjottu siirtymätuki ja aika, jonka tiedot ovat saatavilla irtisanomisen jälkeen. |
| [ ] | 39 | Sopimuskausi ja irtisanominen. Sopimuskausi, irtisanomisaika, mahdolliset päättämismaksut ja siirtymäaika. | Pitkät sopimuskaudet ja päättämismaksut ratkaisevat, mitä irtautuminen maksaa. | Kaupalliset ehdot ja irtisanomisehto. |

## 11. Tuki ja SLA

| Ehdoton | Nro | Vaatimus | Miksi se on tärkeä | Pyydettävä näyttö |
| --- | --- | --- | --- | --- |
| [ ] | 40 | Käytettävyys-SLA. Kuukausittainen käytettävyyssitoumus hyvityksineen, mittaustapoineen ja poikkeuksineen. | Tekoäly siirtyy tuotannon työnkulkuihin, joissa käyttökatkoilla on hintansa. | SLA-asiakirja, julkinen tilasivu ja viimeisten 12 kuukauden käytettävyys. |
| [ ] | 41 | Vikasieto palveluntarjoajien välillä. Kun palveluntarjoaja ei ole käytettävissä, pyynnöt siirtyvät saman mallin toiselle hyväksytylle palveluntarjoajalle aluerajausten ja sallittujen luetteloiden rajoissa. | Vikasieto, joka ohittaa aluerajauksen tai sallittujen luettelon, rikkoo säännöt juuri silloin, kun häiriö on jo käynnissä. | Vikasiedon rakenne ja palveluntarjoajien määrä mallia kohden kunkin aluerajauksen piirissä. |
| [ ] | 42 | Tuki ja viestintä häiriötilanteissa. Tukikanavat, vasteajat vakavuusluokittain, kielet ja tapa, jolla häiriöistä viestitään. | Hankintayksikön oma häiriöprosessi riippuu toimittajan prosessista. | Tukikäytäntö, tilasivun URL-osoite ja viimeaikaiset häiriöraportit. |
| [ ] | 43 | Tietoturvadokumentaatio. Tietoturvan yleiskuvaus, täytetty tietoturvakysely sekä varmennusraportit tai sertifioinnit, jotka toimittajalla ja sen palvelinkapasiteetin tarjoajilla on. | Tämä on se, minkä hankintayksikön tietoturvatiimi käy läpi ennen hyväksyntää. Kun sen pyytää jo tarjouspyynnössä, säästyy yksi kierros. | Tietoturvasivu, täytetty kysely, kuten avoin LLM-gatewayn tietoturvakysely (englanniksi) (https://standardcompute.com/security/questionnaire), ja mahdolliset raportit. |

---

## Lähteet

- [Päivitetyt EU:n tekoälyä koskevat mallisopimuslausekkeet (MCC-AI High Risk ja Light), Public Buyers Community, 5.3.2025](https://public-buyers-community.ec.europa.eu/communities/procurement-ai/resources/updated-eu-ai-model-contractual-clauses)
- [Asetus (EU) 2016/679, yleinen tietosuoja-asetus, 28 ja 33 artikla, EUR-Lex](https://eur-lex.europa.eu/legal-content/FI/TXT/?uri=CELEX:32016R0679)
- [Asetus (EU) 2024/1689, tekoälysäädös, 4, 26, 50 ja 53 artikla, EUR-Lex](https://eur-lex.europa.eu/legal-content/FI/TXT/?uri=CELEX:32024R1689)
- [Asetus (EU) 2023/2854, datasäädös, VI luku datankäsittelypalvelujen vaihtamisesta, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2023/2854/oj)
- [RFC 7644, SCIM 2.0 -protokolla](https://www.rfc-editor.org/rfc/rfc7644) ja [SAML 2.0 Core, OASIS](https://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf)

_Maksuton LLM-gatewayn ja tekoälyalustan tarjouspyyntöpohja osoitteesta https://standardcompute.com/llm-yhdyskaytava-tarjouspyynto-vaatimukset (versio 9.11.2026). Vapaasti kopioitavissa ja muokattavissa. Ei oikeudellista neuvontaa._