Godkendte udbydere (allow-list)
En liste over godkendte udbydere (provider allow-list) er listen over de inferensudbydere, for eksempel modeludviklerens eget API eller en bestemt cloud, der må behandle en virksomheds AI-forespørgsler. En forespørgsel, der ville gå til en udbyder uden for listen, blokeres.
Hvorfor det betyder noget for virksomheder
Den samme model betjenes ofte af flere clouds og hostingudbydere, hver med egen aftale, placering og egne opbevaringsvilkår. Sikkerhedsvurderinger godkender udbydere, og en modelliste alene siger ikke, hvem der behandler dataene.
Listen skal også gælde for fallbacks. En failover, der går uden om listen, ophæver den.
Eksempel
En region i sundhedssektoren godkender kun de to clouds, den allerede har databehandleraftaler med. Når en ny hostingudbyder begynder at tilbyde den samme model, bliver den ikke brugt, før en administrator føjer den til listen.
Hvad det betyder for en virksomhed, der bruger AI-API'er
Start listen med de udbydere, I allerede har aftaler og databehandleraftaler med, og tilføj kun andre efter en vurdering. Efter databeskyttelsesforordningen må en databehandler ikke gøre brug af en anden databehandler uden forudgående skriftlig godkendelse fra den dataansvarlige, og ved en generel godkendelse skal databehandleren underrette jer om tilføjelse eller erstatning af andre databehandlere, så I kan gøre indsigelse. Når en AI-leverandør planlægger at tilføje en ny inferensvært, bør I for eksempel høre om det, før jeres data når frem til den.
Hvor begrebet er defineret: Ingen lov bruger begrebet. For personoplysninger er det juridiske ankerpunkt databeskyttelsesforordningens artikel 28, stk. 2: databehandleren må ikke gøre brug af en anden databehandler uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige.
Sådan løser Standard Compute det
Vælg præcis hvilke inferensudbydere der må behandle jeres data, for hele virksomheden, et team eller en enkelt nøgle. Lavere niveauer kan kun stramme reglerne, nye udbydere kommer aldrig med uden en administrators godkendelse, og fallbacks kan aldrig gå uden om jeres liste.
Spørgsmål, virksomheder stiller
- Er en liste over godkendte udbydere det samme som en liste over underdatabehandlere?
- De hænger sammen. En liste over underdatabehandlere er leverandørens oplysning om, hvem der må behandle jeres data. En godkendelsesliste er jeres egen indstilling, der begrænser forespørgsler til nogle af eller alle disse udbydere.
- Hvad sker der, når en godkendt udbyder er nede?
- Med en streng liste skifter forespørgslen kun til en anden godkendt udbyder eller fejler. En liste, som fallbacks kan gå uden om, giver langt svagere beskyttelse.
- Har vi brug for godkendte udbydere, hvis vi allerede begrænser modellerne?
- Som regel ja. Samme model leveres ofte af flere udbydere med forskellige placeringer og vilkår, så en liste over godkendte modeller siger ikke, hvem der behandler data.