Godkjente leverandører (allow-list)
En liste over godkjente leverandører (provider allow-list) er listen over inferensleverandører, for eksempel modellprodusentens eget API eller en bestemt sky, som får behandle en bedrifts KI-forespørsler. En forespørsel som ville gått til en leverandør utenfor listen, blokkeres.
Hvorfor det er viktig for bedrifter
Den samme modellen betjenes ofte av flere skyer og vertsleverandører, hver med egen avtale, plassering og egne lagringsvilkår. Sikkerhetsvurderinger godkjenner leverandører, og en modelliste alene sier ikke hvem som behandler dataene.
Listen må også gjelde for reserveruter. En failover som går utenom listen, opphever den.
Eksempel
Et helseforetak godkjenner bare de to skyene det allerede har databehandleravtaler med. Når en ny vertsleverandør begynner å tilby den samme modellen, blir den ikke brukt før en administrator legger den til i listen.
Hva dette betyr for en bedrift som bruker KI-API-er
Start listen med leverandørene dere allerede har avtaler og databehandleravtaler med, og legg til andre bare etter en vurdering. Etter GDPR kan en databehandler ikke engasjere en annen databehandler uten skriftlig tillatelse fra den behandlingsansvarlige på forhånd, og ved en generell tillatelse skal den varsle dere om nye eller utskiftede databehandlere, så dere kan protestere. Planlegger en KI-leverandør for eksempel å ta i bruk en ny inferensleverandør, bør dere høre om det før dataene deres når fram dit.
Hvor begrepet er definert: Ingen lov bruker begrepet. For personopplysninger er det rettslige ankeret GDPR artikkel 28 nr. 2: databehandleren skal ikke engasjere en annen databehandler uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse fra den behandlingsansvarlige.
Slik løser Standard Compute det
Velg nøyaktig hvilke inferensleverandører som får behandle dataene deres, for hele bedriften, et team eller én nøkkel. Lavere nivåer kan bare stramme inn reglene, nye leverandører kommer aldri med uten godkjenning fra en administrator, og reserveruter kan aldri gå utenom listen.
Spørsmål bedrifter stiller
- Er en godkjenningsliste for leverandører det samme som en liste over underleverandører?
- De henger sammen. En liste over underleverandører er leverandørens oversikt over hvem som kan behandle dataene deres. En godkjenningsliste er deres egen innstilling som begrenser forespørslene til noen av eller alle disse leverandørene.
- Hva skjer når en godkjent leverandør er nede?
- Med en streng liste går forespørselen bare over til en annen godkjent leverandør, eller den feiler. En liste som reserveruter kan gå utenom, gir mye svakere beskyttelse.
- Trenger vi en godkjenningsliste for leverandører hvis vi allerede begrenser modellene?
- Som regel, ja. Samme modell leveres ofte av flere leverandører med ulik plassering og ulike vilkår, så en godkjenningsliste for modeller sier ikke hvem som behandler dataene.