Garanti mot trening
En garanti mot trening (no-training guarantee) er en avtalefestet forpliktelse om at en KI-leverandør ikke bruker promptene, filene eller svarene deres til å trene eller forbedre modellene sine.
Hvorfor det er viktig for bedrifter
Trening på innholdet deres ville la konfidensielt materiale forme en modell som andre kunder bruker. Innkjøp og personvern ber derfor om forpliktelsen skriftlig, vanligvis i databehandleravtalen.
Forpliktelsen må dekke hele kjeden. En gateway som lover ingen trening, er bare så sterk som leverandørene den sender forespørsler til.
Eksempel
Før en bank godkjenner en kodeassistent, kontrollerer sikkerhetsteamet at databehandleravtalen til leverandøren utelukker trening på kildekode, og at hver leverandør bak den forplikter seg til det samme.
Hva dette betyr for en bedrift som bruker KI-API-er
Få forpliktelsen inn i avtalen, ikke bare i en hjelpeartikkel, og sjekk at den dekker alle som ser promptene deres: verktøyet dere kjøper, en eventuell gateway imellom og modelleverandøren bak dem. For Claude API sier Anthropics kommersielle vilkår for eksempel at Anthropic ikke kan trene modeller på kundeinnhold fra tjenestene. Ansatte som bruker KI-apper for forbrukere med private kontoer, er i stedet omfattet av forbrukervilkår, og det er én grunn til at mange retningslinjer krever jobbkontoer eller bedriftens nøkler.
Hvor begrepet er definert: Det er et avtalevilkår, ikke en rettslig definisjon. Anthropics Commercial Terms of Service (på engelsk, del B) sier at Anthropic ikke kan trene modeller på kundeinnhold fra tjenestene. Etter GDPR artikkel 28 nr. 3 bokstav a skal databehandleren bare behandle personopplysninger på dokumenterte instrukser fra den behandlingsansvarlige, og derfor står forpliktelsen som regel i databehandleravtalen.
Slik løser Standard Compute det
Standard Compute trener aldri på promptene eller svarene deres. Med en regionregel eller null datalagring slått på går hver forespørsel bare til leverandører som forplikter seg til å ikke trene på den.
Signer databehandleravtalen vår i dashbordet på noen minutter. Den forplikter oss til ingen trening på dataene deres, ingen lagring av innholdet deres og varsling om brudd på personopplysningssikkerheten innen 72 timer.
Spørsmål bedrifter stiller
- Betyr ingen trening at ingenting lagres?
- Nei. En leverandør kan love å ikke trene på dataene deres og likevel beholde dem en periode, for eksempel for å oppdage misbruk. Be om begge deler hver for seg: en forpliktelse mot trening, og en lagringstid eller null datalagring.
- Er API-vilkårene annerledes enn vilkårene for forbrukerapper?
- Ofte, ja. Leverandørene bruker som regel kommersielle vilkår for API og bedriftsabonnementer, og egne forbrukervilkår for private kontoer. Sjekk hvilke vilkår som gjelder for kontoene de ansatte faktisk bruker.
- Hører forpliktelsen hjemme i databehandleravtalen?
- Ja, i avtalen eller databehandleravtalen, der den binder leverandøren og også bør dekke underleverandørene. En erklæring på et nettsted er nyttig dokumentasjon, men lettere å endre.