Palveluntarjoajien sallittujen luettelo (allow-list)
Palveluntarjoajien sallittujen luettelo (provider allow-list) määrää, mitkä inferenssipalveluntarjoajat, esimerkiksi mallin kehittäjän oma rajapinta tai tietty pilvi, saavat käsitellä yrityksen tekoälypyyntöjä. Pyyntö, joka menisi luettelon ulkopuoliselle palveluntarjoajalle, estetään.
Miksi sillä on merkitystä yrityksille
Samaa mallia palvelevat usein useat pilvet ja ylläpitäjät, kullakin omat sopimuksensa, sijaintinsa ja säilytysehtonsa. Tietoturva-arvioinnissa hyväksytään palveluntarjoajia, eikä mallien sallittujen luettelo sinänsä kerro, kuka tietoja käsittelee.
Luettelon on koskettava myös varareittejä. Vikasietoreititys, joka kiertää luettelon, tekee siitä hyödyttömän.
Esimerkki
Terveysalan yritys hyväksyy vain ne kaksi pilveä, joiden kanssa sillä on jo tietojenkäsittelysopimus. Kun uusi ylläpitäjä alkaa tarjota samaa mallia, sitä ei käytetä ennen kuin pääkäyttäjä lisää sen luetteloon.
Mitä tämä tarkoittaa yritykselle, joka käyttää tekoälyrajapintoja
Aloittakaa luettelo niistä palveluntarjoajista, joiden kanssa teillä jo on sopimukset ja tietojenkäsittelysopimukset, ja lisätkää muita vasta arvioinnin jälkeen. Tietosuoja-asetuksen mukaan henkilötietojen käsittelijä ei saa käyttää toisen henkilötietojen käsittelijän palveluksia ilman rekisterinpitäjän erityistä tai yleistä kirjallista ennakkolupaa, ja yleisen luvan perusteella sen on tiedotettava suunnitelluista käsittelijöiden lisäyksistä ja vaihdoista, jotta voitte vastustaa muutosta. Esimerkiksi kun tekoälytoimittaja aikoo ottaa käyttöön uuden inferenssipalvelun, teidän pitäisi kuulla siitä ennen kuin tietonne päätyvät sinne.
Missä käsite on määritelty: Mikään laki ei käytä termiä. Henkilötietojen osalta oikeudellinen perusta on tietosuoja-asetuksen 28 artiklan 2 kohta: henkilötietojen käsittelijä ei saa käyttää toisen henkilötietojen käsittelijän palveluksia ilman rekisterinpitäjän erityistä tai yleistä kirjallista ennakkolupaa.
Näin Standard Compute hoitaa sen
Valitkaa tarkasti, mitkä inferenssipalveluntarjoajat saavat käsitellä tietojanne, koko yritykselle, tiimille tai yksittäiselle avaimelle. Alemmat tasot voivat vain tiukentaa sääntöjä, uusia palveluntarjoajia ei koskaan lisätä ilman pääkäyttäjän hyväksyntää, eivätkä varareitit voi koskaan kiertää sallittujen luetteloanne.
Yritysten usein kysymät kysymykset
- Onko palveluntarjoajien sallittujen luettelo sama asia kuin alikäsittelijäluettelo?
- Ne liittyvät toisiinsa. Alikäsittelijäluettelo on toimittajan ilmoitus siitä, kuka saa käsitellä tietojanne. Sallittujen luettelo on oma asetuksenne, joka rajaa pyynnöt joihinkin tai kaikkiin näistä palveluntarjoajista.
- Mitä tapahtuu, kun hyväksytty palveluntarjoaja on alhaalla?
- Tiukalla luettelolla pyyntö siirtyy vain toiselle hyväksytylle palveluntarjoajalle tai epäonnistuu. Luettelo, jonka varareitit voivat ohittaa, suojaa paljon heikommin.
- Tarvitaanko palveluntarjoajien sallittujen luetteloa, jos mallit on jo rajattu?
- Yleensä tarvitaan. Samaa mallia palvelee usein useampi palveluntarjoaja eri sijainneista ja eri ehdoin, joten mallien sallittujen luettelo ei kerro, kuka tiedot käsittelee.