Lista dozwolonych dostawców (allow-list)
Lista dozwolonych dostawców (provider allow-list) określa, którzy dostawcy inferencji, na przykład własne API twórcy modelu lub konkretna chmura, mogą przetwarzać żądania AI firmy. Żądanie, które trafiłoby do dostawcy spoza listy, jest blokowane.
Dlaczego to ważne dla firm
Ten sam model często obsługuje kilka chmur i firm hostingowych, każda z własną umową, lokalizacją i warunkami przechowywania danych. Ocena bezpieczeństwa zatwierdza dostawców, a lista dozwolonych modeli sama nie mówi, kto przetwarza dane.
Lista musi obejmować także trasy zapasowe. Przełączenie awaryjne, które omija listę, czyni ją bezużyteczną.
Przykład
Firma z sektora ochrony zdrowia zatwierdza wyłącznie dwie chmury, z którymi ma już umowy powierzenia. Gdy nowa firma hostingowa zaczyna oferować ten sam model, nie jest używana, dopóki administrator nie doda jej do listy.
Co to oznacza dla firmy korzystającej z API AI
Zacznijcie listę od dostawców, z którymi macie już umowy i umowy powierzenia, a kolejnych dodawajcie dopiero po ocenie. Zgodnie z RODO podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora, a przy zgodzie ogólnej musi informować Was o dodaniu lub zastąpieniu innych podmiotów przetwarzających, abyście mogli wyrazić sprzeciw. Na przykład gdy dostawca AI planuje dodać nowego dostawcę inferencji, powinniście się o tym dowiedzieć, zanim Wasze dane do niego trafią.
Gdzie pojęcie jest zdefiniowane: Żaden przepis nie używa tego pojęcia. W przypadku danych osobowych podstawą prawną jest art. 28 ust. 2 RODO: podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora.
Jak robi to Standard Compute
Wybierzcie dokładnie, którzy dostawcy inferencji mogą przetwarzać Wasze dane, dla całej firmy, zespołu lub pojedynczego klucza. Niższe poziomy mogą reguły tylko zawęzić, nowi dostawcy nigdy nie są dodawani bez zgody administratora, a trasy zapasowe nigdy nie omijają Waszej listy dozwolonych.
Pytania, które zadają firmy
- Czy lista dozwolonych dostawców to to samo co lista dalszych podmiotów przetwarzających?
- Są ze sobą powiązane. Lista dalszych podmiotów przetwarzających to oświadczenie dostawcy, kto może przetwarzać Wasze dane. Lista dozwolonych to Wasze własne ustawienie, które ogranicza żądania do części lub wszystkich tych dostawców.
- Co się dzieje, gdy zatwierdzony dostawca nie działa?
- Przy ścisłej liście żądanie przechodzi tylko do innego zatwierdzonego dostawcy albo kończy się błędem. Lista, którą trasy zapasowe mogą ominąć, chroni znacznie słabiej.
- Czy potrzebujemy listy dozwolonych dostawców, jeśli już ograniczamy modele?
- Zwykle tak. Ten sam model jest często obsługiwany przez kilku dostawców o różnych lokalizacjach i warunkach, więc lista dozwolonych modeli nie mówi, kto przetwarza dane.