Toegestane providers (provider allow-list)
Een lijst met toegestane providers (provider allow-list) noemt de inference-providers, zoals de eigen API van een modelmaker of een bepaalde cloud, die de AI-verzoeken van een bedrijf mogen verwerken. Een verzoek dat naar een provider buiten de lijst zou gaan, wordt geblokkeerd.
Waarom dit belangrijk is voor bedrijven
Hetzelfde model wordt vaak door meerdere clouds en hosts bediend, elk met eigen contract, locatie en bewaarvoorwaarden. Securitybeoordelingen keuren providers goed, en een lijst met toegestane modellen alleen zegt niet wie de data verwerkt.
De lijst moet ook voor fallbacks gelden. Een failover die om de lijst heen routeert, maakt hem waardeloos.
Voorbeeld
Een zorgbedrijf keurt alleen de twee clouds goed waarmee het al een verwerkersovereenkomst heeft. Als een nieuwe host hetzelfde model gaat aanbieden, wordt die pas gebruikt wanneer een admin hem aan de lijst toevoegt.
Wat dit betekent voor een bedrijf dat AI-API's gebruikt
Begin de lijst met de providers waarmee u al een contract en een verwerkersovereenkomst hebt, en voeg andere pas na beoordeling toe. Onder de AVG neemt een verwerker geen andere verwerker in dienst zonder voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke, en bij een algemene toestemming moet hij u inlichten over de toevoeging of vervanging van verwerkers, zodat u bezwaar kunt maken. Wil een AI-leverancier bijvoorbeeld een nieuwe inference-host toevoegen, dan hoort u dat te weten voordat uw data bij die host aankomt.
Waar het begrip is gedefinieerd: Geen wet gebruikt het begrip. Voor persoonsgegevens is artikel 28, lid 2, AVG het juridische anker: de verwerker neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke.
Zo regelt Standard Compute dit
Kies precies welke inference-providers uw data mogen verwerken, voor het hele bedrijf, een team of één sleutel. Lagere niveaus kunnen de regels alleen inperken, nieuwe providers komen er nooit bij zonder goedkeuring van een admin, en fallbacks kunnen uw lijst nooit omzeilen.
Vragen die bedrijven stellen
- Is een lijst met toegestane providers hetzelfde als een lijst met subverwerkers?
- Ze hangen samen. Een lijst met subverwerkers is de verklaring van de leverancier over wie uw data mag verwerken. Een lijst met toegestane providers is uw eigen instelling, die verzoeken beperkt tot sommige of al die providers.
- Wat gebeurt er als een goedgekeurde provider uitvalt?
- Met een strikte lijst wijkt het verzoek alleen uit naar een andere goedgekeurde provider, of het mislukt. Een lijst die fallbacks kunnen omzeilen, beschermt veel minder.
- Heb ik een lijst met toegestane providers nodig als ik de modellen al beperk?
- Meestal wel. Hetzelfde model wordt vaak door meerdere providers bediend, met verschillende locaties en voorwaarden, dus een lijst met toegestane modellen zegt niet wie de data verwerkt.