Plantilla gratuita de evaluación de proveedores de IA

Evaluación de proveedores de IA
Plantilla y cuadro de mando

Plantilla gratuita de evaluación de proveedores de IA con un marco de puntuación ponderada de 100 puntos en 5 dominios de seguridad. Puntúe cada proveedor de forma objetiva, produzca decisiones de compra defendibles y mantenga una documentación lista para auditoría.

Descargar plantilla Solicitar una demo

100 pts

sistema de puntuación ponderada

5 dominios

cobertura de seguridad

17 criterios

puntos de control de evaluación

Gratis

de usar y personalizar

Por qué los proveedores de IA requieren una evaluación especializada

Los cuestionarios de seguridad de proveedores estándar se diseñaron para SaaS e infraestructura en la nube, no para la IA. Los proveedores de IA introducen riesgos únicos en torno al entrenamiento de datos, la inferencia de modelos y vectores de ataque específicos de la IA que las evaluaciones de proveedores tradicionales pasan por alto por completo. Usar este cuadro de mando junto con su proceso TPRM estándar garantiza que los proveedores de IA se evalúen según los criterios que más importan.

63%

de las empresas usan proveedores de IA sin un DPA

La mayoría de las organizaciones no han asegurado que existan acuerdos de tratamiento de datos conformes con el RGPD con sus proveedores de IA, lo que crea una exposición regulatoria significativa.

41%

de los proveedores de IA entrenan con datos de clientes por defecto

Sin una cláusula explícita de no entrenamiento, la posición por defecto de muchos servicios de IA es usar los prompts y datos de los clientes para mejorar sus modelos.

78%

de las evaluaciones de proveedores omiten criterios de seguridad específicos de la IA

Los cuestionarios TPRM estándar no cubren la inyección de prompts, los controles de acceso a los modelos ni la seguridad de las salidas de IA, dejando brechas críticas en las evaluaciones de riesgo de proveedores.

3.5x

mayor coste de una brecha cuando faltan controles del proveedor de IA

Las brechas de datos originadas en debilidades de los proveedores de IA conllevan costes más altos que las brechas medias, debido al volumen y la sensibilidad de los datos procesados por las canalizaciones de IA.

El cuadro de mando de evaluación de proveedores

Haga clic en cada dominio para desplegar los criterios de puntuación. Use las orientaciones de puntuación para asignar puntos y documentar las justificaciones de cada criterio.

La seguridad de datos es la más ponderada porque los proveedores de IA procesan los datos de su organización en la canalización de inferencia del modelo. Las debilidades aquí se traducen directamente en riesgo de exposición de datos.

Cifrado de datos en reposo y en tránsito8 pts

Verifique el cifrado AES-256 en reposo y TLS 1.2+ en tránsito. Solicite documentación que muestre que el cifrado cubre las canalizaciones de entrenamiento, no solo el transporte de la API. Otorgue 8 si ambos se verifican con pruebas, 4 si solo se autoatestigua, 0 si no se confirma.

Garantía de no entrenamiento en el contrato8 pts

Compromiso contractual de que los datos del cliente (prompts, documentos, salidas) no se usan para entrenar ni ajustar los modelos del proveedor. Debe ser una cláusula contractual, no una afirmación de marketing. Otorgue 8 si consta por escrito en el DPA/contrato, 0 si solo figura en materiales de marketing o no está disponible.

Política de retención y eliminación de datos6 pts

Periodos de retención documentados para todas las categorías de datos procesadas (prompts, salidas, registros). Capacidad de solicitar la eliminación y confirmación de la eliminación dentro de un SLA definido. Otorgue 6 si está totalmente documentado con capacidad de eliminación, 3 si es parcial, 0 si no hay documentación.

Aislamiento de los datos del cliente5 pts

Verificación de que los datos de distintos clientes están aislados lógica o físicamente, especialmente en entornos de inferencia multiinquilino. Otorgue 5 si se proporciona una arquitectura de aislamiento documentada, 3 si se atestigua, 0 si no se aborda.

Opciones de residencia de datos3 pts

Capacidad de especificar la ubicación del tratamiento de datos (por ejemplo, solo la UE para el cumplimiento del RGPD). Otorgue 3 si es configurable con compromiso contractual, 1 si hay despliegue regional disponible pero no contractual, 0 si no hay control.

Descargar el cuadro de mando completo

Cómo realizar una evaluación de proveedores

Un cuadro de mando produce resultados útiles solo cuando se aplica de forma coherente. Siga estos cinco pasos para realizar una evaluación que produzca resultados defendibles y comparables entre proveedores.

Definir el alcance de la evaluación y la sensibilidad de los datos

Antes de puntuar, documente qué datos procesará el proveedor de IA (incluidos los niveles de clasificación de datos), cuál es el caso de uso y si será necesario un DPA. Una mayor sensibilidad de los datos debe elevar el umbral mínimo de puntuación para la aprobación.

Enviar el cuadro de mando como cuestionario estructurado al proveedor

Distribuya las secciones pertinentes a cada proveedor preseleccionado. Solicite pruebas que respalden todas las afirmaciones, informes SOC 2 Type II, certificados ISO 27001, resúmenes ejecutivos de pruebas de penetración y borradores de DPA. Fije un plazo de respuesta claro.

Puntuar cada proveedor de forma independiente antes de conciliar

Haga que dos evaluadores puntúen cada proveedor de forma independiente según cada criterio, luego compare las puntuaciones y resuelva las discrepancias. La puntuación independiente reduce el sesgo y produce decisiones de compra más defendibles.

Verificar los criterios de alto riesgo con una llamada de revisión técnica

No se base únicamente en la autoatestación del proveedor para criterios críticos como las garantías de no entrenamiento, los controles de inyección de prompts y las condiciones de notificación de incidentes. Programe una llamada de revisión técnica de seguridad de 60 minutos con el equipo de seguridad del proveedor para verificar las afirmaciones clave.

Documentar las puntuaciones finales, las decisiones y las fechas de reevaluación

Registre la puntuación final de cada proveedor con las justificaciones de puntuación. Documente la decisión de aprobación, cualquier requisito condicional y la fecha de reevaluación (normalmente 12 meses o cuando se produzca un cambio sustancial). Almacene la documentación en su sistema de gestión de riesgos de proveedores.

FAQ

Preguntas frecuentes

¿Qué criterios de seguridad debo evaluar al seleccionar un proveedor de IA?

Al evaluar la seguridad de un proveedor de IA, cubra cinco dominios clave: seguridad de datos (cifrado, aislamiento de datos, políticas de retención, capacidades de eliminación, garantías de no entrenamiento); control de acceso (aplicación de MFA, acceso basado en roles, gestión de accesos privilegiados, registro de auditoría); cumplimiento y certificaciones (SOC 2 Type II, ISO 27001, disponibilidad de un DPA RGPD, certificaciones sectoriales pertinentes); seguridad específica de la IA (defensas contra la inyección de prompts, controles de acceso a los modelos, seguridad de los datos de entrenamiento, gestión de entradas adversas, filtrado de salidas); y seguridad operativa (SLA de respuesta a incidentes, programa de divulgación de vulnerabilidades, frecuencia de pruebas de penetración, continuidad del negocio). Los proveedores de IA suelen tener una seguridad general sólida pero controles específicos de la IA débiles, el dominio específico de la IA suele revelar la mayor diferenciación.

¿Todo proveedor de IA necesita un acuerdo de tratamiento de datos?

Sí. En virtud del Artículo 28 del RGPD, si un proveedor de IA trata datos personales en su nombre (como encargado del tratamiento), está obligado a contar con un acuerdo de tratamiento de datos antes de que comience el tratamiento. Esto se aplica a los servicios de IA que tratan datos personales en cualquier forma, incluidos nombres, direcciones de correo electrónico o cualquier otra información relativa a personas identificables en prompts, documentos o salidas. Muchos servicios de IA de consumo están estructurados como responsables del tratamiento que tratan datos para sus propios fines (incluido el entrenamiento de modelos); en estos casos, puede que no haya un DPA disponible y el uso de tales servicios con datos personales puede no cumplir el RGPD, independientemente de otros controles. La ausencia de un DPA es un factor descalificador para los proveedores de IA que tratan datos personales.

¿Qué es una cláusula de no entrenamiento y por qué importa?

Una cláusula de no entrenamiento (también llamada garantía de no entrenamiento o cláusula de exclusión de datos) es un compromiso contractual de un proveedor de IA de que los datos que usted envía, prompts, documentos, conversaciones, no se usarán para entrenar, ajustar ni mejorar los modelos de IA del proveedor. Esto importa porque si un proveedor entrena con sus datos, información propietaria, secretos comerciales o datos personales podrían pasar a formar parte del modelo y aflorar en respuestas a otros clientes. La mayoría de los niveles de IA para empresas incluyen garantías de no entrenamiento de forma estándar (por ejemplo, OpenAI Enterprise, Microsoft Copilot for M365, Google Workspace AI). Los niveles de consumo de los mismos productos normalmente no lo hacen. Verifique siempre que la cláusula consta en el contrato en lugar de fiarse de las afirmaciones de marketing del proveedor.

¿Con qué frecuencia deben repetirse las evaluaciones de proveedores de IA?

Los proveedores de IA deben reevaluarse al menos anualmente como parte de su ciclo estándar de gestión de riesgos de proveedores. Además, active una reevaluación cuando: el proveedor anuncie un cambio de producto importante o una actualización de modelo; se vaya a tratar una nueva categoría de datos o datos más sensibles; el proveedor sufra un incidente de seguridad público; el proveedor sea adquirido o experimente un cambio organizativo importante; su contrato llegue a su renovación; o un cambio regulatorio pertinente afecte a la relación con el proveedor. El panorama de los proveedores de IA cambia con rapidez, un proveedor que cumplía sus requisitos hace 18 meses puede haber modificado considerablemente su tratamiento de datos, sus prácticas de entrenamiento o su postura de seguridad.

Empezar

Supervise sus proveedores de IA de forma continua tras la aprobación

Una evaluación puntual de un proveedor capta la postura de seguridad de sus proveedores en un solo día. Aona supervisa de forma continua el uso de todos los proveedores de IA en su organización, registrando qué proveedores usan los empleados, qué datos se comparten y si los controles aprobados del proveedor están realmente en vigor.

Solicitar una demo

Plantillas relacionadas sobre riesgos de proveedores de IA

Cuestionario de seguridad de proveedores de IA Evaluación de riesgos de IA de terceros Cláusulas contractuales para proveedores de IA Acuerdo de tratamiento de datos de IA Plantilla de evaluación de riesgos de IA Plataforma Aona AI Todas las plantillas de gobernanza de la IA