Plantilla gratuita de evaluación de proveedores de IA con un marco de puntuación ponderada de 100 puntos en 5 dominios de seguridad. Puntúe cada proveedor de forma objetiva, produzca decisiones de compra defendibles y mantenga una documentación lista para auditoría.
Los cuestionarios de seguridad de proveedores estándar se diseñaron para SaaS e infraestructura en la nube, no para la IA. Los proveedores de IA introducen riesgos únicos en torno al entrenamiento de datos, la inferencia de modelos y vectores de ataque específicos de la IA que las evaluaciones de proveedores tradicionales pasan por alto por completo. Usar este cuadro de mando junto con su proceso TPRM estándar garantiza que los proveedores de IA se evalúen según los criterios que más importan.
Haga clic en cada dominio para desplegar los criterios de puntuación. Use las orientaciones de puntuación para asignar puntos y documentar las justificaciones de cada criterio.
La seguridad de datos es la más ponderada porque los proveedores de IA procesan los datos de su organización en la canalización de inferencia del modelo. Las debilidades aquí se traducen directamente en riesgo de exposición de datos.
Verifique el cifrado AES-256 en reposo y TLS 1.2+ en tránsito. Solicite documentación que muestre que el cifrado cubre las canalizaciones de entrenamiento, no solo el transporte de la API. Otorgue 8 si ambos se verifican con pruebas, 4 si solo se autoatestigua, 0 si no se confirma.
Compromiso contractual de que los datos del cliente (prompts, documentos, salidas) no se usan para entrenar ni ajustar los modelos del proveedor. Debe ser una cláusula contractual, no una afirmación de marketing. Otorgue 8 si consta por escrito en el DPA/contrato, 0 si solo figura en materiales de marketing o no está disponible.
Periodos de retención documentados para todas las categorías de datos procesadas (prompts, salidas, registros). Capacidad de solicitar la eliminación y confirmación de la eliminación dentro de un SLA definido. Otorgue 6 si está totalmente documentado con capacidad de eliminación, 3 si es parcial, 0 si no hay documentación.
Verificación de que los datos de distintos clientes están aislados lógica o físicamente, especialmente en entornos de inferencia multiinquilino. Otorgue 5 si se proporciona una arquitectura de aislamiento documentada, 3 si se atestigua, 0 si no se aborda.
Capacidad de especificar la ubicación del tratamiento de datos (por ejemplo, solo la UE para el cumplimiento del RGPD). Otorgue 3 si es configurable con compromiso contractual, 1 si hay despliegue regional disponible pero no contractual, 0 si no hay control.
Un cuadro de mando produce resultados útiles solo cuando se aplica de forma coherente. Siga estos cinco pasos para realizar una evaluación que produzca resultados defendibles y comparables entre proveedores.
Una evaluación puntual de un proveedor capta la postura de seguridad de sus proveedores en un solo día. Aona supervisa de forma continua el uso de todos los proveedores de IA en su organización, registrando qué proveedores usan los empleados, qué datos se comparten y si los controles aprobados del proveedor están realmente en vigor.