Modèle gratuit d'évaluation des fournisseurs d'IA avec un cadre de notation pondérée sur 100 points couvrant 5 domaines de sécurité. Notez chaque fournisseur de manière objective, produisez des décisions d'achat défendables et conservez une documentation prête pour l'audit.
Les questionnaires de sécurité fournisseurs standard ont été conçus pour le SaaS et l'infrastructure cloud, pas pour l'IA. Les fournisseurs d'IA introduisent des risques uniques liés à l'entraînement des données, à l'inférence des modèles et à des vecteurs d'attaque spécifiques à l'IA que les évaluations fournisseurs traditionnelles ignorent totalement. Utiliser cette grille de notation aux côtés de votre processus TPRM standard garantit que les fournisseurs d'IA sont évalués sur les critères qui comptent le plus.
Cliquez sur chaque domaine pour développer les critères de notation. Utilisez les conseils de notation pour attribuer des points et documenter les justifications de chaque critère.
La sécurité des données est la plus pondérée car les fournisseurs d'IA traitent les données de votre organisation dans le pipeline d'inférence du modèle. Les faiblesses à ce niveau se traduisent directement par un risque d'exposition des données.
Vérifiez le chiffrement AES-256 au repos et TLS 1.2+ en transit. Demandez une documentation montrant que le chiffrement couvre les pipelines d'entraînement, et pas seulement le transport API. Attribuez 8 si les deux sont vérifiés avec preuves, 4 si auto-attesté uniquement, 0 si non confirmé.
Engagement contractuel selon lequel les données client (invites, documents, sorties) ne sont pas utilisées pour entraîner ou affiner les modèles du fournisseur. Cela doit être une clause contractuelle, pas une affirmation marketing. Attribuez 8 si c'est écrit dans le DPA/contrat, 0 si cela figure uniquement dans des supports marketing ou n'est pas disponible.
Durées de conservation documentées pour toutes les catégories de données traitées (invites, sorties, journaux). Possibilité de demander la suppression et confirmation de la suppression dans un SLA défini. Attribuez 6 si entièrement documenté avec capacité de suppression, 3 si partiel, 0 si aucune documentation.
Vérification que les données de différents clients sont isolées logiquement ou physiquement, en particulier dans les environnements d'inférence multi-locataires. Attribuez 5 si une architecture d'isolation documentée est fournie, 3 si attesté, 0 si non traité.
Possibilité de spécifier le lieu de traitement des données (par exemple, uniquement dans l'UE pour la conformité au RGPD). Attribuez 3 si configurable avec engagement contractuel, 1 si un déploiement régional est disponible mais non contractuel, 0 si aucun contrôle.
Une grille de notation ne produit des résultats utiles que lorsqu'elle est appliquée de manière cohérente. Suivez ces cinq étapes pour mener une évaluation qui produit des résultats défendables et comparables entre fournisseurs.
Une évaluation ponctuelle d'un fournisseur capture la posture de sécurité de vos fournisseurs un jour donné. Aona surveille en continu l'utilisation de tous les fournisseurs d'IA dans votre organisation, en suivant quels fournisseurs les collaborateurs utilisent, quelles données sont partagées et si les contrôles fournisseurs approuvés sont réellement en vigueur.