AchatsSécuritéGestion des risques
Liste d’évaluation des fournisseurs d’IA
Une liste de contrôle prête pour les achats afin d’évaluer les fournisseurs d’IA en matière de confidentialité, de sécurité, d’accessibilité et de stratégies de sortie avant de signer un contrat.
S’applique à : Achats, Informatique/sécurité, Informations juridiques, Responsables de programmesResponsable de la politique : Responsable achat et informatique/sécuritéDernière mise à jour : 2025-02-12
Exigences de base
- Le fournisseur doit assurer l’isolation des données de chaque organisation cliente et confirmer qu’elles ne servent pas à entraîner des modèles publics.
- Le contrat doit prévoir des accords de niveau de service sur la disponibilité, la réponse aux incidents et les délais de notification.
- La conformité aux exigences d’accessibilité (WCAG 2.1 AA) est requise pour les interfaces destinées aux usagers.
Traitement et conservation des données
- Où les données sont-elles stockées et traitées ? Pouvons-nous choisir un hébergement régional ?
- Quelle est la durée de conservation par défaut des prompts, des résultats et des analyses ? Pouvons-nous les supprimer à la demande ?
- Comment les informations personnelles identifiables sont-elles détectées, masquées et empêchées de sortir du périmètre de l’organisation cliente ?
- Les données sont-elles chiffrées en transit et au repos ? Quelles clés contrôlons-nous ?
Comportement et sécurité du modèle
- Quels modèles de base ou fournisseurs sont utilisés, et comment sont-ils corrigés ou mis à jour ?
- Pouvons-nous exiger des réponses avec citations et bloquer les sujets à haut risque (juridiques, médicaux, migratoires) ?
- Quels garde-fous existent contre les biais, les hallucinations et l’injection de prompts ?
- Comment les tentatives de contournement des restrictions sont-elles détectées et signalées aux administrateurs ?
Accès, audit et rapports
- Quelles options d’authentification sont prises en charge (SAML, SCIM, MFA) ?
- Pouvons-nous segmenter l’accès par rôle (personnel, superviseurs, bénévoles) avec des garde-fous différents ?
- Des journaux administrateur sont-ils disponibles pour les prompts, les modifications des garde-fous et les exports de données ?
- Comment exporter les journaux d’audit pour les examens de conformité sans exposer d’informations personnelles identifiables ?
Assistance, intégration et formation
- Quels services d’intégration sont inclus (configuration des modèles, adaptation aux politiques, formation du personnel) ?
- Comment les tickets d’assistance sont-ils priorisés et quels sont les délais de réponse habituels ?
- Un responsable de compte ou de réussite client est-il désigné pour les escalades ?
Stratégie de sortie et portabilité
- Comment exporter les bibliothèques de prompts, les bases de connaissances et la configuration si nous partons ?
- Quels sont le processus et les délais pour certifier la suppression des données après résiliation ?
- Des frais sont-ils liés à l’export, à la migration ou aux certificats de destruction des données ?
Adéquation des tarifs et des achats
- Le tarif est-il forfaitaire, à l’usage ou hybride ? Comment les dépassements sont-ils traités ?
- Le fournisseur peut-il prendre en charge des projets pilotes financés par subvention, des achats coopératifs ou des essais de courte durée ?
- Quelle est la durée minimale du contrat et existe-t-il des clauses de retrait ou de préavis de renouvellement ?
Souhaitez-vous les personnaliser ?
Nous pouvons adapter les formulations et les politiques à vos programmes précis.