구매보안위험 관리
AI 공급업체 평가 점검표
계약 서명 전에 개인정보 보호, 안전, 접근성 및 종료 전략을 기준으로 AI 공급업체를 검토할 수 있는 구매용 점검표.
적용 대상: 구매, IT/보안, 법률 정보, 프로그램 책임자정책 담당자: 구매 및 IT/보안 책임자최종 갱신: 2025-02-12
기본 요구사항
- 공급업체는 각 테넌트의 데이터 격리를 지원하고 데이터를 공개 모델 훈련에 사용하지 않음을 확인해야 합니다.
- 계약에는 가동 시간, 사고 대응 및 통보 일정에 관한 SLA가 포함되어야 합니다.
- 이용자 대상 인터페이스에는 접근성 준수(WCAG 2.1 AA)가 요구됩니다.
데이터 처리 및 보관
- 데이터는 어디에서 저장되고 처리되나요? 지역별 호스팅을 선택할 수 있나요?
- 프롬프트, 결과물, 분석의 기본 보관 기간은 얼마인가요? 요청 시 삭제할 수 있나요?
- 개인 식별 정보를 어떻게 감지하고 가리며 테넌트 밖으로 나가지 않게 하나요?
- 전송 중과 저장 상태에서 암호화되나요? 어떤 키를 직접 통제하나요?
모델 행동과 안전
- 어떤 기반 모델이나 제공업체를 사용하며 어떻게 패치하거나 업데이트하나요?
- 인용형 답변을 요구하고 법률, 의료, 이민 등 고위험 주제를 차단할 수 있나요?
- 편향, 환각, 프롬프트 주입에 대한 보호 지침은 무엇인가요?
- 보호 지침을 우회하려는 시도를 어떻게 감지하고 관리자에게 보고하나요?
접근, 감사 및 보고
- 어떤 인증 선택지(SAML, SCIM, MFA)가 지원되나요?
- 역할(직원, 감독자, 자원봉사자)별로 접근 권한을 나누고 서로 다른 보호 지침을 적용할 수 있나요?
- 프롬프트, 보호 지침 변경, 데이터 내보내기에 대한 관리자 로그가 있나요?
- 개인 식별 정보를 노출하지 않고 규정 준수 검토용 감사 로그를 내보내려면 어떻게 하나요?
지원, 입문 교육 및 교육
- 어떤 입문 지원(템플릿 설정, 정책 조정, 직원 교육)이 포함되나요?
- 지원 요청의 우선순위와 일반적인 응답 시간은 어떻게 되나요?
- 보고를 받을 지정 계정 담당자나 고객 성공 관리자가 있나요?
종료 전략과 이전 가능성
- 서비스를 떠날 때 프롬프트 모음, 지식 기반, 설정을 어떻게 내보내나요?
- 계약 종료 후 데이터 삭제를 증명하는 절차와 일정은 어떻게 되나요?
- 내보내기, 이전 또는 데이터 파기 확인서와 관련된 비용이 있나요?
요금 및 구매 적합성
- 정액, 사용량 기반, 혼합 요금 중 어느 방식인가요? 초과 사용은 어떻게 처리하나요?
- 공급업체가 보조금 기반 시범 운영, 공동 구매 또는 단기 시험을 수용하나요?
- 최소 계약 기간은 얼마이며 해지 또는 갱신 알림 조항이 있나요?
맞춤 구성을 원하시나요?
기관의 구체적인 프로그램에 맞게 문구와 정책을 조정할 수 있습니다.