ContrataçãoSegurançaGestão de riscos
Lista de avaliação de fornecedores de IA
Uma lista de verificação pronta para contratação, para avaliar fornecedores de IA quanto a privacidade, segurança, acessibilidade e estratégias de saída antes de assinar um contrato.
Aplica-se a: Contratação, TI/segurança, Informações legais, Responsáveis pelas atividadesResponsável pela política: Responsável por contratação e TI/segurançaÚltima atualização: 2025-02-12
Requisitos básicos
- O fornecedor deve oferecer isolamento de dados para cada ambiente de cliente e confirmar que os dados não são usados para treinar modelos públicos.
- O contrato deve incluir SLAs de disponibilidade, resposta a incidentes e prazos de notificação.
- A conformidade de acessibilidade com WCAG 2.1 AA é obrigatória para interfaces voltadas aos usuários da biblioteca.
Tratamento e retenção de dados
- Onde os dados são armazenados e processados? Podemos selecionar hospedagem regional?
- Qual é o prazo padrão de retenção de instruções, resultados e análises? Podemos eliminá-los sob demanda?
- Como dados pessoais identificáveis são detectados, ocultados e impedidos de sair dos limites da organização cliente?
- Os dados são criptografados em trânsito e em repouso? Quais chaves controlamos?
Comportamento e segurança do modelo
- Quais modelos-base ou provedores são usados e como recebem correções ou atualizações?
- Podemos exigir respostas com citações e bloquear temas de alto risco, como jurídico, médico e imigração?
- Quais proteções existem contra viés, alucinações e injeção de instruções?
- Como tentativas de contornar as proteções são detectadas e relatadas aos administradores?
Acesso, auditoria e relatórios
- Quais opções de autenticação são aceitas (SAML, SCIM, MFA)?
- Podemos segmentar o acesso por função — funcionários, supervisores e voluntários — com proteções diferentes?
- Há registros administrativos de instruções, alterações nas proteções e exportações de dados?
- Como podemos exportar registros de auditoria para avaliações de conformidade sem expor dados pessoais identificáveis?
Suporte, integração e treinamento
- Quais serviços de integração inicial estão incluídos (configuração de modelos, ajuste de políticas, treinamento da equipe)?
- Como os chamados de suporte são priorizados e quais são os tempos de resposta típicos?
- Existe um responsável pela conta ou gerente de sucesso designado para escalonamentos?
Estratégia de saída e portabilidade
- Como exportamos bibliotecas de instruções, bases de conhecimento e configurações se encerrarmos o uso?
- Qual é o processo e o prazo para certificar a exclusão dos dados após o término?
- Existem taxas de exportação, migração ou certificados de destruição de dados?
Preços e adequação à contratação
- O preço é fixo, por uso ou híbrido? Como os excedentes são tratados?
- O fornecedor aceita pilotos financiados por subsídios, compras cooperativas ou testes de curta duração?
- Qual é a duração mínima do contrato? Há cláusulas de saída ou de aviso de renovação?
Quer personalizar estes materiais?
Podemos adaptar a linguagem e as políticas aos seus programas específicos.