Evaluación de seguridad de proveedores de IA
Plantillas relacionadas
Qué exige este control
Evaluar a todos los proveedores de IA y proveedores externos de servicios de IA contra criterios de seguridad específicos de IA antes de su incorporación y en un ciclo de renovación anual. La evaluación debe abordar si los proveedores utilizan los datos de los clientes para el entrenamiento de modelos, los compromisos de residencia y soberanía de datos, la procedencia del modelo y la integridad de la cadena de suministro, las obligaciones de notificación de incidentes, y los derechos contractuales de auditoría. Los resultados de la evaluación deben documentarse e incidir en las decisiones de adquisición.
Por qué es importante
Los proveedores de IA presentan riesgos únicos más allá de los proveedores tradicionales de SaaS: los prompts y datos de los clientes pueden usarse para entrenar futuras versiones del modelo, las actualizaciones del modelo pueden cambiar silenciosamente su comportamiento e introducir nuevos riesgos, y los ataques a la cadena de suministro pueden propagarse a través de pesos de modelo compartidos o datos de entrenamiento. Los cuestionarios estándar de seguridad de proveedores no abordan estas preocupaciones específicas de IA. Sin una evaluación específica, las organizaciones aceptan sin saberlo riesgos que incluyen la pérdida de propiedad intelectual a través de la ingesta de datos de entrenamiento, las violaciones regulatorias por el procesamiento transfronterizo de datos no divulgado, y la dependencia de cadenas de suministro de modelos opacas.
Cómo implementarlo
Desarrollar un cuestionario de proveedor específico de IA
Ampliar la evaluación de seguridad de proveedores existente de la organización con secciones específicas de IA que cubran: políticas de uso de datos (¿el proveedor utiliza las entradas/salidas de los clientes para el entrenamiento, el ajuste fino o la evaluación del modelo?), residencia de datos (¿dónde se procesan y almacenan los prompts, y pueden aplicarse restricciones geográficas?), procedencia del modelo (¿qué modelos base se utilizan, son de código abierto o propietarios, cuál es el linaje de los datos de entrenamiento?), prácticas de actualización del modelo (¿cómo se notifica a los clientes sobre los cambios del modelo, está disponible la reversión?), respuesta a incidentes (¿cuáles son los SLA del proveedor para incidentes específicos de IA, qué datos forenses están disponibles?), y transparencia de subprocesadores (¿el proveedor utiliza proveedores de modelos de terceros?).
Establecer niveles de evaluación basados en riesgo
No todos los proveedores de IA requieren la misma profundidad de evaluación. Definir niveles según la sensibilidad y criticidad de los datos: Nivel 1 (procesa datos Confidenciales o Restringidos, o toma decisiones automatizadas) requiere el cuestionario completo, la revisión de evidencia y las negociaciones contractuales. Nivel 2 (procesa datos Internos para casos de uso de productividad) requiere el cuestionario específico de IA y la evaluación de seguridad estándar. Nivel 3 (no procesa datos organizacionales, solo consultas de información general) requiere una lista de verificación simplificada.
Negociar términos contractuales específicos de IA
Para los proveedores de Nivel 1 y Nivel 2, negociar disposiciones contractuales que incluyan: la prohibición explícita de usar los datos del cliente para el entrenamiento del modelo sin consentimiento expreso, la eliminación de datos al finalizar el contrato con certificación, una cláusula de derecho de auditoría que cubra los controles específicos de IA, la notificación de cambios del modelo con un período mínimo de aviso previo, los SLA de notificación de incidentes específicos para eventos de IA, y la indemnización por sanciones regulatorias relacionadas con IA.
Monitorear el cumplimiento del proveedor de manera continua
No tratar la evaluación de proveedores como un ejercicio puntual. Suscribirse a los avisos de seguridad del proveedor y a las notas de lanzamiento específicas de IA. Monitorear el cumplimiento del proveedor con los compromisos contractuales mediante solicitudes periódicas de evidencia (informes SOC 2, registros de procesamiento de datos, registros de cambios de actualización del modelo). Reevaluar a los proveedores cuando anuncien cambios significativos del modelo, adquisiciones o actualizaciones de políticas. Mantener un registro de riesgo de proveedores que rastree el estado de la evaluación, los hallazgos abiertos y las próximas fechas de revisión.
Evidencia y auditoría
- Plantilla de cuestionario de seguridad de proveedores específico de IA
- Registros de evaluación de proveedores completados para cada proveedor de IA, con clasificación de nivel de riesgo
- Extractos de contratos que muestran disposiciones específicas de IA (prohibición de entrenamiento con datos, derecho de auditoría, SLA de incidentes)
- Registro de riesgo de proveedores con estado de evaluación, hallazgos y próximas fechas de revisión
- Evidencia de monitoreo del cumplimiento de proveedores (suscripciones a avisos, solicitudes periódicas de evidencia)
- Registros de aprobación de adquisiciones que muestran la finalización de la evaluación como requisito previo
- Registros de reevaluación activados por cambios materiales de proveedores