Slik lager dere et kart over underdatabehandlere for AI-tjenesten

Et kart over underleverandører, ofte kalt underdatabehandlere, viser hele kjeden av parter som får håndtere dataene deres: hvem, i hvilken rolle og i hvilket land. For en vanlig skytjeneste er det en nokså grei jobb. For AI er det mer innviklet, av en grunn som er lett å overse: Det er veien inn til modellen som avgjør hvordan kjeden ser ut.

Hvorfor AI bryter mønsteret

For en typisk SaaS-tjeneste publiserer leverandøren en liste over underleverandørene sine, og saken er klar. AI fungerer annerledes fordi den samme modellen kan nås på flere måter, og måten bestemmer rollene.

Har dere direkteavtale med modellselskapet, er det selskapet som er databehandleren deres. Bruker dere den samme modellen via en hyperscaler eller forhandler, blir modellselskapet i stedet en underleverandør lenger ned i kjeden, og det er mellomleddet som er databehandleren deres. Modellen er den samme, men kartet ser helt forskjellig ut avhengig av hvilken dør dere gikk inn gjennom.

Derfor kan man ikke kopiere andres kart. Kjeden deres avhenger av avtalene dere har, ikke av modellens navn.

Hva som skal være med i kartet

Underlaget peker ut noen konkrete kjeder som ofte overrasker, og som bør komme tydelig frem:

• Microsoft Azure som OpenAIs primære underleverandør. Bruker dere OpenAIs modeller, er Azure ofte med i kjeden, også når dere ikke har inngått noen avtale med Microsoft direkte.
• Anthropics avhengighet av AWS og Google for EU-veien. Claude i EU bygger på hyperscalernes infrastruktur, noe som legger til ledd i kartet.
• De parallelle kjedene til multimodellplattformer. Et grensesnitt som ruter mellom flere modellselskaper, har flere kjeder samtidig, én per modell det kan kalle.

Er disse leddene ikke synlige, er kartet ikke ferdig, uansett hvor pent det ser ut.

Kolonnene i kartet

Et brukbart kart over underleverandører for AI har minst disse feltene:

Den siste kolonnen er den som oftest mangler, og den viktigste på sikt. Et modellbytte kan i det stille erstatte hele kjeden bak tjenesten: ny leverandør, ny jurisdiksjon, ny lagringstid. Uten den kolonnen oppdager dere det først ved neste gjennomgang.

Hvor kartet pleier å sprekke

Også den som tegner et kart, overser ofte de samme tingene. Tre fallgruver som går igjen:

• Et grensesnitt tegnes som én kjede. En multimodellplattform ser ut som én leverandør, men kan rute dataene deres til flere modellselskaper avhengig av spørsmålet. Hver mulig vei er en egen kjede som må være synlig.
• Man stopper ved den direkte leverandøren. At leverandøren deres holder til i EØS, sier ingenting om hvor leverandørens underleverandører befinner seg. Kjeden er bare kartlagt når dere har fulgt den helt ned, ikke bare til første ledd.
• Kartet speiler avtalen, ikke virkeligheten. En direkteavtale og en vei via en hyperscaler gir ulike kjeder for den samme modellen. Tegn ut fra hvordan dere faktisk får tilgang til modellen, ikke hvordan dere tror dere gjør det.

En nyttig kontroll er å spørre for hvert ledd: «Kan jeg navngi parten, landet og hva som skjer med dataene her?» Kan dere ikke det, er kartet ikke ferdig, uansett hvor ryddig det ser ut.

Driften: et kart som lever

Et kart over underleverandører som tegnes én gang og legges i en mappe, er verdiløst innen et halvt år. Behandle det som et levende dokument:

1. Abonner på varsler om underleverandører (subprocessor-varsler) fra leverandørene slik at en endring i leverandørenes underleverandører når dere automatisk.
2. Versjoner kartet slik at dere kan vise hvordan kjeden så ut på et bestemt tidspunkt. Det er ofte et spørsmål ved en kontroll.
3. Koble kartet til vurderingen av personvernkonsekvenser (DPIA) slik at en endring i kjeden utløser en ny gjennomgang av vurderingen i stedet for å bli glemt.

Et lite, konkret eksempel: En leverandør varsler at en ny underleverandør i et tredjeland kommer til. Har dere varsler, versjonering og kobling til DPIA-en på plass, blir det en kontrollert oppdatering. Mangler de, blir det oppdaget ved en kontroll, på verst tenkelige tidspunkt.

Å kartlegge kjeden riktig krever at man forstår både avtalene og teknologien bak. Vil dere ha hjelp til å tegne og vedlikeholde kartet over underleverandører, kan dere lese om AI-tjenestene våre eller ta kontakt med en beskrivelse av hvilke AI-arbeidsflyter dere kjører i dag.