Jak sprawdzić dostawcę AI przed przekazaniem danych?

Najlepszy moment na sprawdzenie dostawcy AI jest przed wysłaniem mu pierwszego dokumentu klienta. Po pilotażu firma bywa już zależna od sposobu przechowywania danych, konfiguracji i historii decyzji. Ocena nie musi trwać miesiącami, ale powinna odpowiedzieć na kilka konkretnych pytań o przepływ danych i możliwość zakończenia współpracy.

Szerszy kontekst pokazuje filar „Bezpieczeństwo i utrzymanie AI”.

Narysuj drogę danych

Wskaż, jakie dane trafią do rozwiązania: publiczne materiały, dokumenty wewnętrzne, dane osobowe, cenniki, korespondencję. Zapytaj, gdzie są przetwarzane i przechowywane, kto poza głównym dostawcą ma do nich dostęp i jak usuwa się kopie po zakończeniu testu. Nie przyjmuj ogólnego zdania „dane są bezpieczne” jako odpowiedzi na pytanie o konkretny dokument.

Przykład dydaktyczny: firma chce przetestować asystenta na ofertach. Może zacząć od dokumentów z usuniętymi danymi klientów i zweryfikować jakość odpowiedzi. Jeżeli do testu potrzebne są prawdziwe kontrakty, zakres dostępu i warunki przetwarzania wymagają wcześniejszej decyzji odpowiedzialnych osób. Demonstracja na losowym pliku z poczty nie jest neutralnym skrótem.

Sprawdź działanie na końcu współpracy

Poproś o pokazanie eksportu konfiguracji, instrukcji, danych źródłowych i historii decyzji w formie, którą firma może wykorzystać poza platformą. Ustal termin oraz koszt usunięcia i potwierdzenia usunięcia danych. Zakupy AI bez utraty możliwości zmiany dostawcy rozszerzają tę perspektywę na całe wdrożenie. Pytanie o wyjście nie jest wyrazem braku zaufania; jest elementem odpowiedzialnego zakupu.

Przetestuj obietnice w małej skali

W pilotażu użyj kont o ograniczonych uprawnieniach. Sprawdź, czy agent odróżnia dokumenty dostępne dla różnych ról, czy można odtworzyć jego działania i jak dostawca reaguje na błąd. Minimalny dostęp agenta daje praktyczny punkt startu. Nie wymagaj tego samego poziomu kontroli od narzędzia do publicznych tekstów i systemu zmieniającego zamówienia.

Zapisz odpowiedzialność za wykrycie, zgłoszenie i naprawę incydentu. Jeśli dostawca nie potrafi jasno opisać przepływu danych lub eksportu, ogranicz zakres testu do materiałów, które firma może bezpiecznie ujawnić.

Praktyczny test wyjścia

Już podczas krótkiego pilotażu poproś dostawcę o eksport konfiguracji oraz usunięcie jednej próbki danych. Sprawdź, co firma rzeczywiście otrzymuje, ile trwa czynność i czy można ją zweryfikować. Deklaracja w prezentacji nie pokaże, czy historia decyzji ma użyteczne identyfikatory albo czy eksport wymaga płatnej usługi. Ten test jest szczególnie ważny, gdy agent będzie zapisywał działania w systemach źródłowych.

Zapisz listę podwykonawców istotnych dla przepływu danych oraz sposób zgłaszania zmian w tej liście. Jeśli warunki są dla zespołu niejasne, ogranicz pilot do danych niepoufnych i wróć z konkretnymi pytaniami. Nie próbuj rozwiązać całej oceny bezpieczeństwa jednym ogólnym certyfikatem. Ważne jest, czy sposób działania rozwiązania pasuje do danych i decyzji, które firma planuje mu powierzyć.