Gestión de Riesgos de Proveedores de IA: Diligencia Debida Antes de Firmar

El panorama de proveedores de IA ha explotado. Ahora hay miles de herramientas impulsadas por IA dirigidas a usuarios empresariales — asistentes de escritura con IA, plataformas de servicio al cliente con IA, herramientas de análisis con IA, CRMs impulsados por IA, generadores de código con IA. Cada uno es un nuevo tercero con acceso a sus datos, los datos de sus clientes y potencialmente sus datos regulados.

La mayoría de las PYMEs evalúan las herramientas de IA basándose en características y precio. Muy pocas realizan una evaluación significativa de riesgos del proveedor antes de incorporarlos. Así es como los datos sensibles terminan en manos de proveedores con controles de seguridad inadecuados, sin acuerdos de procesamiento de datos y términos de servicio que permiten el entrenamiento con el contenido de su negocio.

La Lista de Verificación de Diligencia Debida para Proveedores de IA

Manejo de Datos y Entrenamiento

• ¿El proveedor usa datos de clientes para entrenar sus modelos de IA? (Obtenga esto por escrito)
• ¿Puede optar por no participar en el entrenamiento del modelo? ¿La exclusión es la opción predeterminada o debe solicitarla?
• ¿Por cuánto tiempo se retienen sus datos? ¿Puede solicitar la eliminación?
• ¿Dónde se almacenan sus datos? (La residencia de datos importa para el RGPD y algunas regulaciones de EE.UU.)
• ¿Sus datos están aislados de los datos de otros clientes, o están agrupados?

Controles de Seguridad

• ¿El proveedor tiene un informe SOC 2 Tipo II vigente? (Solicítelo)
• ¿Los datos están cifrados en tránsito y en reposo? ¿Qué estándares de cifrado?
• ¿Cuál es la política de divulgación de vulnerabilidades y gestión de parches del proveedor?
• ¿El proveedor realiza pruebas de penetración regulares? ¿Por quién?
• ¿Cuál es su proceso de respuesta a incidentes y notificación de brechas?

Protecciones Contractuales

• ¿El proveedor firmará un Acuerdo de Procesamiento de Datos (DPA)?
• ¿El DPA incluye divulgación de subprocesadores y derechos de aprobación?
• ¿Cuáles son los límites de responsabilidad del proveedor en caso de una brecha de datos?
• ¿El contrato incluye el derecho a auditar o solicitar atestaciones de seguridad?
• ¿Cuáles son las obligaciones de devolución y eliminación de datos al terminar el contrato?

Cumplimiento Regulatorio

• Si maneja PHI: ¿el proveedor firmará un Acuerdo de Socio Comercial (BAA) de HIPAA?
• Si maneja datos personales de la UE: ¿el proveedor ofrece Cláusulas Contractuales Estándar (SCCs)?
• Si está sujeto a PCI DSS: ¿el proveedor cumple con PCI DSS o está fuera del alcance de su entorno de datos de titulares de tarjetas?
• Si está buscando SOC 2 o ISO 27001: ¿la postura de seguridad del proveedor apoya sus obligaciones de cumplimiento?

Señales de Alerta que Deben Detener una Evaluación de Proveedor de IA

• Sin informe SOC 2 y sin cronograma para obtenerlo
• Términos de servicio que otorgan amplios derechos para usar datos de clientes para mejorar el modelo sin opción de exclusión
• Negativa a firmar un DPA o BAA cuando sus datos lo requieren
• Sin respuesta clara sobre la residencia de datos o la lista de subprocesadores
• Respuestas al cuestionario de seguridad que son vagas o hacen referencia a evaluaciones desactualizadas
• Sin contacto de seguridad dedicado ni portal de documentación de seguridad

Construyendo un Registro de Proveedores de IA

A medida que incorpora herramientas de IA, mantenga un registro de proveedores que rastree: el nombre de la herramienta y el proveedor, los datos a los que accede, el estado del DPA, la fecha de la última revisión de seguridad y el propietario empresarial responsable de la relación. Este registro se vuelve esencial cuando necesita responder a una solicitud de datos de un interesado, una consulta regulatoria o un incidente de seguridad que involucra a un tercero.