AI SaaS はあなたのデータを使用しますか?証拠が必要な質問

広範な主張を具体的な質問に置き換える

AI アプリケーションは、モデル、検索ストア、可観測性ツール、およびサポート プラットフォームに情報を送信できます。各宛先には、異なる目的と保持動作を持たせることができます。入力、宛先、アカウント、関連するリージョン、および責任のある所有者を指定するデータ フロー マップから始めます。私たちが推奨するのは、主張を確認できるように表現することです。データの処理がコア機能である場合、アプリがデータを使用しないという約束は広すぎます。

トレーニングを他の処理から分離する

OpenAI は、顧客が明示的にオプトインしない限り、API データはモデルのトレーニングや改善に使用されないと述べています。この声明は特定のプロバイダー サーフェスに関するものであり、その上に構築されたすべての SaaS を説明するものではありません。アプリケーション自身のログ、保存されたファイル、サブプロセッサ、およびサポート アクセスには、個別の検査が必要です。製品のコピーでプロバイダーの主張を繰り返す前に、実際のアカウント構成と該当するエンドポイントの動作を確認してください。裏付けとなる証拠の日付と範囲を保存します。

証拠: OpenAI プラットフォームのデータ コントロール [1]

測定検証カバレッジ

システム インベントリが不完全である場合、完了とマークされたチェックリストは弱い証拠となります。まずデータの宛先のセットを定義し、次に設定が文書化され、動作がテストされている宛先を追跡します。合成レコードを使用して、顧客情報を公開することなく削除とアクセス制御を追跡します。以下の尺度は、監査追跡指標として提案されています。これらは、あらゆる可能性のあるデータ漏洩がないことを証明するものではありません。不明な点を明確に記録することで、不完全な証拠が黙って合格対照となることがないようにする。

結論を区切るようにする

監査の結論では、製品のバージョン、構成、テストされた環境、レビューされた証拠、および未解決のギャップを特定する必要があります。プロバイダー、ログ記録、またはアカウント設定を変更すると、以前の結論が無効になる可能性があります。バッジが使用されている場合は、日付の付いた検証記録と評価内容の明確な説明にリンクさせてください。限定的なレビューを普遍的な安全性の主張に変換することは避けてください。製品チームに所有者と、重要なデータ処理のコミットメントごとの再チェックトリガーを与えます。

よくある質問