Prawo i bezpieczeństwo8 min czytania

Umowa z dostawcą AI: dane, role, podwykonawcy i wyjście zanim podpiszesz kolejny „standardowy” dokument

Jak oceniać umowę dostawcy AI: role, dane, podwykonawcy, retencja, odpowiedzialność i wyjście. Praktyczna checklista dla małej firmy.

Kobieta pochylona nad makietą budynków i mostu
Kobieta pochylona nad makietą budynków i mostuIlustracja koncepcyjna: Aeneia

Dostawca wysyła standardową umowę z linkiem do dziesięciu dokumentów. W jednym jest retencja, w innym trenowanie, w trzecim lista podwykonawców. Nikt nie wie, która wersja dotyczy twojego planu. Podpisujesz, bo demo działa. Warunki umowy obowiązują zgodnie z jej treścią, a sposób przetwarzania danych trzeba ustalić przed ich przekazaniem.

Umowa z dostawcą AI powinna odpowiadać konkretnemu procesowi. Opisuje role, dane, kopie, zmiany i wyjście. Model może pomóc przygotować mapę pytań, ale prawnik i właściciel procesu decydują o akceptacji.

Zacznij od procesu i danych

Zapisz, jakie zadanie wykonuje dostawca i jakie dane są wymagane. Nie oceniaj umowy bez mapy przepływu. Inna odpowiedź jest potrzebna dla publicznych treści i dla poufnego CRM.

Opisz model, indeks, logi, wsparcie, eksport i pochodne. Nie ograniczaj pytania do głównego pliku. Każda kopia może mieć inne reguły.

Przy procesie stosuj zasady z artykułu o onboardingu dostawcy AI. Umowa powinna odpowiadać rzeczywistemu wdrożeniu.

Role stron w praktyce

Zapisz, kto decyduje o celu, danych, modelu, skutku i odbiorze. Nie przenoś ról z cudzego szablonu. Dostawca może być procesorem w jednym procesie i mieć własną odpowiedzialność w innym.

Przy trenowaniu lub wspólnym modelu oceń, czy dostawca używa danych do własnych celów. Nie przyjmuj ogólnego „działa jako procesor” dla każdego etapu.

Przy danych osobowych stosuj zasady z artykułu o RODO przy AI. Role powinny odpowiadać dokumentom i rzeczywistości.

Dane i retencja

Opisz kategorie danych, cele, terminy i kopie. Nie przyjmuj „przechowujemy tylko tyle, ile potrzeba” bez reguły. Tabela powinna obejmować źródło, wynik, logi i backup.

Sprawdź, czy treści są używane do trenowania i na jakich warunkach. Nie zastępuj odpowiedzi ogólnym „dbamy o prywatność”. Plan i ustawienia mają znaczenie.

Przy retencji stosuj zasady z artykułu o usuwaniu danych AI. Umowa powinna opisywać także pochodne i restore.

Podwykonawcy i lokalizacja

Zapisz role odbiorców i listę istotnych dostawców. Sprawdź, jakie dane otrzymują i w jakim celu. Nie ograniczaj się do nazwy głównej platformy.

Przy transferach i lokalizacji oceń aktualne warunki z właściwą osobą. Nie zgaduj regionu na podstawie adresu firmy. Wsparcie i infrastruktura mogą działać inaczej.

Przy zmianie listy przygotuj proces informowania i decyzji zgodnie z umową. Nie zostawiaj automatycznej zgody na każdego nowego odbiorcę bez oceny.

Bezpieczeństwo i incydent

Opisz role, MFA, minimalne uprawnienia, logi, monitoring i sposób zgłaszania. Nie akceptuj samego „stosujemy najlepsze praktyki”. Potrzebne są konkretne mechanizmy.

Zapisz, jak dostawca informuje o incydencie, jakie dane przekazuje i jak ogranicza skutek. Nie wymagaj pełnych poufnych logów. Proces powinien współpracować z twoim planem reakcji.

Przy bezpieczeństwie stosuj zasady z artykułu o stronie bezpieczeństwa produktu AI. Umowa i strona powinny mówić to samo.

Zmiany modelu i warunków

Opisz, jak dostawca zmienia model, funkcje, limity i warunki. Nie zostawiaj automatycznej zgody na każdą zmianę skutku. Termin wycofania modelu powinien mieć proces migracji.

Zachowaj datę i wersję dokumentów. Nie przenoś warunków darmowego konta na firmowe. Link do żywej strony nie zastępuje wersji przyjętej przy zamówieniu.

Przy zmianach stosuj zasady z artykułu o monitoringu wersji modelu AI. Umowa powinna przewidywać test i odbiór.

Odpowiedzialność bez ogólnych haseł

Opisz zakres odpowiedzialności za proces, dane, skutek i właściwe role. Nie przyjmuj przerzucenia wszystkiego na klienta ani na dostawcę. Oceń z prawnikiem i właścicielem ryzyka.

Nie przypisuj modelowi odpowiedzialności za decyzję. Agent wykonuje działania w ramach konfiguracji, a ludzie i organizacje odpowiadają za proces.

Przy analizie stosuj zasady z artykułu o mapie ryzyk umowy AI. Model pomaga znaleźć pytania, nie wydaje zgody.

Eksport i wyjście przed podpisaniem

Jeśli przed podpisaniem masz dostęp do pilotażu, otwórz rzeczywisty eksport i sprawdź pola, relacje, wersje, obrazy i format. Gdy pilotaż nie jest dostępny, poproś o dokumentację, przykładowy zanonimizowany eksport i warunki testu po uruchomieniu. Samo hasło „eksport JSON” nie dowodzi możliwości migracji.

Opisz odwołanie tokenów, usunięcie danych, kopie i czas zakończenia. Nie zostawiaj dostępu po kontrakcie dla wygody. Wyjście powinno mieć właściciela i test.

Przy wyjściu stosuj zasady z artykułu o migracji narzędzia AI. Umowa powinna opisywać proces zakończenia.

Przykład: warunki zależne od planu

Darmowa wersja ma inne zasady niż biznesowa. Zespół czyta ogólną stronę i zakłada lepsze warunki. Po zakupie konfiguracja pokazuje inne opcje retencji.

Zapisz plan i dokumenty przed testem. Nie przenoś zapewnień jednej wersji na drugą. Przy zmianie planu powtórz przegląd danych i ról.

Przy porównywaniu stosuj zasady z artykułu o ofertach SaaS AI. Warunki są częścią całkowitego kosztu.

Przykład: nowy podwykonawca

Dostawca dodaje narzędzie do monitoringu i przesyła fragmenty logów. Umowa główna nie zmienia się, ale powstaje nowa kopia. Oceń, czy zakres i odbiorca są dozwoleni.

Zaktualizuj mapę i ogranicz dane przed włączeniem. Nie akceptuj automatycznie nowej integracji dla ładniejszego dashboardu. Test powinien obejmować usunięcie i dostęp.

Przy NDA stosuj zasady z artykułu o danych poufnych AI. Nowy odbiorca wymaga oceny przed przesłaniem.

Kiedy zatrzymać podpisanie

Zatrzymaj przy niejasnych rolach, danych, retencji, podwykonawcach, odpowiedzialności i wyjściu. Nie przesyłaj produkcyjnych danych podczas negocjacji. Użyj fikcyjnego przypadku.

Przygotuj listę pytań z konkretnymi procesami. Nie proś o przepisanie całej umowy na zasadzie „do poprawy”. Właściciel powinien wiedzieć, co jest warunkiem dyskwalifikującym.

Przy większym procesie Aeneia Audit pomaga zmapować dane i ryzyko. Aeneia Design pomaga uporządkować dokumenty i doświadczenie zakupu.

Minimalna karta umowy

Zapisz plan, proces, role, dane, retencję, podwykonawców, zmiany, odpowiedzialność i wyjście. Dodaj źródła, datę i właściciela. Nie przechowuj pełnych poufnych dokumentów w publicznym rejestrze.

Przy kolejnej wersji porównaj tylko zależne zmiany i ich skutek. Nie przepisuj całej oceny bez powodu. Karta powinna pokazywać decyzje i ograniczenia.

Dobra umowa odpowiada na konkretny proces. Nie zastępuje testu, ale pozwala go wykonać bez zgadywania ról i kopii. Standardowy dokument nie jest standardową odpowiedzią dla każdego.

Wymagania zakupowe podzielone według ryzyka

Nie proś o wszystkie możliwe certyfikaty i dokumenty przy prostym narzędziu do publicznych treści. Przy danych poufnych i krytycznym procesie zwiększ wymagania. Lista powinna wynikać z mapy danych i skutku, a nie z konkurencji w liczbie stron umowy.

Oddziel warunki dyskwalifikujące od pytań do doprecyzowania. Brak wymaganego eksportu lub nieakceptowalny odbiorca może zakończyć proces bez długich negocjacji. Nie uśredniaj ich z ładnym interfejsem i rabatem.

Test odpowiedzi dostawcy na pytania

Przygotuj scenariusz: usunięcie dokumentu, zmiana planu, incydent i eksport relacji. Poproś o konkretne zachowanie i dokument. Odpowiedź „zależy” powinna prowadzić do warunków, a nie znikać w kanale sprzedażowym.

Porównaj odpowiedzi z rzeczywistą konfiguracją. Jeżeli konsultant obiecuje coś innego niż panel i umowa, zapisz konflikt i poproś o wiążące wyjaśnienie. Nie akceptuj samego nagrania rozmowy jako dowodu zmiany warunków.

Zmiana warunków w trakcie umowy

Przy nowej wersji polityki lub cennika sprawdź, czy dotyczy twojego procesu i kiedy wchodzi w życie. Nie przenoś publicznej strony automatycznie na przyjętą umowę. Zachowaj wersję i datę oceny.

Jeżeli zmiana dotyczy danych lub skutku, przygotuj decyzję przed terminem. Może wymagać nowej zgody, ograniczenia procesu lub wyjścia. Nie czekaj na automatyczne wdrożenie nowej funkcji z pełnymi uprawnieniami.

Odbiór wyjścia jako test kontraktu

Po eksporcie porównaj liczbę plików, identyfikatory i powiązania z próbką w systemie źródłowym. Jeżeli brakuje załączników albo opisów pól, zapisz ten brak przed decyzją o wyjściu i ustal sposób jego uzupełnienia.

Przed zakończeniem pilotażu wykonaj mały eksport i odwołaj tokeny testowe. Sprawdź, czy relacje działają przy imporcie i czy dane testowe zostały usunięte. Nie czekaj na koniec wieloletniej umowy, żeby dowiedzieć się, że eksport jest tylko zrzutem ekranu.

Zapisz koszt i czas operacji. Właściciel procesu powinien ocenić, czy wyjście jest wykonalne bez stałej pomocy dostawcy. To jest część decyzji zakupowej, a nie problem na przyszły rok.

Dokumenty dla właściciela decyzji

Przygotuj krótkie podsumowanie z mapą danych, rolami, warunkami dyskwalifikującymi, kosztem i ograniczeniami. Nie wysyłaj samego pakietu linków bez rekomendacji. Właściciel powinien widzieć, co akceptuje i czego nie sprawdzono.

Zachowaj wersję umowy, datę i źródła odpowiedzi. Przy kolejnym dostawcy porównuj ten sam proces, a nie ogólną liczbę funkcji. Dzięki temu decyzja jest powtarzalna i można ją wyjaśnić po zmianie zespołu.

Rola AI w treści umowy

Opisz, kiedy system przygotowuje szkic, odpowiada użytkownikowi, zapisuje dane lub wykonuje działania. Nie zostawiaj definicji „usługa AI” bez skutku. Umowa powinna odpowiadać konkretnym operacjom i granicom.

Przy odbiorze człowieka zapisz, kiedy jest wymagany i kto go wykonuje. Nie przenoś całej odpowiedzialności za decyzję na model ani na przycisk akceptacji. Właściciel procesu powinien rozumieć rzeczywisty skutek.

Ustawienia jako część przyjętego stanu

Zapisz wymagane ustawienia retencji, trenowania, ról i regionu. Nie wystarczy, że platforma oferuje opcję, jeżeli nie została włączona. Umowa i konfiguracja powinny odpowiadać sobie.

Przy zmianie planu sprawdź, czy ustawienia nie wracają do domyślnych. Test powinien obejmować aktualny panel i zachowanie. Data odbioru jest ważna, bo warunki mogą się zmieniać bez edycji umowy.

Odbiór prawny i techniczny razem

Prawnik ocenia dokumenty i role, a technik sprawdza, czy proces rzeczywiście działa zgodnie z nimi. Nie zamykaj oceny na samej umowie. Może eksport nie istnieje albo logi przechowują więcej niż oczekiwano.

Przygotuj wspólny przypadek z fikcyjnymi danymi i sprawdź pełną ścieżkę. Zapisz rozbieżności i właściciela decyzji. Jeżeli proces jest niezgodny, ogranicz go przed produkcją zamiast dopisywać nowe zapewnienia do briefu.

Aeneia Audit pomaga przygotować ocenę i mapę danych. Przy dostawcy pomocna jest ocena Aeneia Signal.

Dobra ocena dostawcy zaczyna się od danych i kończy na wyjściu. Umowa ma właściciela, wersję i test. Nie jest linkiem do podpisania przed pierwszą kawą.

Przy kolejnej rozmowie użyj tej samej karty i zaktualizuj tylko zmienione warunki. Nie zaczynaj oceny od zera dla każdego nowego planu. Właściciel powinien widzieć, co zostało potwierdzone i czego jeszcze brakuje. Jeżeli odpowiedź dostawcy jest niejasna, zapisz ją jako ograniczenie decyzji zamiast dopisywać optymistyczną interpretację modelu. Przy kolejnym przeglądzie oceń ponownie warunki umowy dostawcy AI. Zachowaj datę.

Źródła i dalsza lektura

Sprawdź nas. To zdrowe.

Temat zmienia się szybko. Linki prowadzą do źródeł pierwotnych i stron, na których możesz zweryfikować kontekst.

Doszłaś / Doszedłeś do końca. My też jesteśmy pod wrażeniem.Masz uwagę albo lepszy przykład? Napisz

Marki, dla których tworzyliśmy rozwiązania w Aeneia

Przewijaj w bok
  • L'Oréal
  • Garnier
  • Netflix
  • Carrefour
  • Warner Bros. Discovery
  • Biedronka
  • HBO Max
  • Wolt
  • Żabka
  • COSRX
  • Mixa
  • Ambasada Chin w Polsce

Narzędzia i technologie, z których korzystamy

Przewijaj w bok
  • Google
  • OpenAI
  • Microsoft
  • Stripe
  • Anthropic
  • Linear