AI 供应商风险评估：问卷、评分模型与证据清单（2026）
AI 供应商风险评估，是在第三方 AI 产品或 API 接触你的数据之前开展的审查：先确定用例的风险等级，再提出 AI 专项问题（是否用你的数据训练、数据保留、分包处理商和模型提供商、安全测试、输出风险、监管要求），为每项回答收集证据，对供应商评分，并确定合同条款和监控要求。 与常规供应商审查相比，AI 供应商额外引入了模型行为、数据复用以及下游模型提供商链条等问题。本指南提供可直接使用的问卷、评分模型和证据清单，内容截至 2026年10月26日。
本文面向负责审批 AI API、AI 网关以及具备 AI 功能的 SaaS 工具的安全、采购和平台团队，不构成法律建议。
AI 供应商风险有何不同
传统的第三方审查关注访问控制、加密、可用性和认证。AI 供应商除了需要满足这些要求，还需接受以下审查：
| 新增风险 | 为何重要 | 示例问题 |
|---|---|---|
| 数据被复用于训练 | 你的提示词可能被用于改进其他人使用的模型 | 默认情况下，是否将客户数据用于训练或评估？ |
| 第四方 | 供应商可能将数据转发给模型提供商 | 哪些模型提供商会处理我们的数据？在哪些区域处理？ |
| 模型行为 | 输出可能有误、不安全或泄露数据 | 如何测试系统抵御提示注入和数据泄露的能力？ |
| 快速变化 | 模型及版本可能在未通知的情况下发生变化 | 如何通知模型变更并进行版本管理？ |
| 监管要求 | 欧盟《人工智能法案》和行业规定带来额外义务 | 你们如何根据欧盟《人工智能法案》对该系统进行分类？ |
| 成本风险 | 按用量计费可能导致费用激增 | 是否提供配额、支出上限和告警？ |
NIST AI 风险管理框架在其治理（Govern）和映射（Map）职能中明确涵盖第三方 AI 风险，NIST 生成式 AI 风险概况（AI 600-1）也将价值链和组件集成风险列为生成式 AI 风险。
步骤 1：根据用例确定供应商风险等级
并非每款 AI 工具都需要同等深度的审查。先定级，再据此调整问卷的范围和深度。
| 等级 | 判断标准 | 审查深度 |
|---|---|---|
| 第 1 级（高风险） | 涉及客户数据、个人数据、受监管数据，或 AI 会执行操作（发送、付款、修改记录） | 完整问卷、证据、安全测试、法务审查 |
| 第 2 级（中风险） | 涉及内部数据，每项输出均由人工审核 | 核心问卷 + 关键证据 |
| 第 3 级（低风险） | 仅使用公开数据，无系统集成 | 简版问卷 + 条款审查 |
在供应商档案中记录风险等级及其依据。用例发生变化时，重新定级。
步骤 2：发送 AI 供应商风险问卷
在标准安全问卷（例如 Shared Assessments SIG 或 CSA AI 控制矩阵）的基础上，补充以下问题。
数据处理与隐私
- 我们的数据（提示词、文件、输出）是否被用于训练或评估任何模型？默认设置是什么？能否选择退出，或通过合同作出承诺？
- 提示词、输出和日志会保留多久？我们能否设置为不保留或短期保留？
- 数据在哪些区域处理和存储？能否锁定区域？
- 哪些分包处理商和模型提供商会接收我们的数据？发生变更时，如何通知我们？
- 是否提供数据处理协议（DPA）？是否涵盖 AI 处理和跨境传输？
模型与系统治理
- 产品使用哪些模型？是自有模型还是第三方模型？
- 如何通知和测试模型或版本变更？
- 针对准确性、偏见和安全性开展哪些评估？能否分享结果？
- 是否提供预期用途和已知局限的说明文档（模型卡或系统卡）？
安全
- 哪些认证或鉴证涵盖该 AI 服务（SOC 2 Type II、ISO 27001、ISO 42001）？该 AI 产品是否在覆盖范围内？
- 如何测试提示注入、数据泄露和代理权限过大等风险（例如参照 OWASP 大语言模型应用十大风险）？
- 如何签发 API 密钥、限定权限范围、轮换和撤销密钥？
- 日志包含哪些内容？谁有权访问？我们能否导出？
- 对于 AI 相关事件，你们的事件响应和通知时限是什么？
运营与成本
- 服务等级协议（SLA）的内容是什么？是否涵盖 AI 功能和上游模型提供商？
- 上游模型提供商不可用时会如何处理：切换备用服务、降级，还是直接失败？
- 是否支持按密钥设置配额、支出上限和用量告警？
- 退出条款是什么：数据导出、删除确认、提前通知期限分别如何规定？
监管要求
- 你们如何根据欧盟《人工智能法案》对该系统进行分类？作为提供者，或在支持部署者履行义务方面，你们满足了哪些要求？目前的实施时间表显示，附件 III 中的高风险要求将自 2027年12月2日起适用。
- 在有要求的情况下，输出是否附有 AI 生成内容的披露说明或标记？
步骤 3：收集证据，而不只收集回答
第 1 级审查中的每个肯定回答，都应有可归档的材料作为依据。
| 回答 | 应索取的证据 | 检查要点 |
|---|---|---|
| “我们不会用你的数据训练” | 合同条款、DPA、产品设置文档 | 默认不训练还是需主动退出；是否也涵盖分包处理商 |
| “数据保留 30 天” | 数据保留政策、管理设置截图 | 是否适用于日志和备份 |
| “SOC 2 Type II” | 在保密协议（NDA）下提供的报告、衔接函 | AI 服务是否在范围内；报告期间的结束日期；例外事项 |
| “我们会测试提示注入” | 测试摘要或渗透测试报告 | 日期、范围、发现的问题、复测情况 |
| “按密钥设置配额” | 文档或控制台截图；自行测试 | 达到限制时是否确实阻止请求 |
| “已列出模型提供商” | 标明区域的分包处理商清单 | 是否满足你的数据驻留要求 |
证书可用作初筛依据，但不能证明你的用例是安全的。有关网关专项证据，请参阅 AI API 网关的 SOC 2 证据、AI 网关 DPA 检查清单和 AI API 数据保留检查清单。
步骤 4：为供应商评分
为每个领域打 1-5 分（5 = 措施完善且有证据支持），并根据其对你用例的重要程度设置权重：
| 领域 | 权重（第 1 级示例） | 1 分 | 5 分 |
|---|---|---|---|
| 数据使用与保留 | 25% | 默认使用数据训练，保留政策不明确 | 不用于训练，保留期限可配置，并有合同约定 |
| 安全与测试 | 25% | 无 AI 专项测试 | 有近期测试证据，且已复测 |
| 第四方与数据驻留 | 15% | 模型提供商不明 | 完整清单、区域信息、变更通知 |
| 治理与变更 | 15% | 未通知即变更模型 | 有版本管理、通知和评估 |
| 运营与成本控制 | 10% | 无 SLA，无配额 | 有 SLA、备用方案、配额和支出上限 |
| 监管合规准备 | 10% | 未作评估 | 有分类及义务的书面记录 |
以下是一个可与供应商档案一并保存的简单评分脚本：
WEIGHTS = {"data": .25, "security": .25, "fourth_parties": .15,
"governance": .15, "operations": .10, "regulatory": .10}
def vendor_score(scores: dict, evidence: dict) -> dict:
"""scores: 1-5 per domain; evidence: True if the score is backed by filed evidence"""
capped = {d: (s if evidence.get(d) else min(s, 2)) for d, s in scores.items()} # no evidence -> max 2
total = sum(WEIGHTS[d] * capped[d] for d in WEIGHTS)
decision = "approve" if total >= 4 else "approve with conditions" if total >= 3 else "reject or escalate"
return {"score": round(total, 2), "decision": decision, "capped": capped}
print(vendor_score(
{"data": 5, "security": 4, "fourth_parties": 4, "governance": 3, "operations": 4, "regulatory": 3},
{"data": True, "security": True, "fourth_parties": True, "governance": False, "operations": True, "regulatory": False},
))
评分上限规则很关键：没有证据支持的声明，得分绝不应与经过测试验证的声明相同。
步骤 5：自行核验涉及风险的声明
对于第 1 级供应商，在签约前先在沙箱中测试几项功能：
- 密钥撤销： 撤销一个测试密钥，确认请求立即失败。
- 配额： 设置较低配额，确认达到配额后请求被阻止。
- 模型允许列表： 调用一个不应获准使用的模型，确认请求被拒绝。
- 日志内容： 检查请求日志存储了什么（仅元数据还是完整提示词）。
# After revoking the test key in the vendor console, this should return 401
curl -s -o /dev/null -w "%{http_code}\n" https://api.vendor.example/v1/chat/completions \
-H "Authorization: Bearer $REVOKED_TEST_KEY" -H "Content-Type: application/json" \
-d '{"model":"any-model","messages":[{"role":"user","content":"ping"}]}'
问卷反映的是供应商的声明；这些测试则直接核验其中的几项。对你自己的 AI 应用开展完整安全测试，是另一项独立工作，详见我们的 AI 安全审计指南。
步骤 6：将控制措施写入合同
| 条款 | 原因 |
|---|---|
| 不得使用客户数据训练（包括分包处理商） | 防止数据复用 |
| 数据保留期限及退出时删除数据 | 限制风险暴露 |
| 分包处理商和模型提供商变更通知 | 让你有机会对新增第四方提出异议 |
| 数据泄露和 AI 事件通知时限 | 加快响应 |
| 审计权与获取证据的权利 | 便于重新核验声明 |
| 涵盖 AI 功能的 SLA | 使可用性承诺具有合同约束力 |
| 数据驻留 | 满足数据传输规定 |
步骤 7：审批通过后持续监控
- 每年重新审查第 1 级供应商；供应商变更模型、分包处理商或条款时，也需重新审查。
- 按供应商和密钥跟踪用量与成本。
- 关注事件和安全公告。
- 维护已批准模型清单，确保新模型经过审查（AI 模型审批流程）。
将 AI API 网关作为供应商进行评估
网关位于你的应用与多家模型提供商之间，因此需要评估两个层面：网关本身（密钥、日志、配额、计费、支持），以及其路由到的每一家上游提供商。要求供应商提供路由清单，并说明各提供商分别接收哪些数据。以 Flatkey 为例，你可以在用量仪表盘查看每个请求的模型、token 数、成本和密钥，将日志导出为 CSV/JSON 作为证据，并在 API 密钥管理中按环境创建或撤销密钥。将这些导出文件与问卷一并存入采购档案。我们的 AI 网关采购证据材料包列出了完整材料清单，模型提供商证据审查则涵盖上游提供商。
常见问题
什么是 AI 供应商风险评估？
这是对第三方 AI 产品或 API 开展的结构化审查，在批准前检查数据使用、安全、第四方模型提供商、治理、运营和监管合规准备情况，并以证据和风险评分为依据。
AI 供应商问卷应包含哪些问题？
至少应涵盖：是否使用你的数据训练模型、数据保留、处理区域、分包处理商和模型提供商、涵盖 AI 服务的认证、AI 专项安全测试、密钥与日志控制、SLA 和备用方案、成本控制、退出条款，以及欧盟《人工智能法案》分类。
AI 供应商风险管理与常规第三方风险管理（TPRM）有何不同？
AI 新增了数据被复用于训练、第四方模型提供商、模型输出不可预测、模型频繁变更，以及 AI 专项监管等问题。标准 TPRM 控制措施仍然适用。
AI 能否帮助管理供应商风险？
可以。AI 工具可以汇总问卷并标记缺失的证据，但审批决定和证据核验应由人工完成，尤其是涉及第 1 级供应商时。
有 SOC 2 报告就足以批准 AI 供应商吗？
不够。先检查 AI 服务是否在报告的范围和覆盖期间内，然后仍需就训练、数据保留、模型提供商和测试提出 AI 专项问题。AICPA SOC 2 概述说明了 SOC 2 报告的覆盖内容。
哪些框架有助于评估 AI 供应商风险？
NIST AI RMF 及其生成式 AI 风险概况、针对技术风险的 OWASP 大语言模型十大风险、CSA AI 控制矩阵、面向 AI 管理体系的 ISO/IEC 42001，以及 Shared Assessments SIG 问卷。
参考来源
核查日期为 2026年10月26日：NIST AI RMF、NIST AI 600-1、OWASP 大语言模型应用十大风险、CSA AI 控制矩阵、Shared Assessments SIG、欧盟《人工智能法案》时间表、GDPR AI API 网关检查清单。
