L'exposition résultant de la dépendance envers des fournisseurs de données externes, des vendeurs de modèles ou des plateformes de services qui pourraient introduire des vulnérabilités de conformité ou de sécurité.
Implique une diligence raisonnable concernant les pratiques des fournisseurs en matière de protection des données, les contrôles de sécurité et la maturité de la gouvernance. Les mesures contractuelles comprennent des SLA, des droits d’audit et des clauses d’indemnisation. Les équipes de gouvernance tiennent un registre des tiers, réalisent des évaluations périodiques des risques (p. ex., rapports SOC 2) et surveillent la performance des fournisseurs. Les fournisseurs à haut risque déclenchent une supervision renforcée : tests d’intrusion, audits de conformité et plans de continuité en cas de défaillance du fournisseur.
L’équipe IA d’une banque évalue une API de détection de fraude tierce en examinant son rapport SOC 2 Type II, en menant un questionnaire de sécurité et en réalisant un audit d’IA éthique de son modèle. Le fournisseur est classé « à haut risque », ce qui exige des réaudits trimestriels ainsi qu’un plan de secours permettant de basculer vers une solution interne si les normes venaient à se dégrader.
