外部データプロバイダー、モデルベンダー、またはサービスプラットフォームに依存することから生じるリスクは、コンプライアンスやセキュリティの脆弱性を引き起こす可能性があります。
ベンダーのデータ保護慣行、セキュリティ統制、およびガバナンス成熟度に関するデューデリジェンスを実施します。契約上の対策には、SLA、監査権、および補償条項が含まれます。ガバナンスチームはサードパーティ台帳を維持し、定期的なリスク評価（例：SOC 2レポート）を実施するとともに、ベンダーのパフォーマンスを継続的に監視します。高リスクのベンダーに対しては、侵入テスト、コンプライアンス監査、ならびにベンダー障害時のコンティンジェンシープラン策定など、強化された監督体制を適用します。
ある銀行のAIチームは、SOC-2 Type IIレポートの確認、セキュリティ質問票の実施、ならびにモデルに対する倫理的AI監査の実行を通じて、サードパーティ製の不正検知APIを評価します。当該ベンダーは「高リスク」に分類され、四半期ごとの再監査と、基準が低下した場合に社内ソリューションへ切り替えるためのフォールバック計画が必須とされます。
