1. Зафиксируйте предмет поставки
- Перечислите модели, API, агенты, базы знаний, коннекторы и компоненты с открытым исходным кодом.
- Определите, где выполняется обработка и в каких странах могут находиться данные и резервные копии.
- Разделите стандартную функцию продукта, заказную разработку и услуги внедрения.
- Укажите версии, ограничения, поддерживаемые языки, лимиты контекста и допустимые сценарии.
- Зафиксируйте, может ли поставщик менять модель или субподрядчика без согласования.
2. Опишите обращение с данными
- Какие запросы, ответы, вложения, журналы и обратная связь сохраняются и на какой срок?
- Используются ли данные заказчика для обучения, дообучения, оценки или улучшения общего сервиса?
- Как реализованы удаление, экспорт, изоляция арендаторов и подтверждение уничтожения?
- Какие категории данных запрещены и как система предотвращает их передачу?
- Кто имеет административный доступ и как фиксируются его действия?
3. Потребуйте проверяемое качество
Приёмка строится на наборе примеров заказчика, а не на рейтинге общей модели. Для каждого сценария задайте метрики качества, полноты, отказа от ответа, времени, стоимости и безопасного поведения. Сохраните версию тестового набора, конфигурацию и порог прохождения.
В договоре укажите повторную проверку после смены модели, промпта, базы знаний или инструментов. Существенная регрессия должна давать право остановить обновление, вернуться на предыдущую версию или прекратить использование.
4. Проверьте безопасность и устойчивость
- Разграничение ролей, MFA, сервисные учётные записи и журналирование.
- Шифрование, управление ключами, резервирование и восстановление.
- Защита от prompt injection, утечки через инструменты и чрезмерных полномочий агента.
- Процесс сообщений об уязвимостях, сроки исправления и история инцидентов.
- Ручной режим, резервный поставщик или другой способ продолжить критический процесс.
5. Свяжите SLA с бизнес-процессом
Доступность API сама по себе недостаточна. Нужны ограничения задержки, пропускной способности, очереди, периода уведомления об изменениях, поддержки и восстановления. Определите, что считается инцидентом ИИ, кто проводит расследование и какие данные поставщик обязан предоставить.
Цена должна позволять проверить счёт: единица тарификации, кеширование, повторные запросы, хранение, сетевой трафик, инструменты и минимальные обязательства. Установите лимиты и уведомления до превышения бюджета.
6. Подготовьте выход до входа
- Экспорт промптов, документов, индексов, журналов, настроек и результатов оценки в пригодном формате.
- Срок и стоимость выгрузки, помощь в миграции и удаление оставшихся копий.
- Права на заказные компоненты и возможность использовать их с другой моделью.
- Документация интерфейсов и отсутствие необоснованной привязки к закрытому формату.
Закупка готова к подписанию, когда бизнес принимает ожидаемый эффект, ИБ — контроль, юристы — ответственность и данные, ИТ — эксплуатацию и выход, а приёмочная комиссия получает воспроизводимый набор доказательств.