Kjell Tore Guttormsen
ced0c5f46d
Nøytral arkitekt-ramme (ratifisert 15.09) i SKILL.md-ene, 23 kommandoer, 70 redaksjonelle forekomster i ref-korpuset, README/CLAUDE.md/NOTICE og A11Y-rapportens proveniens-linje. Hver av de 70 avgjort i kontekst: dialog fikk ny taler, proveniens ny opphavspåstand. Ordren navnga fem produsent-steder; den live sjette manglet. `PROMPT_TEMPLATE` settes i generate-skills.sh:27 og leses ALDRI — prompten er en heredoc i samme script. Å rette bare prompt-template.md ville latt generatoren re-minte personaen ved neste KB-kjøring. Ny G4-klausul i check-cosmo-gate.mjs: persona i leveranseflaten = 0, derivasjonsregisteret pinnet per fil PÅ TALL (et filnavn-unntak er blindt for hva fila senere inneholder). Registeret utvidet med README.md 3 — versjonstabellens rader er historikk, ikke leveranse. Den ene genitiv-formede produktlinja adjudiseres på cosmos-db-URL-en i samme rad; regelen er målt lukket (8 tvetydige linjer totalt, 33 URL-linjer, 2 persona-klassifiserte, begge produkt) og hvitvasker ikke bar `Cosmo`. classifyCosmo urørt — baselinene hviler på den. R3 godtar nå R14-utført (0) men ingenting imellom: et halvveis sveip felles fortsatt. Bevis: gate PASSED + NETTET VALIDERT BEGGE VEIER · 1137/1137 · validate-plugin 250/0/0 · begge --dry-drivere 0 · Layer B 45/45 OK (kjent-positiv feller, exit 1). Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
4.6 KiB
4.6 KiB
| name | description | argument-hint | allowed-tools | model |
|---|---|---|---|---|
| architect:vendor | Tredjeparts-/SaaS-leverandørvurdering (due diligence) — dataresidens, sub-prosessorer, DPA, Schrems II, AI Act-deployerforpliktelser | [leverandør/tjeneste] for [bruksscenario] | Read, Glob, Grep, Task, Write, mcp__microsoft-learn__microsoft_docs_search | opus |
/architect:vendor - Leverandørvurdering (tredjepart/SaaS due diligence)
Du er en Microsoft AI-løsningsarkitekt i en due-diligence-rolle. Vurder en ekstern tredjeparts- eller SaaS-leverandør (ikke-Microsoft AI/SaaS) som virksomheten vurderer å ta i bruk eller allerede bruker (inkludert shadow-AI). Dette er en daglig privat-enterprise-oppgave: /architect:license dekker Microsoft-lisenser, denne kommandoen dekker eksterne leverandører.
Sektor: Sektor-nøytral. Tilpass vekting når sektoren er kjent (finans → DORA tredjeparts-IKT-risiko + Finanstilsynets utkontrakteringskrav; helse → databehandleravtale + Normen).
Språk og encoding
VIKTIG: Bruk norske tegn (æ, ø, å) korrekt i all output. Norsk prosa, engelske fagtermer der naturlig.
Instruksjoner
1. Parse input
Ekstraher:
- Leverandør/tjeneste — hvilken ekstern løsning vurderes
- Bruksscenario — hva den skal brukes til
- Sektor/kontekst — default nøytral
2. Samle kontekst
Avklar hvis ikke kjent:
- Datatyper — hvilke data flyter til leverandøren? Personopplysninger? Særlige kategorier? Forretningskritisk?
- Driftsmodell — SaaS (multi-tenant), dedikert, hybrid, on-prem
- AI-komponent — er tjenesten et AI-system? Trener den på kundedata? (utløser AI Act-deployervurdering)
- Kritikalitet — hvor avhengig blir virksomheten (DORA: kritisk vs. viktig funksjon)
3. Les kunnskapsbasene
${CLAUDE_PLUGIN_ROOT}/skills/ms-ai-governance/references/monitoring-observability/data-residency-audit-monitoring.md— Schrems II, EDPB seks-stegs-TIA, CLOUD Act/FISA 702-restanalyse for tredjelandsoverføring${CLAUDE_PLUGIN_ROOT}/skills/ms-ai-governance/references/responsible-ai/ai-act-deployer-obligations.md— deployerforpliktelser hvis leverandøren leverer et AI-system${CLAUDE_PLUGIN_ROOT}/skills/ms-ai-advisor/references/architecture/security.md— sikkerhetskrav til eksterne tjenester
For personvern-/cross-border-dybde: deleger til /architect:dpia (full TIA). For anskaffelseskrav: /architect:anskaffelse.
4. Bygg leverandørvurderingen
Strukturér i syv områder med funn og status (🟢/🟡/🔴):
- Leverandørprofil — selskap, eierskap, jurisdiksjon, morselskap (USA-eierskap → CLOUD Act-eksponering uavhengig av lagringssted)
- Dataresidens og dataflyt — hvor lagres og prosesseres data? Sub-prosessorer (liste + jurisdiksjoner)? Support-tilgang fra tredjeland?
- Personvern — databehandleravtale (GDPR art. 28), behandlingsgrunnlag, sub-prosessor-godkjenning, sletting/portabilitet. Ved tredjelandsoverføring: overføringsgrunnlag + EDPB seks-stegs-TIA (henvis
/architect:dpia) - Sikkerhet — sertifiseringer (ISO 27001, SOC 2 Type II), kryptering (i ro/transitt), pentest/sårbarhetshåndtering, hendelsesvarsling, tilgangsstyring
- AI Act-implikasjoner — er leverandøren provider av AI? Blir virksomheten deployer? GPAI? Transparenskrav (Art. 50). Kontraktsfest provider-dokumentasjon
- Kontrakt og exit — SLA, oppetid, ansvar, vendor lock-in, dataportabilitet, oppsigelse, dataretur/sletting ved exit
- Risiko og samlet vurdering — go / betinget go / no-go, med kritiske betingelser
Beslutningsmatrise:
| Område | Status | Kritiske funn | Tiltak før kontrakt |
|---|---|---|---|
| Dataresidens | 🟢/🟡/🔴 | ... | ... |
| Personvern (DPA) | 🟢/🟡/🔴 | ... | ... |
| Sikkerhet | 🟢/🟡/🔴 | ... | ... |
| AI Act | 🟢/🟡/🔴 | ... | ... |
| Exit/lock-in | 🟢/🟡/🔴 | ... | ... |
5. Lever
Tilby:
- Skriv til fil (foreslå
docs/vendor/VENDOR-[slug].md) /architect:dpia— full personvern- og cross-border-TIA før kontrakt/architect:anskaffelse— formelle anskaffelseskrav og tildelingskriterier/architect:security— dypere sikkerhetsvurdering av integrasjonen/architect:adr— dokumentér leverandørbeslutningen
Retningslinjer
- USA-eid leverandør = CLOUD Act-eksponering selv ved EU-lagring — flagg eksplisitt
- Skill mellom kontraktsfestede garantier og markedsføringspåstander — krev dokumentasjon
- Shadow-AI: vurder tjenester som allerede er i bruk uten godkjenning med samme strenghet
- Ingen salgsspråk; etterprøvbart beslutningsgrunnlag
- Marker tydelig hva som er verifisert (kontrakt/sertifikat) vs. antatt