معهد المحاسبين القانونيين الأمريكيين وشركة Artificial Intelligence Underwriting Company يقرنان تقارير SOC 2 بشهادة AIUC-1

أعلن معهد المحاسبين القانونيين الأمريكيين وشركة Artificial Intelligence Underwriting Company في 19 أكتوبر 2026 عن شهادة ضمان مشتركة تجمع بين تقرير SOC 2 وشهادة AIUC-1، وتُقدَّم في تقرير واحد عقب تكليف واحد تقوده شركة محاسبة قانونية ويشمل أنظمة الذكاء الاصطناعي ووكلاءه.

وصفت المؤسستان الشهادة بأنها أول مراجعة شاملة ومستقلة لمخاطر الأعمال المرتبطة بأنظمة الذكاء الاصطناعي ووكلائه. وبحسب الإعلان، يستند هذا العرض إلى معايير وأطر عمل طوّرها الشريكان، وتستخدمها آلاف الشركات حول العالم، كما حصلت أكثر من 40,000 مؤسسة في العام الماضي على تصديق SOC 2 أو شهادة AIUC-1.

قال مارك كوزيل، رئيس معهد AICPA ومديره التنفيذي: «استثمرت الشركات مبالغ كبيرة في الذكاء الاصطناعي، ويستحق المستثمرون والعملاء وغيرهم من أصحاب المصلحة صورة أوضح وأكثر موضوعية تبيّن ما إذا كانت هذه التقنية آمنة وموثوقة وتخضع للحوكمة المناسبة». وأضاف أن العرض المشترك يوفر هذه الصورة، وأن قيادة المحاسبين القانونيين للتكليف تتيح للمؤسسات الاستفادة من الخبرة والنزاهة والحكم المهني الذي يعزز الثقة في أسواق رأس المال.

ما الذي يشمله فحص SOC 2

SOC 2 فحص مستقل يجريه محاسب قانوني مرخّص وفق معايير التصديق الصادرة عن AICPA، ويقيّم الضوابط ذات الصلة بأمن النظام أو إتاحته أو سلامة معالجته أو سرّيته أو خصوصيته. ويتضمن التقرير الناتج رأيًا بشأن تصميم الضوابط الداعمة لذلك النظام وفاعليتها التشغيلية.

يصف AICPA ضوابط الأنظمة والمؤسسات بأنها مجموعة من الخدمات التي يجوز للمحاسبين القانونيين تقديمها فيما يتعلق بضوابط مستوى الأنظمة لدى مؤسسة تقدم الخدمات، أو بضوابط مستوى الكيان لدى مؤسسات أخرى، كما يصدر المعايير المهنية لأعمال SOC.

وفق النموذج المشترك، تقيّم شركات المحاسبة القانونية ضوابط المؤسسة بالاستناد إلى معايير خدمات الثقة التي وضعها AICPA، ويكون الأمن المعيار الأساسي الإلزامي، فيما تُعد الإتاحة وسلامة المعالجة والسرّية والخصوصية معايير اختيارية إضافية، بحسب وثائق المطابقة بين SOC 2 والمعايير الأخرى الصادرة عن AIUC. وتوضح هذه الوثائق أن AIUC-1 يتناول ضوابط خاصة بالذكاء الاصطناعي لا تغطيها SOC 2، ويربط معايير خدمات الثقة في SOC 2 بمتطلبات خاصة بالذكاء الاصطناعي. ويسجل تحليل الفجوات عدم وجود تداخل بين AIUC-1 ومجموعة من مجالات SOC 2، تشمل إدارة السعة، والحماية البيئية والنسخ الاحتياطية، واختبار خطط التعافي، وقيود الوصول المادي، وإشراف مجلس الإدارة، وتقييم مخاطر الاحتيال، والحد من مخاطر استمرارية الأعمال.

كيف تختبر AIUC-1 وكلاء الذكاء الاصطناعي

يصف الإعلان AIUC-1 بأنه أول معيار في العالم لسلامة وكلاء الذكاء الاصطناعي وأمنهم وموثوقيتهم. وتشمل ضوابطه ست فئات، وفقًا لـوثائق المعيار: البيانات والخصوصية، وتشمل سياسات استخدام البيانات والملكية الفكرية والأسرار التجارية والتعرض للبيانات الشخصية وتسرب الأسرار؛ والأمن، ويشمل الاختبارات الهجومية وتصفية المدخلات وضوابط الوصول وأنماط كتابة الشيفرات البرمجية الآمنة؛ والسلامة، وتشمل تصنيف المخاطر والاختبارات السابقة للنشر والاختبارات التي تجريها جهات خارجية ومنع المخرجات الضارة أو الخارجة عن النطاق؛ والموثوقية، وتشمل منع الهلوسة والقيود على استدعاءات الأدوات غير الآمنة؛ والمساءلة، وتشمل خطط التعامل مع الإخفاقات وتحديد المسؤوليات والتحقق الواجب من الموردين والتسجيل والشفافية وإدارة الجودة؛ والمجتمع، وتشمل منع إساءة الاستخدام السيبراني التي يتيحها الذكاء الاصطناعي ومنع إساءة الاستخدام الكارثية.

للحصول على الشهادة، يجب على الوكلاء استيفاء جميع متطلبات AIUC-1 المنطبقة، بعد أن يتحقق منها مدقق معتمد، والخضوع لتقييمات شاملة تغطي أبرز المخاطر التي تواجه المؤسسات، بحسب الوثائق. وطوّر AIUC-1 ائتلاف يضم أكثر من 250 من كبار مسؤولي أمن المعلومات وقادة الأمن، ويُحدَّث كل ثلاثة أشهر. ويذكر الإعلان أن ضوابطه تتوافق مع أطر عمل تشمل MITRE ATLAS وISO 42001 وEU AI Act، وهو التنظيم الأوروبي الذي يصنف أنظمة الذكاء الاصطناعي وفق مستوى مخاطرها؛ كما تسرد وثائق المعيار مطابقة مع إطار إدارة مخاطر الذكاء الاصطناعي الصادر عن NIST وقائمة OWASP Top Ten.

قدّم راجيف داتاني، الشريك المؤسس لـAIUC، الشهادة المشتركة بوصفها إجابة مستقلة عن سؤالين قال إن المؤسسات باتت تطرحهما: ما وضعها الأمني، وهل يتصرف وكلاء الذكاء الاصطناعي على النحو المنشود؟ وقال: «ما يميز AIUC-1 هو الاختبار المباشر لسلوك وكلاء الذكاء الاصطناعي، لا مجرد مراجعة السياسات والضوابط الوقائية». وأضاف داتاني أن الوكلاء يُختبرون عبر مئات التركيبات من المخاطر والهجمات، بدءًا من الهلوسة وتسرب البيانات ووصولًا إلى الطلبات التلاعبية وحقن التلقينات العدائي، وأن كل تركيبة تُقيّم من خلال محادثات تكرارية، فيما يشمل التقييم المعتاد آلاف السيناريوهات.

شروط التجديد والجدول الزمني للتسليم

يصف الإعلان عملية الضمان السائدة بين المؤسسات ومطوري الذكاء الاصطناعي بأنها ثقة تُبنى عبر التفاوض بشأن استبيان أمني واحد في كل مرة، في تبادل بطيء ومكلف نادرًا ما يحسم المسألة. ويذكر أيضًا أن وكلاء الذكاء الاصطناعي باتوا يمتلكون بيانات اعتماد ويستدعون واجهات برمجة التطبيقات ويعملون داخل الأنظمة الأساسية، ولذلك يتحول إخفاق الذكاء الاصطناعي على نحو متزايد إلى خرق أمني.

يتطلب كلٌّ من تقارير SOC 2 وشهادات AIUC-1 تجديدًا سنويًا، بالإضافة إلى إعادة الاختبار التقني لـ AIUC-1 كل ثلاثة أشهر. وتنص وثائق المعيار على أن AIUC-1 يتطلب إعادة اعتماد سنوية حتى يواكب الوضع الأمني للمؤسسة قدرات الذكاء الاصطناعي وأفضل الممارسات، كما ينص جدول المطابقة على أن الاعتماد يشمل اختبارًا تقنيًا ربع سنويًا يجريه طرف ثالث للوكلاء، للتحقق من أدائهم في مواجهة المخاطر الواقعية.

تقدم عدة شركات للمحاسبين القانونيين المعتمدين بالفعل لعملائها العرض المشترك لـ SOC 2 وAIUC-1، وتنص وثائق AIUC على أن المؤسسات تحصل على شهادة SOC 2 وإفادة AIUC-1 معًا ضمن مهمة واحدة يجريها مدقق SOC 2 الحالي لديها. وقالت المؤسستان إن الإطلاق الكامل للاعتماد المشترك متوقع في أوائل عام 2027، بعد اكتمال المهام الأولية.