AICPA a AIUC spojují zprávy SOC 2 s certifikací AIUC-1

American Institute of CPAs a Artificial Intelligence Underwriting Company 19. října 2026 oznámily společnou certifikaci poskytující ujištění, která spojuje zprávu SOC 2 s certifikací AIUC-1. Výsledkem je jediná zpráva vypracovaná na základě zakázky vedené certifikovaným účetním a zahrnující systémy a agenty umělé inteligence.

Organizace certifikaci označily za první komplexní nezávislé posouzení obchodních rizik spojených se systémy a agenty umělé inteligence. Podle oznámení nabídka vychází ze standardů a rámců, které obě partnerské organizace vytvořily a které používají tisíce společností po celém světě. V loňském roce získalo osvědčení SOC 2 nebo certifikaci AIUC-1 více než 40 000 organizací.

„Společnosti do umělé inteligence významně investovaly a investoři, klienti i další zainteresované strany si zaslouží úplnější a objektivní pohled na to, zda je tato technologie bezpečná, spolehlivá a řádně řízená,“ uvedl Mark Koziel, prezident a generální ředitel AICPA. Společná nabídka podle něj takový pohled poskytuje. Dodal, že díky tomu, že zakázku vedou certifikovaní účetní, mohou organizace využít jejich odborné znalosti, integritu a profesionální úsudek, které budují důvěru na kapitálových trzích.

Co zahrnuje prověrka SOC 2

SOC 2 je nezávislá prověrka, kterou provádí licencovaný certifikovaný účetní podle atestačních standardů AICPA. Hodnotí kontrolní mechanismy související se zabezpečením, dostupností, integritou zpracování, důvěrností nebo ochranou soukromí systému. Výsledná zpráva obsahuje odborný závěr o návrhu kontrolních mechanismů podporujících daný systém a o jejich účinnosti v praxi.

AICPA popisuje systémové a organizační kontroly jako soubor služeb, které mohou certifikovaní účetní poskytovat v souvislosti s kontrolními mechanismy na úrovni systémů servisní organizace nebo na úrovni organizace u jiných subjektů. AICPA také vydává profesní standardy pro zakázky SOC.

Podle společného modelu posuzují účetní firmy kontrolní mechanismy organizace podle Kritérií důvěryhodných služeb vytvořených AICPA. Zabezpečení je povinným základem, zatímco dostupnost, integrita zpracování, důvěrnost a ochrana soukromí představují volitelná rozšíření, uvádí dokumentace k mapování SOC 2 od AIUC. Podle této dokumentace se AIUC-1 zabývá kontrolními mechanismy specifickými pro umělou inteligenci, které SOC 2 nepokrývá, a mapuje Kritéria důvěryhodných služeb SOC 2 na požadavky specifické pro AI. Analýza nedostatků uvádí, že se AIUC-1 nepřekrývá s několika oblastmi SOC 2, mezi něž patří řízení kapacit, ochrana životního prostředí a zálohování, testování plánů obnovy, omezení fyzického přístupu, dohled správní rady, posuzování rizika podvodů a zmírňování rizik ohrožujících kontinuitu podnikání.

Jak AIUC-1 testuje agenty umělé inteligence

Oznámení popisuje AIUC-1 jako první standard na světě pro bezpečnost, zabezpečení a spolehlivost agentů umělé inteligence. Podle dokumentace standardu zahrnují jeho kontrolní mechanismy šest kategorií: data a ochranu soukromí, které pokrývají zásady používání dat, duševní vlastnictví a obchodní tajemství, vystavení osobních údajů a únik tajných informací; zabezpečení, které zahrnuje testování odolnosti vůči útokům, filtrování vstupů, řízení přístupu a bezpečné postupy při psaní kódu; bezpečnost, zahrnující taxonomii rizik, testování před nasazením i testování třetími stranami a prevenci škodlivých výstupů nebo výstupů mimo stanovený rozsah; spolehlivost, která se zaměřuje na prevenci halucinací a omezení nebezpečných volání nástrojů; odpovědnost, která zahrnuje plány pro případ selhání, vymezení odpovědnosti, prověřování dodavatelů, protokolování, transparentnost a řízení kvality; a společenský dopad, který zahrnuje prevenci zneužití AI k kybernetickým útokům a prevenci katastrofického zneužití.

Aby agenti získali certifikaci, musí splnit všechny příslušné požadavky AIUC-1 ověřené akreditovaným auditorem a podstoupit komplexní hodnocení zaměřená na hlavní podniková rizika, uvádí dokumentace. AIUC-1 vytvořilo konsorcium více než 250 ředitelů odpovědných za bezpečnost informací (CISO) a dalších bezpečnostních odborníků a standard se aktualizuje každé čtvrtletí. Oznámení uvádí, že jeho kontrolní mechanismy odpovídají rámcům včetně MITRE ATLAS, ISO 42001 a aktu EU o umělé inteligenci, evropského nařízení, které klasifikuje systémy AI podle úrovně rizika. Dokumentace standardu dále uvádí mapování na Rámec řízení rizik AI NIST a OWASP Top Ten.

Spoluzakladatel AIUC Rajiv Dattani představil společnou certifikaci jako nezávislou odpověď na dvě otázky, které si podle něj organizace nyní kladou: jaká je jejich úroveň zabezpečení a zda se agenti umělé inteligence chovají podle očekávání. „AIUC-1 se odlišuje tím, že chování agentů AI testuje v reálném provozu, místo aby pouze prověřoval zásady a ochranná opatření,“ uvedl. Agenti podle Dattaniho procházejí testy zahrnujícími stovky kombinací rizik a útoků, od halucinací a úniku dat až po manipulativní požadavky a podvržení adversariálních pokynů. Každá kombinace se vyhodnocuje prostřednictvím opakovaných interakcí a typické hodnocení zahrnuje tisíce scénářů.

Podmínky obnovení a harmonogram zavedení

Oznámení popisuje obvyklý proces ujišťování mezi podniky a vývojáři AI jako vyjednávání o důvěře prostřednictvím jednoho bezpečnostního dotazníku za druhým — pomalou a nákladnou výměnu, která otázku jen zřídka definitivně vyřeší. Uvádí také, že agenti AI nyní disponují přihlašovacími údaji, volají rozhraní API a pracují v rámci klíčových systémů, takže selhání AI stále častěji znamená narušení bezpečnosti.

Obě zprávy SOC 2 i certifikace AIUC-1 je nutné každoročně obnovovat, navíc se každé čtvrtletí znovu technicky testuje soulad s AIUC-1. Dokumentace standardu uvádí, že AIUC-1 vyžaduje každoroční opětovnou certifikaci, aby bezpečnostní stav organizace odpovídal vývoji schopností umělé inteligence a osvědčených postupů. Vztah mezi požadavky obou standardů také uvádí, že certifikace zahrnuje čtvrtletní technické testování agentů třetí stranou zaměřené na reálná rizika.

Několik auditorských firem CPA již klientům nabízí společné řešení SOC 2 a AIUC-1. Dokumentace AIUC uvádí, že organizace získají osvědčení SOC 2 i certifikaci AIUC-1 v rámci jediného auditu u svého stávajícího auditora SOC 2. Organizace uvedly, že úplné spuštění společné certifikace se očekává na začátku roku 2027, jakmile budou dokončeny úvodní audity.