Η AICPA και η AIUC συνδυάζουν τις εκθέσεις SOC 2 με την πιστοποίηση AIUC-1

Το Αμερικανικό Ινστιτούτο Ορκωτών Λογιστών και η Artificial Intelligence Underwriting Company ανακοίνωσαν στις 19 Οκτωβρίου 2026 μια κοινή πιστοποίηση διασφάλισης, η οποία συνδυάζει μια έκθεση SOC 2 με την πιστοποίηση AIUC-1, και παρέχεται ως ενιαία έκθεση από μία ανάθεση έργου υπό την καθοδήγηση CPA, που καλύπτει συστήματα και πράκτορες τεχνητής νοημοσύνης.

Οι οργανισμοί περιέγραψαν την πιστοποίηση ως την πρώτη ολοκληρωμένη, ανεξάρτητη αξιολόγηση επιχειρηματικών κινδύνων που σχετίζονται με συστήματα και πράκτορες τεχνητής νοημοσύνης. Σύμφωνα με την ανακοίνωση, η υπηρεσία βασίζεται σε πρότυπα και πλαίσια που πρωτοστάτησαν στην ανάπτυξή τους οι δύο εταίροι και χρησιμοποιούνται από χιλιάδες εταιρείες παγκοσμίως, ενώ πέρυσι περισσότερα από 40.000 ιδρύματα απέκτησαν βεβαίωση SOC 2 ή πιστοποίηση AIUC-1.

«Οι εταιρείες έχουν επενδύσει σημαντικά στην τεχνητή νοημοσύνη, και οι επενδυτές, οι πελάτες και τα άλλα ενδιαφερόμενα μέρη δικαιούνται μια πληρέστερη, αντικειμενική εικόνα για το αν η τεχνολογία είναι ασφαλής, αξιόπιστη και υπόκειται στην κατάλληλη διακυβέρνηση», δήλωσε ο πρόεδρος και διευθύνων σύμβουλος της AICPA, Mark Koziel. Όπως είπε, η κοινή υπηρεσία παρέχει αυτή την εικόνα και, με τους CPA να ηγούνται της ανάθεσης έργου, οι οργανισμοί αξιοποιούν την τεχνογνωσία, την ακεραιότητα και την επαγγελματική κρίση που οικοδομούν εμπιστοσύνη στις κεφαλαιαγορές.

Τι καλύπτει ο έλεγχος SOC 2

Το SOC 2 είναι ένας ανεξάρτητος έλεγχος που διενεργεί αδειοδοτημένος CPA σύμφωνα με τα Πρότυπα Βεβαίωσης της AICPA και αξιολογεί τους ελέγχους που σχετίζονται με την ασφάλεια, τη διαθεσιμότητα, την ακεραιότητα επεξεργασίας, την εμπιστευτικότητα ή την προστασία της ιδιωτικότητας ενός συστήματος. Η έκθεση που προκύπτει περιλαμβάνει γνώμη για τον σχεδιασμό και τη λειτουργική αποτελεσματικότητα των ελέγχων που υποστηρίζουν το εν λόγω σύστημα.

Η AICPA περιγράφει τα Συστήματα και τους Ελέγχους Οργανισμών ως μια σειρά υπηρεσιών που μπορούν να παρέχουν οι CPA σε σχέση με τους ελέγχους σε επίπεδο συστήματος ενός οργανισμού παροχής υπηρεσιών ή τους ελέγχους σε επίπεδο οντότητας άλλων οργανισμών. Παράλληλα, εκδίδει τα επαγγελματικά πρότυπα για τις αναθέσεις έργων SOC.

Σύμφωνα με το κοινό μοντέλο, οι εταιρείες CPA αξιολογούν τους ελέγχους ενός οργανισμού βάσει των Κριτηρίων Υπηρεσιών Εμπιστοσύνης που έχει καταρτίσει η AICPA, με την ασφάλεια να αποτελεί την υποχρεωτική βάση και τη διαθεσιμότητα, την ακεραιότητα επεξεργασίας, την εμπιστευτικότητα και την προστασία της ιδιωτικότητας να αποτελούν προαιρετικές επεκτάσεις, σύμφωνα με την τεκμηρίωση αντιστοίχισης SOC 2 της AIUC. Η αντιστοίχιση αναφέρει ότι το AIUC-1 καλύπτει ελέγχους ειδικά για την τεχνητή νοημοσύνη, τους οποίους δεν καλύπτει το SOC 2, και αντιστοιχίζει τα Κριτήρια Υπηρεσιών Εμπιστοσύνης του SOC 2 με απαιτήσεις ειδικά για την τεχνητή νοημοσύνη. Η ανάλυση κενών δεν καταγράφει καμία επικάλυψη με το AIUC-1 σε ένα σύνολο τομέων του SOC 2, στους οποίους περιλαμβάνονται η διαχείριση χωρητικότητας, η περιβαλλοντική προστασία και τα αντίγραφα ασφαλείας, οι δοκιμές σχεδίων ανάκαμψης, οι περιορισμοί φυσικής πρόσβασης, η εποπτεία από το διοικητικό συμβούλιο, η αξιολόγηση κινδύνου απάτης και ο μετριασμός κινδύνων για την επιχειρησιακή συνέχεια.

Πώς δοκιμάζει το AIUC-1 τους πράκτορες τεχνητής νοημοσύνης

Η ανακοίνωση περιγράφει το AIUC-1 ως το πρώτο παγκοσμίως πρότυπο για την ασφάλεια, την προστασία και την αξιοπιστία των πρακτόρων τεχνητής νοημοσύνης. Σύμφωνα με την τεκμηρίωση του προτύπου, οι έλεγχοι καλύπτουν έξι κατηγορίες: δεδομένα και ιδιωτικότητα, που περιλαμβάνουν πολιτικές χρήσης δεδομένων, διανοητική ιδιοκτησία και εμπορικά απόρρητα, έκθεση προσωπικών δεδομένων και διαρροή μυστικών· ασφάλεια, που περιλαμβάνει δοκιμές απέναντι σε κακόβουλες επιθέσεις, φιλτράρισμα εισόδων, ελέγχους πρόσβασης και ασφαλή πρότυπα κώδικα· ασφάλεια και πρόληψη βλάβης, που περιλαμβάνουν ταξινομία κινδύνων, δοκιμές πριν από την ανάπτυξη και από τρίτους, καθώς και την αποτροπή επιβλαβών αποτελεσμάτων ή αποτελεσμάτων εκτός του προβλεπόμενου πεδίου· αξιοπιστία, που περιλαμβάνει την αποτροπή παραισθήσεων και περιορισμούς σε μη ασφαλείς κλήσεις εργαλείων· λογοδοσία, που περιλαμβάνει σχέδια αντιμετώπισης αστοχιών, σαφή ανάθεση ευθύνης, δέουσα επιμέλεια προμηθευτών, καταγραφή συμβάντων, διαφάνεια και διαχείριση ποιότητας· και κοινωνία, που περιλαμβάνει την αποτροπή της κακόβουλης χρήσης της τεχνητής νοημοσύνης για κυβερνοεπιθέσεις και της καταστροφικής κακόβουλης χρήσης.

Για να λάβουν πιστοποίηση, οι πράκτορες πρέπει να πληρούν όλες τις εφαρμοστέες απαιτήσεις του AIUC-1, όπως αυτές επικυρώνονται από διαπιστευμένο ελεγκτή, και να υποβληθούν σε ολοκληρωμένες αξιολογήσεις που καλύπτουν τους σημαντικότερους επιχειρηματικούς κινδύνους, σύμφωνα με την τεκμηρίωση. Το AIUC-1 αναπτύχθηκε από κοινοπραξία περισσότερων από 250 CISO και ειδικών σε θέματα ασφάλειας και επικαιροποιείται ανά τρίμηνο. Η ανακοίνωση αναφέρει ότι οι έλεγχοι του αντιστοιχίζονται με πλαίσια όπως το MITRE ATLAS, το ISO 42001 και τον EU AI Act, τον ευρωπαϊκό κανονισμό που ταξινομεί τα συστήματα τεχνητής νοημοσύνης ανάλογα με το επίπεδο κινδύνου· η τεκμηρίωση του προτύπου παραθέτει επίσης αντιστοιχίσεις με το NIST AI Risk Management Framework και το OWASP Top Ten.

Ο συνιδρυτής της AIUC, Rajiv Dattani, παρουσίασε την κοινή πιστοποίηση ως ανεξάρτητη απάντηση σε δύο ερωτήματα που, όπως είπε, θέτουν πλέον οι οργανισμοί: ποια είναι η κατάσταση της ασφάλειάς τους και αν οι πράκτορες τεχνητής νοημοσύνης συμπεριφέρονται όπως προβλέπεται. «Αυτό που διαφοροποιεί το AIUC-1 είναι οι ζωντανές δοκιμές της συμπεριφοράς των πρακτόρων τεχνητής νοημοσύνης, όχι απλώς η εξέταση πολιτικών και δικλίδων ασφαλείας», είπε. Οι πράκτορες δοκιμάζονται με εκατοντάδες συνδυασμούς κινδύνων και επιθέσεων, από παραισθήσεις και διαρροή δεδομένων έως χειριστικά αιτήματα και κακόβουλη εισαγωγή προτροπών, ανέφερε ο Dattani. Κάθε συνδυασμός αξιολογείται μέσα από επαναληπτικές συνομιλίες, ενώ μια τυπική αξιολόγηση καλύπτει χιλιάδες σενάρια.

Όροι ανανέωσης και χρονοδιάγραμμα παροχής

Η ανακοίνωση περιγράφει την επικρατούσα διαδικασία διασφάλισης μεταξύ επιχειρήσεων και δημιουργών τεχνητής νοημοσύνης ως μια σχέση εμπιστοσύνης που οικοδομείται με τη διαπραγμάτευση ενός ερωτηματολογίου ασφάλειας κάθε φορά — μια αργή και δαπανηρή ανταλλαγή που σπάνια δίνει οριστική απάντηση. Αναφέρει επίσης ότι οι πράκτορες τεχνητής νοημοσύνης διαθέτουν πλέον διαπιστευτήρια, καλούν API και ενεργούν μέσα σε βασικά συστήματα, με αποτέλεσμα μια αστοχία της τεχνητής νοημοσύνης να αποτελεί όλο και συχνότερα παραβίαση ασφάλειας.

Τόσο οι εκθέσεις SOC 2 όσο και οι πιστοποιήσεις AIUC-1 απαιτούν ετήσια ανανέωση, πέρα από τον ανά τρίμηνο τεχνικό επανέλεγχο AIUC-1. Η τεκμηρίωση του προτύπου αναφέρει ότι το AIUC-1 απαιτεί ετήσια επαναπιστοποίηση, ώστε το επίπεδο ασφάλειας ενός οργανισμού να συμβαδίζει με τις δυνατότητες της τεχνητής νοημοσύνης και τις βέλτιστες πρακτικές. Ο πίνακας αντιστοίχισης διευκρινίζει ότι η πιστοποίηση περιλαμβάνει ανά τρίμηνο τεχνικό έλεγχο των πρακτόρων από τρίτο μέρος, με βάση κινδύνους του πραγματικού κόσμου.

Αρκετές εταιρείες ορκωτών λογιστών προσφέρουν ήδη στους πελάτες τους την κοινή υπηρεσία SOC 2 και AIUC-1, ενώ η τεκμηρίωση της AIUC αναφέρει ότι οι οργανισμοί λαμβάνουν μαζί τη βεβαίωση SOC 2 και την πιστοποίηση AIUC-1, στο πλαίσιο μίας ανάθεσης με τον υφιστάμενο ελεγκτή τους SOC 2. Οι οργανισμοί ανέφεραν ότι η πλήρης διάθεση της κοινής πιστοποίησης αναμένεται στις αρχές του 2027, αφού ολοκληρωθούν οι αρχικές αναθέσεις.