AICPA ja AIUC yhdistävät SOC 2 -raportit AIUC-1-sertifiointiin

American Institute of CPAs ja Artificial Intelligence Underwriting Company ilmoittivat 19. lokakuuta 2026 yhteisestä varmennussertifioinnista, jossa SOC 2 -raportti yhdistetään AIUC-1-sertifiointiin. Yksi CPA-johtoinen toimeksianto kattaa tekoälyjärjestelmät ja -agentit, ja sen tuloksena toimitetaan yksi raportti.

Organisaatiot kuvasivat sertifiointia ensimmäiseksi kattavaksi ja riippumattomaksi arvioksi tekoälyjärjestelmiin ja -agentteihin liittyvistä liiketoimintariskeistä. Tiedotteen mukaan palvelu perustuu molempien kumppanien kehittämiin standardeihin ja viitekehyksiin, joita tuhannet yritykset käyttävät eri puolilla maailmaa. Viime vuonna yli 40 000 organisaatiota sai SOC 2 -lausunnon tai AIUC-1-sertifioinnin.

”Yritykset ovat investoineet tekoälyyn merkittävästi, ja sijoittajat, asiakkaat sekä muut sidosryhmät ansaitsevat kattavamman ja puolueettoman kuvan siitä, onko teknologia turvallista, luotettavaa ja asianmukaisesti hallinnoitua”, AICPA:n toimitusjohtaja ja pääjohtaja Mark Koziel sanoi. Hänen mukaansa yhteinen palvelu tarjoaa tämän kuvan. Kun toimeksiantoa johtavat CPA-tilintarkastajat, organisaatiot voivat hyödyntää asiantuntemusta, integriteettiä ja ammatillista harkintaa, jotka rakentavat luottamusta pääomamarkkinoilla.

Mitä SOC 2 -tarkastus kattaa

SOC 2 on riippumaton tarkastus, jonka toimiluvan saanut CPA-tilintarkastaja suorittaa AICPA:n varmennustoimeksiantoja koskevien standardien mukaisesti. Tarkastuksessa arvioidaan järjestelmän tietoturvaan, käytettävyyteen, käsittelyn eheyteen, luottamuksellisuuteen tai yksityisyyden suojaan liittyviä kontrolleja. Raportissa esitetään lausunto järjestelmää tukevien kontrollien suunnittelusta ja toiminnan tehokkuudesta.

AICPA kuvaa järjestelmä- ja organisaatiokontrollit palvelukokonaisuudeksi, jota CPA-tilintarkastajat voivat tarjota palveluorganisaation järjestelmätason kontrollien tai muiden organisaatioiden organisaatiotason kontrollien yhteydessä. AICPA myös julkaisee SOC-toimeksiantoja koskevat ammatilliset standardit.

Yhteisessä mallissa CPA-tilintarkastusyhteisöt arvioivat organisaation kontrolleja AICPA:n laatimia Trust Services Criteria -kriteerejä vasten. Tietoturva on pakollinen perusvaatimus, kun taas käytettävyys, käsittelyn eheys, luottamuksellisuus ja yksityisyyden suoja ovat valinnaisia laajennuksia, kerrotaan AIUC:n SOC 2 -vastaavuusdokumentaatiossa. Vastaavuustaulukossa todetaan, että AIUC-1 käsittelee tekoälykohtaisia kontrolleja, joita SOC 2 ei kata, ja yhdistää SOC 2:n Trust Services Criteria -kriteerit tekoälykohtaisiin vaatimuksiin. Aukkoanalyysin mukaan AIUC-1 ei kata samoja osa-alueita kuin tietyt SOC 2:n osa-alueet, joihin kuuluvat kapasiteetin hallinta, ympäristönsuojelu ja varmuuskopiot, palautumissuunnitelmien testaus, fyysisen pääsyn rajoitukset, hallituksen valvonta, petosriskien arviointi ja liiketoiminnan jatkuvuuteen kohdistuvien riskien vähentäminen.

Miten AIUC-1 testaa tekoälyagentteja

Tiedotteessa AIUC-1:tä kuvataan maailman ensimmäiseksi tekoälyagenttien turvallisuutta ja luotettavuutta koskevaksi standardiksi. Standardin dokumentaation mukaan sen kontrollit jakautuvat kuuteen luokkaan: tiedot ja yksityisyys, johon kuuluvat tietojen käyttöä koskevat käytännöt, immateriaalioikeudet ja liikesalaisuudet, henkilötietojen paljastuminen sekä salaisuuksien vuotaminen; tietoturva, johon kuuluvat hyökkääjien tekemät testit, syötteiden suodatus, pääsynhallinta ja turvallisen koodin käytännöt; turvallisuus, johon kuuluvat riskiluokittelu, käyttöönottoa edeltävä ja kolmannen osapuolen tekemä testaus sekä haitallisten tai soveltamisalan ulkopuolisten tulosteiden estäminen; luotettavuus, johon kuuluvat hallusinaatioiden estäminen ja vaarallisten työkalukutsujen rajoittaminen; vastuullisuus, johon kuuluvat toimintahäiriöitä koskevat suunnitelmat, vastuunjako, toimittajien huolellinen arviointi, lokitus, läpinäkyvyys ja laadunhallinta; sekä yhteiskunta, johon kuuluvat tekoälyn mahdollistaman kyberväärinkäytön ja katastrofaalisen väärinkäytön estäminen.

Sertifioinnin saamiseksi agenttien on täytettävä kaikki sovellettavat AIUC-1-vaatimukset, jotka akkreditoitu auditoija vahvistaa, ja niiden on läpäistävä kattavat arvioinnit, joissa tarkastellaan yritysten keskeisiä riskejä, dokumentaatiossa todetaan. AIUC-1:n kehitti yli 250 tietoturvajohtajan ja tietoturva-alan johtajan yhteenliittymä, ja sitä päivitetään neljännesvuosittain. Tiedotteen mukaan sen kontrollit vastaavat muun muassa MITRE ATLAS-, ISO 42001- ja EU AI Act -viitekehyksiä. EU AI Act on eurooppalainen säädös, jossa tekoälyjärjestelmät luokitellaan riskitason mukaan. Standardin dokumentaatiossa mainitaan myös vastaavuudet NIST AI Risk Management Frameworkiin ja OWASP Top Teniin.

AIUC:n perustajajäsen Rajiv Dattani kuvasi yhteistä sertifiointia riippumattomaksi vastaukseksi kahteen kysymykseen, joita organisaatiot hänen mukaansa esittävät nykyään: millainen niiden tietoturvan taso on ja toimivatko tekoälyagentit odotetulla tavalla. ”AIUC-1:n erottaa muista tekoälyagenttien toiminnan testaaminen käytännössä, ei pelkkä käytäntöjen ja suojatoimien tarkastelu”, hän sanoi. Dattani kertoi, että agentteja testataan sadoilla riski- ja hyökkäysyhdistelmillä hallusinaatioista ja tietovuodoista manipuloiviin pyyntöihin ja vihamielisiin kehotesyötteisiin. Kukin yhdistelmä arvioidaan iteratiivisissa keskusteluissa, ja tyypillinen arviointi kattaa tuhansia skenaarioita.

Uusimisen ehdot ja toimitusaikataulu

Tiedotteessa yritysten ja tekoälykehittäjien välistä nykyistä varmennusprosessia kuvataan luottamuksen rakentamiseksi neuvottelemalla yksi tietoturvakysely kerrallaan. Hidas ja kallis prosessi ratkaisee kysymyksen harvoin. Tiedotteessa todetaan myös, että tekoälyagenteilla on nykyään käytössään tunnistetietoja, ne kutsuvat rajapintoja ja toimivat keskeisissä järjestelmissä, joten tekoälyn toimintahäiriö merkitsee yhä useammin tietoturvaloukkausta.

Sekä SOC 2 -raportit että AIUC-1-sertifioinnit on uusittava vuosittain, minkä lisäksi AIUC-1:n tekninen uudelleentestaus tehdään neljännesvuosittain. Standardin dokumentaatiossa todetaan, että AIUC-1 edellyttää vuosittaista uudelleensertifiointia, jotta organisaation tietoturvan taso pysyy tekoälyn kyvykkyyksien ja parhaiden käytäntöjen tasalla. Vastaavuustaulukossa puolestaan todetaan, että sertifiointiin kuuluu neljännesvuosittainen, kolmannen osapuolen tekemä tekninen testaus, jossa agentteja arvioidaan todellisia riskejä vasten.

Useat CPA-yritykset tarjoavat jo asiakkailleen SOC 2:n ja AIUC-1:n yhdistettyä palvelua, ja AIUC:n dokumentaation mukaan organisaatiot saavat SOC 2 -varmennuslausunnon ja AIUC-1-sertifioinnin samalla toimeksiannolla nykyisen SOC 2 -tilintarkastajansa kanssa. Organisaatioiden mukaan yhdistetyn sertifioinnin täysimittaisen lanseerauksen odotetaan tapahtuvan vuoden 2027 alussa, kun ensimmäiset toimeksiannot on saatu päätökseen.