AICPA dan AIUC Memadukan Laporan SOC 2 dengan Sertifikasi AIUC-1

American Institute of CPAs dan Artificial Intelligence Underwriting Company pada 19 Oktober 2026 mengumumkan sertifikasi jaminan bersama yang menggabungkan laporan SOC 2 dengan sertifikasi AIUC-1, disajikan dalam satu laporan dari satu penugasan yang dipimpin CPA dan mencakup sistem serta agen AI.

Kedua organisasi tersebut menyebut sertifikasi ini sebagai peninjauan independen komprehensif pertama atas risiko bisnis terkait sistem dan agen AI. Menurut pengumuman itu, penawaran ini berlandaskan standar dan kerangka kerja yang dirintis kedua mitra dan digunakan oleh ribuan perusahaan di seluruh dunia. Tahun lalu, lebih dari 40.000 organisasi memperoleh atestasi SOC 2 atau sertifikasi AIUC-1.

“Perusahaan telah berinvestasi besar-besaran dalam AI, dan investor, klien, serta pemangku kepentingan lainnya berhak mendapatkan gambaran yang lebih menyeluruh dan objektif tentang apakah teknologi ini aman, andal, dan dikelola dengan baik,” kata Presiden dan CEO AICPA Mark Koziel. Menurutnya, penawaran bersama ini memberikan gambaran tersebut. Ia juga mengatakan bahwa dengan CPA yang memimpin penugasan, organisasi dapat memanfaatkan keahlian, integritas, dan pertimbangan profesional yang membangun kepercayaan di seluruh pasar modal.

Apa yang Dicakup Pemeriksaan SOC 2

SOC 2 adalah pemeriksaan independen yang dilakukan CPA berlisensi berdasarkan Standar Atestasi AICPA. Pemeriksaan ini mengevaluasi pengendalian yang relevan dengan keamanan, ketersediaan, integritas pemrosesan, kerahasiaan, atau privasi suatu sistem. Laporan yang dihasilkan memuat opini tentang desain dan efektivitas operasional pengendalian yang mendukung sistem tersebut.

AICPA menjelaskan Pengendalian Sistem dan Organisasi sebagai rangkaian layanan yang dapat diberikan CPA terkait pengendalian tingkat sistem pada organisasi penyedia layanan atau pengendalian tingkat entitas pada organisasi lain. AICPA juga menetapkan standar profesional untuk penugasan SOC.

Menurut dokumentasi pemetaan silang SOC 2 dari AIUC, dalam model bersama ini, firma CPA menilai pengendalian organisasi berdasarkan Kriteria Layanan Kepercayaan yang dikembangkan AICPA. Keamanan menjadi persyaratan dasar, sementara ketersediaan, integritas pemrosesan, kerahasiaan, dan privasi merupakan perluasan opsional. Pemetaan silang tersebut menyatakan bahwa AIUC-1 mencakup pengendalian khusus AI yang tidak dicakup SOC 2 dan memetakan Kriteria Layanan Kepercayaan SOC 2 ke persyaratan khusus AI. Analisis kesenjangan di dalamnya mencatat bahwa AIUC-1 tidak bertumpang tindih dengan sejumlah area SOC 2, termasuk manajemen kapasitas, perlindungan lingkungan dan pencadangan, pengujian rencana pemulihan, pembatasan akses fisik, pengawasan dewan, penilaian risiko penipuan, serta mitigasi risiko kelangsungan bisnis.

Cara AIUC-1 Menguji Agen AI

Pengumuman tersebut menyebut AIUC-1 sebagai standar pertama di dunia untuk keselamatan, keamanan, dan keandalan agen AI. Menurut dokumentasi standar tersebut, pengendaliannya mencakup enam kategori: data dan privasi, yang meliputi kebijakan penggunaan data, kekayaan intelektual dan rahasia dagang, paparan data pribadi, serta kebocoran rahasia; keamanan, yang mencakup pengujian adversarial, penyaringan masukan, pengendalian akses, dan pola kode aman; keselamatan, yang mencakup taksonomi risiko, pengujian sebelum penerapan dan oleh pihak ketiga, serta pencegahan keluaran yang berbahaya atau di luar cakupan; keandalan, yang mencakup pencegahan halusinasi dan pembatasan pemanggilan alat yang tidak aman; akuntabilitas, yang mencakup rencana penanganan kegagalan, kepemilikan, uji tuntas vendor, pencatatan log, transparansi, dan manajemen mutu; serta masyarakat, yang mencakup pencegahan penyalahgunaan siber berbasis AI dan penyalahgunaan yang bersifat katastrofik.

Untuk memperoleh sertifikasi, agen harus memenuhi semua persyaratan AIUC-1 yang berlaku dan divalidasi oleh auditor terakreditasi, serta menjalani evaluasi komprehensif yang mencakup risiko utama perusahaan, menurut dokumentasi tersebut. AIUC-1 dikembangkan oleh konsorsium yang terdiri atas lebih dari 250 CISO dan pemimpin keamanan, serta diperbarui setiap kuartal. Pengumuman itu menyatakan bahwa pengendaliannya dipetakan ke berbagai kerangka kerja, termasuk MITRE ATLAS, ISO 42001, dan EU AI Act, peraturan Eropa yang mengklasifikasikan sistem AI berdasarkan tingkat risiko. Dokumentasi standar tersebut juga mencantumkan pemetaan silang ke NIST AI Risk Management Framework dan OWASP Top Ten.

Salah satu pendiri AIUC, Rajiv Dattani, menggambarkan sertifikasi bersama ini sebagai jawaban independen atas dua pertanyaan yang menurutnya kini diajukan organisasi: bagaimana postur keamanan mereka, dan apakah agen AI berperilaku sesuai harapan. “Yang membedakan AIUC-1 adalah pengujian langsung terhadap perilaku agen AI, bukan sekadar peninjauan kebijakan dan mekanisme pengamannya,” katanya. Dattani mengatakan bahwa agen diuji melalui ratusan kombinasi risiko dan serangan, mulai dari halusinasi dan kebocoran data hingga permintaan manipulatif dan injeksi perintah adversarial. Setiap kombinasi dievaluasi melalui percakapan berulang, dan evaluasi biasanya mencakup ribuan skenario.

Ketentuan Perpanjangan dan Jadwal Pelaksanaan

Pengumuman tersebut menggambarkan proses penjaminan yang lazim antara perusahaan dan pengembang AI sebagai kepercayaan yang dinegosiasikan melalui satu kuesioner keamanan setiap kali—pertukaran yang lambat dan mahal, tetapi jarang memberikan kepastian. Disebutkan pula bahwa agen AI kini memiliki kredensial, memanggil API, dan bertindak di dalam sistem inti, sehingga kegagalan AI semakin sering menjadi pelanggaran keamanan.

Laporan SOC 2 dan sertifikasi AIUC-1 sama-sama harus diperbarui setiap tahun, selain pengujian ulang teknis AIUC-1 setiap triwulan. Dokumentasi standar tersebut menyatakan bahwa AIUC-1 mengharuskan sertifikasi ulang setiap tahun agar postur keamanan organisasi senantiasa mengikuti perkembangan kemampuan AI dan praktik terbaik. Dokumen pemetaan tersebut juga menyatakan bahwa sertifikasi mencakup pengujian teknis oleh pihak ketiga setiap triwulan untuk menilai agen terhadap risiko di dunia nyata.

Sejumlah firma akuntan publik telah menawarkan layanan gabungan SOC 2 dan AIUC-1 kepada klien. Dokumentasi AIUC menyatakan bahwa organisasi memperoleh atestasi SOC 2 dan sertifikasi AIUC-1 sekaligus dalam satu penugasan bersama auditor SOC 2 yang selama ini mereka gunakan. Kedua organisasi tersebut menyatakan bahwa peluncuran penuh sertifikasi gabungan ini diperkirakan berlangsung pada awal 2027, setelah penugasan awal selesai.