AICPA e AIUC associam relatórios SOC 2 à certificação AIUC-1

O American Institute of CPAs e a Artificial Intelligence Underwriting Company anunciaram, em 19 de outubro de 2026, uma certificação conjunta de garantia que combina um relatório SOC 2 com a certificação AIUC-1, apresentada em um único relatório resultante de um trabalho liderado por um contador público certificado (CPA) e que abrange sistemas e agentes de IA.

As organizações descreveram a certificação como a primeira análise independente e abrangente dos riscos empresariais relacionados a sistemas e agentes de IA. Segundo o anúncio, a oferta se baseia em normas e estruturas desenvolvidas pioneiramente pelos dois parceiros e utilizadas por milhares de empresas em todo o mundo; no ano passado, mais de 40.000 organizações obtiveram uma atestação SOC 2 ou uma certificação AIUC-1.

“As empresas fizeram investimentos substanciais em IA, e investidores, clientes e outras partes interessadas merecem uma visão mais completa e objetiva sobre se a tecnologia é segura, confiável e devidamente governada”, disse Mark Koziel, presidente e CEO da AICPA. Ele afirmou que a oferta conjunta proporciona essa visão e que, com CPAs liderando o trabalho, as organizações contam com a experiência, a integridade e o julgamento profissional que inspiram confiança nos mercados de capitais.

O que a auditoria SOC 2 abrange

A SOC 2 é uma auditoria independente realizada por um CPA licenciado, de acordo com as Normas de Atestação da AICPA. Ela avalia os controles relevantes para a segurança, a disponibilidade, a integridade do processamento, a confidencialidade ou a privacidade de um sistema. O relatório resultante apresenta uma opinião sobre o desenho e a eficácia operacional dos controles que dão suporte ao sistema.

A AICPA descreve Controles de Sistemas e Organizações como um conjunto de serviços que os CPAs podem prestar em relação aos controles no nível de sistema de uma organização prestadora de serviços ou aos controles no nível da entidade de outras organizações. A entidade também estabelece as normas profissionais para trabalhos SOC.

No modelo conjunto, as firmas de CPA avaliam os controles de uma organização com base nos Critérios de Serviços de Confiança desenvolvidos pela AICPA. A segurança é o requisito básico, enquanto disponibilidade, integridade do processamento, confidencialidade e privacidade são extensões opcionais, de acordo com a documentação de correspondência entre SOC 2 e AIUC-1 da AIUC. O documento afirma que a AIUC-1 aborda controles específicos de IA não cobertos pela SOC 2 e relaciona os Critérios de Serviços de Confiança da SOC 2 a requisitos específicos de IA. Sua análise de lacunas não identifica sobreposição entre a AIUC-1 e um conjunto de áreas da SOC 2 que inclui gestão de capacidade, proteções ambientais e backups, testes de planos de recuperação, restrições de acesso físico, supervisão do conselho, avaliação de riscos de fraude e mitigação de riscos à continuidade dos negócios.

Como a AIUC-1 testa agentes de IA

O anúncio descreve a AIUC-1 como a primeira norma do mundo para segurança e confiabilidade de agentes de IA. Segundo a documentação da norma, seus controles abrangem seis categorias: dados e privacidade, que incluem políticas de uso de dados, propriedade intelectual e segredos comerciais, exposição de dados pessoais e vazamento de segredos; segurança, que inclui testes adversariais, filtragem de entradas, controles de acesso e padrões de código seguro; proteção, que inclui uma taxonomia de riscos, testes antes da implantação e por terceiros, além da prevenção de resultados prejudiciais ou fora do escopo; confiabilidade, que inclui a prevenção de alucinações e restrições a chamadas inseguras de ferramentas; responsabilização, que inclui planos para falhas, atribuição de responsabilidades, diligência prévia de fornecedores, registro de atividades, transparência e gestão da qualidade; e sociedade, que inclui a prevenção do uso indevido da IA para fins cibernéticos e de usos indevidos catastróficos.

Para obter a certificação, os agentes precisam cumprir todos os requisitos aplicáveis da AIUC-1 validados por um auditor credenciado e passar por avaliações abrangentes dos principais riscos empresariais, segundo a documentação. A AIUC-1 foi desenvolvida por um consórcio de mais de 250 CISOs e líderes de segurança e é atualizada trimestralmente. O anúncio afirma que seus controles correspondem a estruturas como MITRE ATLAS, ISO 42001 e o EU AI Act, regulamento europeu que classifica os sistemas de IA por nível de risco; a documentação da norma também lista correspondências com o NIST AI Risk Management Framework e o OWASP Top Ten.

O cofundador da AIUC, Rajiv Dattani, apresentou a certificação conjunta como uma resposta independente a duas perguntas que, segundo ele, as organizações fazem atualmente: qual é sua postura de segurança e se os agentes de IA se comportam como esperado. “O que diferencia a AIUC-1 é o teste em tempo real do comportamento dos agentes de IA, e não apenas uma análise de políticas e mecanismos de proteção”, disse. Dattani afirmou que os agentes são testados em centenas de combinações de riscos e ataques, desde alucinações e vazamento de dados até solicitações manipuladoras e injeção adversarial de prompts, e que cada combinação é avaliada por meio de conversas iterativas. Uma avaliação típica abrange milhares de cenários.

Condições de renovação e cronograma de entrega

O anúncio caracteriza o processo de garantia predominante entre empresas e desenvolvedores de IA como uma negociação de confiança feita questionário de segurança por questionário de segurança: uma troca lenta e dispendiosa que raramente resolve a questão. Também afirma que os agentes de IA agora têm credenciais, fazem chamadas a APIs e atuam dentro de sistemas essenciais, de modo que uma falha de IA se torna cada vez mais uma violação de segurança.

Tanto os relatórios SOC 2 quanto as certificações AIUC-1 precisam ser renovados anualmente, além de novos testes técnicos trimestrais para AIUC-1. A documentação da norma afirma que a AIUC-1 exige recertificação anual para que a postura de segurança de uma organização acompanhe os recursos de IA e as melhores práticas. A matriz de correspondência também estabelece que a certificação inclui testes técnicos trimestrais, realizados por terceiros, dos agentes diante de riscos do mundo real.

Várias firmas de contadores públicos certificados já oferecem aos clientes a solução conjunta SOC 2 e AIUC-1. A documentação da AIUC afirma que as organizações obtêm, em um único trabalho, o atestado SOC 2 e a certificação AIUC-1 com o auditor de SOC 2 que já utilizam. As organizações disseram que o lançamento completo da certificação conjunta está previsto para o início de 2027, após a conclusão dos trabalhos iniciais.