AICPA și AIUC asociază rapoartele SOC 2 cu certificarea AIUC-1

Pe 19 octombrie 2026, American Institute of CPAs și Artificial Intelligence Underwriting Company au anunțat o certificare comună de asigurare, care combină un raport SOC 2 cu certificarea AIUC-1 și este furnizată sub forma unui singur raport, în urma unei misiuni coordonate de un CPA și care vizează sisteme și agenți IA.

Organizațiile au descris certificarea drept prima evaluare cuprinzătoare și independentă a riscurilor de afaceri asociate sistemelor și agenților IA. Potrivit anunțului, oferta se bazează pe standarde și cadre de lucru dezvoltate de cei doi parteneri și utilizate de mii de companii din întreaga lume, iar anul trecut peste 40.000 de organizații au obținut o atestare SOC 2 sau o certificare AIUC-1.

„Companiile au investit sume considerabile în IA, iar investitorii, clienții și alte părți interesate merită o imagine mai completă și obiectivă asupra siguranței și fiabilității tehnologiei și asupra modului în care aceasta este guvernată”, a declarat Mark Koziel, președintele și directorul general al AICPA. El a spus că oferta comună oferă această imagine și că, atunci când misiunea este condusă de CPA, organizațiile beneficiază de expertiza, integritatea și discernământul profesional care inspiră încredere pe piețele de capital.

Ce cuprinde examinarea SOC 2

SOC 2 este o examinare independentă efectuată de un CPA autorizat în conformitate cu standardele de atestare ale AICPA. Aceasta evaluează controalele relevante pentru securitatea, disponibilitatea, integritatea procesării, confidențialitatea sau protecția vieții private a unui sistem. Raportul rezultat conține o opinie privind proiectarea și eficacitatea operațională a controalelor care susțin sistemul respectiv.

AICPA descrie Controalele sistemelor și organizațiilor ca pe o suită de servicii pe care CPA le pot furniza în legătură cu controalele la nivel de sistem ale unei organizații de servicii sau cu cele la nivel de entitate ale altor organizații și elaborează standardele profesionale pentru misiunile SOC.

În cadrul modelului comun, firmele de CPA evaluează controalele unei organizații în raport cu Criteriile pentru serviciile de încredere elaborate de AICPA. Securitatea este cerința de bază, iar disponibilitatea, integritatea procesării, confidențialitatea și protecția vieții private sunt extensii opționale, potrivit documentației de corespondență SOC 2 a AIUC. Documentul arată că AIUC-1 abordează controale specifice IA care nu sunt acoperite de SOC 2 și corelează Criteriile pentru serviciile de încredere din SOC 2 cu cerințe specifice IA. Analiza lacunelor nu identifică nicio suprapunere între AIUC-1 și un set de domenii SOC 2 care include gestionarea capacității, protecția mediului și copiile de siguranță, testarea planurilor de recuperare, restricțiile privind accesul fizic, supravegherea consiliului de administrație, evaluarea riscurilor de fraudă și măsurile de reducere a riscurilor pentru continuitatea activității.

Cum testează AIUC-1 agenții IA

Anunțul prezintă AIUC-1 drept primul standard din lume pentru siguranța, securitatea și fiabilitatea agenților IA. Potrivit documentației standardului, controalele sale se încadrează în șase categorii: date și confidențialitate, care acoperă politicile de utilizare a datelor, proprietatea intelectuală și secretele comerciale, expunerea datelor cu caracter personal și scurgerea secretelor; securitate, care acoperă testarea adversarială, filtrarea intrărilor, controalele de acces și tiparele de cod securizat; siguranță, care acoperă o taxonomie a riscurilor, testarea înainte de implementare și testarea de către terți, precum și prevenirea rezultatelor dăunătoare sau din afara domeniului de aplicare; fiabilitate, care acoperă prevenirea halucinațiilor și restricțiile privind apelurile nesigure către instrumente; responsabilitate, care acoperă planurile pentru situații de eșec, responsabilitatea, verificările prealabile ale furnizorilor, înregistrarea activităților, transparența și managementul calității; și societate, care acoperă prevenirea utilizării abuzive în scopuri cibernetice facilitate de IA și a utilizării abuzive catastrofale.

Pentru a obține certificarea, agenții trebuie să îndeplinească toate cerințele AIUC-1 aplicabile, validate de un auditor acreditat, și să se supună unor evaluări cuprinzătoare care vizează principalele riscuri pentru companii, arată documentația. AIUC-1 a fost dezvoltat de un consorțiu format din peste 250 de directori de securitate a informațiilor (CISO) și lideri în domeniul securității și este actualizat trimestrial. Anunțul precizează că măsurile de control ale standardului corespund unor cadre de lucru precum MITRE ATLAS, ISO 42001 și EU AI Act, regulamentul european care clasifică sistemele IA în funcție de nivelul de risc; documentația standardului menționează, de asemenea, corespondențe cu Cadrul NIST pentru gestionarea riscurilor IA și Top 10 OWASP.

Cofondatorul AIUC, Rajiv Dattani, a prezentat certificarea comună drept un răspuns independent la două întrebări pe care, spune el, organizațiile și le pun acum: care este postura lor de securitate și dacă agenții IA se comportă conform așteptărilor. „Ceea ce diferențiază AIUC-1 este testarea în timp real a comportamentului agenților IA, nu doar examinarea politicilor și a măsurilor de protecție”, a spus el. Agenții sunt testați în sute de combinații de riscuri și atacuri, de la halucinații și scurgeri de date până la solicitări manipulative și injectarea adversarială de instrucțiuni în prompturi, a declarat Dattani. Fiecare combinație este evaluată prin conversații iterative, iar o evaluare obișnuită acoperă mii de scenarii.

Condițiile de reînnoire și calendarul livrării

Anunțul descrie procesul de asigurare predominant dintre companii și dezvoltatorii de IA ca pe o încredere negociată prin completarea unui chestionar de securitate după altul — un schimb lent și costisitor care rareori oferă un răspuns clar. Totodată, precizează că agenții IA dețin acum acreditări, apelează API-uri și acționează în cadrul sistemelor esențiale, astfel încât un eșec al IA devine tot mai des o breșă de securitate.

Atât rapoartele SOC 2, cât și certificările AIUC-1 trebuie reînnoite anual, pe lângă retestarea tehnică trimestrială pentru AIUC-1. Documentația standardului precizează că AIUC-1 impune recertificarea anuală, astfel încât nivelul de securitate al unei organizații să țină pasul cu capabilitățile AI și cu cele mai bune practici, iar matricea de corespondență precizează că certificarea include testarea tehnică trimestrială a agenților de către terți, în raport cu riscurile din lumea reală.

Mai multe firme de experți contabili autorizați oferă deja clienților pachetul comun SOC 2 și AIUC-1, iar documentația AIUC precizează că organizațiile obțin atestarea SOC 2 și certificarea AIUC-1 împreună, în cadrul unei singure misiuni, cu auditorul SOC 2 cu care lucrează deja. Organizațiile au declarat că lansarea completă a certificării comune este așteptată la începutul anului 2027, după încheierea misiunilor inițiale.