AICPA och AIUC kopplar SOC 2-rapporter till AIUC-1-certifiering

American Institute of CPAs och Artificial Intelligence Underwriting Company tillkännagav den 19 oktober 2026 ett gemensamt upplägg för bestyrkande och certifiering som kombinerar en SOC 2-rapport med AIUC-1-certifiering. Upplägget levereras som en enda rapport efter ett och samma uppdrag lett av en CPA och omfattar AI-system och AI-agenter.

Organisationerna beskrev certifieringen som den första heltäckande, oberoende granskningen av affärsrisker kopplade till AI-system och AI-agenter. Enligt tillkännagivandet bygger erbjudandet på standarder och ramverk som de två partnerna har tagit fram och som används av tusentals företag världen över. Förra året fick fler än 40 000 organisationer ett SOC 2-bestyrkande eller en AIUC-1-certifiering.

”Företag har gjort betydande investeringar i AI, och investerare, kunder och andra intressenter förtjänar en mer fullständig och objektiv bild av om tekniken är säker, tillförlitlig och väl styrd”, sade AICPA:s ordförande och vd Mark Koziel. Han sade att det gemensamma erbjudandet ger den bilden och att organisationer, med CPA:er i ledningen för uppdraget, får tillgång till den expertis, integritet och professionella bedömning som skapar förtroende på kapitalmarknaderna.

Vad SOC 2-granskningen omfattar

SOC 2 är en oberoende granskning som utförs av en auktoriserad CPA enligt AICPA:s bestyrkandestandarder. Granskningen utvärderar de kontroller som är relevanta för ett systems säkerhet, tillgänglighet, behandlingsintegritet, konfidentialitet eller integritetsskydd. Den resulterande rapporten innehåller ett uttalande om utformningen av och den operativa effektiviteten hos de kontroller som stöder systemet.

AICPA beskriver System- och organisationskontroller som en uppsättning tjänsteerbjudanden som CPA:er kan tillhandahålla i samband med kontroller på systemnivå hos en tjänsteorganisation eller kontroller på organisationsnivå hos andra organisationer. AICPA utfärdar också de professionella standarderna för SOC-uppdrag.

Enligt den gemensamma modellen bedömer CPA-företag en organisations kontroller mot kriterierna för betrodda tjänster, som har tagits fram av AICPA. Säkerhet är den obligatoriska grundnivån, medan tillgänglighet, behandlingsintegritet, konfidentialitet och integritetsskydd är valfria tillägg, enligt AIUC:s dokumentation av jämförelsen med SOC 2. Där anges att AIUC-1 omfattar AI-specifika kontroller som inte täcks av SOC 2 och kopplar SOC 2:s kriterier för betrodda tjänster till AI-specifika krav. I gap-analysen konstateras att AIUC-1 inte överlappar med en grupp SOC 2-områden som omfattar kapacitetshantering, miljöskydd och säkerhetskopior, testning av återställningsplaner, begränsningar av fysisk åtkomst, styrelsens tillsyn, bedömning av bedrägeririsker och riskreducering för verksamhetskontinuitet.

Så testar AIUC-1 AI-agenter

I tillkännagivandet beskrivs AIUC-1 som världens första standard för AI-agenters säkerhet, skydd och tillförlitlighet. Enligt standardens dokumentation omfattar kontrollerna sex kategorier: data och integritetsskydd, som innefattar riktlinjer för dataanvändning, immateriella rättigheter och företagshemligheter, exponering av personuppgifter och läckage av hemligheter; säkerhet, som omfattar adversarial testning, filtrering av indata, åtkomstkontroller och säkra kodningsmönster; trygghet, som innefattar en riskklassificering, testning före driftsättning och av tredje part samt förebyggande av skadliga resultat eller resultat utanför det avsedda tillämpningsområdet; tillförlitlighet, som omfattar förebyggande av hallucinationer och begränsningar av osäkra verktygsanrop; ansvarsskyldighet, som innefattar planer för hantering av fel, ansvarsfördelning, leverantörsgranskning, loggning, transparens och kvalitetsstyrning; samt samhälle, som omfattar förebyggande av AI-aktiverat cybermissbruk och katastrofalt missbruk.

För att bli certifierade måste AI-agenter uppfylla alla tillämpliga AIUC-1-krav, validerade av en ackrediterad revisor, och genomgå omfattande utvärderingar av de största riskerna för företag, enligt dokumentationen. AIUC-1 har tagits fram av ett konsortium med fler än 250 informationssäkerhetschefer (CISO:er) och säkerhetsledare och uppdateras varje kvartal. I tillkännagivandet anges att kontrollerna kopplas till ramverk som MITRE ATLAS, ISO 42001 och EU:s AI-förordning, den europeiska förordning som klassificerar AI-system efter risknivå. I standardens dokumentation listas även jämförelser med NIST:s ramverk för riskhantering av AI och OWASP Top Ten.

AIUC:s medgrundare Rajiv Dattani beskrev den gemensamma certifieringen som ett oberoende svar på två frågor som organisationer enligt honom numera ställer: hur deras säkerhetsläge ser ut och om AI-agenter beter sig som avsett. ”Det som skiljer AIUC-1 från andra är att AI-agenters beteende testas i realtid, inte bara att riktlinjer och skyddsåtgärder granskas”, sade han. Dattani sade att agenter testas mot hundratals kombinationer av risker och angrepp, från hallucinationer och dataläckage till manipulerande förfrågningar och adversarial prompt injection. Varje kombination utvärderas genom upprepade samtal, och en typisk utvärdering omfattar tusentals scenarier.

Villkor för förnyelse och tidsplan för leverans

I tillkännagivandet beskrivs den rådande processen för bestyrkande mellan företag och AI-utvecklare som ett förtroende som förhandlas fram genom ett säkerhetsformulär i taget – ett långsamt och kostsamt utbyte som sällan ger ett tydligt svar. Där anges också att AI-agenter nu har inloggningsuppgifter, anropar API:er och agerar i centrala system, vilket innebär att AI-fel i allt högre grad utgör säkerhetsintrång.

Både SOC 2-rapporter och AIUC-1-certifieringar måste förnyas årligen, utöver de kvartalsvisa tekniska omtesterna för AIUC-1. I standardens dokumentation anges att AIUC-1 kräver årlig omcertifiering så att en organisations säkerhetsnivå håller jämna steg med AI-förmågor och bästa praxis, och mappningen anger att certifieringen omfattar kvartalsvisa tekniska tester av agenter utförda av tredje part mot risker i verkliga miljöer.

Flera CPA-byråer erbjuder redan kunder det gemensamma SOC 2- och AIUC-1-erbjudandet, och enligt AIUC:s dokumentation får organisationer SOC 2-intyget och AIUC-1-certifieringen tillsammans inom ramen för ett enda uppdrag hos sin befintliga SOC 2-revisor. Organisationerna uppgav att en fullständig lansering av den gemensamma certifieringen väntas i början av 2027, när de inledande uppdragen har slutförts.