AICPA ve AIUC, SOC 2 Raporlarını AIUC-1 Sertifikasyonuyla Birleştiriyor

Amerikan Yeminli Mali Müşavirler Enstitüsü ile Artificial Intelligence Underwriting Company, 19 Ekim 2026’da SOC 2 raporunu AIUC-1 sertifikasyonuyla birleştiren ortak bir güvence sertifikasyonu duyurdu. Yapay zekâ sistemlerini ve ajanlarını kapsayan bu sertifikasyon, CPA liderliğinde yürütülen tek bir çalışma sonucunda tek bir rapor olarak sunuluyor.

Kuruluşlar, sertifikasyonu yapay zekâ sistemleri ve ajanlarıyla ilgili iş risklerini kapsamlı ve bağımsız biçimde inceleyen ilk değerlendirme olarak nitelendirdi. Duyuruya göre bu hizmet, iki iş ortağının öncülük ettiği ve dünya genelinde binlerce şirketin kullandığı standartlar ve çerçeveler üzerine kuruluyor. Geçen yıl 40.000’den fazla kuruluş SOC 2 tasdiki veya AIUC-1 sertifikasyonu aldı.

AICPA Başkanı ve CEO’su Mark Koziel, “Şirketler yapay zekâya önemli yatırımlar yaptı. Yatırımcılar, müşteriler ve diğer paydaşlar, bu teknolojinin güvenli, güvenilir ve uygun biçimde yönetilip yönetilmediğine ilişkin daha kapsamlı ve tarafsız bir değerlendirmeyi hak ediyor,” dedi. Koziel, ortak hizmetin bu değerlendirmeyi sunduğunu ve çalışmaya CPA’ler liderlik ettiğinde kuruluşların sermaye piyasalarında güven oluşturan uzmanlık, dürüstlük ve mesleki muhakemeden yararlandığını söyledi.

SOC 2 İncelemesi Neleri Kapsıyor?

SOC 2, lisanslı bir CPA’nin AICPA Tasdik Standartları uyarınca gerçekleştirdiği bağımsız bir incelemedir. İncelemede, bir sistemin güvenliği, kullanılabilirliği, işlem bütünlüğü, gizliliği veya mahremiyetiyle ilgili kontroller değerlendirilir. Ortaya çıkan rapor, söz konusu sistemi destekleyen kontrollerin tasarımına ve işleyiş etkinliğine ilişkin bir görüş içerir.

AICPA, Sistem ve Organizasyon Kontrollerini, CPA’lerin bir hizmet kuruluşunun sistem düzeyindeki kontrolleri veya diğer kuruluşların kurum düzeyindeki kontrolleriyle bağlantılı olarak sunabileceği bir hizmetler bütünü olarak tanımlar ve SOC çalışmalarına ilişkin mesleki standartları yayımlar.

AIUC’nin SOC 2 eşleştirme belgelerine göre, ortak model kapsamında CPA firmaları kuruluşların kontrollerini AICPA tarafından geliştirilen Güven Hizmetleri Kriterleri’ne göre değerlendirir. Güvenlik zorunlu temel ölçüt olarak ele alınırken kullanılabilirlik, işlem bütünlüğü, gizlilik ve mahremiyet isteğe bağlı ek ölçütlerdir. Eşleştirme belgesinde, AIUC-1’in SOC 2’nin kapsamadığı yapay zekâya özgü kontrolleri ele aldığı ve SOC 2’nin Güven Hizmetleri Kriterleri’ni yapay zekâya özgü gerekliliklerle eşleştirdiği belirtiliyor. Boşluk analizi, AIUC-1’in kapasite yönetimi, çevresel koruma ve yedeklemeler, kurtarma planı testleri, fiziksel erişim kısıtlamaları, yönetim kurulu gözetimi, dolandırıcılık riski değerlendirmesi ve iş sürekliliği riskini azaltma dâhil bir dizi SOC 2 alanıyla örtüşmediğini kaydediyor.

AIUC-1, Yapay Zekâ Ajanlarını Nasıl Test Ediyor?

Duyuruda AIUC-1, yapay zekâ ajanlarının güvenliği, emniyeti ve güvenilirliğine yönelik dünyanın ilk standardı olarak tanımlanıyor. Standardın belgelerine göre kontroller altı kategoriyi kapsıyor: veri ve gizlilik; veri kullanım politikaları, fikrî mülkiyet ve ticari sırlar, kişisel verilerin açığa çıkması ve sırların sızması dâhil; güvenlik; hasmane testler, girdi filtreleme, erişim kontrolleri ve güvenli kod kalıpları dâhil; emniyet; risk taksonomisi, dağıtım öncesi ve üçüncü taraf testleri ile zararlı veya kapsam dışı çıktıların önlenmesi dâhil; güvenilirlik; halüsinasyonların önlenmesi ve güvenli olmayan araç çağrılarının kısıtlanması dâhil; hesap verebilirlik; başarısızlık durumlarına yönelik planlar, sorumluluk, tedarikçi durum tespiti, kayıt tutma, şeffaflık ve kalite yönetimi dâhil; ve toplum; yapay zekâ destekli siber kötüye kullanımın ve yıkıcı boyuttaki kötüye kullanımın önlenmesi dâhil.

Belgelerde belirtildiğine göre sertifika alabilmek için ajanların, akredite bir denetçi tarafından doğrulanan, geçerli tüm AIUC-1 gerekliliklerini karşılaması ve kurumsal ölçekteki başlıca riskleri kapsayan kapsamlı değerlendirmelere tabi tutulması gerekiyor. AIUC-1, 250’den fazla CISO ve güvenlik liderinden oluşan bir konsorsiyum tarafından geliştirildi ve üç ayda bir güncelleniyor. Duyuruda, kontrollerin MITRE ATLAS, ISO 42001 ve yapay zekâ sistemlerini risk düzeylerine göre sınıflandıran Avrupa düzenlemesi EU AI Act dâhil çeşitli çerçevelerle eşleştirildiği belirtiliyor. Standardın belgelerinde ayrıca NIST AI Risk Management Framework ve OWASP Top Ten ile eşleştirmeler listeleniyor.

AIUC’nin kurucu ortağı Rajiv Dattani, ortak sertifikasyonu kuruluşların artık sorduğunu söylediği iki soruya bağımsız bir yanıt olarak nitelendirdi: Güvenlik duruşları nasıl ve yapay zekâ ajanları beklendiği gibi mi davranıyor? Dattani, “AIUC-1’i farklı kılan, yalnızca politikaları ve güvenlik önlemlerini incelemek değil, yapay zekâ ajanlarının davranışlarını gerçek zamanlı olarak test etmektir,” dedi. Dattani’ye göre ajanlar, halüsinasyonlardan veri sızıntısına, manipülatif taleplerden hasmane istem enjeksiyonuna kadar yüzlerce risk ve saldırı kombinasyonu üzerinden test ediliyor. Her kombinasyon yinelemeli görüşmelerle değerlendiriliyor ve tipik bir değerlendirme binlerce senaryoyu kapsıyor.

Yenileme Koşulları ve Sunum Takvimi

Duyuruda, kurumlar ile yapay zekâ geliştiricileri arasındaki mevcut güvence süreci, güvenin her seferinde tek bir güvenlik anketi üzerinden müzakere edilmesi olarak nitelendiriliyor; bu süreç, sorunu nadiren çözüme kavuşturan yavaş ve maliyetli bir alışveriş. Duyuruda ayrıca yapay zekâ ajanlarının artık kimlik bilgilerine sahip olduğu, API’leri çağırdığı ve temel sistemlerde işlem yaptığı; bu nedenle yapay zekâ kaynaklı bir arızanın giderek daha sık bir güvenlik ihlali anlamına geldiği belirtiliyor.

Hem SOC 2 raporlarının hem de AIUC-1 sertifikalarının yıllık olarak yenilenmesi gerekir; ayrıca AIUC-1 için üç ayda bir teknik yeniden test yapılması şarttır. Standardın belgelerinde, kuruluşların güvenlik düzeyinin yapay zekâ yetenekleri ve en iyi uygulamalarla güncel kalması için AIUC-1’in her yıl yeniden sertifikalandırılması gerektiği belirtiliyor. Eşleştirme belgesinde ise sertifikasyonun, yapay zekâ ajanlarının gerçek dünyadaki risklere karşı üç ayda bir üçüncü taraflarca teknik olarak test edilmesini kapsadığı ifade ediliyor.

Bazı CPA firmaları müşterilerine SOC 2 ile AIUC-1’i bir arada sunan hizmeti şimdiden veriyor. AIUC’nin belgelerinde, kuruluşların mevcut SOC 2 denetçileriyle yürüttükleri tek bir çalışma kapsamında hem SOC 2 tasdikini hem de AIUC-1 sertifikasını aldığı belirtiliyor. Kuruluşlar, ilk çalışmalar tamamlandıktan sonra ortak sertifikasyonun tam kapsamlı olarak 2027’nin başlarında başlatılmasının beklendiğini söyledi.