AICPA та AIUC об’єднали звіти SOC 2 із сертифікацією AIUC-1

19 жовтня 2026 року American Institute of CPAs та Artificial Intelligence Underwriting Company оголосили про спільну сертифікацію відповідності, яка поєднує звіт SOC 2 із сертифікацією AIUC-1. Її результатом стане єдиний звіт, підготовлений за підсумками одного аудиторського завдання під керівництвом CPA, що охоплює системи ШІ та агентів.

Організації назвали цю сертифікацію першою всебічною незалежною оцінкою бізнес-ризиків, пов’язаних із системами ШІ та агентами. Згідно з оголошенням, пропозиція ґрунтується на стандартах і системах оцінювання, розроблених двома партнерами та використовуваних тисячами компаній у всьому світі; торік понад 40 000 організацій отримали підтвердження відповідності SOC 2 або сертифікацію AIUC-1.

«Компанії вкладають значні кошти в ШІ, а інвестори, клієнти та інші зацікавлені сторони заслуговують на повніше й об’єктивне уявлення про те, чи є ця технологія безпечною, надійною та належно керованою», — сказав президент і генеральний директор AICPA Марк Козіель. Він зазначив, що спільна пропозиція дає змогу отримати таке уявлення, а завдяки керівництву CPA під час аудиторського завдання організації користуються їхньою експертністю, доброчесністю та професійним судженням — якостями, що зміцнюють довіру на ринках капіталу.

Що охоплює перевірка SOC 2

SOC 2 — це незалежна перевірка, яку ліцензований CPA проводить відповідно до стандартів засвідчення AICPA, оцінюючи засоби контролю, що стосуються безпеки, доступності, цілісності обробки, конфіденційності або приватності системи. У підсумковому звіті міститься висновок щодо розроблення та операційної ефективності засобів контролю, які підтримують цю систему.

AICPA визначає системи контролю організацій та їхніх систем як набір послуг, які CPA можуть надавати у зв’язку із засобами контролю на рівні системи постачальника послуг або на рівні організації в інших установах. AICPA також розробляє професійні стандарти для завдань із SOC.

Згідно з описом спільної моделі в документації AIUC щодо зіставлення вимог SOC 2, аудиторські фірми оцінюють засоби контролю організації за критеріями довірчих послуг, розробленими AICPA: безпека є обов’язковою базовою вимогою, а доступність, цілісність обробки, конфіденційність і приватність — необов’язковими доповненнями. У документі зазначено, що AIUC-1 охоплює специфічні для ШІ засоби контролю, які не передбачені SOC 2, і зіставляє критерії довірчих послуг SOC 2 із вимогами до ШІ. Аналіз прогалин не виявляє перетину AIUC-1 із низкою напрямів SOC 2, зокрема управлінням потужностями, захистом довкілля та резервним копіюванням, тестуванням планів відновлення, обмеженнями фізичного доступу, наглядом ради директорів, оцінюванням ризику шахрайства та заходами зі зниження ризиків для безперервності діяльності.

Як AIUC-1 перевіряє агентів ШІ

В оголошенні AIUC-1 названо першим у світі стандартом безпеки, захищеності та надійності агентів ШІ. Згідно з документацією стандарту, його вимоги охоплюють шість категорій: дані та приватність — правила використання даних, інтелектуальну власність і комерційну таємницю, розкриття персональних даних і витік секретної інформації; безпека — тестування на стійкість до атак, фільтрацію вхідних даних, контроль доступу та безпечні шаблони коду; безпечність — класифікацію ризиків, перевірки перед розгортанням і тестування сторонніми організаціями, а також запобігання шкідливим результатам або результатам поза межами визначеного обсягу; надійність — запобігання галюцинаціям і обмеження небезпечних викликів інструментів; підзвітність — плани дій у разі збоїв, відповідальність, належну перевірку постачальників, журналювання, прозорість і управління якістю; суспільство — запобігання зловживанню ШІ для кібератак і катастрофічних зловживань.

Щоб отримати сертифікацію, агенти мають відповідати всім застосовним вимогам AIUC-1, перевіреним акредитованим аудитором, і пройти всебічне оцінювання, яке охоплює основні ризики для підприємств, зазначено в документації. AIUC-1 розробив консорціум із понад 250 директорів із питань інформаційної безпеки (CISO) та фахівців із безпеки; стандарт оновлюють щокварталу. В оголошенні зазначено, що його вимоги зіставлено з такими системами оцінювання, як MITRE ATLAS, ISO 42001 і EU AI Act — європейським регламентом, який класифікує системи ШІ за рівнем ризику. У документації стандарту також наведено таблиці зіставлення вимог із Рамковою програмою NIST з управління ризиками ШІ та OWASP Top Ten.

Співзасновник AIUC Раджив Даттані представив спільну сертифікацію як незалежну відповідь на два запитання, які, за його словами, організації тепер ставлять: яким є їхній рівень захищеності та чи поводяться агенти ШІ так, як задумано. «AIUC-1 вирізняє практичне тестування поведінки агентів ШІ, а не лише перевірка політик і захисних механізмів», — сказав він. За словами Даттані, агентів тестують за сотнями комбінацій ризиків і атак — від галюцинацій і витоку даних до маніпулятивних запитів і зловмисних ін’єкцій у запити; кожну комбінацію оцінюють у ході повторюваних діалогів, а типове оцінювання охоплює тисячі сценаріїв.

Умови поновлення та графік надання послуги

В оголошенні поширений нині процес підтвердження відповідності між підприємствами та розробниками ШІ описано як довіру, яку доводиться вибудовувати, обговорюючи по одній анкеті з питань безпеки за раз. Такий обмін повільний і дорогий та рідко дає остаточну відповідь. Також зазначено, що агенти ШІ тепер мають облікові дані, викликають API та працюють усередині ключових систем, тож збої ШІ дедалі частіше стають порушеннями безпеки.

Звіти SOC 2 і сертифікації AIUC-1 потрібно поновлювати щороку, а технічне повторне тестування AIUC-1 проводити щокварталу. У документації до стандарту зазначено, що сертифікацію AIUC-1 потрібно щороку підтверджувати повторно, щоб рівень безпеки організації відповідав розвитку можливостей ШІ та найкращим практикам. У таблиці відповідності також зазначено, що сертифікація передбачає щоквартальне технічне тестування агентів незалежною третьою стороною на стійкість до ризиків реального світу.

Кілька фірм сертифікованих бухгалтерів уже пропонують клієнтам спільне рішення SOC 2 та AIUC-1. Згідно з документацією AIUC, організації отримують атестацію SOC 2 і сертифікацію AIUC-1 в межах одного проєкту за участю свого чинного аудитора SOC 2. Організації заявили, що повноцінний запуск спільної сертифікації очікується на початку 2027 року, після завершення перших проєктів.