Qué es AIUC-1 y por qué es importante para la confianza en la IA empresarial

La IA empresarial está madurando. Agentes que empezaron como proyectos piloto ahora gestionan conversaciones con clientes, activan workflows y actúan sobre datos empresariales en tiempo real en producción. A medida que las empresas implantan agentes de IA en producción a esta escala, la confianza, la seguridad y la fiabilidad se vuelven fundamentales.

Toda tecnología transformadora llega a este punto. Los sistemas de pago tienen PCI DSS. La infraestructura en la nube tiene SOC 2. Los estándares independientes hicieron que ambos se convirtieran en sistemas que las empresas despliegan sin evaluaciones exhaustivas caso por caso. Ahora los agentes de IA tienen el suyo.

La certificación AIUC-1 es el primer estándar mundial de seguridad, protección y fiabilidad diseñado específicamente para agentes de IA. Desarrollado por Artificial Intelligence Underwriting Company (AIUC) junto con investigadores de MIT, MITRE y Stanford, proporciona a las empresas una referencia independiente que pueden utilizar hoy mismo.

ElevenLabs es la primera empresa de voz IA en lograr la certificación AIUC-1. Nuestros agentes superaron 5.835 pruebas técnicas en 14 categorías de riesgo, demostrando su solidez para implantaciones empresariales y permitiendo una cobertura de seguros pionera para los agentes de IA que despliegan nuestros clientes.

Esta guía explica qué cubre el estándar AIUC-1, cómo se compara con otros marcos de cumplimiento normativo como SOC 2 e ISO 42001, y en qué consiste el proceso de certificación.

Esta guía tiene fines informativos generales y no constituye asesoramiento jurídico. Los requisitos dependen de tus sistemas, datos y jurisdicciones, así que confirma tus obligaciones con asesoramiento legal.

Resumen

• La certificación AIUC-1 es el primer estándar independiente de seguridad, protección y fiabilidad de agentes de IA centrado en pruebas específicas de agentes.
• El marco organiza 51 requisitos en seis pilares de riesgo, con controles adaptados a las capacidades de cada agente.
• AIUC-1 evalúa el comportamiento de los agentes mediante miles de simulaciones adversariales.
• ElevenLabs es la primera empresa de voz IA en obtener la certificación AIUC-1 con seguro de IA y participa como colaborador técnico en los requisitos específicos para voz.

¿Qué es AIUC-1?

AIUC-1 es un estándar de certificación para agentes de IA creado por Artificial Intelligence Underwriting Company. Verifica que un agente de IA implemente salvaguardas técnicas, controles operativos y políticas legales diseñadas para reducir el riesgo de comportamientos inseguros o no autorizados en producción. AIUC-1 tiene seis pilares: datos y privacidad, seguridad, protección, fiabilidad, responsabilidad y sociedad.

Esta certificación existe porque los agentes de IA van más allá de los límites tradicionales que contemplaban SOC 2 e ISO 27001. Los agentes acceden a datos de clientes, activan workflows, consultan políticas internas de la empresa, escalan casos a agentes humanos y pueden actuar de forma autónoma dentro de un marco definido. Por ello, el riesgo de llamadas a herramientas no autorizadas, alucinaciones, filtraciones de datos o inyección de prompts es mucho mayor.

AIUC-1 proporciona a las empresas evidencia independiente de cómo funciona un agente de IA en condiciones adversariales con datos sensibles. Demuestra que un agente se ha probado frente a riesgos de seguridad y fiabilidad definidos.

Los seis pilares de AIUC-1

El marco AIUC-1 consta de 51 requisitos y 130 controles, organizados en seis pilares de riesgo. De estos controles, 65 son obligatorios y 65 opcionales, según el alcance de las funciones del agente.

Los seis pilares de AIUC-1 cubren todo el ciclo de vida de la implantación de un agente de IA:

• Datos y privacidad: El primer pilar de AIUC-1 busca proteger frente a filtraciones de datos, el entrenamiento con datos de usuarios sin consentimiento y la filtración de propiedad intelectual. Sus requisitos abarcan establecer una política de datos de entrada y salida, limitar el acceso a datos de los agentes de IA, proteger la propiedad intelectual y los secretos comerciales, evitar la exposición de datos entre clientes y proteger frente a filtraciones de PII, vulneraciones de propiedad intelectual y exposición de credenciales o secretos. Para obtener más información sobre cómo demostrar la conformidad con cada parte de los requisitos de datos y privacidad de AIUC-1, consulta la página oficial.
• Seguridad: Busca proteger frente a ataques adversariales como inyecciones de prompts y jailbreaks, así como llamadas a herramientas no autorizadas. Los requisitos incluyen pruebas de robustez adversarial realizadas por terceros, prevención de acciones no autorizadas del agente, controles de acceso de usuarios, protección del entorno de despliegue y salvaguardas frente al scraping y sondeo de rutas de API de IA.
• Protección: Reduce el riesgo de resultados perjudiciales de la IA y el riesgo para la marca mediante salvaguardas y monitorización. Los requisitos principales incluyen una taxonomía de riesgos documentada, pruebas previas al despliegue y controles frente a resultados perjudiciales, como sesgos, engaños, consejos de alto riesgo y contenido ofensivo. El pilar de protección de AIUC-1 también cubre resultados fuera del alcance previsto y la escalada de resultados de alto riesgo a personas para su revisión.
• Fiabilidad: Busca evitar alucinaciones y llamadas poco fiables a herramientas conectadas a sistemas empresariales. Este principio solo tiene cuatro subsecciones, que abarcan salvaguardas frente a resultados alucinados, restricciones para llamadas a herramientas inseguras y pruebas de terceros para ambas protecciones.
• Responsabilidad: Asigna responsabilidades y garantiza la supervisión. Los requisitos de este pilar incluyen tres planes distintos ante fallos de IA, diligencia debida de proveedores ascendentes, registro de actividad, procesamiento de datos y mecanismos de divulgación que informan a usuarios de cuándo están hablando con una IA.
• Sociedad: Reduce el riesgo de que la IA cause daños sociales mediante ciberataques u otros riesgos de seguridad. Esta categoría tiene dos componentes, el uso indebido cibernético de la IA y el uso indebido catastrófico, ambos implementan medidas de protección para reducir el riesgo de que el sistema se use con fines maliciosos.

Los requisitos específicos que debe cumplir un modelo también dependen de sus capacidades. Por ejemplo, existen requisitos establecidos para modelos de generación de voz, automatización, generación de código o generación de texto, lo que significa que un agente de voz se evalúa frente a riesgos específicos de voz, en lugar de con una lista de verificación genérica.

Un sistema se somete a miles de simulaciones adversariales para obtener la certificación AIUC-1. Cada una se basa en un incidente real de IA, y el estándar se actualiza constantemente para probar los modelos frente a las amenazas más recientes de la investigación en IA.

Cómo encaja AIUC-1 en la gestión de riesgos de IA empresarial

AIUC-1 puede complementar certificaciones existentes. Evalúa riesgos específicos de los agentes que marcos como ISO 42001, el NIST AI RMF, la Ley de IA de la UE, MITRE ATLAS y el OWASP Top 10 para aplicaciones LLM no se diseñaron para cubrir, como la inyección de prompts, las llamadas a herramientas no autorizadas y la exfiltración de datos mediante agentes.

Para los equipos de riesgos, el estándar también genera tasas cuantificadas de aprobación y suspensión en categorías de riesgo definidas. Los principales riesgos relacionados con el despliegue de IA se cuantifican y miden. Esto ofrece a las empresas una base documentada para evaluar el riesgo del despliegue de IA.

En el ElevenLabs Summit de Londres, Marco Mancini de ElevenLabs presentó nuestra visión sobre la seguridad de los agentes de IA: qué se necesita para desplegar sistemas de IA a escala, qué riesgos conlleva y cómo los estándares independientes pueden favorecer la confianza en los agentes de IA.

La sesión explica el razonamiento detrás de nuestra decisión de buscar la certificación AIUC-1 antes que otras empresas de voz IA, y cómo las pruebas, los seguros y los estándares trabajan juntos para reducir el riesgo en implantaciones empresariales.

Comparativa entre AIUC-1 y otros marcos de cumplimiento normativo

AIUC-1 se suma a otros marcos que las empresas utilizan para evaluar proveedores, aunque no todos son específicos de IA. Cada uno aborda cuestiones diferentes.

Esto es lo que valida cada marco y cómo lo utilizan las empresas:

En términos sencillos, SOC 2 indica a un comprador empresarial que la infraestructura de un proveedor fue segura durante un periodo de revisión histórico, mientras que AIUC-1 demuestra que un agente de IA se prueba frente a vectores de ataque reales. Ambos trabajan juntos para proporcionar seguridad en toda la infraestructura, pero AIUC-1 evita deliberadamente duplicar el trabajo que ya habrás realizado para SOC 2 o ISO 27001.

Otro aspecto que diferencia a AIUC-1 es su mecanismo de acreditación. AIUC acredita a los auditores de AIUC-1 y, después, complementa la auditoría con sus propias pruebas técnicas.

En qué consiste el proceso de certificación AIUC-1

La certificación AIUC-1 suele tardar entre cuatro y ocho semanas, según el grado de madurez de las medidas de protección y salvaguardas de IA que ya tenga una organización.

El proceso de certificación consta de cuatro etapas diferenciadas:

1. Evaluación de brechas: La primera etapa audita una plataforma de IA para determinar el alcance de sus agentes, las políticas existentes que utilizan, la documentación técnica disponible y las salvaguardas que aplican. Esta etapa inicial de definición del alcance identifica todas las brechas que se deben evaluar y es donde se firma un contrato de certificación.
2. Corrección: A continuación, tu organización abordará todas las brechas en las medidas de protección, políticas legales o implementaciones técnicas que tengas. Esto corrige las brechas iniciales identificadas y permite pasar a la fase de pruebas técnicas.
3. Evaluación técnica: AIUC realiza pruebas adversariales sobre tu sistema en producción para detectar alucinaciones, oportunidades de inyección de prompts, filtraciones de datos, llamadas a herramientas inseguras, resultados perjudiciales o prácticas inseguras.
4. Auditoría de certificación: En función del rendimiento de tus agentes en la etapa 3, un auditor evaluará de forma independiente todas las evidencias y decidirá si emite la certificación AIUC-1.

Al finalizar el proceso de auditoría, las organizaciones reciben:

• Un informe de auditoría exhaustivo con un desglose completo de los resultados
• El certificado AIUC-1 (si se supera la evaluación)
• La insignia AIUC-1 para mostrarla en materiales comerciales o de marketing (si se supera la evaluación)

¿Cuánto dura una certificación AIUC-1?

La certificación AIUC-1 tiene una validez de 12 meses, pero no es una fotografía puntual de las medidas de seguridad de una empresa. Cada trimestre se realizan pruebas técnicas a los agentes de IA, y todos los controles técnicos y legales completos se vuelven a auditar anualmente. En función de nuevas investigaciones o de la aparición de vectores de amenaza específicos de IA, AIUC puede actualizar el estándar cada trimestre y certificar a los agentes frente al nuevo panorama de amenazas.

¿Qué sectores siguen de cerca la certificación AIUC-1?

AIUC-1 es un estándar voluntario, pero las empresas lo utilizan para evaluar a proveedores de agentes de IA en cuanto a fiabilidad, seguridad y protección.

Varios sectores están prestando atención a la certificación AIUC-1:

• Sanidad: Los agentes que gestionan PII u otros datos sensibles se benefician de salvaguardas explícitas y probadas de forma independiente frente a filtraciones y alucinaciones.
• SaaS empresarial: Los proveedores empresariales que añaden capacidades de agentes de IA pueden encontrar la certificación AIUC-1 en cuestionarios de seguridad de compradores y requisitos de proveedores.
• Seguros: Las aseguradoras que despliegan agentes para gestionar conversaciones con clientes sobre pólizas y siniestros quieren tener la certeza de que sus sistemas de IA ofrecen información precisa, lo que reduce el riesgo de suscripción.
• Servicios financieros: Los bancos y fintechs que despliegan agentes de voz y chat afrontan obligaciones estrictas en materia de gestión de datos y auditabilidad. Nuestra guía práctica sobre agentes de IA para servicios financieros explica cómo las plataformas certificadas pueden respaldar estos despliegues.

Hay una razón por la que empleados de casi el 70 % de las empresas de Fortune 500 utilizan ElevenLabs. La certificación AIUC-1 de ElevenLabs ofrece a compradores empresariales evidencia independiente de cómo funcionan nuestros agentes en condiciones adversariales.

Empieza con ElevenAgents

ElevenAgents es la primera plataforma de voz IA en lograr la certificación AIUC-1, y ElevenLabs participa como colaborador técnico en el estándar, ayudando a definir los requisitos de seguridad específicos para voz. La plataforma también cuenta con SOC 2 Tipo II y está certificada como proveedor de servicios PCI DSS de nivel 1, el más alto de los cuatro niveles de cumplimiento de PCI DSS.

El proceso de certificación también se extiende a clientes. Como los requisitos de AIUC-1 están integrados en la plataforma, las empresas que desarrollan sobre ElevenAgents empiezan con hasta el 75 % de los requisitos de certificación ya cumplidos y, por lo general, consiguen la certificación completa en cuatro semanas. Immobiliare.it, la mayor plataforma inmobiliaria de Italia, certificó su agente de voz de consultas inmobiliarias disponible 24/7 en cuatro semanas, con menos de dos horas de trabajo de ingeniería para configurar las pruebas.

Regístrate en ElevenLabs para crear tu primer agente o contacta con ventas para hablar sobre un despliegue empresarial conforme a la normativa.

Preguntas frecuentes sobre AIUC-1 y el cumplimiento normativo de IA