O que é a AIUC-1 e por que ela é importante para a confiança em IA empresarial

A IA empresarial está amadurecendo. Agentes que começaram como projetos-piloto agora conduzem conversas com clientes, acionam workflows e atuam sobre dados empresariais em tempo real nos ambientes de produção. À medida que as empresas colocam agentes de IA em produção nessa escala, confiança, segurança e confiabilidade tornam-se essenciais.

Toda tecnologia transformadora chega a esse ponto. Sistemas de pagamento têm PCI DSS. Infraestrutura de nuvem tem SOC 2. Foram os padrões independentes que transformaram ambos em sistemas que as empresas implementam sem uma análise individual extensa. Agora os agentes de IA também têm o seu.

A certificação AIUC-1 é o primeiro padrão mundial de segurança, proteção e confiabilidade criado especificamente para agentes de IA. Desenvolvida pela Artificial Intelligence Underwriting Company (AIUC) com pesquisadores do MIT, MITRE e Stanford, ela oferece às empresas uma referência independente que já podem usar hoje.

A ElevenLabs é a primeira empresa de voz IA a obter a certificação AIUC-1 junto com o seguro de IA para agentes. Nossos agentes passaram por 5.835 testes técnicos em 14 categorias de risco, demonstrando robustez para implementação empresarial e viabilizando uma cobertura de seguro inédita para os agentes de IA implementados por nossos clientes.

Este guia explica o que o padrão AIUC-1 abrange, como ele se compara a outros frameworks de conformidade, como SOC 2 e ISO 42001, e o que envolve o processo de certificação.

Este guia é apenas informativo e não constitui aconselhamento jurídico. Os requisitos dependem dos seus sistemas, dados e jurisdições. Portanto, confirme suas obrigações com assessoria jurídica.

Resumo

• A certificação AIUC-1 é o primeiro padrão independente de segurança, proteção e confiabilidade para agentes de IA, voltado a testes específicos desses agentes.
• O framework organiza 51 requisitos em seis pilares de risco, com controles adaptados às capacidades de cada agente.
• A AIUC-1 testa o comportamento dos agentes por meio de milhares de simulações adversariais.
• A ElevenLabs é a primeira empresa de voz IA a obter a certificação AIUC-1 com seguro de IA e atua como Colaboradora Técnica nos requisitos específicos para voz.

O que é a AIUC-1?

A AIUC-1 é um padrão de certificação para agentes de IA criado pela Artificial Intelligence Underwriting Company. Ela verifica se um agente de IA implementa as proteções técnicas, os controles operacionais e as políticas jurídicas desenvolvidos para reduzir o risco de comportamentos inseguros ou não autorizados em produção. A AIUC-1 tem seis pilares: dados e privacidade, segurança, proteção, confiabilidade, responsabilização e sociedade.

Essa certificação existe porque os agentes de IA vão além dos limites tradicionais previstos pelo SOC 2 e pela ISO 27001. Eles acessam dados de clientes, acionam workflows, consultam políticas internas da empresa, encaminham casos para agentes humanos e podem agir de forma autônoma dentro de um conjunto de regras. Com isso, o risco de chamadas não autorizadas de ferramentas, alucinações, vazamento de dados ou injeção de prompt se torna muito mais significativo.

A AIUC-1 fornece às empresas evidências independentes de como um agente de IA se comporta sob condições adversariais e com dados sensíveis. Ela mostra que o agente foi testado contra riscos definidos de segurança e confiabilidade.

Entenda os seis pilares da AIUC-1

O framework AIUC-1 consiste em 51 requisitos e 130 controles, organizados em seis pilares de risco. Desses controles, 65 são obrigatórios e 65 são opcionais, dependendo do escopo de atuação do agente.

Os seis pilares da AIUC-1 abrangem todo o ciclo de vida da implementação de um agente de IA:

• Dados e privacidade: O primeiro pilar da AIUC-1 busca proteger contra vazamento de dados, treinamento com dados de usuários sem consentimento e vazamento de propriedade intelectual. Seus requisitos abrangem a definição de uma política de dados de entrada e saída, a limitação do acesso do agente de IA a dados, a proteção da propriedade intelectual e dos segredos comerciais, a prevenção da exposição de dados entre clientes e a proteção contra vazamento de PII, violações de propriedade intelectual e exposição de credenciais ou segredos. Para saber mais sobre como demonstrar conformidade com cada parte dos requisitos de dados e privacidade da AIUC-1, consulte a página oficial.
• Segurança: Busca proteger contra ataques adversariais como injeções de prompt e jailbreaks, além de chamadas não autorizadas de ferramentas. Os requisitos incluem testes de robustez adversarial realizados por terceiros, prevenção de ações não autorizadas do agente, controles de acesso de usuários, proteção do ambiente de implementação e salvaguardas contra raspagem e sondagem de endpoints de IA.
• Proteção: Reduz o risco de resultados prejudiciais gerados pela IA e riscos à marca por meio de salvaguardas e monitoramento. Os principais requisitos incluem uma taxonomia de riscos documentada, testes antes da implementação e controles contra resultados prejudiciais, como vieses, engano, aconselhamento de alto risco e conteúdo ofensivo. O pilar de proteção da AIUC-1 também abrange respostas fora do escopo e o encaminhamento de respostas de alto risco para revisão humana.
• Confiabilidade: Busca prevenir alucinações e chamadas não confiáveis de ferramentas para sistemas empresariais conectados. Esse princípio tem apenas quatro subseções, que abrangem salvaguardas contra respostas alucinadas, restrições a chamadas inseguras de ferramentas e testes de terceiros para ambas as proteções.
• Responsabilização: Define responsabilidades e garante supervisão. Os requisitos desse pilar incluem três planos distintos para falhas de IA, due diligence de fornecedores upstream, registros de atividades, processamento de dados e mecanismos de divulgação que informam aos usuários quando estão falando com IA.
• Sociedade: Reduz o risco de a IA causar danos à sociedade por meio de ciberataques ou outros riscos de segurança. Essa categoria tem dois componentes: uso indevido cibernético da IA e uso indevido catastrófico, ambos implementam barreiras de proteção para reduzir o risco de o sistema ser usado para fins maliciosos.

Os requisitos específicos que um modelo precisa cumprir também dependem de suas capacidades. Por exemplo, há requisitos definidos para modelos de geração de voz, automação, geração de código ou geração de texto, o que significa que um agente de voz é testado contra riscos específicos de voz, e não com base em uma lista de verificação genérica.

Um sistema passa por milhares de simulações adversariais para obter a certificação AIUC-1. Cada uma dessas simulações é baseada em um incidente de IA do mundo real, e o padrão é atualizado continuamente para testar os modelos contra as ameaças mais recentes identificadas na pesquisa sobre IA.

Como a AIUC-1 se encaixa na gestão de riscos de IA empresarial

A AIUC-1 pode complementar certificações existentes. Ela testa riscos específicos de agentes que frameworks como ISO 42001, NIST AI RMF, a Lei de IA da UE, o MITRE ATLAS e o Top 10 da OWASP para aplicações LLM não foram criados para abranger, como injeção de prompt, chamadas não autorizadas de ferramentas e exfiltração de dados por agentes.

Para equipes de risco, o padrão também produz taxas quantificadas de aprovação e reprovação em categorias de risco definidas. Os principais riscos relacionados à implementação de IA são quantificados e medidos. Isso fornece às empresas uma base documentada para avaliar os riscos da implementação de IA.

No ElevenLabs Summit, em Londres, Marco Mancini da ElevenLabs apresentou nossa visão sobre a segurança de agentes de IA: o que é necessário para implementar sistemas de IA em escala, os riscos envolvidos e como padrões independentes podem fortalecer a confiança em agentes de IA.

A sessão apresenta o raciocínio por trás da nossa decisão de buscar primeiro a certificação AIUC-1 entre as empresas de voz IA e como testes, seguros e padrões trabalham juntos para reduzir riscos na implementação empresarial.

Comparação entre a AIUC-1 e outros frameworks de conformidade

A AIUC-1 se soma a alguns outros frameworks que as empresas usam para avaliar fornecedores, embora nem todos sejam específicos para IA. Cada um aborda um conjunto diferente de questões.

Veja o que cada framework valida e como as empresas o utilizam:

Em termos simples, o SOC 2 informa a um comprador empresarial que a infraestrutura de um fornecedor esteve segura durante um período histórico de avaliação, enquanto a AIUC-1 mostra que um agente de IA foi testado contra vetores de ataque do mundo real. Eles trabalham juntos para fornecer segurança em toda a infraestrutura, mas a AIUC-1 evita deliberadamente duplicar o trabalho que você já realizou para o SOC 2 ou a ISO 27001.

Outro fator que diferencia a AIUC-1 é seu mecanismo de acreditação. A AIUC acredita auditores da AIUC-1 e então combina a auditoria com seus próprios testes técnicos.

Como funciona o processo de certificação AIUC-1

A certificação AIUC-1 costuma levar entre quatro e oito semanas, dependendo do grau de maturidade das barreiras de proteção e salvaguardas de IA já existentes na organização. 

O processo de certificação passa por quatro etapas distintas:

1. Avaliação de lacunas: A primeira etapa audita uma plataforma de IA para determinar o escopo dos seus agentes, as políticas existentes que utilizam, a documentação técnica disponível e as salvaguardas aplicadas. Essa etapa de definição de escopo e início identifica todas as lacunas iniciais a serem testadas e é quando você assina um contrato de certificação.
2. Correção: Em seguida, sua organização tratará todas as lacunas nas barreiras de proteção, políticas jurídicas ou implementações técnicas existentes. Isso corrige as lacunas iniciais identificadas e permite avançar para a etapa de testes técnicos.
3. Avaliação técnica: A AIUC realiza testes adversariais no seu sistema em produção, buscando alucinações, oportunidades de injeção de prompt, vazamento de dados, chamadas inseguras de ferramentas, resultados prejudiciais ou práticas inseguras. 
4. Auditoria de certificação: Com base no desempenho dos seus agentes na etapa 3, um auditor avaliará todas as evidências de forma independente e decidirá se concede a certificação AIUC-1.

Ao final do processo de auditoria, as organizações recebem:

• Um relatório de auditoria abrangente com detalhamento completo dos resultados
• O certificado AIUC-1, em caso de aprovação
• O selo AIUC-1 para exibir em materiais de vendas ou marketing, em caso de aprovação

Por quanto tempo uma certificação AIUC-1 é válida?

A certificação AIUC-1 é válida por 12 meses, mas não é um retrato pontual das medidas de segurança da empresa. Os testes técnicos são realizados trimestralmente nos agentes de IA, e todos os controles técnicos e jurídicos completos são auditados novamente todos os anos. Com base em novas pesquisas ou no surgimento de vetores distintos de ameaças baseadas em IA, a AIUC pode atualizar o padrão a cada trimestre e certificar agentes de acordo com o novo cenário de ameaças.

Quais setores estão acompanhando a certificação AIUC-1?

A AIUC-1 é um padrão voluntário, mas está sendo usada por empresas para avaliar fornecedores de agentes de IA quanto à confiabilidade, segurança e proteção. 

Alguns setores estão atentos à certificação AIUC-1:

• Saúde: Agentes que processam PII ou outros dados sensíveis se beneficiam de salvaguardas explícitas, testadas de forma independente, contra vazamentos e alucinações.
• SaaS empresarial: Fornecedores empresariais que adicionam recursos de agentes de IA podem encontrar a certificação AIUC-1 em questionários de segurança de compradores e requisitos de fornecedores.
• Seguros: Seguradoras que implementam agentes para conduzir conversas com clientes sobre apólices e sinistros querem ter confiança de que seus sistemas de IA fornecem informações precisas, reduzindo o risco de exposição na subscrição.
• Serviços financeiros: Bancos e fintechs que implementam agentes de voz e chat enfrentam obrigações rigorosas sobre tratamento de dados e auditabilidade. Nosso guia prático de agentes de IA para serviços financeiros explica como plataformas certificadas podem apoiar essas implementações.

Há um motivo para que funcionários de quase 70% das empresas da Fortune 500 usem a ElevenLabs. A certificação AIUC-1 da ElevenLabs fornece aos compradores empresariais evidências independentes de como nossos agentes se comportam sob condições adversariais.

Comece com ElevenAgents

ElevenAgents é a primeira plataforma de voz IA a obter a certificação AIUC-1, e a ElevenLabs atua como Colaboradora Técnica do padrão, ajudando a definir requisitos de segurança específicos para voz. A plataforma também possui SOC 2 Tipo II e é certificada como provedora de serviços PCI DSS Nível 1, o mais alto dos quatro níveis de conformidade com PCI DSS.

O caminho para a certificação se estende aos clientes. Como os requisitos da AIUC-1 estão integrados à plataforma, empresas que desenvolvem com ElevenAgents começam com até 75% dos requisitos de certificação já atendidos e geralmente obtêm a certificação completa em quatro semanas. Immobiliare.it, a maior plataforma imobiliária da Itália, certificou seu agente de voz para consultas sobre imóveis 24 horas por dia, 7 dias por semana em quatro semanas, com menos de duas horas de trabalho de engenharia para configurar os testes.

Cadastre-se na ElevenLabs para criar seu primeiro agente ou fale com vendas para conversar sobre uma implementação empresarial em conformidade. 

Perguntas frequentes sobre AIUC-1 e conformidade em IA