O que é a AIUC-1 e por que ela é importante para a confiança em IA empresarial

A IA empresarial está amadurecendo. Agentes que começaram como pilotos agora conduzem conversas com clientes, acionam workflows e atuam com dados empresariais em tempo real nos ambientes de produção. À medida que as empresas implementam agentes de IA em produção nessa escala, confiança, segurança e confiabilidade se tornam essenciais.

Toda tecnologia transformadora chega a esse ponto. Sistemas de pagamento têm o PCI DSS. Infraestrutura em nuvem tem o SOC 2. Foram os padrões independentes que transformaram ambos em sistemas que as empresas implementam sem uma avaliação individual extensa. Agora os agentes de IA estão ganhando o seu.

A certificação AIUC-1 é o primeiro padrão mundial de segurança, proteção e confiabilidade criado especificamente para agentes de IA. Desenvolvida pela Artificial Intelligence Underwriting Company (AIUC) com pesquisadores do MIT, MITRE e Stanford, ela oferece às empresas uma referência independente que já pode ser usada hoje.

A ElevenLabs é a primeira empresa de IA de voz a conquistar a certificação AIUC-1. Nossos agentes passaram por 5.835 testes técnicos em 14 categorias de risco, demonstrando robustez para implementações empresariais e viabilizando uma cobertura de seguro inédita para os agentes de IA que nossos clientes implementam.

Este guia explica o que o padrão AIUC-1 abrange, como ele se compara a outros frameworks de conformidade, como SOC 2 e ISO 42001, e o que envolve o processo de certificação.

Este guia é apenas para fins informativos gerais e não constitui aconselhamento jurídico. Os requisitos dependem dos seus sistemas, dados e jurisdições; portanto, confirme suas obrigações com assessoria jurídica.

Resumo

• A certificação AIUC-1 é o primeiro padrão independente para segurança, proteção e confiabilidade de agentes de IA, com foco em testes específicos desses agentes.
• O framework organiza 51 requisitos em seis pilares de risco, com controles subjacentes definidos conforme as capacidades de cada agente.
• O AIUC-1 testa o comportamento dos agentes por meio de milhares de simulações adversariais.
• A ElevenLabs é a primeira empresa de IA de voz a obter a certificação AIUC-1 com AI Insurance e atua como Colaboradora Técnica nos requisitos específicos para voz.

O que é AIUC-1?

AIUC-1 é um padrão de certificação para agentes de IA criado pela Artificial Intelligence Underwriting Company. Ele verifica se um agente de IA implementa as salvaguardas técnicas, os controles operacionais e as políticas legais criados para reduzir o risco de comportamentos inseguros ou não autorizados em produção. O AIUC-1 tem seis pilares: dados e privacidade, segurança, proteção, confiabilidade, responsabilização e sociedade.

Essa certificação existe porque os agentes de IA vão além dos limites tradicionais previstos pelo SOC 2 e pela ISO 27001. Eles acessam dados de clientes, acionam workflows, consultam políticas internas da empresa, encaminham casos para agentes humanos e podem agir de forma autônoma dentro de um framework. Com isso, o risco de chamadas de ferramentas não autorizadas, alucinações, vazamento de dados ou injeção de prompt se torna muito mais significativo.

O AIUC-1 fornece às empresas evidências independentes de como um agente de IA funciona em condições adversariais com dados confidenciais. Ele mostra que um agente foi testado contra riscos definidos de segurança e confiabilidade.

Entendendo os seis pilares do AIUC-1

O framework AIUC-1 consiste em 51 requisitos e 130 controles, organizados em seis pilares de risco. Desses controles, 65 são obrigatórios e 65 são opcionais, dependendo do escopo de atuação do agente.

Os seis pilares do AIUC-1 abrangem todo o ciclo de vida da implementação de um agente de IA e são os seguintes:

• Dados e privacidade: O primeiro pilar do AIUC-1 busca proteger contra vazamento de dados, treinamento com dados de usuários sem consentimento e vazamento de propriedade intelectual. Seus requisitos abrangem estabelecer uma política de dados de entrada e saída, limitar o acesso do agente de IA a dados, proteger propriedade intelectual e segredos comerciais, evitar a exposição de dados entre clientes e proteger contra vazamento de PII, violações de propriedade intelectual e exposição de credenciais ou segredos. Para mais informações sobre como demonstrar conformidade com cada parte dos requisitos de dados e privacidade do AIUC-1, consulte a página oficial.
• Segurança: Busca proteger contra ataques adversariais, como injeções de prompt e jailbreaks, além de chamadas de ferramentas não autorizadas. Os requisitos incluem testes de robustez adversarial por terceiros, prevenção de ações não autorizadas de agentes, controles de acesso de usuários, proteção do ambiente de implementação e salvaguardas contra scraping e sondagem de endpoints de IA.
• Proteção: Reduz o risco de resultados prejudiciais da IA e riscos para a marca por meio de salvaguardas e monitoramento. Os principais requisitos incluem uma taxonomia de riscos documentada, testes antes da implementação e controles contra resultados prejudiciais, como vieses, enganos, orientações de alto risco e conteúdo ofensivo. O pilar de proteção do AIUC-1 também abrange resultados fora do escopo e o encaminhamento de resultados de alto risco para revisão humana.
• Confiabilidade: Busca evitar alucinações e chamadas não confiáveis de ferramentas para sistemas empresariais conectados. Esse princípio tem apenas quatro subseções, abrangendo salvaguardas contra resultados alucinados, restrições a chamadas inseguras de ferramentas e testes de terceiros para ambas as proteções.
• Responsabilização: Define a responsabilização e garante supervisão. Os requisitos desse pilar incluem três planos distintos para falhas de IA, due diligence de fornecedores upstream, registro de atividades, processamento de dados e mecanismos de divulgação que informam aos usuários quando estão falando com uma IA.
• Sociedade: Reduz o risco de a IA causar danos sociais por meio de ciberataques ou outros riscos de segurança. Essa categoria tem dois componentes, uso indevido cibernético de IA e uso indevido catastrófico, ambos implementam medidas de proteção para reduzir o risco de o sistema ser usado para fins maliciosos.

Os requisitos específicos que um modelo precisa cumprir também dependem de suas capacidades. Por exemplo, há requisitos definidos para modelos de geração de voz, automação, geração de código ou geração de texto, o que significa que um agente de voz é testado contra riscos específicos de voz, e não com base em uma lista de verificação genérica.

Um sistema passa por milhares de simulações adversariais para obter a certificação AIUC-1. Cada uma dessas simulações é baseada em um incidente de IA do mundo real, e o padrão é constantemente atualizado para testar modelos contra as ameaças mais recentes identificadas na pesquisa sobre IA.

Como o AIUC-1 se encaixa na gestão de riscos de IA empresarial

O AIUC-1 pode complementar certificações existentes. Ele testa riscos específicos de agentes que frameworks como a ISO 42001, o NIST AI RMF, a Lei de IA da UE, o MITRE ATLAS e o OWASP Top 10 para aplicações de LLM não foram criados para abranger, como injeção de prompt, chamadas de ferramentas não autorizadas e exfiltração de dados por agentes.

Para as equipes de risco, o padrão também produz taxas quantificadas de aprovação e reprovação em categorias de risco definidas. Os principais riscos relacionados à implementação de IA são quantificados e medidos. Isso oferece às empresas uma base documentada para avaliar os riscos da implementação de IA.

No ElevenLabs Summit, em Londres, Marco Mancini, da ElevenLabs, apresentou nossa visão para a segurança de agentes de IA: o que é necessário para implementar sistemas de IA em escala, os riscos envolvidos e como padrões independentes podem apoiar a confiança em agentes de IA.

A sessão apresenta o raciocínio por trás da nossa decisão de buscar a certificação AIUC-1 antes de outras empresas de IA de voz e como testes, seguros e padrões trabalham juntos para reduzir riscos em implementações empresariais.

Comparando o AIUC-1 a outros frameworks de conformidade

O AIUC-1 se junta a alguns outros frameworks que as empresas usam para avaliar fornecedores, embora nem todos sejam específicos para IA. Cada um aborda um conjunto diferente de questões.

Veja o que cada framework valida e como as empresas o utilizam:

Em termos simples, o SOC 2 informa a um comprador empresarial que a infraestrutura de um fornecedor esteve segura durante um período histórico de análise, enquanto o AIUC-1 mostra que um agente de IA é testado contra vetores de ataque do mundo real. Eles trabalham juntos para oferecer segurança em toda a infraestrutura, mas o AIUC-1 evita deliberadamente duplicar o trabalho que você já terá feito para o SOC 2 ou a ISO 27001.

Outro fator que diferencia o AIUC-1 é seu mecanismo de acreditação. A AIUC acredita auditores do AIUC-1 e, em seguida, combina a auditoria com seus próprios testes técnicos.

Como é o processo de certificação AIUC-1

A certificação AIUC-1 normalmente leva entre quatro e oito semanas, dependendo do nível de maturidade das medidas de proteção e salvaguardas de IA já existentes em uma organização. 

O processo de certificação passa por quatro etapas distintas:

1. Avaliação de lacunas: A primeira etapa audita uma plataforma de IA para determinar o escopo de seus agentes, as políticas existentes que eles utilizam, a documentação técnica disponível e as salvaguardas usadas. Essa etapa de definição de escopo e início identifica todas as lacunas iniciais a serem testadas e é quando você assina um contrato de certificação.
2. Correção: Em seguida, sua organização resolverá todas as lacunas nas medidas de proteção, políticas legais ou implementações técnicas existentes. Isso corrige as lacunas iniciais identificadas e permite avançar para a etapa de testes técnicos.
3. Avaliação técnica: A AIUC realiza testes adversariais no seu sistema de produção, verificando alucinações, oportunidades de injeção de prompt, vazamento de dados, chamadas inseguras de ferramentas, resultados prejudiciais ou práticas inseguras. 
4. Auditoria de certificação: Com base no desempenho dos seus agentes na etapa 3, um auditor avaliará todas as evidências de forma independente e decidirá se emite a certificação AIUC-1.

Ao final do processo de auditoria, as organizações recebem:

• Um relatório de auditoria abrangente com o detalhamento completo dos resultados
• O certificado AIUC-1 (em caso de aprovação)
• O selo AIUC-1 para exibir em materiais comerciais ou de marketing (em caso de aprovação)

Por quanto tempo uma certificação AIUC-1 é válida?

A certificação AIUC-1 é válida por 12 meses, mas não é um retrato único das medidas de segurança da empresa. Testes técnicos são realizados trimestralmente nos agentes de IA, enquanto todos os controles técnicos e legais completos passam por nova auditoria anual. Com base no surgimento de novas pesquisas ou de vetores distintos de ameaças baseadas em IA, a AIUC pode atualizar o padrão a cada trimestre e certificar os agentes em relação ao novo cenário de ameaças.

Quais setores estão acompanhando a certificação AIUC-1?

O AIUC-1 é um padrão voluntário, mas vem sendo usado por empresas para avaliar fornecedores de agentes de IA quanto à confiabilidade, segurança e proteção. 

Alguns setores estão atentos à certificação AIUC-1:

• Saúde: Agentes que lidam com PII ou outros dados confidenciais se beneficiam de salvaguardas explícitas e testadas de forma independente contra vazamentos e alucinações.
• SaaS empresarial: Fornecedores empresariais que adicionam recursos de agentes de IA podem encontrar a certificação AIUC-1 em questionários de segurança de compradores e requisitos de fornecedores.
• Seguros: Seguradoras que implementam agentes para conduzir conversas com clientes sobre apólices e sinistros querem ter certeza de que seus sistemas de IA fornecem informações precisas, reduzindo o risco de exposição na subscrição.
• Serviços financeiros: Bancos e fintechs que implementam agentes de voz e chat enfrentam obrigações rigorosas sobre tratamento de dados e auditabilidade. Nosso playbook de agentes de IA para serviços financeiros explica como plataformas certificadas podem apoiar essas implementações.

Há um motivo para funcionários de quase 70% das empresas da Fortune 500 usarem a ElevenLabs. A certificação AIUC-1 da ElevenLabs oferece aos compradores empresariais evidências independentes de como nossos agentes funcionam em condições adversariais.

Comece com o ElevenAgents

ElevenAgents é a primeira plataforma de IA de voz a conquistar a certificação AIUC-1, e a ElevenLabs atua como Colaboradora Técnica do padrão, ajudando a definir requisitos de segurança específicos para voz. A plataforma também possui SOC 2 Tipo II e certificação como prestadora de serviços PCI DSS Nível 1, o mais alto dos quatro níveis de conformidade com PCI DSS.

O caminho para a certificação se estende aos clientes. Como os requisitos do AIUC-1 estão integrados à plataforma, as empresas que desenvolvem com o ElevenAgents começam com até 75% dos requisitos de certificação já atendidos e normalmente conquistam a certificação completa em quatro semanas. Immobiliare.it, a maior plataforma imobiliária da Itália, certificou seu agente de voz para consultas sobre imóveis 24 horas por dia, 7 dias por semana, em quatro semanas, com menos de duas horas de trabalho de engenharia necessárias para configurar os testes.

Cadastre-se na ElevenLabs para criar seu primeiro agente ou fale com vendas para discutir uma implementação empresarial em conformidade. 

Perguntas frequentes sobre AIUC-1 e conformidade de IA