Vad är AIUC-1 och varför är det viktigt för förtroendet för AI i företag?

AI för företag mognar. Agenter som började som pilotprojekt hanterar nu kundsamtal, startar workflows och agerar på affärsdata i realtid i produktionsmiljöer. När företag driftsätter AI-agenter i den här skalan blir förtroende, säkerhet och tillförlitlighet avgörande.

All omvälvande teknik når den här punkten. Betalsystem har PCI DSS. Molninfrastruktur har SOC 2. Oberoende standarder gjorde båda till system som företag kan använda utan omfattande individuell granskning. Nu får AI-agenter sina egna.

AIUC-1-certifieringen är världens första standard för säkerhet, trygghet och tillförlitlighet, utvecklad specifikt för AI-agenter. Den har tagits fram av Artificial Intelligence Underwriting Company (AIUC) tillsammans med forskare från MIT, MITRE och Stanford, och ger företag ett oberoende riktmärke som de kan använda redan i dag.

ElevenLabs är det första voice AI-företaget som har uppnått AIUC-1-certifiering tillsammans med AI-försäkring för agenter. Våra agenter genomgick 5 835 tekniska tester inom 14 riskkategorier, vilket visar att de är robusta för användning i företag och ger tillgång till unik försäkring för de AI-agenter som våra kunder driftsätter.

Den här guiden förklarar vad AIUC-1-standarden omfattar, hur den jämförs med andra ramverk för efterlevnad som SOC 2 och ISO 42001 samt vad certifieringsprocessen innebär.

Den här guiden är endast avsedd som allmän information och utgör inte juridisk rådgivning. Kraven beror på dina system, data och jurisdiktioner, så bekräfta dina skyldigheter med juridisk rådgivare.

Sammanfattning

• AIUC-1-certifiering är den första oberoende standarden för AI-agenters säkerhet, trygghet och tillförlitlighet, med fokus på specifik testning av agenter.
• Ramverket omfattar 51 krav inom sex riskpelare, där de underliggande kontrollerna anpassas efter varje agents kapacitet.
• AIUC-1 testar agenters beteende genom tusentals adversariella simuleringar.
• ElevenLabs är det första voice AI-företaget som har fått AIUC-1-certifiering med AI Insurance och fungerar som Technical Contributor för röstspecifika krav.

Vad är AIUC-1?

AIUC-1 är en certifieringsstandard för AI-agenter, skapad av Artificial Intelligence Underwriting Company. Den bekräftar att en AI-agent använder tekniska skyddsåtgärder, operativa kontroller och juridiska policyer som är utformade för att minska risken för osäkert eller otillåtet beteende i produktionsmiljöer. AIUC-1 har sex pelare: data och integritet, säkerhet, trygghet, tillförlitlighet, ansvarsskyldighet och samhälle.

Certifieringen finns eftersom AI-agenter går bortom de traditionella gränser som SOC 2 och ISO 27001 utgick från. De får åtkomst till kunddata, startar workflows, konsulterar interna affärspolicyer, eskalerar ärenden till mänskliga agenter och kan agera självständigt inom ett regelverk. Därmed blir risken för otillåtna verktygsanrop, hallucinationer, dataläckor eller prompt injection betydligt större.

AIUC-1 ger företag oberoende bevis på hur en AI-agent presterar under adversariella förhållanden med känsliga data. Den visar att en agent har testats mot definierade risker för säkerhet och tillförlitlighet.

De sex pelarna i AIUC-1

AIUC-1-ramverket består av 51 krav och 130 kontroller, indelade i sex riskpelare. Av dessa kontroller är 65 obligatoriska och 65 valfria, beroende på omfattningen av vad agenten gör.

AIUC-1:s sex pelare täcker hela livscykeln för en driftsättning av AI-agenter och är följande:

• Data och integritet: AIUC-1:s första pelare ska skydda mot dataläckor, träning på användardata utan samtycke och läckor av immateriella rättigheter. Kraven omfattar bland annat policyer för in- och utdata, begränsad dataåtkomst för AI-agenter, skydd av immateriella rättigheter och företagshemligheter, förebyggande av exponering av data mellan kunder samt skydd mot läckage av PII, IP-överträdelser och exponering av inloggningsuppgifter eller hemligheter. Mer information om hur du visar efterlevnad för varje del av AIUC-1:s krav på data och integritet finns på den officiella sidan.
• Säkerhet: Ska skydda mot adversariella attacker som prompt injections och jailbreaks, samt otillåtna verktygsanrop. Kraven omfattar tredjepartstestning av motståndskraft mot adversariella attacker, förebyggande av otillåtna agentåtgärder, åtkomstkontroller för användare, skydd av driftsättningsmiljön och skydd mot scraping och probing av AI-endpoints.
• Trygghet: Minskar risken för skadliga AI-svar och varumärkesrisker genom skyddsåtgärder och övervakning. Huvudkraven omfattar en dokumenterad risktaxonomi, tester före driftsättning och kontroller mot skadliga svar, som partiskhet, vilseledning, rådgivning med hög risk och stötande innehåll. AIUC-1:s pelare för trygghet omfattar även svar utanför agentens användningsområde och eskalering av högrisk-svar till människor för granskning.
• Tillförlitlighet: Ska förebygga hallucinationer och opålitliga verktygsanrop till anslutna affärssystem. Principen har bara fyra delområden och omfattar skydd mot hallucinerade svar, begränsningar för osäkra verktygsanrop samt tredjepartstestning av båda dessa skydd.
• Ansvarsskyldighet: Tilldelar ansvar och säkerställer tillsyn. Kraven i den här pelaren omfattar tre separata planer för AI-fel, leverantörsgranskning av uppströmsleverantörer, aktivitetsloggning, databehandling och mekanismer som berättar för användare när de talar med AI.
• Samhälle: Minskar risken för att AI orsakar samhällsskada genom cyberattacker eller andra säkerhetsrisker. Kategorien har två delar, AI-relaterat cybermissbruk och katastrofalt missbruk, som båda inför skyddsräcken för att minska risken att systemet används i illvilligt syfte.

De specifika krav som en modell måste uppfylla beror också på dess kapacitet. Det finns till exempel särskilda krav för modeller för röstgenerering, automatisering, kodgenerering eller textgenerering, vilket innebär att en röstagent testas mot röstspecifika risker i stället för mot en generell checklista.

Ett system genomgår tusentals adversariella simuleringar för att få AIUC-1-certifiering. Varje simulering utgår från en verklig AI-incident, och standarden uppdateras löpande för att testa modeller mot de senaste hoten inom AI-forskning.

Hur AIUC-1 passar in i företags riskhantering för AI

AIUC-1 kan komplettera befintliga certifieringar. Den testar agentspecifika risker som ramverk som ISO 42001, NIST AI RMF, EU:s AI-förordning, MITRE ATLAS, och OWASP Top 10 för LLM-applikationer inte skapades för att täcka, såsom prompt injection, otillåtna verktygsanrop och agentbaserad dataexfiltrering.

För riskteam ger standarden även kvantifierade godkännande- och underkännandefrekvenser för definierade riskkategorier. Stora risker kopplade till AI-driftsättning kvantifieras och mäts. Det ger företag ett dokumenterat underlag för att bedöma risken med AI-driftsättning.

På ElevenLabs Summit i London presenterade ElevenLabs Marco Mancini vår vision för säkerhet kring AI-agenter: vad som krävs för att driftsätta AI-system i stor skala, riskerna som är involverade och hur oberoende standarder kan bidra till förtroende för AI-agenter.

Sessionen beskriver tankarna bakom vårt beslut att vara först bland voice AI-företag med att söka AIUC-1-certifiering, och hur testning, försäkring och standarder tillsammans minskar risken vid driftsättning i företag.

Jämförelse mellan AIUC-1 och andra ramverk för efterlevnad

AIUC-1 finns vid sidan av en handfull andra ramverk som företag använder för att utvärdera leverantörer, även om alla inte är AI-specifika. Varje ramverk behandlar olika frågor.

Här är vad varje ramverk validerar och hur företag använder det:

Enkelt uttryckt visar SOC 2 en företagsköpare att en leverantörs infrastruktur var säker under en tidigare granskningsperiod, medan AIUC-1 visar att en AI-agent har testats mot verkliga attackvektorer. Tillsammans ger de säkerhet för hela infrastrukturen, men AIUC-1 undviker medvetet att duplicera arbetet du redan har gjort för SOC 2 eller ISO 27001.

En annan faktor som skiljer AIUC-1 från andra standarder är dess ackrediteringsmekanism. AIUC ackrediterar AIUC-1-revisorer och kombinerar sedan revisionen med sin egen tekniska testning.

Så går AIUC-1-certifieringen till

AIUC-1-certifiering tar vanligtvis mellan fyra och åtta veckor, beroende på hur mogna organisationens befintliga skyddsräcken och AI-skydd är.

Certifieringsprocessen består av fyra tydliga steg:

1. Gapanalys: I det första steget granskas en AI-plattform för att fastställa omfattningen av dess agenter, vilka befintliga policyer de använder, vilken teknisk dokumentation de har och vilka skyddsåtgärder de använder. I denna avgränsnings- och uppstartsfas identifieras alla inledande luckor att testa, och det är här du skriver under ett certifieringsavtal.
2. Åtgärdande: Därefter åtgärdar organisationen alla luckor i era skyddsräcken, juridiska policyer eller tekniska implementationer. Det löser de inledande luckor som identifierats och gör att ni kan gå vidare till den tekniska testfasen.
3. Teknisk utvärdering: AIUC genomför adversariella tester mot ert produktionssystem och undersöker hallucinationer, möjligheter till prompt injection, dataläckor, osäkra verktygsanrop, skadliga svar eller osäkra metoder.
4. Certifieringsrevision: Baserat på era agenters resultat i steg 3 utvärderar en revisor självständigt all bevisning och beslutar sedan om AIUC-1-certifieringen ska utfärdas.

När revisionsprocessen är klar får organisationer:

• En omfattande revisionsrapport med en fullständig genomgång av resultaten
• AIUC-1-certifikatet (vid godkänt resultat)
• AIUC-1-märket att visa i sälj- eller marknadsföringsmaterial (vid godkänt resultat)

Hur länge gäller en AIUC-1-certifiering?

AIUC-1-certifieringen gäller i 12 månader, men är inte en engångsbild av företagets säkerhetsåtgärder. AI-agenter genomgår tekniska tester varje kvartal, och alla tekniska och juridiska kontroller granskas på nytt varje år. När ny forskning publiceras eller nya AI-baserade hotvektorer uppstår kan AIUC uppdatera standarden varje kvartal och certifiera agenter mot den nya hotbilden.

Vilka branscher följer AIUC-1-certifieringen?

AIUC-1 är en frivillig standard, men företag använder den för att utvärdera leverantörer av AI-agenter utifrån tillförlitlighet, säkerhet och trygghet.

Några branscher följer AIUC-1-certifieringen särskilt noga:

• Hälso- och sjukvård: Agenter som hanterar PII eller andra känsliga data drar nytta av tydliga, oberoende testade skyddsåtgärder mot läckor och hallucinationer.
• SaaS för företag: Företagsleverantörer som lägger till AI-agentfunktioner kan se AIUC-1-certifiering dyka upp i köpares säkerhetsfrågeformulär och leverantörskrav.
• Försäkring: Försäkringsbolag som driftsätter agenter för samtal om kunders försäkringar och skadeärenden vill kunna lita på att deras AI-system ger korrekt information, vilket minskar risken i teckningsverksamheten.
• Finansiella tjänster: Banker och fintechbolag som driftsätter röst- och chattagenter har strikta skyldigheter kring datahantering och granskningsbarhet. Vår handbok för AI-agenter för finansiella tjänster beskriver hur certifierade plattformar kan stödja dessa driftsättningar.

Det finns en anledning till att medarbetare på nästan 70 % av Fortune 500-företagen använder ElevenLabs. ElevenLabs AIUC-1-certifiering ger företagsköpare oberoende bevis på hur våra agenter presterar under adversariella förhållanden.

Kom igång med ElevenAgents

ElevenAgents är den första voice AI-plattformen som har uppnått AIUC-1-certifiering, och ElevenLabs fungerar som Technical Contributor till standarden och hjälper till att utforma röstspecifika säkerhetskrav. Plattformen har även SOC 2 Type II och är certifierad som PCI DSS Level 1-tjänsteleverantör, den högsta av de fyra PCI DSS-nivåerna för efterlevnad.

Certifieringsvägen omfattar även kunder. Eftersom AIUC-1-kraven är inbyggda i plattformen uppfyller företag som bygger med ElevenAgents redan från början upp till 75 % av certifieringskraven och uppnår vanligtvis full certifiering på fyra veckor. Immobiliare.it, Italiens största fastighetsplattform, certifierade sin röstagent för fastighetsförfrågningar dygnet runt röstagent på fyra veckor, med mindre än två timmars utvecklingsarbete för att konfigurera testningen.

Skapa ett konto hos ElevenLabs för att bygga din första agent, eller kontakta säljavdelningen för att diskutera en företagsdriftsättning som uppfyller kraven.

Vanliga frågor om AIUC-1 och AI-efterlevnad