Vad är AIUC-1 och varför är det viktigt för förtroendet för AI i företag?

AI för företag mognar. Agenter som började som pilotprojekt hanterar nu kundsamtal, utlöser arbetsflöden och agerar på affärsdata i realtid i produktion. När företag tar AI-agenter i produktion i den här skalan blir tillit, säkerhet och tillförlitlighet avgörande.

All omvälvande teknik når den här punkten. Betalsystem har PCI DSS. Molninfrastruktur har SOC 2. Oberoende standarder gjorde båda till system som företag kan använda utan omfattande enskilda granskningar. Nu får AI-agenter sina.

AIUC-1-certifieringen är världens första standard för säkerhet, trygghet och tillförlitlighet, särskilt framtagen för AI-agenter. Den har utvecklats av Artificial Intelligence Underwriting Company (AIUC) tillsammans med forskare från MIT, MITRE och Stanford och ger företag ett oberoende riktmärke som de kan använda redan i dag.

ElevenLabs är det första röst-AI-företaget som har uppnått AIUC-1-certifiering. Våra agenter genomgick 5 835 tekniska tester inom 14 riskkategorier, vilket visar att de är robusta för användning i företag och möjliggör en unik försäkring för de AI-agenter som våra kunder använder.

Den här guiden förklarar vad AIUC-1-standarden omfattar, hur den jämförs med andra regelverk för efterlevnad, såsom SOC 2 och ISO 42001, och vad certifieringsprocessen innebär.

Den här guiden är endast avsedd som allmän information och utgör inte juridisk rådgivning. Kraven beror på era system, data och jurisdiktioner, så bekräfta era skyldigheter med juridisk rådgivare.

Sammanfattning

• AIUC-1-certifiering är den första oberoende standarden för AI-agenters säkerhet, trygghet och tillförlitlighet, med fokus på specifik testning av agenter.
• Ramverket omfattar 51 krav inom sex riskpelare, där de underliggande kontrollerna anpassas efter varje agents funktioner.
• AIUC-1 testar agenters beteende genom tusentals motståndskraftiga simuleringar.
• ElevenLabs är det första röst-AI-företaget som har fått AIUC-1-certifiering med AI Insurance och medverkar som Technical Contributor för röstspecifika krav.

Vad är AIUC-1?

AIUC-1 är en certifieringsstandard för AI-agenter som skapats av Artificial Intelligence Underwriting Company. Den verifierar att en AI-agent använder tekniska skyddsåtgärder, operativa kontroller och juridiska policyer som är utformade för att minska risken för osäkert eller obehörigt beteende i produktion. AIUC-1 har sex pelare: data och integritet, säkerhet, trygghet, tillförlitlighet, ansvarsskyldighet och samhälle.

Certifieringen finns eftersom AI-agenter går bortom de traditionella gränser som SOC 2 och ISO 27001 förutsåg. Agenter får åtkomst till kunddata, utlöser arbetsflöden, konsulterar interna affärspolicyer, eskalerar ärenden till mänskliga handläggare och kan agera självständigt inom ett ramverk. Därmed blir risken för obehöriga verktygsanrop, hallucinationer, dataläckage eller promptinjektioner betydligt större.

AIUC-1 ger företag oberoende belägg för hur en AI-agent fungerar under motståndskraftiga förhållanden med känsliga data. Den visar att en agent har testats mot definierade risker för säkerhet och tillförlitlighet.

Förstå AIUC-1:s sex pelare

AIUC-1-ramverket består av 51 krav och 130 kontroller, organiserade i sex riskpelare. Av dessa kontroller är 65 obligatoriska och 65 valfria, beroende på vad agenten kan göra.

AIUC-1:s sex pelare täcker hela livscykeln för en AI-agent i produktion och är följande:

• Data och integritet: AIUC-1:s första pelare ska skydda mot dataläckage, träning på användardata utan samtycke och läckage av immateriella rättigheter. Kraven omfattar bland annat att fastställa en policy för in- och utdata, begränsa AI-agenters dataåtkomst, skydda immateriella rättigheter och företagshemligheter, förhindra dataexponering mellan kunder samt skydda mot läckage av personligt identifierbar information, intrång i immateriella rättigheter och exponering av inloggningsuppgifter eller hemligheter. Mer information om hur du visar efterlevnad för varje del av AIUC-1:s krav på data och integritet finns på den officiella sidan.
• Säkerhet: Ska skydda mot adversariella attacker som promptinjektioner och jailbreaks samt obehöriga verktygsanrop. Kraven omfattar tredjepartstestning av motståndskraft mot adversariella attacker, förebyggande av obehöriga agentåtgärder, åtkomstkontroller för användare, skydd av produktionsmiljön samt skydd mot scraping och probing av AI-slutpunkter.
• Trygghet: Minskar risken för skadliga AI-resultat och varumärkesrisk genom skyddsåtgärder och övervakning. De viktigaste kraven omfattar en dokumenterad risktaxonomi, tester före driftsättning och kontroller mot skadliga resultat, såsom partiskhet, vilseledning, råd med hög risk och stötande innehåll. AIUC-1:s trygghetspelare omfattar även resultat utanför agentens område och eskalering av resultat med hög risk till människor för granskning.
• Tillförlitlighet: Ska förhindra hallucinationer och opålitliga verktygsanrop till anslutna affärssystem. Principen har endast fyra underavsnitt, som omfattar skydd mot hallucinerade resultat, begränsningar för osäkra verktygsanrop och tredjepartstester av båda skydden.
• Ansvarsskyldighet: Tilldelar ansvar och säkerställer tillsyn. Kraven i denna pelare omfattar tre separata planer för AI-fel, leverantörsgranskning av uppströmsleverantörer, aktivitetsloggning, databehandling och upplysningsmekanismer som berättar för användare när de talar med AI.
• Samhälle: Minskar risken för att AI orsakar samhällsskada genom cyberattacker eller andra säkerhetsrisker. Kategorin har två komponenter, AI-relaterat cybermissbruk och katastrofalt missbruk, som båda inför skyddsräcken för att minska risken för att systemet används i skadliga syften.

De specifika kraven som en modell måste uppfylla beror också på dess funktioner. Det finns till exempel särskilda krav för modeller för röstgenerering, automatisering, kodgenerering eller textgenerering, vilket innebär att en röstagent testas mot röstspecifika risker i stället för en generell checklista.

Ett system genomgår tusentals adversariella simuleringar för att få AIUC-1-certifiering. Varje simulering bygger på en verklig AI-incident, och standarden uppdateras löpande för att testa modeller mot de senaste hoten inom AI-forskning.

Så passar AIUC-1 in i företags riskhantering för AI

AIUC-1 kan komplettera befintliga certifieringar. Den testar agentspecifika risker som ramverk som ISO 42001, NIST AI RMF, EU:s AI-förordning, MITRE ATLAS och OWASP Top 10 för LLM-applikationer inte skapades för att täcka, såsom promptinjektion, obehöriga verktygsanrop och dataexfiltrering genom agenter.

För riskteam ger standarden också kvantifierade godkänd-/underkänd-frekvenser för definierade riskkategorier. Stora risker kopplade till AI i produktion kvantifieras och mäts. Det ger företag ett dokumenterat underlag för att bedöma riskerna med AI i produktion.

På ElevenLabs Summit i London presenterade ElevenLabs Marco Mancini vår vision för säkerhet i AI-agenter: vad som krävs för att driftsätta AI-system i stor skala, riskerna som är involverade och hur oberoende standarder kan stärka tilliten till AI-agenter.

Sessionen beskriver tankarna bakom vårt beslut att vara först bland röst-AI-företag med att satsa på AIUC-1-certifiering, och hur tester, försäkring och standarder tillsammans minskar risken när företag driftsätter AI.

Jämförelse mellan AIUC-1 och andra regelverk för efterlevnad

AIUC-1 är ett av flera ramverk som företag använder för att utvärdera leverantörer, även om inte alla är specifika för AI. Vart och ett besvarar olika frågor.

Här är vad varje ramverk validerar och hur företag använder det:

Enkelt uttryckt visar SOC 2 en företagsköpare att en leverantörs infrastruktur har varit säker under en historisk granskningsperiod, medan AIUC-1 visar att en AI-agent testas mot verkliga attackvektorer. De fungerar tillsammans för att ge säkerhet i hela infrastrukturen, men AIUC-1 undviker medvetet att duplicera arbetet som redan gjorts för SOC 2 eller ISO 27001.

En annan faktor som särskiljer AIUC-1 är dess ackrediteringsmekanism. AIUC ackrediterar AIUC-1-revisorer och kompletterar sedan revisionen med sina egna tekniska tester.

Så går AIUC-1-certifieringen till

AIUC-1-certifiering tar vanligtvis mellan fyra och åtta veckor, beroende på hur mogna en organisations befintliga skyddsräcken och AI-skyddsåtgärder är. 

Certifieringsprocessen har fyra tydliga steg:

1. Gap-analys: I det första steget granskas en AI-plattform för att fastställa vilka funktioner dess agenter har, vilka befintliga policyer de använder, vilken teknisk dokumentation de har och vilka skyddsåtgärder de använder. I detta avgränsnings- och uppstartssteget identifieras alla inledande brister som ska testas, och här tecknar ni ett certifieringsavtal.
2. Åtgärder: Därefter åtgärdar organisationen alla brister i era skyddsräcken, juridiska policyer eller tekniska implementationer. Det löser de inledande brister som identifierats och gör att ni kan gå vidare till tekniska tester.
3. Teknisk utvärdering: AIUC utför adversariella tester mot ert produktionssystem och undersöker hallucinationer, möjligheter till promptinjektioner, dataläckage, osäkra verktygsanrop, skadliga resultat eller osäkra metoder. 
4. Certifieringsrevision: Baserat på era agenters resultat i steg 3 utvärderar en revisor självständigt all bevisning och beslutar sedan om AIUC-1-certifieringen ska utfärdas.

När revisionsprocessen är klar får organisationer:

• En omfattande revisionsrapport med en fullständig redovisning av resultaten
• AIUC-1-certifikatet (vid godkänt resultat)
• AIUC-1-märket att visa i sälj- eller marknadsföringsmaterial (vid godkänt resultat)

Hur länge gäller en AIUC-1-certifiering?

AIUC-1-certifieringen gäller i 12 månader, men är inte en engångsbild av företagets säkerhetsåtgärder. Tekniska tester av AI-agenter utförs varje kvartal, medan samtliga tekniska och juridiska kontroller granskas på nytt årligen. AIUC kan uppdatera standarden varje kvartal och certifiera agenter mot den nya hotbilden utifrån ny forskning eller nya AI-baserade hotvektorer.

Vilka branscher följer AIUC-1-certifieringen?

AIUC-1 är en frivillig standard, men företag använder den för att utvärdera leverantörer av AI-agenter utifrån tillförlitlighet, säkerhet och trygghet. 

Några branscher som uppmärksammar AIUC-1-certifiering är:

• Hälso- och sjukvård: Agenter som hanterar personligt identifierbar information eller andra känsliga data drar nytta av uttryckliga, oberoende testade skydd mot läckage och hallucinationer.
• SaaS för företag: Företagsleverantörer som lägger till AI-agentfunktioner kan se att AIUC-1-certifiering dyker upp i köpares säkerhetsfrågeformulär och leverantörskrav.
• Försäkring: Försäkringsbolag som använder agenter för samtal om kunders försäkringar och skadeärenden vill vara säkra på att deras AI-system ger korrekt information, vilket minskar risken vid riskbedömning.
• Finansiella tjänster: Banker och fintechbolag som använder röst- och chattagenter har strikta krav på datahantering och granskningsbarhet. Vår handbok för AI-agenter för finansiella tjänster beskriver hur certifierade plattformar kan stödja dessa driftsättningar.

Det finns en anledning till att anställda på nästan 70 % av Fortune 500-företagen använder ElevenLabs. ElevenLabs AIUC-1-certifiering ger företagsköpare oberoende belägg för hur våra agenter fungerar under adversariella förhållanden.

Kom igång med ElevenAgents

ElevenAgents är den första plattformen för röst-AI som har uppnått AIUC-1-certifiering, och ElevenLabs medverkar som Technical Contributor till standarden och hjälper till att utforma röstspecifika säkerhetskrav. Plattformen har även SOC 2 Type II och är certifierad som PCI DSS Level 1-tjänsteleverantör, den högsta av de fyra nivåerna för PCI DSS-efterlevnad.

Certifieringsvägen omfattar även kunder. Eftersom AIUC-1-kraven är integrerade i plattformen uppfyller företag som bygger med ElevenAgents redan upp till 75 % av certifieringskraven och uppnår vanligtvis full certifiering på fyra veckor. Immobiliare.it, Italiens största fastighetsplattform, certifierade sin röstagent för fastighetsförfrågningar dygnet runt på fyra veckor, med mindre än två timmars utvecklingstid för att konfigurera testerna.

Registrera dig för ElevenLabs för att bygga din första agent, eller kontakta säljteamet för att diskutera en regelefterlevande driftsättning i företaget. 

Vanliga frågor om AIUC-1 och AI-efterlevnad