После выхода эссе Underwriting Superintelligence Rune Kvist и Rajiv Dattani в июле запускают компанию AIUC (Artificial Intelligence Underwriting Company). Стартап позиционирует себя как сертификационный центр и страховщик для ИИ-агентов и привлекает сид-раунд в 15 млн долларов. Сильный PR-эффект эссе, бэкграунд фаундеров в AI safety (они сейчас в совете директоров METR и Center for AI Safety), бизнес-ангелы из Anthropic и экс-CISOs Google Cloud и MongoDB позволяют команде громко стартовать в погоне за амбициозной задачей стать ведущим андеррайтером AI в США.

Параллельно с официальным запуском компания представляет первую версию своего стандарта AIUC-1. Позиционируют его как будущий SOC-2 для ИИ-агентов (примечание: SOC-2 это необязательная сертификация для американских компаний, которая стала де-факто стандартом в enterprise SaaS и не только). Само содержание AIUC-1 довольно типовое и сейчас разбирать его не буду. На сайте можно посмотреть, как их рекомендации мапятся на известные документы OWASP и MITRE и чем AIUC-1 отличается от громоздкого The EU AI Act, который с большой болью выходит сейчас для европейского рынка.

В своей рекламе стандарта компания упирает на необходимость регулярно обновлять как сам AIUC-1, так и методы тестирования раз в квартал. Страновые законы такой гибкостью, конечно, не обладают. Это разумное утверждение с учетом быстро меняющейся среды и роста сложности ИИ-систем и одновременно аккуратный механизм для повторяемой выручки сертификационного центра AIUC. Второй драйвер выручки это обязательная верификация ИИ-систем по методологии AIUC-1. В мире ISO или SOC-2 это чаще выглядит как относительно статичный аудит процессов раз в год, а здесь обещают живой red teaming. Интересно, с каждым новым джейлбрейком из новостей придется проходить повторную сертификацию? ;)

Конечно, ключевой элемент здесь массовая адоптация AIUC-1 среди больших игроков. Если этого не произойдет, все перечисленное выше не сработает, и стандарт забудут, компания развалится и инвесторы не заработают. Сейчас UiPath присоединился к публичной поддержке инициативы. Это пока не Google и не OpenAI, но тоже крупная публичная компания. Для продвижения своей инициативы был создан коммьюнити-инструмент AIUC-1 Consortium, где вы найдете много известных в индустрии участников. Думаю, что в ближайшее время мы увидим больше пресс-релизов о новых участниках коалиции. В чате в OWASP пару дней назад открыто обсуждался вопрос о коллаборации по агентным рекомендациям. Со стороны выглядит, что интерес к проекту со стороны сообщества подлинный.

Таким образом мы видим не еще один стандарт, а продуманный, тщательно спланированный бизнес-план компании AIUC: стандарт → аудит → страховка. Если у AIUC все получится, в следующем году мы уже сможем посмотреть, как устроена тарифная сетка страхования AI-рисков и какие лимиты и покрытия рынок готов проглатывать.

p.s. В комментариях вчера был вопрос про связь с требованиями регуляторов. Связь здесь не прямая. Допустим, AIUC-1 стал де-факто стандартом, который все основные игроки признали. Это не означает, что все обязаны сертифицироваться. Однако у крупных компаний в процессе работы с поставщиками есть требования по аудиту и безопасности (те самые регуляторные обязательства), но сами требования обычно не содержат конкретного указания на AIUC-1 сертификацию. Зато отдел закупок, чтобы соблюсти свой vendor management policy, попросит подрядчиков и продавцов AI-софта показать, каким образом они обеспечивают безопасность. Подрядчики идут к AIUC, сертифицируются, на закупке показывают детальный отчет проверки и ставят красивый бейджик на сайт за 50 тыс долларов.