# AICPA et AIUC associent SOC 2 et AIUC-1 pour les agents IA > L’AICPA et l’AIUC préparent une certification indépendante des agents IA, combinant rapport SOC 2 et tests techniques AIUC-1 dès 2027. Type : Actualité IA · Catégorie : Outils · Publié le 2026-10-21 · Signal IA - Order & Chaos · Secteur : Finance Source : https://www.orderchaos.eu/signal-ia/actu/laicpa-et-laiuc-sallient-pour-certifier-les-agents-ia Tags : agents ia, certification, risques, soc 2, gouvernance, agents-ia --- ## En résumé - L’AICPA et l’AIUC combinent un rapport SOC 2 avec la certification AIUC-1. - Les tests AIUC-1 évaluent notamment les injections de consignes, les fuites de données et les actions non autorisées. - Le programme prévoit des retests techniques trimestriels et un renouvellement annuel des certifications. **Le signal :** L’AICPA et l’AIUC visent un lancement au premier trimestre 2027 après des pilotes de certification des agents IA. **Certification indépendante.** L’American Institute of CPAs et l’Artificial Intelligence Underwriting Company préparent un programme commun d’assurance pour les systèmes et [agents IA](/signal-ia/actu/dataiku-traque-les-agents-ia-invisibles-de-lentreprise). L’offre associe un rapport System and Organization Controls 2, ou SOC 2, à la certification AIUC-1. Les organisations présentent cette combinaison comme le premier programme indépendant et complet dédié aux agents IA. Le dispositif doit examiner les risques liés à l’usage professionnel de ces systèmes. Amy Pawlicki, vice-présidente de l’AICPA chargée de l’innovation en assurance et conseil, estime que les politiques seules ne suffisent pas. Selon elle, les entreprises doivent démontrer leur application par des tests et une assurance indépendante. [Lire l’annonce de l’AICPA et de l’AIUC](https://www.aicpa-cima.com/news/article/auditors-meet-urgent-demand-for-ai-assurance-with-new-offering-from-aicpa-and-aiuc). **Des incidents récents.** Les organisations justifient cette initiative par les erreurs observées dans des opérations professionnelles critiques. Les comportements imprévus d’agents capables d’agir seuls alimentent les débats sur le rythme de développement de ces outils. Certains dirigeants du secteur ont appelé à ralentir ce rythme. Des parlementaires américains proposent aussi de nouvelles règles de responsabilité. Un projet présenté par Lori Trahan permettrait à des particuliers de poursuivre des développeurs lorsqu’un système blesse un tiers dans des circonstances assimilables à une négligence, un délit intentionnel ou un crime. Josh Hawley et Chris Murphy ont, eux, présenté une mesure visant certains dommages liés au piratage. ## Le SOC 2 vérifie les contrôles **Deux niveaux de contrôle.** Le SOC 2 examine si les contrôles d’une organisation sont correctement conçus et fonctionnent efficacement. AIUC-1 teste directement le comportement des agents IA. Les évaluations ciblent notamment l’injection de consignes, lorsque des instructions malveillantes cachées dans des courriels ou des documents manipulent un agent. Elles couvrent aussi les fuites de données et les actions dépassant l’autorité attribuée à l’agent. AIUC souligne qu’une organisation peut disposer de contrôles d’accès solides tout en restant exposée. Un agent peut en effet détourner un accès qu’il détient légitimement. Les deux référentiels examinent donc des dimensions différentes du risque opérationnel. **Des scénarios adaptés.** Les tests techniques confrontent les agents à un grand nombre de situations liées à leur mission. Un agent financier peut ainsi recevoir des factures modifiées ou de fausses instructions de [paiement](/signal-ia/actu/visa-mastercard-et-ant-cadrent-les-agents-ia-de-paiement). D’autres scénarios vérifient la réaction à un fichier importé contenant des consignes malveillantes. Les évaluations cherchent également à détecter l’exposition de données internes, l’invention de chiffres financiers et la fabrication de règles internes. Lorsqu’un test révèle une faiblesse, l’entreprise peut la corriger puis faire retester l’agent. Le rapport de certification inclut les résultats des deux séries de tests. AIUC-1 impose aussi un retest technique trimestriel. ## Le lancement vise 2027 **Un calendrier encadré.** Les pilotes en cours doivent contribuer au lancement du programme prévu au premier trimestre 2027. Les rapports SOC 2 et les certifications AIUC-1 devront être renouvelés chaque année. Le retest trimestriel AIUC-1 doit tenir compte des changements touchant les modèles, les outils et les consignes. Le programme vise d’abord les entreprises technologiques souhaitant démontrer la fiabilité et la sécurité de leurs systèmes aux entreprises utilisatrices. Pour les acheteurs de solutions externes, la certification pourra fournir un élément supplémentaire lors de l’[évaluation](/signal-ia/actu/aiuc-leve-40-millions-pour-dompter-les-agents-ia) du risque fournisseur. Amy Pawlicki précise toutefois qu’elle ne supprimera pas complètement les risques liés à une technologie. La mesure défendue par Josh Hawley et Chris Murphy est présentée dans leur [AI Agent Accountability Act](https://www.hawley.senate.gov/senators-hawley-murphy-announce-bipartisan-ai-agent-accountability-act/).