O Aikido Security obteve a certificação ISO 42001:2023, a norma internacional para sistemas de gestão de IA, um passo que poucos fornecedores de segurança deram até agora. A certificação confirma que o Aikido opera um sistema de governação estruturado e de melhoria contínua para gerir os riscos introduzidos pelas suas funcionalidades com IA, em toda a nossa plataforma.
O que é a norma ISO 42001?
A norma ISO 42001:2023 é o primeiro enquadramento de governação de IA criado especificamente para certificação independente por terceiros. Enquanto a norma ISO 27001 abrange a segurança da informação de forma geral, a ISO 42001 define requisitos sobre a forma como uma organização cria, implementa e monitoriza sistemas de IA de maneira responsável, mantendo essa governação atualizada à medida que a própria IA evolui.
Estes requisitos incluem a definição de limites do sistema, o estabelecimento de uma política de IA com papéis de governação claros, a realização de avaliações formais de risco e impacto, o acompanhamento de métricas de comportamento da IA, a remediação de não-conformidades e a implementação de atualizações contínuas à medida que os modelos e os ambientes evoluem.
A certificação ISO 42001 atesta que o Aikido possui um sistema de gestão funcional e auditado para reger os riscos introduzidos por quaisquer funcionalidades de IA, abrangendo a forma como esses riscos são documentados e monitorizados no dia a dia. Foi concebida para ser aplicável a todos os sistemas e contextos de IA.
Porque procurámos a certificação ISO 42001
À medida que a utilização de produtos baseados em agentes aumenta, a responsabilidade recua ("shifts left") para os programadores dos sistemas, em vez de recair sobre os utilizadores das ferramentas. Por conseguinte, é importante demonstrar a fiabilidade de um sistema não determinístico através da validação independente do SDLC subjacente. Ao obter a certificação ISO 42001, o Aikido prova que estamos a construir sistemas de IA fiáveis e de confiança.
Por exemplo, o pentest de IA do Aikido analisa as aplicações da mesma forma que um atacante o faria, enquanto o Code Security Audit analisa o código-fonte para detetar o que as ferramentas baseadas em padrões não conseguem ver. Temos várias outras ferramentas de IA detalhadas abaixo.
O Aikido pede aos clientes que confiem nele para testes de IA autónomos das suas aplicações, bem como na IA utilizada para ajudar a identificar, triar e corrigir vulnerabilidades. Obter a certificação independente da nossa própria governação de IA demonstra que os nossos clientes podem confiar em nós para gerir a IA de forma robusta. Levamos a segurança dos nossos clientes muito a sério e queremos garantir uma utilização ética e responsável da IA.
As equipas de segurança e de conformidade que avaliam qualquer fornecedor com inteligência artificial (IA) questionam agora habitualmente sobre a governação e o tratamento de dados. A regulamentação acompanha esta tendência, com enquadramentos como o EU AI Act a impulsionar as equipas de contratação pública a exigirem provas de governação de IA antes de adotarem internamente uma nova ferramenta de IA, mesmo junto de fornecedores que o enquadramento não regula diretamente. Especificamente para os compradores empresariais europeus, a conformidade com o EU AI Act tornou-se um ponto permanente nas análises de risco de fornecedores.
Âmbito
A norma ISO 42001 na Aikido abrange o conjunto completo de funcionalidades com IA em toda a plataforma, abrangendo tanto software como hardware: pentest de IA (Aikido Attack, Aikido Infinite), pentest de IA no local (Aikido Machine), Code Security Audit, Deep PR Review, análise de API, Aikido Libraries, Aikido Images, AutoFix, AutoTriage, Aikido Intel, AI Cloud Search e Code Quality. Qualquer nova funcionalidade de IA introduzida no futuro na Aikido seguirá os mesmos processos auditados e de governação.
Como lá chegámos
A certificação seguiu o mesmo caminho geral de qualquer auditoria de sistemas de gestão ISO: uma revisão interna de preparação, uma auditoria de fase 1 focada na documentação para verificar se as políticas e os procedimentos cumprem efetivamente a norma, e uma auditoria de fase 2 que testa se o sistema de governação se mantém resiliente sob testes de controlo reais. Quaisquer não-conformidades encontradas ao longo do processo têm de ser remediadas, ou dispor de um plano de remediação documentado, antes de a certificação ser concedida.
Tendo já implementado SOC 2 e ISO 27001, a Aikido já possuía grande parte do processo subjacente e da documentação em vigor. A novidade da norma ISO 42001 consistiu em mapear especificamente a camada de IA, rastreando a forma como cada funcionalidade de IA atinge uma decisão e que dados a alimentam, estabelecendo depois uma monitorização para continuar a vigiar esse processo ao longo do tempo.
Chegar até aqui exigiu uma verdadeira colaboração entre a conformidade, o desenvolvimento e a vertente GTM, tendo fortalecido o nosso trabalho com os nossos parceiros de cloud e de IA.
O que isto significa se estiver a avaliar um fornecedor de segurança de IA
Se estiver a introduzir uma ferramenta de segurança com IA num ambiente regulado, a norma ISO 42001 fornece-lhe uma resposta auditada de forma independente sobre se os respetivos riscos de IA são efetivamente geridos, em vez de depender apenas da garantia do próprio fornecedor.
A governação de IA avaliada de forma independente continua a ser pouco comum no mercado de ferramentas de segurança. A maioria dos fornecedores que comercializa produtos com IA continua a apontar para a certificação SOC 2 a nível da empresa como o seu único sinal de conformidade, mas a norma SOC 2 abrange controlos gerais de segurança. Uma certificação dedicada à governação de IA, que ateste especificamente a forma como a IA de um fornecedor é gerida, é muito menos comum.
Isto resulta habitualmente da burocracia e da lentidão características da cultura de uma empresa. Está no ADN do Aikido lançar novidades rapidamente e proporcionar aos clientes um elevado nível de garantia. É por isso que alcançámos esta certificação.
FAQ
A certificação ISO 42001 significa que a IA da Aikido é segura? A norma ISO 42001 certifica que a Aikido possui um sistema de gestão funcional e auditado para gerir os riscos introduzidos pelas suas funcionalidades de IA. Trata-se de uma certificação do sistema de governação. Não certifica que qualquer modelo de IA ou resultado individual seja seguro.
Em que é que a norma ISO 42001 difere da SOC 2? A norma SOC 2 avalia os controlos gerais de segurança numa empresa. A norma ISO 42001 é específica para a IA: a forma como uma organização documenta e monitoriza os riscos introduzidos pelos seus sistemas de IA, e como essa governação se adapta à medida que a IA evolui.
A norma ISO 42001 é o mesmo que software de governação de IA? O software de governação de IA é uma categoria de ferramentas que as empresas utilizam para monitorizar e gerir internamente o risco de IA. A norma ISO 42001 é uma certificação independente de terceiros que audita se essa governação funciona efetivamente, independentemente das ferramentas que a empresa utilize para a executar.
Pedir o nosso certificado
A Aikido cumpre as normas ISO 27001:2022, ISO 42001 e SOC 2 Type II da AICPA, encontrando-se a implementar ativamente a FedRAMP. Estamos em total conformidade com o RGPD.
Se estiver a avaliar a Aikido no âmbito de uma auditoria de conformidade, pode solicitar a nossa certificação ISO 42001 através do nosso centro de confiança.
