Conformité SOC 2 IA
Conformité SOC 2 IA pour Organisations axées sur la confiance
Les outils IA traitant des données clients, générant des résultats utilisés dans les décisions d'affaires et accédant à des informations confidentielles peuvent compromettre vos contrôles SOC 2. Aona détecte l'utilisation d'IA sur les terminaux couverts, applique les politiques configurées aux interactions supportées et fournit des preuves d'utilisation pour votre revue de contrôle.
- Visibilité de l’utilisation de l’IA
- Endpoint
- contrôles IA pris en charge
- Policy-led
- preuves pour la revue de contrôle
- Usage
- outils IA dans le catalogue des risques
- 10,000+
Exigences SOC 2 pour les outils IA
Les critères SOC 2 Trust Services s’appliquent à tous les systèmes traitant des données concernées, y compris les outils d’IA adoptés par vos employés la semaine dernière.
Security (CC6/CC7)Critères communsContrôles d'accès et surveillance de l'IA
Les critères de sécurité exigent des contrôles d'accès logiques sur les informations et systèmes. Cela s'étend aux outils d'IA qui accèdent, traitent ou stockent des données concernées. Les organisations doivent mettre en œuvre des contrôles d'accès pour les outils d'IA, surveiller l'utilisation de l'IA pour détecter les accès non autorisés et garantir que les services d'IA respectent les mêmes normes de sécurité que les autres systèmes concernés.
AvailabilityServices de confianceFiabilité et redondance des systèmes d'IA
Lorsque les processus métier dépendent des outils d'IA, les critères de disponibilité exigent que ces outils respectent les engagements de service définis. Les organisations doivent évaluer si les processus dépendants de l'IA disposent d'une redondance appropriée, de capacités de basculement et de procédures de réponse aux incidents, en particulier pour les outils d'IA intégrés aux flux de travail orientés client.
Intégrité du traitementServices de confianceExactitude et exhaustivité des résultats de l'IA
L'intégrité du traitement exige que le traitement du système soit complet, valide, exact, opportun et autorisé. Les outils d'IA qui génèrent des résultats utilisés dans les décisions commerciales, les livrables clients ou les rapports financiers doivent être validés pour leur exactitude. Les organisations doivent mettre en œuvre des contrôles pour vérifier les résultats de l'IA et gérer le risque d'hallucinations ou d'inexactitudes de l'IA.
ConfidentialityServices de confianceGestion et protection des données IA
Les critères de confidentialité exigent la protection des informations désignées comme confidentielles. Lorsque les employés partagent des données clients, des informations propriétaires ou des secrets commerciaux avec des outils d'IA, les engagements de confidentialité peuvent être violés. Les organisations doivent contrôler les données qui entrent dans les outils d'IA et s'assurer que les fournisseurs d'IA offrent des protections de confidentialité appropriées.
PrivacyServices de confianceIA et traitement des données personnelles
Les critères de confidentialité traitent de la collecte, de l'utilisation, de la conservation, de la divulgation et de l'élimination des informations personnelles. Les outils d'IA qui traitent des données personnelles doivent respecter les engagements de confidentialité de l'organisation. Cela inclut de s'assurer que les fournisseurs d'IA respectent les exigences de confidentialité, de limiter les données personnelles partagées avec les outils d'IA et de tenir des registres des activités de traitement IA impliquant des données personnelles.
Le problème de l'IA fantôme pour SOC 2
L’IA fantôme est la menace à la conformité SOC 2 qui croît le plus rapidement. Les outils d’IA adoptés sans gouvernance créent des flux de données non contrôlés que les auditeurs identifieront.
Outils d'IA non approuvés avec données clients
L’utilisation d’un outil IA avec des données client peut enfreindre des engagements de confidentialité ou de sécurité si elle est contraire aux politiques, aux contrats ou aux contrôles retenus par l’organisation. Examinez le service précis, le compte, les contrôles d’accès et les paramètres de conservation au regard du périmètre de votre système et de vos engagements avant de l’approuver.
Fournisseurs d'IA sans rapports SOC 2
De nombreux fournisseurs d'IA, y compris des outils d'IA de productivité populaires, ne disposent pas de rapports SOC 2 Type II. Utiliser ces fournisseurs pour des données dans le périmètre sans diligence appropriée crée un risque fournisseur que les auditeurs signaleront. Vos obligations SOC 2 s'étendent à vos sous-traitants.
Traçabilité d'audit IA manquante
SOC 2 exige la surveillance et la journalisation des accès aux données dans le périmètre. Les outils d'IA utilisés hors gouvernance IT manquent généralement des pistes d'audit attendues par les auditeurs SOC 2. Sans journaux indiquant quelles données ont été partagées avec l'IA et par qui, les organisations ne peuvent pas démontrer l'efficacité des contrôles.
Aona en pratique
De l’exigence au contrôle concret
Reliez les contrôles des usages IA aux éléments dont vos responsables de contrôle et votre auditeur ont besoin.
Sécurité et confidentialité → contrôles des donnéesAppliquez une règle pour l’envoi de données à l’IA
- L’exigence
- Choisissez des contrôles qui protègent les informations et les systèmes conformément à vos engagements et aux critères des services de confiance applicables.
- La contribution d’Aona
- Configurez les restrictions d’outils prises en charge et bloquez ou masquez les données sensibles détectées dans les entrées IA prises en charge.
- Les éléments à examiner
- Conservez la description du contrôle approuvée, la configuration des règles et des exemples d’événements avec les résultats de tests sur données fictives.
- Vos responsabilités
- Définissez le périmètre, les responsables et les exceptions avec votre auditeur. Testez le contrôle sur la population concernée et la période examinée.
Surveillance de sécurité → éléments vérifiablesIntégrez les événements IA à la surveillance des contrôles
- L’exigence
- Vos contrôles nécessitent des éléments adaptés à leur conception et, pour un examen de type II, à leur fonctionnement sur la période définie.
- La contribution d’Aona
- Examinez les usages IA des collaborateurs et les événements de règles enregistrés sur les postes couverts pour repérer les activités nécessitant un suivi.
- Les éléments à examiner
- Associez les événements pertinents aux décisions des personnes chargées du contrôle, aux dossiers d’incident et aux éléments attestant les corrections.
- Vos responsabilités
- Définissez la fréquence des examens et la conservation. Établissez l’exhaustivité et la fiabilité des éléments transmis à l’auditeur.
Examen du risque fournisseur → outils IA observésFondez la liste des fournisseurs IA sur les usages observés
- L’exigence
- Traitez les risques des fournisseurs et partenaires commerciaux pertinents dans votre environnement de contrôle.
- La contribution d’Aona
- Utilisez la visibilité IA sur les postes couverts pour repérer les outils à examiner, puis configurez les règles d’outils prises en charge après la décision.
- Les éléments à examiner
- Rapprochez les usages observés de votre liste de fournisseurs approuvés, de votre examen des risques et des engagements contractuels applicables.
- Vos responsabilités
- Examinez le périmètre, la période et les exceptions du rapport fournisseur, ainsi que les contrôles à la charge du client. Aona n’effectue ni ne remplace votre évaluation des fournisseurs.
Rapprochez ces exemples de votre description du système, de vos engagements et des critères des services de confiance retenus. Le rapport SOC 2 d’Aona constitue un élément distinct concernant le système et la période examinés chez Aona.
FAQ
Questions fréquentes
L'utilisation de l'IA impacte-t-elle mon audit SOC 2 ?
Dois-je inclure les outils d'IA dans le périmètre de mon SOC 2 ?
Comment les critères des services de confiance SOC 2 s'appliquent-ils à l'IA ?
Que rechercher dans les rapports SOC 2 des fournisseurs d'IA ?
Protégez vos engagements SOC 2 contre les risques IA
Découvrez l'utilisation de l'IA sur les terminaux couverts, appliquez les contrôles de sécurité supportés et collectez des preuves d'utilisation pour votre revue de contrôle SOC 2.