AIFC-082: Certification Model

Status: Draft 0.1 Standard: AI-First Community Standard Zkráceně: AIFC Navazuje na:

AIFC-000 Manifest AI-first komunity
AIFC-001 Core Concepts
AIFC-002 Community Model
AIFC-003 Values and Purpose
AIFC-004 Feedback and Change Proposals
AIFC-010 Knowledge Structure
AIFC-011 Operational DNA
AIFC-020 Human-Managed AI
AIFC-022 AI-NDA Boundary
AIFC-024 Human Capability Reserve
AIFC-030 AI Capacity Planning
AIFC-034 AI Lock-in and Exit Strategy
AIFC-040 AI Retrospective
AIFC-043 Skill Evolution
AIFC-050 Community Interface
AIFC-060 Knowledge Security
AIFC-061 Access Control
AIFC-062 Agent Permissions
AIFC-063 Auditability
AIFC-064 Data Classification
AIFC-073 Digital Company and Ghost AI Company Risk
AIFC-080 Compliance Levels
AIFC-081 Minimal AIFC Compliance

Účel dokumentu: Definovat Certification Model jako způsob, jak může komunita, firma, produkt, workflow, AI agent nebo Company as Product prokazovat soulad se standardem AIFC. Dokument popisuje self-assessment, internal review, external review, certification review, rozsah certifikace, evidence, výjimky, platnost, recertifikaci, public claims a ochranu proti certification theater.

1. Purpose of this document

Tento dokument definuje AIFC Certification Model.

AIFC compliance má být evidence-based.

To znamená, že nestačí říct:

We are AI-first.
We use AI responsibly.
We are AIFC-compliant.

Je potřeba ukázat:

jaký je scope,
jaká úroveň compliance je tvrzena,
jaké artefakty existují,
kdo je owner,
kdo reviewoval,
jaké gaps existují,
jaké výjimky byly přijaty,
kdy assessment proběhl,
kdy je další review,
a zda jde o self-assessment nebo nezávislé ověření.

Certification Model definuje, jak lze AIFC compliance transparentně a důvěryhodně ověřovat.

2. Core principle

Základní princip tohoto dokumentu je:

Certification must verify governed capability, not polished claims.

Česky:

Certifikace musí ověřovat řízenou schopnost, ne uhlazená tvrzení.

AIFC říká:

No certification without scope.
No claim without evidence.
No maturity without review.

Česky:

Žádná certifikace bez scope.
Žádné tvrzení bez evidence.
Žádná vyspělost bez review.

Certifikace nemá být marketingová nálepka.

Má být důvěryhodný signál, že komunita má skutečné artefakty, pravidla, odpovědnost a schopnost.

3. Definition

AIFC Certification Model je řízený model ověřování souladu se standardem AIFC podle definovaného scope, compliance levelu, evidence, review procesu, výjimek, platnosti a recertifikace.

Certification Model může být použit pro:

komunitu,
firmu,
tým,
produkt,
projekt,
workflow,
AI agenta,
AI governance model,
source of truth,
Company as Product package,
generated company,
vendor relationship,
public-facing Digital Company.

Minimum requirement

Každý AIFC certification claim musí uvádět scope, level, assessment type, evidence basis and validity.

4. Certification is not the standard

Certifikace není standard.

Standard definuje požadavky.

Certifikace ověřuje, zda jsou požadavky splněny ve vymezeném scope.

AIFC musí být použitelný i bez formální certifikace.

Komunita může používat AIFC pro:

self-improvement,
internal governance,
AI readiness,
risk reduction,
knowledge transformation,
company design,
vendor evaluation.

Certifikace je volitelný mechanismus důvěry.

Minimum requirement

AIFC compliance practices must be usable without formal certification.

5. Certification scope

Scope je klíčový.

Certifikace celé firmy je něco jiného než certifikace jednoho workflow.

Možné scopes:

whole community
whole company
department
team
product
project
workflow
AI agent
AI governance model
source of truth
Human Cockpit Layer
Company as Product package
generated company
vendor AI engagement
public customer interface

Bez scope je certifikační tvrzení zavádějící.

Minimum requirement

Certification must define exact scope and exclusions.

6. Certification level

Certifikace musí uvádět level.

Doporučené AIFC levels:

Level 0 — Unmanaged AI Use
Level 1 — AI-Aware Community
Level 2 — AIFC Minimum
Level 3 — Governed AI-First Community
Level 4 — AI-Operable Human-Managed Community
Level 5 — Continuously Learning AI-First Community

Level 0 není certifikovatelný jako AIFC-compliant.

Level 1 může být označen jako AI-aware, ale ne jako AIFC-compliant.

AIFC-compliant začíná minimálně na Level 2.

Minimum requirement

Public AIFC-compliant claim must be Level 2 or higher.

7. Certification types

AIFC rozlišuje různé typy ověření:

self-assessment
internal review
external review
certification review
continuous assurance

Self-assessment

Komunita posoudí sama sebe.

Internal review

Review provede interní governance, audit nebo security role.

External review

Review provede externí partner, auditor, zákazník nebo peer reviewer.

Certification review

Review provede uznaný certifikační mechanismus.

Continuous assurance

Vybrané požadavky jsou průběžně ověřovány pomocí validation rules, auditů nebo monitoringů.

Minimum requirement

Assessment type must be clearly stated.

8. Self-assessment

Self-assessment je první a nejdostupnější forma.

Je vhodný pro:

začínající komunitu,
interní roadmapu,
Level 1/2,
nízkorizikové AI použití,
přípravu na internal nebo external review.

Self-assessment musí být poctivý.

Musí obsahovat:

scope,
claimed level,
evidence,
gaps,
accepted risks,
improvement roadmap,
owner,
next review.

Minimum requirement

Self-assessment nesmí být prezentován jako independent certification.

9. Internal review

Internal review provádí role uvnitř organizace.

Například:

security,
compliance,
internal audit,
AI governance owner,
knowledge owner,
risk owner,
leadership review board.

Internal review je silnější než self-assessment, ale stále není nezávislá externí certifikace.

Minimum requirement

Internal review must identify reviewer role, evidence reviewed, gaps and approval basis.

10. External review

External review provádí subjekt mimo posuzovanou komunitu.

Může to být:

zákazník,
partner,
externí auditor,
odborník,
peer community,
vendor assessor,
investor due diligence reviewer.

External review může zvýšit důvěru, ale její kvalita závisí na kompetenci reviewerů.

Minimum requirement

External review must disclose reviewer type and independence level.

11. Certification review

Certification review je formální ověření proti AIFC standardu.

Mělo by zahrnovat:

review scope,
review level,
evidence sampling,
artefact inspection,
interview or owner confirmation,
risk assessment,
exception handling,
report,
validity period,
recertification trigger.

Certification review by neměl pouze číst policy dokumenty.

Musí ověřovat reálné používání.

Minimum requirement

Certification review must verify artefacts and operational evidence, not only declarations.

12. Continuous assurance

U pokročilejších komunit může část compliance běžet průběžně.

Například validation rules kontrolují:

každý AI agent má ownera,
každý restricted artefakt má klasifikaci,
každý critical workflow má fallback,
každý public claim má review,
každý Operational DNA artefakt má access control,
každý critical AI output má review status,
každý active decision record má ownera.

Continuous assurance nenahrazuje lidský review.

Ale snižuje riziko compliance drift.

Minimum requirement

Continuous assurance checks must be traceable to AIFC requirements.

13. Evidence model

Certifikace musí být založena na evidenci.

Evidence může zahrnovat:

purpose statement,
values and non-negotiables,
source of truth structure,
classification policy,
access control rules,
AI-NDA Boundary,
AI use inventory,
agent permissions,
audit logs,
decision records,
fallback procedures,
Human Capability Reserve evidence,
AI retrospective notes,
skills,
workflow conversion records,
feedback logs,
incident records,
ghost risk assessment,
public transparency statement.

Minimum requirement

Evidence must be specific, dated, owned and linked to requirements.

14. Evidence quality

Ne každá evidence má stejnou kvalitu.

Slabá evidence:

obecná prezentace,
marketingový text,
policy bez použití,
screenshot bez kontextu,
neaktuální dokument,
AI-generated text bez review,
tvrzení bez ownera.

Silnější evidence:

active source of truth,
decision records,
audit logs,
approved policies,
recent review,
workflow usage,
access logs,
agent permission records,
incident postmortems,
retrospective outputs,
validation reports.

Minimum requirement

Certification must prefer active and operational evidence over static declarations.

15. Evidence sampling

U velkých komunit nelze reviewovat vše.

Je možné použít sampling.

Sampling musí být rizikově orientovaný.

Vyšší prioritu mají:

restricted data,
Operational DNA,
AI agents,
public claims,
customer-facing AI,
high autonomy workflows,
vendor AI processing,
critical decisions,
incidents,
fallback procedures.

Minimum requirement

Evidence sampling must focus on high-risk and high-impact areas.

16. Exceptions

Komunita může mít výjimky.

Výjimka znamená, že požadavek není splněn v části scope.

Výjimky musí být:

explicitní,
odůvodněné,
risk-assessed,
časově omezené nebo accepted,
vlastněné,
viditelné v claimu, pokud jsou významné.

Minimum requirement

Material exceptions must be documented and included in certification report or claim.

17. Accepted risks

Někdy komunita vědomě přijme riziko.

Accepted risk musí obsahovat:

popis rizika,
důvod akceptace,
ownera,
dobu platnosti,
mitigace,
trigger review,
dopad na compliance level.

Accepted risk není způsob, jak obejít standard bez odpovědnosti.

Minimum requirement

Accepted risks must have owner, expiry/review and rationale.

18. Nonconformities

Nonconformity je nesoulad s požadavkem.

Může být:

minor,
major,
critical.

Minor

Nesoulad s nízkým dopadem.

Major

Nesoulad, který ohrožuje důvěryhodnost compliance v dané oblasti.

Critical

Nesoulad, který znemožňuje tvrzenou úroveň nebo vytváří významné riziko.

Minimum requirement

Certification report must classify nonconformities by severity.

19. Corrective action plan

Nonconformities musí vést k nápravě.

Corrective action plan obsahuje:

co je problém,
co se změní,
kdo je owner,
kdy,
jaká evidence bude potřeba,
jak se ověří účinnost,
zda je potřeba snížit level,
zda je potřeba omezit AI intensity.

Minimum requirement

Major and critical nonconformities require corrective action plan.

20. Certification validity

Certifikace musí mít platnost.

Platnost může záviset na:

levelu,
scope,
riziku,
rychlosti změn,
AI intensity,
agent autonomy,
vendor dependency,
incident history.

Příklad:

Level 2: 12 months
Level 3: 12 months with mid-cycle review for high-risk scope
Level 4: 6–12 months depending on AI autonomy
Level 5: continuous assurance plus periodic review

Minimum requirement

Certification claim must include validity period or review date.

21. Recertification triggers

Recertifikace nebo review je potřeba při významných změnách.

Triggers:

nový AI vendor,
nový AI agent,
zvýšení autonomy,
nové restricted data,
public launch,
customer-facing AI,
security incident,
AI-NDA Boundary change,
Operational DNA exposure,
merger/acquisition,
major source of truth migration,
major product change,
major regulatory change,
ghost risk increase.

Minimum requirement

Certification model must define recertification triggers.

22. Scope expansion

Pokud se scope rozšíří, certifikace se automaticky nerozšiřuje.

Například:

certifikovaný product team ≠ celá firma,
certifikovaný internal AI workflow ≠ customer-facing AI,
certifikovaný source of truth ≠ vendor integration,
certifikovaný Company as Product package ≠ každá lokální instance.

Minimum requirement

Certification cannot be used outside its approved scope without review.

23. Public certification claim

Public claim musí být přesný.

Dobrý claim:

The customer support knowledge workflow for Product X has been self-assessed as AIFC Level 2 for the scope described in Assessment A-123, valid until 2027-01-31.

Špatný claim:

We are fully AIFC certified.

Minimum requirement

Public certification claim must state level, scope, assessment type, validity and material exceptions.

24. Certification mark

Pokud AIFC používá certifikační značku, musí mít pravidla.

Značka nesmí být použita:

bez scope,
po expiraci,
pro jiné produkty,
pro jiné entity,
po critical nonconformity,
pro self-assessment jako certification,
způsobem, který klame zákazníka.

Minimum requirement

Certification mark usage must be governed and revocable.

25. Certification registry

AIFC může mít registry certifikací.

Registry může obsahovat:

entity name,
scope,
level,
assessment type,
reviewer,
validity,
status,
material exceptions,
public report link,
certification mark status.

Registry zvyšuje důvěru.

Ale musí chránit citlivé informace.

Minimum requirement

Public registry, if used, must disclose enough for trust without exposing Operational DNA.

26. Confidential certification evidence

Ne všechna evidence může být veřejná.

Evidence může obsahovat:

Operational DNA,
security rules,
audit logs,
agent permissions,
customer data,
internal incidents,
vendor contracts,
AI-NDA Boundaries.

Certifikační model musí umožnit:

confidential evidence review,
redacted public report,
evidence vault,
reviewer confidentiality,
data minimization.

Minimum requirement

Certification must protect sensitive evidence and Operational DNA.

27. Reviewer competence

Reviewer musí rozumět AIFC principům.

Potřebuje kompetence v oblastech:

AI governance,
knowledge management,
security,
access control,
auditability,
data classification,
human-managed AI,
human capability,
organizational design,
risk management,
AI agents,
source of truth,
compliance evidence.

Minimum requirement

Certification reviewers must meet competence requirements appropriate to scope and risk.

28. Reviewer independence

U higher-trust claims je důležitá nezávislost.

Independence levels:

self
internal independent
external partner
external independent
accredited certification body

Ne každý scope vyžaduje plnou nezávislost.

Ale public high-risk claims by měly mít silnější review.

Minimum requirement

Certification report must state reviewer independence level.

29. Conflict of interest

Reviewer může mít konflikt zájmů.

Například:

certifikuje vlastní produkt,
je placen za úspěšný výsledek,
je vendor hodnoceného AI nástroje,
hodnotí implementaci, kterou sám dodal,
má obchodní zájem na claimu.

Konflikt nemusí review zcela znemožnit.

Ale musí být zveřejněn nebo řízen.

Minimum requirement

Material reviewer conflicts of interest must be disclosed and managed.

30. Certification and vendors

AIFC Certification Model může být použit pro vendory.

Vendor může certifikovat:

AI tool,
AI workflow,
agent platform,
source of truth platform,
Company as Product package,
migration service,
consulting method.

Ale vendor certification neznamená, že zákazník je automaticky AIFC-compliant.

Minimum requirement

Vendor certification must clearly distinguish vendor capability from customer/community compliance.

31. Certification and Company as Product

Company as Product může být certifikována jako package.

Scope musí uvést:

co package obsahuje,
co je core model,
co je local adaptation,
jaké části jsou certified,
jaké části musí zákazník implementovat,
jak se řeší local ownership,
jak se řeší Operational DNA,
jak se řeší AI agents,
jak se řeší fallback,
jak se řeší updates.

Minimum requirement

Company as Product certification must not imply that every deployment instance is automatically compliant.

32. Certification and Company Generation

Company Generation může být reviewována.

Možné scopes:

generation method,
generated company package,
launch readiness,
ghost AI company risk assessment,
security model,
human ownership model,
AI agent model,
public launch readiness.

Generated company nesmí být považována za AIFC-compliant jen proto, že ji vytvořila AIFC-compatible metoda.

Minimum requirement

Generated company requires its own launch readiness and ownership review.

33. Certification and AI agents

AI agent může mít samostatné review.

Agent certification scope může zahrnovat:

identity,
owner,
purpose,
permissions,
forbidden actions,
tool access,
data classification,
AI-NDA Boundary,
auditability,
cost guardrails,
fallback,
revocation,
incident handling.

Minimum requirement

High-impact AI agents must be reviewed before certification of a higher-level scope that depends on them.

34. Certification and Human Capability Reserve

Certifikace nesmí ignorovat lidskou schopnost.

Reviewer musí ověřit:

existují human skills,
lidé umí reviewovat AI,
existuje fallback,
kritické know-how není jen v AI memory,
nejsou kritická workflow plně závislá na token budgetu,
existuje recovery path.

Minimum requirement

Level 3+ certification must verify Human Capability Reserve for critical workflows.

35. Certification and AI lock-in

Certifikace musí posoudit lock-in.

Otázky:

kde je source of truth?
lze exportovat skills?
lze exportovat agent configurations?
lze exportovat audit logs?
kde je agent memory?
existuje replacement plan?
existuje AI-off mode?
je vendor dependency transparentní?

Minimum requirement

Level 3+ certification must verify lock-in assessment and exit strategy for critical dependencies.

36. Certification and ghost AI company risk

External-facing Digital Company musí být posouzena na ghost risk.

Reviewer musí ověřit:

operator identity,
owner,
source of truth,
public claims,
AI transparency,
support accountability,
customer escalation,
data handling,
synthetic content,
fallback,
operational reality.

Minimum requirement

External-facing certification must include ghost AI company risk review.

37. Certification report

Certification report by měl obsahovat:

aifc_certification_report:
  id:
  entity:
  scope:
  exclusions:
  claimed_level:
  approved_level:
  assessment_type:
  reviewer:
  reviewer_independence_level:
  assessment_date:
  valid_until:
  evidence_summary:
  dimensions_reviewed:
  nonconformities:
  accepted_risks:
  material_exceptions:
  corrective_action_plan:
  public_claim_allowed:
  certification_mark_allowed:
  next_review:

Minimum requirement

Certification report must be sufficient to support or reject the public claim.

38. Public report

Public report může být zkrácená verze.

Může obsahovat:

entity,
scope,
level,
assessment type,
reviewer type,
validity,
summary,
major exclusions,
material exceptions,
statement on evidence protection.

Nemusí obsahovat citlivé detaily.

Minimum requirement

Public report must be truthful, scoped and not expose sensitive evidence.

39. Certification lifecycle

AIFC doporučuje lifecycle:

request
↓
scope_defined
↓
evidence_collected
↓
review_performed
↓
findings_reported
↓
corrective_actions
↓
level_decision
↓
claim_published
↓
monitoring
↓
recertification
↓
expired / revoked / renewed

Minimum requirement

Certification must have lifecycle status.

40. Revocation

Certifikace musí být revokovatelná.

Důvody:

critical nonconformity,
false public claim,
major incident,
refusal to correct,
scope misuse,
expired evidence,
ghost AI company risk,
unmanaged Operational DNA exposure,
AI autonomy increase without review,
certification mark misuse.

Minimum requirement

Certification model must include revocation rules.

41. Certification drift

Certification drift nastává, když certifikovaný stav přestane odpovídat realitě.

Důvody:

nové AI workflow,
nový vendor,
změna týmu,
změna source of truth,
expanze scope,
ztráta ownera,
ztráta Human Capability Reserve,
nové public claims,
security incident,
outdated skills.

Minimum requirement

Certification must monitor drift through review cycles and change triggers.

42. Certification and continuous improvement

Certifikace nemá být konec.

Má vést ke zlepšení.

Certification review by měl vytvořit:

gaps,
risks,
improvement roadmap,
skill updates,
workflow conversion candidates,
security improvements,
governance improvements,
compliance level target.

Minimum requirement

Certification should produce improvement roadmap, not only pass/fail result.

43. AI role in certification

AI může certifikaci podporovat.

Může:

sbírat evidence,
mapovat requirements,
detekovat gaps,
připravit report,
kontrolovat metadata,
navrhnout validation rules,
sumarizovat audit logs,
najít drift,
připravit improvement roadmap.

AI však nesmí sama udělit certifikaci bez odpovědné lidské nebo certifikační role.

Minimum requirement

AI-generated certification analysis must be reviewed by responsible reviewer.

44. Anti-patterns

AIFC odmítá následující anti-patterny.

44.1 Certification theater

Organizace vytvoří krásné dokumenty a claimy, ale reálný provoz se nezmění.

44.2 Unscoped certification

Claim neříká, co přesně je certifikováno.

44.3 Self-assessment as certification

Self-assessment je prezentován jako nezávislá certifikace.

44.4 Tool certification as company certification

Certifikovaný nástroj je vydáván za certifikovanou firmu.

44.5 Package certification as deployment certification

Certifikovaný Company as Product package je vydáván za automaticky compliant lokální instanci.

44.6 Evidence dump

Komunita předloží množství dokumentů, ale bez vazby na požadavky.

44.7 Policy without practice

Policy existují, ale nejsou používány.

44.8 Compliance without Human Capability Reserve

AI governance vypadá dobře na papíře, ale lidé neumí kritické workflow bez AI.

44.9 Certification hides exceptions

Významné výjimky nejsou viditelné v claimu.

44.10 No recertification

Certifikace zůstává veřejně platná, i když systém se změnil.

44.11 AI certifies itself

AI sama vyhodnotí a schválí compliance bez lidského revieweru.

44.12 Certification mark misuse

Značka se používá mimo scope, po expiraci nebo pro jiné produkty.

45. Minimal requirements

AIFC Certification Model musí minimálně splnit:

Každý claim uvádí scope, level, assessment type, evidence basis and validity.
AIFC practices jsou použitelné i bez formální certifikace.
Certification definuje exact scope and exclusions.
Public AIFC-compliant claim je Level 2 nebo vyšší.
Assessment type je jasně uveden.
Self-assessment není prezentován jako independent certification.
Internal review uvádí reviewer role, evidence reviewed, gaps and approval basis.
External review uvádí reviewer type and independence level.
Certification review ověřuje artefakty a operational evidence, nejen deklarace.
Continuous assurance checks jsou traceable to AIFC requirements.
Evidence je specific, dated, owned and linked to requirements.
Certification preferuje active and operational evidence over static declarations.
Evidence sampling se zaměřuje na high-risk and high-impact areas.
Material exceptions jsou dokumentované a zahrnuté v reportu nebo claimu.
Accepted risks mají owner, expiry/review and rationale.
Nonconformities jsou klasifikovány podle severity.
Major and critical nonconformities mají corrective action plan.
Certification claim má validity period or review date.
Model definuje recertification triggers.
Certification nelze použít mimo approved scope bez review.
Public claim uvádí level, scope, assessment type, validity and material exceptions.
Certification mark usage je governed and revocable.
Public registry, pokud existuje, neodhaluje Operational DNA.
Certification chrání sensitive evidence and Operational DNA.
Reviewers splňují competence requirements according to scope and risk.
Report uvádí reviewer independence level.
Reviewer conflicts of interest jsou disclosed and managed.
Vendor certification rozlišuje vendor capability from customer/community compliance.
Company as Product certification neznamená automatickou compliance každé instance.
Generated company vyžaduje vlastní launch readiness and ownership review.
High-impact AI agents jsou reviewované před certifikací scope, který na nich závisí.
Level 3+ certification ověřuje Human Capability Reserve.
Level 3+ certification ověřuje lock-in assessment and exit strategy.
External-facing certification zahrnuje ghost AI company risk review.
Certification report podporuje nebo odmítá public claim.
Public report je truthful, scoped and protects sensitive evidence.
Certification má lifecycle status.
Certification model obsahuje revocation rules.
Certification sleduje drift through review cycles and change triggers.
Certification produces improvement roadmap, not only pass/fail result.
AI-generated certification analysis je reviewovaná odpovědným reviewerem.

46. Summary

AIFC Certification Model dává compliance tvrzením důvěryhodnost.

Bez certifikačního modelu může kdokoliv tvrdit:

jsme AI-first,
jsme odpovědní,
jsme human-managed,
jsme compliant,
jsme bezpeční.

AIFC proto říká:

Show the scope.
Show the level.
Show the evidence.
Show the reviewer.
Show the gaps.
Show the responsibility.

Česky:

Ukažte scope.
Ukažte úroveň.
Ukažte důkazy.
Ukažte reviewera.
Ukažte mezery.
Ukažte odpovědnost.

Certifikace má chránit důvěru.

Nemá vytvářet iluzi vyspělosti.

Dobrá certifikace ukazuje nejen to, co komunita splňuje, ale také co ještě neví, co musí zlepšit a kdo za to odpovídá.

Certification Model turns AIFC compliance claims into scoped, evidence-based and reviewable trust.