Доверие, надеждност и Zero Trust: защо бъдещето на доверието трябва да бъде проверимо

Доверието не бива да се максимизира. То трябва да бъде заслужено, подкрепено с доказателства и постоянно калибрирано.

Почти всяка технологична компания твърди, че изгражда доверие. Но самата фраза „доверете ни се“ вече разкрива основния проблем: тя изисква доверие, преди да е предоставила достатъчно основания за него. Един доставчик на софтуер може да твърди, че данните на клиентите са защитени. Клиентът може да повярва на това твърдение и да реши да се довери на доставчика. Дали доставчикът наистина е надежден обаче, е друг въпрос. Само доказателства за внедрените контроли за сигурност, тяхната ефективност, обхват и непрекъсната работа могат да дадат рационална основа за това доверие. Именно тук понятия като доверие, надеждност, увереност, разчитане, съответствие, цифрово доверие и Zero Trust често се смесват. А те описват различни страни на един и същ проблем.

Разбирането на тези разграничения ни помага да отговорим на един много по-голям въпрос:

Какво трябва да означава доверието в цифров свят, в който системите, организациите и рисковете се променят непрекъснато?

Доверието започва там, където свършва сигурността

В организационните и психологическите изследвания доверието обикновено се свързва с готовността да се приеме уязвимост. Rousseau и съавтори описват доверието като психологическо състояние, включващо намерението да се приеме уязвимост въз основа на положителни очаквания относно намеренията или поведението на другата страна [1]. Mayer, Davis и Schoorman по подобен начин определят доверието като готовност да станеш уязвим спрямо друга страна, дори когато тази страна не може да бъде напълно наблюдавана или контролирана [2]. (ResearchGate) Следователно доверието изисква поне две условия: трябва да има несигурност и нещо съществено трябва да е заложено.

Когато даден изход е напълно сигурен, доверието е излишно. Когато не съществува потенциална загуба или зависимост, онова, което изглежда като доверие, може да е просто удобство. Доверието става релевантно, когато зависим от друг човек, организация или система и тази зависимост създава уязвимост. Това означава също, че доверието никога не е просто универсално свойство на даден субект. По-точната формулировка би била:

A се доверява на B по отношение на X, при условия Y, в определен момент от времето.

Една компания може да се доверява на облачен доставчик да съхранява публични маркетингови материали, но не и автоматично да се доверява на същия доставчик да обработва силно чувствителна здравна информация. Една система може да е достатъчно надеждна за един случай на употреба и напълно неподходяща за друг. Следователно доверието е релационно, зависимо от контекста и от риска.

Да ти имат доверие не е същото като да заслужаваш доверие

В ежедневния език „доверен“ и „надежден“ често се използват като синоними. Концептуално обаче те описват две различни неща. Доверен означава, че на даден субект действително е гласувано доверие. Надежден означава, че субектът заслужава това доверие. Убедителният измамник може да се радва на доверие, без да е надежден. И обратно, една внимателно проектирана и добре управлявана система може да е надеждна, но въпреки това да не спечели доверието на потребителите, защото нейните възможности, контроли и ограничения остават невидими. Mayer и съавтори посочват три широко използвани измерения на възприеманата надеждност: способност, почтеност и благонамереност [2].

Способността се отнася до това дали страната, на която се гласува доверие, е достатъчно компетентна, за да изпълни съответната задача. Почтеността се отнася до това дали нейните твърдения, принципи и действително поведение са последователни. Благонамереността се отнася до това дали се очаква тя да се съобразява с интересите на доверяващата се страна, вместо да преследва изключително собствената си изгода. (JSTOR) При техническите системи тези измерения трябва да бъдат пренесени. Способността се превръща в техническа възможност, надеждност на работата, устойчивост и сигурност. Почтеността се превръща в предвидимо поведение, последователни правила, проследима обработка и честна комуникация за ограниченията. Благонамереност не може просто да се припише на машина. Тя обаче може да бъде оценена по отношение на организацията, която разработва и експлоатира системата: защитава ли организацията интересите на потребителите? Комуникира ли честно рисковете? Осигурява ли механизми за отчетност и обезщетяване?

NIST подхожда към надеждността от гледна точка на системното инженерство. Надеждна система не е просто такава, на която хората случайно имат доверие. Нейната надеждност трябва да се основава на доказателства, че тя може да удовлетвори поставените към нея критични изисквания. В зависимост от контекста тези изисквания могат да включват сигурност, безопасност, надеждност на работата, устойчивост, поверителност или други свойства на системата [3]. Това разграничение е фундаментално:

Доверието съществува в съзнанието на доверяващата се страна. Надеждността съществува в качествата и поведението на субекта, на когото се гласува доверие.

Двете могат да съвпаднат, но не съвпадат автоматично.

Доверието, разчитането и съответствието не са едно и също

Друго важно разграничение съществува между доверие и разчитане. Доверието е нагласа, очакване или преценка. Разчитането е наблюдаемо поведение. Човек може да не се доверява на AI система и въпреки това да следва нейната препоръка, защото няма алтернатива, защото времето притиска или защото организационният процес го изисква. И обратно, човек може по принцип да се доверява на система, но съзнателно да пренебрегне нейната препоръка в конкретен случай. Това разграничение е важно, защото анкетите, в които потребителите биват питани дали се доверяват на дадена система, не предсказват непременно кога тези потребители ще разчитат на нея. Затова съвременните изследвания на взаимодействието между човек и AI все по-често разграничават възприеманото доверие, поведенческото разчитане, представянето на системата и уместността на полученото решение [8]–[10]. (ACM Digital Library)

Съответствието също не е равнозначно на надеждност. Съответствието първоначално отговаря на по-тесен въпрос:

Изпълнен ли е определен набор от изисквания в рамките на определен обхват?

Сертификат, одитен доклад или оценка могат да дадат важна причина за доверие. Те обаче не са неограничено и постоянно твърдение, че една организация е сигурна. Одитът може да потвърди, че определена система за управление е подходящо внедрена в определен обхват и през определен период. Той не доказва автоматично, че всяка текуща конфигурация е правилна, че всяка новодобавена система е обхваната или че не може да възникне инцидент със сигурността. Затова NIST предупреждава срещу третирането на съответствието като единствена доказателствена основа за увереност или надеждност. Съответствието може да даде ценни доказателства, но подход, основан само на съответствие, може да създаде видимост на сигурност, без да демонстрира адекватно ефективността на системата, която стои отдолу [3]. (Публикации на NIST)

Съответствието има значение. Но то е един от приносите към обоснованото доверие, а не негов пълен заместител.

Увереността свързва доверието с надеждността

Между субективното доверие на една страна и действителната надеждност на една система се намира още едно понятие: увереност. NIST описва увереността като основанията за обоснована убеденост, че дадено твърдение е изпълнено или ще бъде изпълнено [3]. Следователно увереността не е нито чувство, нито гаранция. Тя е структурирана обосновка. Една солидна структура на увереност трябва да прави видими поне пет елемента: Твърдения: какво точно се твърди? Аргументи: защо наличната информация трябва да подкрепя твърдението? Доказателства: кои записи, наблюдения, тестове или артефакти демонстрират внедряването и ефективността?

Допускания: при какви условия заключението остава валидно? Обхват: кои системи, процеси, данни, местоположения и периоди са обхванати? NIST използва понятието обосновка на увереността, за да опише структурирана и подлежаща на преглед връзка между твърдения, аргументи, допускания и подкрепящи доказателства [3]. Да разгледаме следното твърдение за сигурност:

Всички производствени данни са криптирани в покой.

Корпоративната политика за криптиране показва, че съществуват намерение и изискване. Тя не доказва, че всяка производствена система за съхранение действително прилага изискването. Екранна снимка от конфигурацията на една база данни дава доказателство за тази конкретна база данни в конкретен момент. Тя не демонстрира непременно пълно покритие. По-силна обосновка на увереността би могла да съчетава:

• пълен опис на производствените хранилища на данни,
• конфигурационни данни от всяка релевантна система,
• изисквания за управление на ключовете,
• автоматизирани проверки на конфигурацията,
• резултати от тестове,
• данни от мониторинга,
• отговорни собственици,
• записи от прегледи,
• и ясно времево клеймо за всяко отделно доказателство.

Различните форми на доказателства служат за различни цели. Политиката подкрепя замисления дизайн. Конфигурацията подкрепя техническото внедряване. Тестът или непрекъснатата телеметрия подкрепят действителната работа. Прегледът подкрепя заключението, че доказателствата са оценени и приети от отговорна страна. Нито един от тези елементи не е непременно достатъчен сам по себе си. Увереността възниква от проследимата връзка между първоначалното твърдение, обхванатия обхват, внедряването и наличните доказателства. Една зряла система за увереност трябва да може да формулира и отрицателни заключения. Тя трябва да може да заяви, че:

• наличните доказателства са недостатъчни,
• доказателствата са остарели,
• част от релевантния обхват липсва,
• внедряването противоречи на твърдението,
• дадено допускане вече не може да бъде подкрепено,
• или оперативната ефективност все още не е демонстрирана.

NIST изрично признава, че анализът на увереността може да даде неблагоприятни резултати, когато доказателствата не подкрепят твърдението [3]. (Публикации на NIST) Система, която може да генерира само зелени отметки, може да създава успокоение. Тя не създава непременно достоверна увереност.

Zero Trust не означава да не се доверяваш на никого

На пръв поглед Zero Trust изглежда в противоречие с целта да се изгражда повече доверие. Не е така. Zero Trust адресира различно ниво на проблема. Той не е преди всичко психологическа или културна философия. Той е архитектурен подход към решенията за достъп. При модела Zero Trust доверие не се предоставя само защото потребител или устройство се намира в корпоративната мрежа, принадлежи на организацията или вече е бил удостоверен. Достъпът се оценява спрямо конкретен ресурс, идентичност, устройство, контекст и заявка. Правата трябва да са ограничени, да се преоценяват непрекъснато и да се предоставят при допускането, че мрежата или системата може вече да е компрометирана [4].

Традиционната периметрова сигурност често свежда едно сложно решение за доверие до едно широко допускане:

Вътре в корпоративната мрежа означава надеждно.

Zero Trust разлага това допускане на по-малки решения:

Може ли тази идентичност, използвайки това устройство, при тези условия, да получи достъп до този ресурс сега?

Следователно Zero Trust не е краят на доверието. Той е краят на имплицитното, широкото и постоянно наследяваното доверие. По-точното тълкуване би било:

Нула имплицитно доверие. Нула незаслужени привилегии.

Една организация може едновременно да има култура на високо доверие и архитектура Zero Trust. Служителите не трябва лично да се подозират един друг само защото решенията за достъп се проверяват технически. Всъщност добре проектираните контроли могат да улеснят междуличностното доверие. Те намаляват вероятността индивидуална грешка, компрометиран акаунт или злонамерена заявка да доведат до неограничени щети. Zero Trust заменя едно голямо и неясно допускане за доверие с много по-малки, контекстуални, временни и отменими решения. Това е напълно съвместимо със съвременното разбиране за доверие.

Цифровото доверие разширява перспективата

Надеждността често се фокусира върху качествата на конкретна организация, система или отношение. Цифровото доверие разширява перспективата до цяла цифрова екосистема. Световният икономически форум описва цифровото доверие като очакването, че цифровите технологии и услуги, както и организациите, които ги предоставят, ще защитават интересите на заинтересованите страни и ще спазват съответните обществени очаквания и ценности. Неговата рамка свързва цифровото доверие с измерения като киберсигурност, поверителност, прозрачност, одитируемост, справедливост, оперативна съвместимост, безопасност и механизми за обезщетяване [5]. (World Economic Forum) ISACA по подобен начин поставя цифровото доверие в рамката на увереността в почтеността на отношенията, взаимодействията и транзакциите в цифрова екосистема, съставена от хора, организации, процеси, информация и технологии [6]. (ISACA)

Тази екосистемна перспектива е важна, защото надеждността на един цифров продукт рядко зависи само от самия продукт. Един SaaS доставчик може да разчита на:

• доставчик на облачна инфраструктура,
• доставчик на идентичност,
• софтуерни библиотеки,
• платежни услуги,
• платформи за мониторинг,
• външни източници на данни,
• и евентуално AI модели на трети страни.

Следователно надеждността на видимия продукт зависи и от контроли, допускания и зависимости, които остават до голяма степен невидими за потребителите му. Цифровото доверие може да се разбира като по-широкия икономически и обществен резултат. Надеждността описва свойствата, които правят екосистемата достойна за доверие. Увереността осигурява моста между тези свойства и решението на заинтересованата страна да се довери.

AI показва защо максимизирането на доверието е погрешна цел

Изкуственият интелект прави разликата между възприеманото доверие и действителната надеждност особено видима. Една AI система може да комуникира гладко, уверено и убедително, без да е последователно точна. Един интерфейс може да излъчва прозрачност и компетентност, дори когато моделът зад него не е достатъчно надежден за предвидената задача. Обясненията, оценките на увереност или човекоподобният език могат да влияят върху възприятията на потребителите. Те обаче не са автоматично доказателство, че даден отговор е верен. Затова NIST не определя надеждния AI чрез едно-единствено свойство. Рамката за управление на риска при AI (AI Risk Management Framework) посочва множество характеристики, включително валидност и надеждност, безопасност, сигурност и устойчивост, отчетност и прозрачност, обяснимост и интерпретируемост, поверителност и управление на вредната пристрастност. NIST подчертава също, че тези характеристики зависят от контекста и могат да включват компромиси [7].

Една система може да е точна, но несправедлива. Може да е прозрачна, но несигурна. Може да опазва поверителността, но да остава ненадеждна за предвидената си цел. Може да се представя добре средно, но да се проваля непредсказуемо точно в случаите, които имат най-голямо значение. Етикетът „надежден AI“ не бива да замъглява тези разграничения. Затова изследванията на взаимодействието между човек и AI все по-често обсъждат уместно доверие, калибрирано доверие и уместно разчитане. Целта не е потребителите да се доверяват на системата възможно най-много. Целта е да им се помогне да изградят точна представа за възможностите и ограниченията на системата и да разчитат на нея само когато това разчитане е обосновано.

Систематичен преглед на Mehrotra и съавтори установява, че в литературата все още няма единна, последователно прилагана дефиниция на уместното доверие. Изследванията използват различни конструкти и измервания за доверие, намерения, разчитане, възприемани възможности и действително представяне на системата [8]. (ACM Digital Library) Visser и съавтори по подобен начин разграничават доверие, недоверие и уместно разчитане. Техният преглед показва, че емпиричната връзка между обяснимия AI, доверието на потребителите и уместното разчитане остава противоречива и в много контексти неубедителна [9]. (ScienceDirect) Предпечатна публикация от 2026 г. на Raees и Papangelis твърди още по-пряко, че субективните измервания на доверието не показват автоматично дали хората разчитат уместно на препоръките на AI. Тъй като тази работа е публикувана като предпечатна публикация, нейните заключения трябва да се третират като актуален изследователски принос, а не като окончателен консенсус [10]. (arXiv)

Недоверието също не е непременно противоположност на доброто използване на системата. Известна доза скептицизъм може да насърчи проверката и откриването на грешки. Безразборното недоверие обаче може да накара потребителите да отхвърлят и верни препоръки. Експериментално изследване от 2026 г. на Peters, Biermeier и Scharlau проучва дали зрителното внимание може да помогне за разпознаването на „здравословно недоверие“ във взаимодействието между човек и AI. Резултатите не са категорични и показват колко трудно все още е да се измери дали доверието и недоверието са уместно калибрирани [11]. (Frontiers) Желаното съотношение може да се илюстрира така:

Целта не е просто всеки потребител да бъде преместен в долния десен ъгъл чрез повишаване на доверието. Целта е възприеманото доверие и поведенческото разчитане да съответстват възможно най-точно на действителната надеждност на системата, на последиците от отказ и на контекста на употреба. В статия от юли 2026 г. Busuioc и Maggetti се застъпват за преход от максимизиране на доверието към калибрирано доверие. Те предупреждават, че доверието може да се откъсне от действителната надеждност, когато организациите произвеждат сигнали за доверие, вместо да адресират основните условия, които правят доверието обосновано. Техният анализ подчертава също уязвимостта, отчетността и конструктивната роля, която недоверието може да играе [12]. (OUP Academic)

Европейският Акт за изкуствения интелект следва сходна оперативна логика. За съответните високорискови системи той изисква процеси и документация във връзка с управлението на риска, управлението на данните, техническата документация, регистрирането на събития, прозрачността, човешкия надзор, точността, надеждността и киберсигурността [13]. Тези изисквания не доказват, че всяка регулирана AI система ще бъде надеждна. Те обаче се опитват да превърнат едно абстрактно очакване за надеждност в конкретни дейности по управление и в доказателства, които подлежат на преглед. (EUR-Lex) Следователно надеждният AI не е стил на интерфейса или маркетингов етикет. Той е непрекъснат проблем на управлението и увереността.

Нашата позиция: доверието трябва да бъде обосновано и калибрирано

В Secani не разбираме доверието като чувство, което просто трябва да се увеличава. Не го определяме и като абсолютна категоричност. Абсолютна сигурност не съществува в реалните цифрови системи. Дори силните доказателства не могат да гарантират, че никога няма да настъпи отказ или атака. Доказателствата намаляват несигурността и подпомагат по-добрите решения, но не елиминират риска. Ако цялата несигурност можеше да бъде премахната, доверието вече нямаше да е необходимо. Затова съзнателно говорим за обоснована убеденост, а не за категоричност. Нашата дефиниция е:

Доверието е обоснована, зависима от контекста убеденост, че дадено твърдение за сигурност е вярно сега, защото твърдението, неговото внедряване и актуалните доказателства проверимо съвпадат.

Веригата, която стои в основата, е:

Твърдение → Внедряване → Доказателства → Увереност → Калибрирано доверие

Организацията прави твърдение за своята сигурност. Това твърдение се превръща в конкретни контроли, системи, отговорности и очаквани резултати. Актуалните доказателства показват дали и как тези контроли са внедрени. Процесът на увереност оценява дали доказателствата действително подкрепят първоначалното твърдение. Едва тогава възниква рационална основа за доверие. Тази дефиниция съдържа пет съзнателни ограничения.

Доверието е специфично за твърдението

„Ние сме сигурни“ е твърде широко, за да бъде проверено смислено. „Всички производствени хранилища на данни използват одобрени конфигурации за криптиране“ е по-тясно и може да се тества. Колкото по-общо става едно твърдение, толкова по-трудно е да се определят неговият обхват, необходимите доказателства, допусканията и условията за валидност.

Доверието зависи от контекста

Един контрол може да е ефективен за една система и неефективен за друга. Един AI модел може да е подходящ за обобщаване на вътрешни документи, но неподходящ за автономно одобряване на изключения от изискванията за сигурност. Доверието не може да се пренася между контексти, без да се оцени дали съответните условия остават сравними.

Доверието зависи от времето

Организациите се променят непрекъснато. Въвеждат се нови активи. Конфигурациите се променят. Служителите сменят ролите си. Доставчиците обновяват услугите си. Откриват се уязвимости. Контроли, които вчера са работили правилно, днес може вече да не работят правилно. Затова доказателствата губят стойност с времето. Едно надеждно заключение трябва да съобщава не само какво е проверено, но и кога е проверено и колко дълго това заключение трябва да остане валидно.

Доверието се основава на доказателства, но не е абсолютно

Доказателствата правят несигурността видима и решенията защитими. Те не премахват несигурността изцяло. Дори силните доказателства имат ограничения. Те може да обхващат само част от системата, да разчитат на допускания, да съдържат грешки в измерването или да остареят. Достоверната увереност трябва да съобщава тези ограничения, вместо да ги крие зад двоичен статус.

Доверието трябва да бъде отменимо

Решението за доверие трябва да може да се промени, когато се променят условията, които го подкрепят. Когато нови доказателства противоречат на предишно твърдение за сигурност, заключението трябва да бъде актуализирано. Когато доказателствата изтекат, убедеността трябва да намалее. Когато обхватът се разшири, трябва да се изискват допълнителни доказателства. Доверие, което не може да бъде преразгледано, не е калибрирано доверие. То е вяра, откъсната от реалността.

От периодични сигнали за доверие към непрекъсната увереност

Традиционното цифрово доверие често се изгражда чрез периодични сигнали: сертификати, въпросници, одитни доклади, документи от оценки и презентации за сигурността. Тези механизми остават важни. Но сами по себе си те не са достатъчни в свят, в който цифровите системи могат да се променят всеки ден. Бъдещият модел се движи в друга посока:

Непрекъснатата увереност не означава, че всяка дейност в организацията трябва да се наблюдава постоянно. Тя трябва да бъде основана на риска и пропорционална. Критично твърдение относно привилегирования достъп, производствената инфраструктура или чувствителните клиентски данни изисква по-актуални и по-силни доказателства от административно твърдение с ниско въздействие. Важната промяна е, че доверието вече не остава обвързано с един-единствен документ. Вместо това изискванията, внедряванията, доказателствата, прегледите, констатациите, отговорностите и зависимостите трябва да образуват свързан модел. Машинночетимите структури могат да играят важна роля в този преход. Те позволяват доказателствата да се използват повторно в различни рамки и оценки, без да губят своя произход, първоначален обхват, момент на събиране, отговорен собственик или ограничения.

Следователно бъдещето на доверието не е просто непрекъснато. То е детайлно, проследимо, преносимо и отменимо.

Zero Trust и високото доверие не са противоположности

Сега различните понятия могат да бъдат свързани. Zero Trust определя как се вземат отделните решения за достъп. Надеждността описва дали една система или организация заслужава доверие. Увереността осигурява структурирана обосновка на това заключение. Доказателствата подкрепят твърденията за внедряването и ефективността. Съответствието оценява съгласуваността с определени изисквания. Разчитането описва дали някой действително зависи от дадена система или я следва. Цифровото доверие е по-широката убеденост, която може да възникне в цялата екосистема. Zero Trust не позволява доверието да се приема без достатъчни основания. Увереността показва къде доверието е обосновано.

Съответствието допринася със структурирани изисквания и механизми за преглед. Доказателствата свързват твърденията с наблюдаемата реалност. Следователно тези понятия не са конкуриращи се визии. Те са различни части на един съгласуван модел. Бъдещето не е нито универсалното „довери се на всички“, нито културното „не се доверявай на никого“. То е проверимо, калибрирано доверие.

Какво означава „Optimize for trust“ в Secani

„Optimize for trust“ не бива да означава оптимизиране на възприятието за надеждност. Не бива да означава производство на възможно най-много зелени отметки, значки, сертификати или широки твърдения за сигурност. Не бива да означава насърчаване на хората да се доверяват на една система повече, отколкото нейните действителни свойства оправдават. За нас това означава:

Не оптимизирайте, за да ви имат доверие. Оптимизирайте, за да заслужавате обосновано доверие.

Изграждаме Secani, за да свързва непрекъснато твърденията за сигурност, изискванията, внедряванията и доказателствата. Доверието не бива да възниква единствено от убедителна презентация или от периодичен документ за съответствие. То трябва да възниква от актуална, подлежаща на преглед и проследима обосновка. Най-сбитият израз на тази идея може би е:

Доверието не е обещание. То е непрекъснато подкрепяно заключение.

Организациите не бива просто да изглеждат надеждни. Те трябва да могат да демонстрират защо заслужават доверие. А от хората не бива просто да се иска да се доверяват повече. Те трябва да бъдат подготвени да се доверяват по-добре.

Източници

[1] D. M. Rousseau, S. B. Sitkin, R. S. Burt, and C. Camerer, “Not So Different After All: A Cross-Discipline View of Trust,” Academy of Management Review, vol. 23, no. 3, pp. 393–404, 1998, doi: 10.5465/AMR.1998.926617. (DOI)

[2] R. C. Mayer, J. H. Davis, and F. D. Schoorman, “An Integrative Model of Organizational Trust,” Academy of Management Review, vol. 20, no. 3, pp. 709–734, 1995, doi: 10.5465/amr.1995.9508080335. (DOI)

[3] R. Ross, M. Winstead, and M. McEvilley, Engineering Trustworthy Secure Systems, NIST Special Publication 800-160, vol. 1, rev. 1, National Institute of Standards and Technology, Gaithersburg, MD, USA, Nov. 2022, doi: 10.6028/NIST.SP.800-160v1r1. (Публикации на NIST)

[4] S. Rose, O. Borchert, S. Mitchell, and S. Connelly, Zero Trust Architecture, NIST Special Publication 800-207, National Institute of Standards and Technology, Gaithersburg, MD, USA, Aug. 2020, doi: 10.6028/NIST.SP.800-207. (NIST Computer Security Resource Center)

[5] World Economic Forum, Earning Digital Trust: Decision-Making for Trustworthy Technologies, Geneva, Switzerland, Nov. 2022. (World Economic Forum)

[6] K. B. Kelley, “The Digital Trust Imperative: Defining, Establishing and Measuring Digital Trust,” ISACA Journal, vol. 1, Jan. 2023. (ISACA)

[7] National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, Jan. 2023, doi: 10.6028/NIST.AI.100-1. (Публикации на NIST)

[8] S. Mehrotra, C. Degachi, O. Vereschak, C. M. Jonker, and M. L. Tielman, “A Systematic Review on Fostering Appropriate Trust in Human-AI Interaction: Trends, Opportunities and Challenges,” ACM Journal on Responsible Computing, vol. 1, no. 4, Art. no. 26, pp. 1–45, 2024, doi: 10.1145/3696449. (ACM Digital Library)

[9] R. Visser, T. M. Peters, I. Scharlau, and B. Hammer, “Trust, distrust, and appropriate reliance in (X)AI: A conceptual clarification of user trust and survey of its empirical evaluation,” Cognitive Systems Research, vol. 91, Art. no. 101357, 2025, doi: 10.1016/j.cogsys.2025.101357. (ScienceDirect)

[10] M. Raees and K. Papangelis, “From Trust to Appropriate Reliance: Measurement Constructs in Human-AI Decision-Making,” arXiv:2604.23896, Apr. 2026, doi: 10.48550/arXiv.2604.23896. Предпечатна публикация. (arXiv)

[11] T. M. Peters, K. Biermeier, and I. Scharlau, “Assessing healthy distrust in human-AI interaction: Interpreting changes in visual attention,” Frontiers in Psychology, vol. 16, Art. no. 1694367, Jan. 2026, doi: 10.3389/fpsyg.2025.1694367. (Frontiers)

[12] M. Busuioc and M. Maggetti, “Worthy of trust? AI governance and the role of (dis)trust,” Perspectives on Public Management and Governance, Art. no. gvag007, Jul. 2026, doi: 10.1093/ppmgov/gvag007. (OUP Academic)

[13] European Parliament and Council of the European Union, “Regulation (EU) 2024/1689 of 13 June 2024 laying down harmonised rules on artificial intelligence,” Official Journal of the European Union, Jul. 2024. (EUR-Lex)