Încredere, caracter demn de încredere și Zero Trust: de ce viitorul încrederii trebuie să fie verificabil

Încrederea nu ar trebui maximizată. Ea ar trebui câștigată, dovedită și calibrată continuu.

Aproape fiecare companie de tehnologie pretinde că construiește încredere. Dar expresia „aveți încredere în noi” dezvăluie deja problema de fond: ea cere încredere înainte de a oferi temeiuri suficiente pentru aceasta. Un furnizor de software poate afirma că datele clienților sunt în siguranță. Un client poate crede această afirmație și poate decide să aibă încredere în furnizor. Dacă furnizorul este însă cu adevărat demn de încredere este o altă întrebare. Doar dovezile privind controalele de securitate implementate, eficacitatea lor, domeniul lor de aplicare și funcționarea lor continuă pot oferi o bază rațională pentru această încredere. Aici sunt adesea amestecate concepte precum încrederea, caracterul demn de încredere, asigurarea, bazarea pe (reliance), conformitatea, încrederea digitală și Zero Trust. Totuși, ele descriu aspecte diferite ale aceleiași probleme.

Înțelegerea acestor distincții ne ajută să răspundem la o întrebare mult mai amplă:

Ce ar trebui să însemne încrederea într-o lume digitală în care sistemele, organizațiile și riscurile se schimbă continuu?

Încrederea începe acolo unde se termină certitudinea

În cercetarea organizațională și psihologică, încrederea este asociată de obicei cu disponibilitatea de a accepta vulnerabilitatea. Rousseau et al. descriu încrederea ca pe o stare psihologică ce implică intenția de a accepta vulnerabilitatea pe baza unor așteptări pozitive privind intențiile sau comportamentul celeilalte părți [1]. Mayer, Davis și Schoorman definesc în mod similar încrederea ca disponibilitatea de a deveni vulnerabil față de o altă parte, chiar și atunci când acea parte nu poate fi complet monitorizată sau controlată [2]. (ResearchGate) Încrederea necesită, așadar, cel puțin două condiții: trebuie să existe incertitudine și trebuie să fie în joc ceva semnificativ.

Atunci când un rezultat este complet cert, încrederea nu este necesară. Atunci când nu există nicio pierdere potențială sau nicio dependență, ceea ce pare a fi încredere poate fi doar comoditate. Încrederea devine relevantă atunci când depindem de o altă persoană, organizație sau un alt sistem și această dependență creează vulnerabilitate. Aceasta înseamnă și că încrederea nu este niciodată doar o proprietate universală a unei entități. O formulare mai precisă ar fi:

A are încredere în B cu privire la X, în condițiile Y, la un anumit moment în timp.

O companie poate avea încredere într-un furnizor cloud pentru stocarea materialelor de marketing publice, fără să aibă automat încredere în același furnizor pentru prelucrarea unor informații medicale foarte sensibile. Un sistem poate fi suficient de fiabil pentru un caz de utilizare și cu totul nepotrivit pentru altul. Încrederea este, așadar, relațională, specifică unui context și dependentă de risc.

A beneficia de încredere nu este același lucru cu a fi demn de încredere

În limbajul de zi cu zi, „a beneficia de încredere” și „a fi demn de încredere” sunt adesea tratate ca sinonime. Conceptual însă, ele descriu două lucruri diferite. A beneficia de încredere (trusted) înseamnă că unei entități i se acordă efectiv încredere. A fi demn de încredere (trustworthy) înseamnă că entitatea merită această încredere. Un escroc convingător poate beneficia de încredere fără a fi demn de ea. Invers, un sistem proiectat cu grijă și bine guvernat poate fi demn de încredere, dar poate totuși să nu câștige încrederea utilizatorilor, deoarece capabilitățile, controalele și limitările sale rămân invizibile. Mayer et al. identifică trei dimensiuni larg folosite ale caracterului demn de încredere perceput: abilitatea, integritatea și bunăvoința [2].

Abilitatea se referă la faptul dacă partea în care se are încredere este suficient de competentă pentru a îndeplini sarcina relevantă. Integritatea se referă la faptul dacă declarațiile, principiile și comportamentul său efectiv sunt consecvente. Bunăvoința se referă la faptul dacă se așteaptă ca aceasta să țină cont de interesele părții care acordă încrederea, în loc să-și urmărească exclusiv propriul avantaj. (JSTOR) Pentru sistemele tehnice, aceste dimensiuni trebuie transpuse. Abilitatea devine capabilitate tehnică, fiabilitate, reziliență și securitate. Integritatea devine comportament previzibil, reguli consecvente, prelucrare trasabilă și comunicare veridică despre limitări. Bunăvoința nu poate fi atribuită pur și simplu unei mașini. Ea poate fi însă evaluată în raport cu organizația care dezvoltă și operează sistemul: Protejează organizația interesele utilizatorilor? Comunică riscurile în mod onest? Oferă mecanisme de răspundere și de reparare a prejudiciilor?

NIST abordează caracterul demn de încredere din perspectiva ingineriei sistemelor. Un sistem demn de încredere nu este doar unul în care oamenii se întâmplă să aibă încredere. Caracterul său demn de încredere trebuie să se bazeze pe dovezi că poate satisface cerințele critice impuse. În funcție de context, aceste cerințe pot include securitatea, siguranța, fiabilitatea, reziliența, confidențialitatea sau alte proprietăți ale sistemului [3]. Această distincție este fundamentală:

Încrederea există în mintea celui care o acordă. Caracterul demn de încredere există în calitățile și comportamentul entității în care se are încredere.

Cele două se pot alinia, dar nu se aliniază automat.

Încrederea, bazarea pe un sistem și conformitatea nu sunt același lucru

O altă distincție importantă există între încredere și bazarea pe (reliance). Încrederea este o atitudine, o așteptare sau o judecată. Bazarea pe ceva este un comportament observabil. O persoană poate să nu aibă încredere într-un sistem AI și totuși să-i urmeze recomandarea, pentru că nu există nicio alternativă, pentru că presiunea timpului este mare sau pentru că procesul organizațional o impune. Invers, o persoană poate avea în general încredere într-un sistem, dar poate ignora intenționat recomandarea acestuia într-un caz specific. Această distincție contează, deoarece sondajele care îi întreabă pe utilizatori dacă au încredere într-un sistem nu prezic neapărat când se vor baza acei utilizatori pe el. Cercetările recente privind interacțiunea om–AI separă, prin urmare, tot mai mult încrederea percepută, bazarea comportamentală pe sistem, performanța sistemului și caracterul adecvat al deciziei rezultate [8]–[10]. (ACM Digital Library)

Nici conformitatea nu este echivalentă cu caracterul demn de încredere. Conformitatea răspunde inițial la o întrebare mai restrânsă:

A fost satisfăcut un set definit de cerințe în cadrul unui domeniu de aplicare definit?

O certificare, un raport de audit sau o evaluare poate oferi un motiv important pentru încredere. Ea nu este însă o declarație nelimitată și permanentă că o organizație este sigură. Un audit poate confirma că un anumit sistem de management a fost implementat corespunzător într-un anumit domeniu de aplicare și pe parcursul unei anumite perioade. El nu dovedește automat că fiecare configurație actuală este corectă, că fiecare sistem nou introdus este acoperit sau că niciun incident de securitate nu se poate produce. NIST avertizează, prin urmare, împotriva tratării conformității ca unică bază probatorie pentru asigurare sau pentru caracterul demn de încredere. Conformitatea poate aduce dovezi valoroase, dar o abordare bazată exclusiv pe conformitate poate crea o aparență de securitate fără a demonstra în mod adecvat eficacitatea sistemului de bază [3]. (NIST Publikationen)

Conformitatea contează. Dar conformitatea este unul dintre factorii care contribuie la încrederea justificată, nu un substitut complet pentru aceasta.

Asigurarea leagă încrederea de caracterul demn de încredere

Între încrederea subiectivă a unei părți și caracterul demn de încredere efectiv al unui sistem se află un alt concept: asigurarea (assurance). NIST descrie asigurarea în termenii temeiurilor pentru o încredere justificată că o afirmație a fost sau va fi satisfăcută [3]. Asigurarea nu este, așadar, nici un sentiment, nici o garanție. Este o justificare structurată. O structură de asigurare robustă ar trebui să facă vizibile cel puțin cinci elemente: Afirmații: Ce anume se afirmă? Argumente: De ce ar trebui informațiile disponibile să susțină afirmația? Dovezi: Ce evidențe, observații, teste sau artefacte demonstrează implementarea și eficacitatea?

Ipoteze: În ce condiții rămâne valabilă concluzia? Domeniu de aplicare: Ce sisteme, procese, date, locații și perioade sunt acoperite? NIST folosește conceptul de assurance case (dosar de asigurare) pentru a descrie o relație structurată și verificabilă între afirmații, argumente, ipoteze și dovezile justificative [3]. Să luăm în considerare următoarea afirmație de securitate:

Toate datele de producție sunt criptate în stare stocată.

O politică de criptare a companiei demonstrează că există o intenție și o cerință. Ea nu dovedește că fiecare sistem de stocare din producție implementează efectiv cerința. O captură de ecran a configurației unei baze de date oferă dovezi despre acea bază de date anume, la un anumit moment. Ea nu demonstrează neapărat o acoperire completă. Un dosar de asigurare mai solid ar putea combina:

• un inventar complet al spațiilor de stocare a datelor de producție,
• date de configurare de la fiecare sistem relevant,
• cerințe de management al cheilor,
• verificări automate ale configurației,
• rezultate ale testelor,
• date de monitorizare,
• responsabili desemnați,
• evidențe ale revizuirilor,
• și un marcaj temporal clar pentru fiecare element de dovadă.

Diferitele forme de dovezi servesc unor scopuri diferite. O politică susține designul intenționat. O configurație susține implementarea tehnică. Un test sau o telemetrie continuă susține funcționarea efectivă. O revizuire susține concluzia că dovezile au fost evaluate și acceptate de o parte responsabilă. Niciunul dintre aceste elemente nu este neapărat suficient de unul singur. Asigurarea apare din relația trasabilă dintre afirmația inițială, domeniul acoperit, implementare și dovezile disponibile. Un sistem de asigurare matur trebuie să fie capabil să producă și concluzii negative. El ar trebui să poată afirma că:

• dovezile disponibile sunt insuficiente,
• dovezile sunt învechite,
• o parte din domeniul relevant lipsește,
• implementarea contrazice afirmația,
• o ipoteză nu mai poate fi susținută,
• sau eficacitatea operațională nu a fost încă demonstrată.

NIST recunoaște explicit că o analiză de asigurare poate produce rezultate nefavorabile atunci când dovezile nu susțin afirmația [3]. (NIST Publikationen) Un sistem care poate genera doar bife verzi poate crea liniștire. El nu creează neapărat o asigurare credibilă.

Zero Trust nu înseamnă să nu ai încredere în nimeni

La prima vedere, Zero Trust pare să contrazică obiectivul de a construi mai multă încredere. Nu este așa. Zero Trust abordează un alt nivel al problemei. El nu este în primul rând o filozofie psihologică sau culturală. Este o abordare arhitecturală a deciziilor de acces. Într-un model Zero Trust, încrederea nu este acordată doar pentru că un utilizator sau un dispozitiv se află în rețeaua companiei, aparține organizației sau a fost autentificat anterior. Accesul este evaluat în raport cu o resursă, o identitate, un dispozitiv, un context și o cerere specifice. Permisiunile ar trebui să fie limitate, reevaluate continuu și acordate pornind de la ipoteza că o rețea sau un sistem poate fi deja compromis [4].

Securitatea tradițională bazată pe perimetru comprimă adesea o decizie de încredere complexă într-o singură ipoteză largă:

În interiorul rețelei companiei înseamnă demn de încredere.

Zero Trust descompune această ipoteză în decizii mai mici:

Poate această identitate, folosind acest dispozitiv, în aceste condiții, să acceseze această resursă acum?

Zero Trust nu este, așadar, sfârșitul încrederii. Este sfârșitul încrederii implicite, largi și moștenite permanent. O interpretare mai precisă ar fi:

Zero încredere implicită. Zero privilegii nemeritate.

O organizație poate avea în același timp o cultură cu un nivel ridicat de încredere și o arhitectură Zero Trust. Angajații nu trebuie să se suspecteze personal unii pe alții doar pentru că deciziile de acces sunt verificate tehnic. De fapt, controalele bine proiectate pot face încrederea interpersonală mai ușoară. Ele reduc probabilitatea ca o greșeală individuală, un cont compromis sau o cerere rău intenționată să ducă la daune nelimitate. Zero Trust înlocuiește o ipoteză de încredere mare și vagă cu multe decizii mai mici, contextuale, temporare și revocabile. Acest lucru este pe deplin compatibil cu o înțelegere modernă a încrederii.

Încrederea digitală lărgește perspectiva

Caracterul demn de încredere se concentrează adesea pe calitățile unei anumite organizații, ale unui anumit sistem sau ale unei anumite relații. Încrederea digitală lărgește perspectiva la un întreg ecosistem digital. Forumul Economic Mondial descrie încrederea digitală ca așteptarea ca tehnologiile și serviciile digitale, precum și organizațiile care le furnizează, să protejeze interesele părților interesate și să respecte așteptările și valorile societale relevante. Cadrul său leagă încrederea digitală de dimensiuni precum securitatea cibernetică, confidențialitatea, transparența, auditabilitatea, echitatea, interoperabilitatea, siguranța și mecanismele de reparare a prejudiciilor [5]. (World Economic Forum) ISACA definește în mod similar încrederea digitală în jurul încrederii în integritatea relațiilor, interacțiunilor și tranzacțiilor dintr-un ecosistem digital compus din oameni, organizații, procese, informații și tehnologii [6]. (ISACA)

Această perspectivă de ecosistem contează, deoarece caracterul demn de încredere al unui produs digital depinde rareori doar de acel produs. Un furnizor SaaS se poate baza pe:

• un furnizor de infrastructură cloud,
• un furnizor de identitate,
• biblioteci software,
• servicii de plată,
• platforme de monitorizare,
• surse de date externe,
• și, posibil, modele AI ale unor terți.

Caracterul demn de încredere al produsului vizibil depinde, așadar, și de controale, ipoteze și dependențe care rămân în mare parte invizibile pentru utilizatorii săi. Încrederea digitală poate fi înțeleasă ca rezultatul economic și societal mai larg. Caracterul demn de încredere descrie proprietățile care fac ecosistemul să merite încredere. Asigurarea oferă puntea dintre aceste proprietăți și decizia unei părți interesate de a acorda încredere.

AI demonstrează de ce maximizarea încrederii este obiectivul greșit

Inteligența artificială face deosebit de vizibilă diferența dintre încrederea percepută și caracterul demn de încredere efectiv. Un sistem AI poate comunica fluent, sigur pe sine și convingător fără a fi în mod constant corect. O interfață poate semnala transparență și competență chiar și atunci când modelul de bază nu este suficient de fiabil pentru sarcina vizată. Explicațiile, scorurile de încredere sau limbajul asemănător celui uman pot influența percepțiile utilizatorilor. Ele nu sunt automat dovezi că un răspuns este corect. NIST nu definește, prin urmare, AI-ul demn de încredere printr-o singură proprietate. AI Risk Management Framework identifică mai multe caracteristici, printre care validitatea și fiabilitatea, siguranța, securitatea și reziliența, răspunderea și transparența, explicabilitatea și interpretabilitatea, confidențialitatea și gestionarea prejudecăților dăunătoare. NIST subliniază, de asemenea, că aceste caracteristici depind de context și pot implica compromisuri [7].

Un sistem poate fi precis, dar inechitabil. Poate fi transparent, dar nesigur. Poate proteja confidențialitatea, dar poate rămâne nefiabil pentru scopul vizat. Poate funcționa bine în medie, eșuând însă imprevizibil tocmai în cazurile care contează cel mai mult. Eticheta „AI demn de încredere” nu trebuie să ascundă aceste distincții. Cercetarea privind interacțiunea om–AI discută, prin urmare, tot mai mult despre încrederea adecvată, încrederea calibrată și bazarea adecvată. Obiectivul nu este ca utilizatorii să aibă cât mai multă încredere într-un sistem. Obiectivul este să-i ajutăm pe utilizatori să-și formeze o înțelegere exactă a capabilităților și limitărilor sistemului și să se bazeze pe el doar atunci când această bazare este justificată.

O analiză sistematică realizată de Mehrotra et al. a constatat că în literatura de specialitate nu există încă o definiție unică, aplicată consecvent, a încrederii adecvate. Studiile folosesc construcții și măsurători diferite pentru încredere, intenții, bazarea pe sistem, capabilitatea percepută și performanța efectivă a sistemului [8]. (ACM Digital Library) Visser et al. disting în mod similar între încredere, neîncredere și bazarea adecvată. Analiza lor indică faptul că relația empirică dintre AI-ul explicabil, încrederea utilizatorilor și bazarea adecvată rămâne mixtă și, în multe contexte, neconcludentă [9]. (ScienceDirect) Un preprint din 2026 al lui Raees și Papangelis susține și mai direct că măsurătorile subiective ale încrederii nu indică automat dacă oamenii se bazează în mod adecvat pe recomandările AI. Deoarece această lucrare a fost publicată ca preprint, concluziile sale ar trebui tratate ca o contribuție de cercetare actuală, nu ca un consens definitiv [10]. (arXiv)

Nici neîncrederea nu este neapărat opusul unei bune utilizări a sistemului. Un anumit grad de scepticism poate încuraja verificarea și detectarea erorilor. Totuși, neîncrederea nediscriminatorie îi poate determina pe utilizatori să respingă și recomandările corecte. Un studiu experimental din 2026 al lui Peters, Biermeier și Scharlau a investigat dacă atenția vizuală ar putea ajuta la identificarea „neîncrederii sănătoase” în interacțiunea om–AI. Rezultatele nu au fost concludente și ilustrează cât de dificil rămâne să măsurăm dacă încrederea și neîncrederea sunt calibrate adecvat [11]. (Frontiers) Relația dorită poate fi ilustrată astfel:

Obiectivul nu este pur și simplu mutarea fiecărui utilizator în colțul din dreapta jos prin creșterea încrederii. Obiectivul este ca încrederea percepută și bazarea comportamentală să corespundă cât mai fidel caracterului demn de încredere efectiv al sistemului, consecințelor unui eșec și contextului de utilizare. Într-un articol din iulie 2026, Busuioc și Maggetti pledează pentru o trecere de la maximizarea încrederii la încrederea calibrată. Ei avertizează că încrederea se poate desprinde de caracterul demn de încredere efectiv atunci când organizațiile fabrică semnale de încredere în loc să abordeze condițiile de fond care fac încrederea justificată. Analiza lor subliniază, de asemenea, vulnerabilitatea, răspunderea și rolul constructiv pe care îl poate juca neîncrederea [12]. (OUP Academic)

Regulamentul european privind inteligența artificială urmează o logică operațională înrudită. Pentru sistemele cu grad ridicat de risc relevante, el impune procese și documentație privind gestionarea riscurilor, guvernanța datelor, documentația tehnică, jurnalizarea, transparența, supravegherea umană, acuratețea, robustețea și securitatea cibernetică [13]. Aceste cerințe nu dovedesc că fiecare sistem AI reglementat va fi demn de încredere. Ele încearcă însă să transpună o așteptare abstractă privind caracterul demn de încredere în activități concrete de guvernanță și în dovezi verificabile. (EUR-Lex) AI-ul demn de încredere nu este, așadar, un stil de interfață sau o etichetă de marketing. Este o problemă continuă de guvernanță și de asigurare.

Poziția noastră: încrederea trebuie să fie justificată și calibrată

La Secani, nu înțelegem încrederea ca pe un sentiment care ar trebui pur și simplu amplificat. Nici nu o definim ca certitudine absolută. Securitatea absolută nu există în sistemele digitale reale. Nici dovezile solide nu pot garanta că nu se va produce niciodată vreun eșec sau vreun atac. Dovezile reduc incertitudinea și susțin decizii mai bune, dar nu elimină riscul. Dacă orice incertitudine ar putea fi eliminată, încrederea nu ar mai fi necesară. De aceea vorbim în mod deliberat despre încredere justificată, nu despre certitudine. Definiția noastră este:

Încrederea este convingerea justificată, specifică unui context, că o afirmație de securitate este adevărată acum, deoarece afirmația, implementarea ei și dovezile actuale concordă în mod verificabil.

Lanțul de bază este:

Afirmație → Implementare → Dovezi → Asigurare → Încredere calibrată

O organizație face o afirmație despre securitatea sa. Această afirmație este transpusă în controale, sisteme, responsabilități și rezultate așteptate specifice. Dovezile actuale demonstrează dacă și cum au fost implementate aceste controale. Un proces de asigurare evaluează dacă dovezile susțin efectiv afirmația inițială. Abia atunci apare o bază rațională pentru încredere. Această definiție conține cinci constrângeri deliberate.

Încrederea este specifică unei afirmații

„Suntem în siguranță” este prea larg pentru a putea fi verificat în mod semnificativ. „Toate spațiile de stocare a datelor de producție folosesc configurații de criptare aprobate” este mai restrâns și testabil. Cu cât o afirmație devine mai generală, cu atât devine mai dificil să-i identificăm domeniul de aplicare, dovezile necesare, ipotezele și condițiile de valabilitate.

Încrederea este specifică unui context

Un control poate fi eficace pentru un sistem și ineficace pentru altul. Un model AI poate fi potrivit pentru rezumarea documentelor interne, dar nepotrivit pentru aprobarea autonomă a excepțiilor de securitate. Încrederea nu poate fi transferată între contexte fără a evalua dacă condițiile relevante rămân comparabile.

Încrederea depinde de timp

Organizațiile se schimbă continuu. Sunt introduse active noi. Configurațiile sunt modificate. Angajații își schimbă rolurile. Furnizorii își actualizează serviciile. Sunt descoperite vulnerabilități. Controalele care au funcționat corect ieri pot să nu mai funcționeze corect astăzi. Dovezile își pierd, prin urmare, valoarea în timp. O concluzie demnă de încredere trebuie să comunice nu doar ce a fost verificat, ci și când a fost verificat și cât timp ar trebui să rămână valabilă acea concluzie.

Încrederea se bazează pe dovezi, dar nu este absolută

Dovezile fac incertitudinea vizibilă și deciziile justificabile. Ele nu elimină complet incertitudinea. Chiar și dovezile solide au limitări. Ele pot acoperi doar o parte a unui sistem, se pot baza pe ipoteze, pot conține erori de măsurare sau pot deveni depășite. O asigurare credibilă trebuie să comunice aceste limitări, în loc să le ascundă în spatele unui statut binar.

Încrederea trebuie să fie revocabilă

O decizie de încredere trebuie să se poată schimba atunci când condițiile care o susțin se schimbă. Când dovezi noi contrazic o afirmație de securitate anterioară, concluzia ar trebui actualizată. Când dovezile expiră, încrederea ar trebui să scadă. Când domeniul acoperit se extinde, ar trebui cerute dovezi suplimentare. O încredere care nu poate fi revizuită nu este o încredere calibrată. Este o credință desprinsă de realitate.

De la semnale de încredere periodice la asigurare continuă

Încrederea digitală tradițională este adesea construită prin semnale periodice: certificate, chestionare, rapoarte de audit, documente de evaluare și prezentări de securitate. Aceste mecanisme rămân importante. Dar ele nu sunt suficiente, singure, într-o lume în care sistemele digitale se pot schimba în fiecare zi. Modelul viitorului se îndreaptă într-o altă direcție:

Asigurarea continuă nu înseamnă că fiecare activitate dintr-o organizație trebuie monitorizată permanent. Ea ar trebui să fie bazată pe risc și proporțională. O afirmație critică privind accesul privilegiat, infrastructura de producție sau datele sensibile ale clienților necesită dovezi mai actuale și mai solide decât o afirmație administrativă cu impact redus. Schimbarea importantă este că încrederea nu mai rămâne atașată unui singur document. Cerințele, implementările, dovezile, revizuirile, constatările, responsabilitățile și dependențele ar trebui să formeze în schimb un model conectat. Structurile citibile automat pot juca un rol important în această tranziție. Ele permit reutilizarea dovezilor între cadre și evaluări fără a le elimina proveniența, domeniul de aplicare inițial, momentul colectării, responsabilul sau limitările.

Viitorul încrederii nu este, așadar, doar continuu. El este granular, trasabil, transferabil și revocabil.

Zero Trust și încrederea ridicată nu sunt opuse

Diferitele concepte pot fi acum legate între ele. Zero Trust guvernează modul în care sunt luate deciziile individuale de acces. Caracterul demn de încredere descrie dacă un sistem sau o organizație merită încredere. Asigurarea oferă o justificare structurată pentru această concluzie. Dovezile susțin afirmațiile privind implementarea și eficacitatea. Conformitatea evaluează alinierea la cerințe definite. Bazarea pe un sistem descrie dacă cineva depinde efectiv de un sistem sau îl urmează. Încrederea digitală este convingerea mai largă care poate apărea la nivelul ecosistemului. Zero Trust împiedică presupunerea încrederii fără temeiuri suficiente. Asigurarea demonstrează unde este justificată încrederea.

Conformitatea contribuie cu cerințe structurate și mecanisme de revizuire. Dovezile leagă declarațiile de realitatea observabilă. Aceste concepte nu sunt, așadar, viziuni concurente. Ele sunt părți diferite ale unui model coerent. Viitorul nu este nici un „ai încredere în toată lumea” universal, nici un „nu ai încredere în nimeni” cultural. Este încrederea verificabilă și calibrată.

Ce înseamnă „Optimizați pentru încredere” la Secani

„Optimizați pentru încredere” nu trebuie să însemne optimizarea pentru percepția caracterului demn de încredere. Nu ar trebui să însemne producerea a cât mai multe bife verzi, insigne, certificate sau afirmații generale de securitate. Nu ar trebui să însemne încurajarea oamenilor să aibă mai multă încredere într-un sistem decât justifică proprietățile sale reale. Pentru noi, înseamnă:

Nu optimizați pentru a beneficia de încredere. Optimizați pentru a fi demni de o încredere justificată.

Construim Secani pentru a lega continuu afirmațiile de securitate, cerințele, implementările și dovezile. Încrederea nu ar trebui să provină exclusiv dintr-o prezentare convingătoare sau dintr-un document periodic de conformitate. Ea ar trebui să provină dintr-o justificare actuală, verificabilă și trasabilă. Cea mai concisă exprimare a acestei idei poate fi:

Încrederea nu este o promisiune. Este o concluzie susținută continuu.

Organizațiile nu ar trebui doar să pară demne de încredere. Ele ar trebui să poată demonstra de ce merită încredere. Iar oamenilor nu ar trebui să li se ceară pur și simplu să aibă mai multă încredere. Ei ar trebui să fie ajutați să aibă încredere mai bine.

Referințe

[1] D. M. Rousseau, S. B. Sitkin, R. S. Burt, and C. Camerer, “Not So Different After All: A Cross-Discipline View of Trust,” Academy of Management Review, vol. 23, no. 3, pp. 393–404, 1998, doi: 10.5465/AMR.1998.926617. (DOI)

[2] R. C. Mayer, J. H. Davis, and F. D. Schoorman, “An Integrative Model of Organizational Trust,” Academy of Management Review, vol. 20, no. 3, pp. 709–734, 1995, doi: 10.5465/amr.1995.9508080335. (DOI)

[3] R. Ross, M. Winstead, and M. McEvilley, Engineering Trustworthy Secure Systems, NIST Special Publication 800-160, vol. 1, rev. 1, National Institute of Standards and Technology, Gaithersburg, MD, USA, Nov. 2022, doi: 10.6028/NIST.SP.800-160v1r1. (NIST Publikationen)

[4] S. Rose, O. Borchert, S. Mitchell, and S. Connelly, Zero Trust Architecture, NIST Special Publication 800-207, National Institute of Standards and Technology, Gaithersburg, MD, USA, Aug. 2020, doi: 10.6028/NIST.SP.800-207. (NIST Computer Security Resource Center)

[5] World Economic Forum, Earning Digital Trust: Decision-Making for Trustworthy Technologies, Geneva, Switzerland, Nov. 2022. (World Economic Forum)

[6] K. B. Kelley, “The Digital Trust Imperative: Defining, Establishing and Measuring Digital Trust,” ISACA Journal, vol. 1, Jan. 2023. (ISACA)

[7] National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, Jan. 2023, doi: 10.6028/NIST.AI.100-1. (NIST Publikationen)

[8] S. Mehrotra, C. Degachi, O. Vereschak, C. M. Jonker, and M. L. Tielman, “A Systematic Review on Fostering Appropriate Trust in Human-AI Interaction: Trends, Opportunities and Challenges,” ACM Journal on Responsible Computing, vol. 1, no. 4, Art. no. 26, pp. 1–45, 2024, doi: 10.1145/3696449. (ACM Digital Library)

[9] R. Visser, T. M. Peters, I. Scharlau, and B. Hammer, “Trust, distrust, and appropriate reliance in (X)AI: A conceptual clarification of user trust and survey of its empirical evaluation,” Cognitive Systems Research, vol. 91, Art. no. 101357, 2025, doi: 10.1016/j.cogsys.2025.101357. (ScienceDirect)

[10] M. Raees and K. Papangelis, “From Trust to Appropriate Reliance: Measurement Constructs in Human-AI Decision-Making,” arXiv:2604.23896, Apr. 2026, doi: 10.48550/arXiv.2604.23896. Preprint. (arXiv)

[11] T. M. Peters, K. Biermeier, and I. Scharlau, “Assessing healthy distrust in human-AI interaction: Interpreting changes in visual attention,” Frontiers in Psychology, vol. 16, Art. no. 1694367, Jan. 2026, doi: 10.3389/fpsyg.2025.1694367. (Frontiers)

[12] M. Busuioc and M. Maggetti, “Worthy of trust? AI governance and the role of (dis)trust,” Perspectives on Public Management and Governance, Art. no. gvag007, Jul. 2026, doi: 10.1093/ppmgov/gvag007. (OUP Academic)

[13] European Parliament and Council of the European Union, “Regulation (EU) 2024/1689 of 13 June 2024 laying down harmonised rules on artificial intelligence,” Official Journal of the European Union, Jul. 2024. (EUR-Lex)