Los sistemas de IA están alcanzando a pacientes, solicitantes y menores a través de fronteras en las que no hay nadie apostado.
AL360° Oceans - la plataforma
Escanee el sistema. Emita el pasaporte.
Conceda el visado.
AL360° Oceans aplica el control fronterizo a la IA. Nada alcanza los datos de salud, financieros o de menores sin un escaneo de pruebas, un pasaporte de pruebas y un visado de contexto para el despliegue exacto en el que opera.
AL360° Oceans - the border
Currents - the scan
23 systems opened · 6 touch Art. 9 data
Ripples - the passport
18 issued · 5 blocked on Art. 10 evidence
Droplets - the visa
11 contexts cleared · 2 refused
Seal Review
3 high-consequence decisions under seal
Atlas - the register
Next expiry: 14d · 1 visa suspended
La gobernanza empieza en la frontera, no en el panel.
Un modelo que se equivoca sobre un paciente se equivoca sobre su tratamiento. Si se equivoca sobre un solicitante, se equivoca sobre su sustento. Si se equivoca sobre un menor, se equivoca para el resto de su historial. AL360° Oceans existe para garantizar que ningún sistema alcance esos tres contextos sin ser escaneado, dotado de pasaporte y autorizado para el despliegue exacto en el que opera.
El escenario es ilustrativo y se identifica como tal en todo momento.
La plataforma
Tres servicios. Una doctrina.
Currents, Ripples y Droplets son los tres pasos del control fronterizo. Seal Review, Wakes y Atlas son lo que lleva su resultado hasta un revisor y lo mantiene allí.
Currents
El escaneo de pruebas - paso 1
Abre el expediente de cada sistema de IA que alcanza datos de salud, financieros o de menores. Nombra los sistemas, los clasifica provisionalmente según el Annex III y registra lo que aún no está demostrado: cambio de distribución, sesgo sin examinar, corpus RAG sin auditar, agentes sin registrar.
Alcance fijo · 10 días hábiles · Alimenta la cola de pasaportes
Ripples
El pasaporte de pruebas - paso 2
El registro de pruebas duradero y portátil que porta un sistema de IA. Identidad, categorías de datos, base del GDPR Art. 6/9/22, DPIA del Art. 35, examen de sesgo del AI Act Art. 10, diseño de la supervisión del Art. 14, exactitud del Art. 15: emitido una vez, presentado en cada revisión.
12 secciones · Registros de pruebas sellados · Caduca por defecto
Droplets
El visado de contexto - paso 3
Autorización para UN contexto de despliegue, sobre ESTOS datos, bajo condiciones establecidas. Lista de herramientas permitidas, límite de salida, controles de supervisión del Art. 14, registro de eventos del Art. 12, caducidad estricta y revocación en una sola acción.
Un solo contexto · Con límite temporal · Revocable
Seal Review
Revisión humana, bajo sello
Los contextos de mayores consecuencias no se autorizan solos. El DPD, el CISO y compras solo tienen las decisiones que su rol puede defender. Cada decisión se registra con actor, marca de tiempo, justificación y las condiciones asociadas.
Colas por rol · Decisiones selladas · Rastro exportable
Wakes y Atlas
La exportación y el registro
Un Wake es la exportación de pruebas estampada y sellada que viaja a un revisor: una autoridad de control, un centro hospitalario, un organismo notificado. Atlas es el registro que hay detrás: cada sistema, pasaporte, visado y laguna abierta, en un único expediente que permanece abierto.
Exportaciones estampadas · Sistemas, pasaportes y lagunas · Un registro abierto
Pruebas locales y federadas
Diagnósticos donde residen los datos
Los datos clínicos, financieros y de menores no salen del perímetro, ni siquiera para una comprobación de cumplimiento. Los diagnósticos se ejecutan en su propia infraestructura y exportan únicamente un registro de pruebas firmado. La clave de firma nunca sale.
Autoalojado · Salida solo de registros · Firmado con Ed25519
La doctrina
Escanee el sistema. Emita el pasaporte. Conceda el visado.
El orden no es una preferencia. Cada paso es la condición previa del siguiente: no puede emitirse un pasaporte sobre un sistema que nadie ha escaneado, y no puede concederse un visado contra un pasaporte que no existe.
Escanear
Currents abre el expediente: qué sistemas de IA alcanzan datos de salud, financieros o de menores, y qué no está demostrado sobre cada uno.
Emitir
Un Ripple registra lo que está demostrado: base jurídica, examen de sesgo conforme al Art. 10, supervisión conforme al Art. 14, exactitud conforme al Art. 15.
Conceder
Un Droplet autoriza UN contexto: estos datos, estas herramientas, estos controles de supervisión, esta fecha de caducidad. Un segundo contexto necesita un segundo visado.
Sellar
Las decisiones de mayores consecuencias pasan a revisión humana bajo sello: registradas con actor, justificación y condiciones.
Revocar
La deriva, un cambio silencioso de modelo o un diagnóstico fallido suspende el visado antes de la siguiente acción. Nada se renueva en silencio.
Quién usa AL360° Oceans
Diseñado para quienes deben defender la decisión.
Compras
Sin pasaporte, no hay compra. Exija un Ripple antes de que un proveedor de IA alcance sus datos, y deniegue la renovación cuando las pruebas hayan caducado pero el contrato no.
Vea cómoDPD y privacidad
Datos de salud del Art. 9, datos de menores del Art. 8, decisiones automatizadas del Art. 22, DPIA del Art. 35: como campos estructurados en un pasaporte, no como prosa en el PDF de un proveedor.
Vea cómoCISO y seguridad
Listas de herramientas permitidas, alcance de credenciales, límites de salida y registro de eventos del Art. 12 para cada agente: declarados en la concesión, aplicados en tiempo de ejecución, revocables en una sola acción.
Vea cómoProveedores de IA
Emita un Ripple. Preséntelo a un centro hospitalario, a la función de riesgo de terceros de un banco o a una autoridad competente, en lugar de reconstruir las pruebas para cada uno.
Vea cómoLa diferencia
Una frontera sin vigilancia y otra vigilada.
Sin AL360° Oceans
- Sin registro de qué sistemas de IA alcanzan datos del Art. 9 o del Art. 8
- Atestaciones de proveedores archivadas en lugar de hallazgos
- Sin constancia de quién autorizó qué sistema y con qué fundamento
- Agentes que actúan sobre sistemas críticos sin propietario, alcance ni caducidad
- Un cambio silencioso de modelo invalida el expediente y nadie es informado
- Cada auditoría reconstruye las pruebas desde cero
Con AL360° Oceans
- Currents abre el expediente en 10 días hábiles; Atlas lo mantiene abierto
- Los Ripples registran lo que está demostrado, artículo por artículo, sellado y firmado
- Seal Review registra la decisión: actor, justificación, condiciones, marca de tiempo
- Los Droplets autorizan UN contexto: con límite temporal, con controles y revocable en una sola acción
- Se detecta un cambio de modelo; el pasaporte revierte y el visado se suspende
- Un Wake lleva las pruebas selladas al revisor, ya compiladas
Decisiones de diseño, no salvedades
Las pruebas viajan. Los datos en bruto permanecen donde residen.
Las pruebas viajan. Los datos en bruto no.
Cada diagnóstico produce un registro de pruebas: el hallazgo, no los datos que hay detrás. La exportación en bruto está desactivada por defecto y no puede activarse desde el navegador.
Nada se autoriza a sí mismo
Ningún sistema alcanza datos de salud, financieros o de menores sin un escaneo, un pasaporte y un visado para el contexto exacto en el que opera. La ausencia de pruebas bloquea; no se resuelve por defecto en permitir.
Las decisiones dejan un rastro enlazado por hash
Las decisiones de autorización se escriben en un registro de eventos por organización, de solo adición y enlazado por hash: actor, rol, marca de tiempo. En producción, la cadena se ejecuta con clave, de modo que una edición, una eliminación o un reordenamiento es detectable en la verificación, incluso por alguien con acceso de escritura a la base de datos.
Toda autorización caduca
Los pasaportes caducan. Los visados caducan antes. Un cambio de modelo, una alerta de deriva o un diagnóstico fallido suspende la autorización antes de la siguiente acción, no en la siguiente auditoría.
Abordadas
AL360° Oceans - las cuatro objeciones que oímos.
“Ya tenemos un proceso de cuestionario de riesgo de proveedores.”
Un cuestionario recoge afirmaciones de la parte con menos incentivos para revelar. AL360° Oceans recoge hallazgos: un escaneo que nombra lo que está operando, un pasaporte que registra lo que está demostrado frente a artículos concretos y un visado que indica dónde puede actuar el sistema y hasta cuándo. Una afirmación no se puede revocar. Un visado, sí.
“Solo tenemos dos o tres sistemas de IA que gobernar.”
Ese es el número que se conoce. Un escaneo abre habitualmente expedientes sobre API de modelos incrustadas en productos existentes, asistentes RAG construidos por un solo equipo y agentes con credenciales que nadie registró. Los sistemas que alcanzan datos sensibles rara vez son los que se adquirieron como IA.
“¿Por qué tres artefactos en lugar de un único registro de gobernanza?”
Porque responden a tres preguntas distintas y fallan de forma independiente. El escaneo pregunta qué está en funcionamiento. El pasaporte pregunta qué está demostrado sobre ello. El visado pregunta si puede operar AQUÍ, sobre ESTOS datos. Un único registro los fusiona, y fusionarlos es como un modelo validado para admisión de adultos acaba puntuando a pacientes pediátricos.
“Nuestros datos no pueden salir de nuestro entorno para los diagnósticos.”
No salen. Los diagnósticos se ejecutan dentro de su perímetro: on-premise, en su VPC o aislados de la red. Solo el registro de pruebas cruza el límite: el hallazgo, nunca el historial, el corpus, el prompt ni los pesos.
Empiece por el primer paso
Abra el expediente de su parque de IA
antes de que lo haga una autoridad competente.
Diez días hábiles. Cada sistema de IA que alcanza datos de salud, financieros o de menores: nombrado, clasificado y contrastado con las pruebas que aún no porta. Después emita los pasaportes y después conceda los visados.
AffectLog aporta pruebas técnicas y operativas para respaldar las decisiones de acceso a la IA. No constituye asesoramiento jurídico, certificación, evaluación de la conformidad por un organismo notificado ni aprobación regulatoria.