Nada puede autorizarse hasta que el expediente está abierto. Currents abre el expediente.
Currents - paso 1 de 3
Encuentre los sistemas de IA de los que ya depende
y las brechas de evidencia asociadas.
Currents crea un inventario estructurado de hasta 20 sistemas de IA, sus responsables, finalidad, proveedores y evidencias disponibles. El resultado muestra dónde hay evidencias, dónde faltan y qué sistemas están listos para un trabajo de evidencias más profundo. Es un inventario guiado: usted introduce los sistemas; nada se descubre automáticamente.
Currents - the open file
Triage model · A&E
Credit eligibility scorer
Minor-facing chat assistant
Claims RAG assistant
Procurement agent
Ningún sistema se autoriza en una frontera ante la que nunca se presentó.
AL360° Oceans aplica el control fronterizo a la IA: escanee el sistema, emita el pasaporte, conceda el visado. Currents es el primer paso. Establece qué está operando realmente sobre los datos de salud, financieros y de menores -los tres contextos en los que un modelo equivocado se equivoca sobre un paciente, un sustento o un historial de la infancia- y qué no está aún demostrado sobre nada de ello.
Qué obliga a un escaneo
Seis condiciones que indican que el expediente ya va con retraso.
Una autoridad competente ha preguntado qué IA utiliza
La respuesta debe ser un registro, no un recuerdo. Un escaneo produce el registro.
Su DPD no puede nombrar qué sistemas tratan datos del Art. 9
En algún lugar se está tratando información de salud, biométrica y de categoría especial. Nadie sabe dónde.
Un proveedor cambió su modelo subyacente y no se lo comunicó
Un cambio silencioso de modelo invalida cada afirmación de equidad y exactitud que consta en su expediente.
Los agentes llaman a herramientas que nadie registró
El AI Act Art. 12 exige el registro automático de los eventos. Las llamadas a herramientas sin registrar son actos sin pruebas.
Un asistente RAG recupera de un corpus que nadie ha auditado
Un documento no fiable es una instrucción no fiable. La inyección de prompts entra a través del corpus.
Compras está a punto de renovar una IA que nunca escaneó
Renovar sin un escaneo actualizado vuelve a aprobar las pruebas del año pasado para el modelo de este año.
Modos de fallo
El escaneo busca los fallos que nadie declara por sí mismo.
Son las condiciones que sobreviven a un cuestionario de proveedor y no superan una inspección de vigilancia del mercado.
Cambio de distribución
Un modelo de triaje o de puntuación validado en una cohorte que ya no se parece a la población a la que sirve. La exactitud se mantiene en agregado y se desploma en un subgrupo. El AI Act Art. 15 exige que la exactitud y la robustez se mantengan durante todo el ciclo de vida, no el día de la validación.
Discriminación por proxy
El atributo protegido se eliminó; el código postal, la clase de dispositivo y la vía de derivación lo reconstruyen. La disparidad sobrevive a la eliminación. El Art. 10 exige el examen de posibles sesgos; el GDPR Art. 22 exige que la decisión sea impugnable cuando es automatizada.
Inyección de prompts en un corpus RAG
Un documento recuperado transporta una instrucción, no solo contenido. El asistente la sigue. Cuando el corpus es un expediente de reclamaciones, un historial de paciente o una nota de salvaguarda, la instrucción inyectada hereda el acceso a datos del sistema.
Cambios silenciosos del modelo del proveedor
El endpoint no cambia; el modelo que hay detrás sí. Cada métrica de equidad, puntuación de exactitud y documentación técnica del Art. 11 que conserva describe ahora un sistema que ya no está en funcionamiento.
Llamadas a herramientas de agentes sin registrar
Un agente escribió en un sistema crítico y no existe ningún registro del evento. El Art. 12 exige el registro automático durante toda la vida del sistema. Un acto sin registrar no puede reconstruirse, impugnarse ni defenderse.
Supervisión que existe solo sobre el papel
El Art. 14 exige que la supervisión humana sea efectiva: un revisor capaz de interpretar el resultado e intervenir. Un revisor que solo ve un botón de aprobación, sin base sobre la que discrepar, no es supervisión.
El cambio
Antes del escaneo y después de él.
Antes del escaneo
- Sin registro de sistemas de IA, solo recuerdo
- Datos de salud del Art. 9 y datos de menores del Art. 8 tratados en ubicaciones desconocidas
- Sin clasificación Annex III: la condición de alto riesgo es una opinión
- Afirmaciones de proveedores archivadas en lugar de hallazgos
- Sin propietario de revisión designado por sistema
- Agentes y pipelines RAG fuera de todo inventario
Después del escaneo
- Atlas conserva el registro: cada sistema, propietario y contexto
- Categorías de datos mapeadas por sistema, con los indicadores del Art. 9 y del Art. 8 activados
- Clasificación provisional Art. 6 / Annex III registrada por sistema
- Registro de lagunas de pruebas frente a los Art. 10, 12, 14, 15: lagunas nombradas, no insinuadas
- El DPD, el CISO y compras tienen cada uno una cola designada
- La cola de pasaportes: qué Ripples emitir y en qué orden
Cómo se ejecuta el escaneo
Autoservicio. Precio fijo. Un expediente abierto.
Paso 1
Enumere lo que opera
- Alcance: su organización y los datos que alcanzan sus sistemas de IA
- Enumere los sistemas de IA: herramientas de proveedores, API de modelos, pipelines RAG, modelos internos, agentes
- Indique para cada uno un responsable, una finalidad y las categorías de datos
- Adjunte las evidencias que ya tiene: enlaces, documentos, fichas de modelo y de conjunto de datos
Paso 2
Vea las carencias y actúe
- Cada sistema agrupado según lo que aún necesita: aporte del responsable, evidencias del proveedor, una ficha de modelo o de conjunto de datos, o una revisión
- Solicitudes de evidencias enviadas a responsables y proveedores desde la misma pantalla
- Ripples en borrador creados para los sistemas con evidencias suficientes para iniciar uno
- Entrega: el informe Currents, el inventario en CSV y el mapa de evidencias en JSON
Lo que le entrega el escaneo
Seis resultados, listos en cuanto su inventario esté introducido.
Paso 1 → paso 2 → paso 3
El escaneo es lo que permite emitir el pasaporte.
Ripples - el pasaporte de pruebas
Cada sistema sobre el que el escaneo abre un expediente se convierte en candidato a un Ripple: el registro de pruebas duradero y portátil que el sistema lleva a cada revisión. El escaneo aporta las lagunas; el pasaporte las cierra.
Droplets - el visado de contexto
Un pasaporte dice lo que es el sistema. Un Droplet dice dónde puede operar: un contexto de despliegue, un alcance de datos, con límite temporal y caducidad por defecto. Los agentes y asistentes RAG encontrados en el escaneo no deberían ejecutarse sin uno.
El registro permanece abierto
Atlas conserva los hallazgos del escaneo. Cada pasaporte emitido, cada visado concedido, denegado o caducado y cada laguna aún abierta se vuelca en el mismo expediente. El escaneo no es un documento: es el comienzo de un registro.
Escanear
Currents abre el expediente de cada sistema de IA que alcanza datos de salud, financieros o de menores, y nombra lo que no está demostrado.
Emitir
Se emite un Ripple por sistema: el pasaporte de pruebas que lleva a cada revisión, con sus lagunas nombradas y sus pruebas registradas.
Conceder
Un Droplet autoriza el sistema para UN contexto de despliegue: con límite temporal, con condiciones y con caducidad por defecto.
Abordadas
Currents - las cuatro objeciones que oímos.
“Podemos crear el inventario nosotros mismos en una hoja de cálculo.”
Una hoja de cálculo registra nombres. Un Currents registra lo que un revisor pedirá realmente: las categorías de datos que trata cada sistema, su clasificación provisional Annex III, sus lagunas de pruebas frente a los Art. 10, 12, 14 y 15, el propietario de revisión designado y una decisión de acceso provisional. Ese resultado es la entrada de un pasaporte. Una hoja de cálculo no lo es.
“Ya tenemos un inventario de activos de software.”
Los inventarios de activos controlan licencias y hosts. No le dicen qué proveedor de modelo hay detrás de una API, si un proveedor cambió ese modelo en silencio el trimestre pasado, qué agente tiene credenciales de escritura en un sistema clínico o de core bancario, o si un corpus RAG se ha comprobado alguna vez en busca de instrucciones inyectadas. Esas son las preguntas que plantea un escaneo.
“No estamos listos para un programa de gobernanza completo.”
El escaneo no es el programa. Es el control fronterizo que lo precede. Le dice qué está ya operando dentro de su perímetro, qué sistemas no portan prueba alguna y cuáles tres necesitan primero un pasaporte. No se compromete nada más allá del propio escaneo.
“Nuestros proveedores ya nos han asegurado que cumplen.”
Una garantía es una afirmación. Un escaneo produce un hallazgo. Ambos divergen con más frecuencia en el cambio de distribución -un modelo validado en una población que ya no se parece a la que ahora puntúa- y en la discriminación por proxy, donde un atributo protegido eliminado se reconstruye a partir del código postal, el dispositivo o la vía de derivación. Ninguno es visible en una atestación de proveedor.
Paso 1 - el escaneo
Abra el expediente
antes de que lo haga otro.
Precio fijo, en autoservicio. Cada sistema de IA que alcanza datos de salud, financieros o de menores - identificado, con responsable y cotejado con las evidencias que aún le faltan.
AffectLog aporta pruebas técnicas y operativas para respaldar las decisiones de acceso a la IA. No constituye asesoramiento jurídico, certificación, evaluación de la conformidad por un organismo notificado ni aprobación regulatoria.