Nada puede autorizarse hasta que el expediente está abierto. Currents abre el expediente.
Currents - paso 1 de 3
Escanee el sistema.
Después emita el pasaporte.
Currents es el escaneo de pruebas. En diez días hábiles nombra cada sistema de IA que alcanza datos de salud, financieros o de menores, lo clasifica según el Annex III y registra exactamente qué pruebas faltan antes de poder emitir un Ripple.
Currents - the open file
Triage model · A&E
Credit eligibility scorer
Minor-facing chat assistant
Claims RAG assistant
Procurement agent
Ningún sistema se autoriza en una frontera ante la que nunca se presentó.
AL360° Oceans aplica el control fronterizo a la IA: escanee el sistema, emita el pasaporte, conceda el visado. Currents es el primer paso. Establece qué está operando realmente sobre los datos de salud, financieros y de menores -los tres contextos en los que un modelo equivocado se equivoca sobre un paciente, un sustento o un historial de la infancia- y qué no está aún demostrado sobre nada de ello.
Qué obliga a un escaneo
Seis condiciones que indican que el expediente ya va con retraso.
Una autoridad competente ha preguntado qué IA utiliza
La respuesta debe ser un registro, no un recuerdo. Un escaneo produce el registro.
Su DPD no puede nombrar qué sistemas tratan datos del Art. 9
En algún lugar se está tratando información de salud, biométrica y de categoría especial. Nadie sabe dónde.
Un proveedor cambió su modelo subyacente y no se lo comunicó
Un cambio silencioso de modelo invalida cada afirmación de equidad y exactitud que consta en su expediente.
Los agentes llaman a herramientas que nadie registró
El AI Act Art. 12 exige el registro automático de los eventos. Las llamadas a herramientas sin registrar son actos sin pruebas.
Un asistente RAG recupera de un corpus que nadie ha auditado
Un documento no fiable es una instrucción no fiable. La inyección de prompts entra a través del corpus.
Compras está a punto de renovar una IA que nunca escaneó
Renovar sin un escaneo actualizado vuelve a aprobar las pruebas del año pasado para el modelo de este año.
Modos de fallo
El escaneo busca los fallos que nadie declara por sí mismo.
Son las condiciones que sobreviven a un cuestionario de proveedor y no superan una inspección de vigilancia del mercado.
Cambio de distribución
Un modelo de triaje o de puntuación validado en una cohorte que ya no se parece a la población a la que sirve. La exactitud se mantiene en agregado y se desploma en un subgrupo. El AI Act Art. 15 exige que la exactitud y la robustez se mantengan durante todo el ciclo de vida, no el día de la validación.
Discriminación por proxy
El atributo protegido se eliminó; el código postal, la clase de dispositivo y la vía de derivación lo reconstruyen. La disparidad sobrevive a la eliminación. El Art. 10 exige el examen de posibles sesgos; el GDPR Art. 22 exige que la decisión sea impugnable cuando es automatizada.
Inyección de prompts en un corpus RAG
Un documento recuperado transporta una instrucción, no solo contenido. El asistente la sigue. Cuando el corpus es un expediente de reclamaciones, un historial de paciente o una nota de salvaguarda, la instrucción inyectada hereda el acceso a datos del sistema.
Cambios silenciosos del modelo del proveedor
El endpoint no cambia; el modelo que hay detrás sí. Cada métrica de equidad, puntuación de exactitud y documentación técnica del Art. 11 que conserva describe ahora un sistema que ya no está en funcionamiento.
Llamadas a herramientas de agentes sin registrar
Un agente escribió en un sistema crítico y no existe ningún registro del evento. El Art. 12 exige el registro automático durante toda la vida del sistema. Un acto sin registrar no puede reconstruirse, impugnarse ni defenderse.
Supervisión que existe solo sobre el papel
El Art. 14 exige que la supervisión humana sea efectiva: un revisor capaz de interpretar el resultado e intervenir. Un revisor que solo ve un botón de aprobación, sin base sobre la que discrepar, no es supervisión.
El cambio
Antes del escaneo y después de él.
Antes del escaneo
- Sin registro de sistemas de IA, solo recuerdo
- Datos de salud del Art. 9 y datos de menores del Art. 8 tratados en ubicaciones desconocidas
- Sin clasificación Annex III: la condición de alto riesgo es una opinión
- Afirmaciones de proveedores archivadas en lugar de hallazgos
- Sin propietario de revisión designado por sistema
- Agentes y pipelines RAG fuera de todo inventario
Después del escaneo
- Atlas conserva el registro: cada sistema, propietario y contexto
- Categorías de datos mapeadas por sistema, con los indicadores del Art. 9 y del Art. 8 activados
- Clasificación provisional Art. 6 / Annex III registrada por sistema
- Registro de lagunas de pruebas frente a los Art. 10, 12, 14, 15: lagunas nombradas, no insinuadas
- El DPD, el CISO y compras tienen cada uno una cola designada
- La cola de pasaportes: qué Ripples emitir y en qué orden
Cómo se ejecuta el escaneo
Diez días hábiles. Alcance fijo. Un expediente abierto.
Semana 1
Abrir el expediente
- Alcance: entidades, despliegues, categorías de datos, eje de contextos sensibles (salud · financiero · menores)
- Enumerar los sistemas de IA: herramientas de proveedores, API de modelos, pipelines RAG, modelos internos, agentes
- Trazar las rutas de integración: llamadas de inferencia, embeddings, límites de salida, alcance de credenciales
- Clasificar las categorías de datos: categoría especial del GDPR Art. 9, datos de menores del Art. 8, elaboración de perfiles financieros
Semana 2
Nombrar las lagunas y decidir
- Clasificación provisional del AI Act Art. 6 / Annex III por sistema
- Registro de lagunas de pruebas: gobernanza de datos del Art. 10, registro del Art. 12, supervisión del Art. 14, exactitud del Art. 15
- Decisiones de acceso provisionales: autorizado · autorizado con límites · bloqueado pendiente de pruebas
- Entrega: el expediente abierto, el registro de lagunas y la cola de pasaportes por emitir
Lo que le entrega el escaneo
Seis resultados, entregados al final de la segunda semana.
Paso 1 → paso 2 → paso 3
El escaneo es lo que permite emitir el pasaporte.
Ripples - el pasaporte de pruebas
Cada sistema sobre el que el escaneo abre un expediente se convierte en candidato a un Ripple: el registro de pruebas duradero y portátil que el sistema lleva a cada revisión. El escaneo aporta las lagunas; el pasaporte las cierra.
Droplets - el visado de contexto
Un pasaporte dice lo que es el sistema. Un Droplet dice dónde puede operar: un contexto de despliegue, un alcance de datos, con límite temporal y revocable. Los agentes y asistentes RAG encontrados en el escaneo no pueden ejecutarse sin uno.
El registro permanece abierto
Atlas conserva los hallazgos del escaneo de forma permanente. Cada pasaporte emitido, cada visado concedido o revocado y cada laguna aún abierta se vuelca en el mismo expediente. El escaneo no es un documento: es el comienzo de un registro.
Escanear
Currents abre el expediente de cada sistema de IA que alcanza datos de salud, financieros o de menores, y nombra lo que no está demostrado.
Emitir
Se emite un Ripple por sistema: el pasaporte de pruebas que lleva a cada revisión, con sus lagunas cerradas y sus diagnósticos sellados.
Conceder
Un Droplet autoriza el sistema para UN contexto de despliegue: con límite temporal, con condiciones y revocable el día en que se desvía.
Abordadas
Currents - las cuatro objeciones que oímos.
“Podemos crear el inventario nosotros mismos en una hoja de cálculo.”
Una hoja de cálculo registra nombres. Un Currents registra lo que un revisor pedirá realmente: las categorías de datos que trata cada sistema, su clasificación provisional Annex III, sus lagunas de pruebas frente a los Art. 10, 12, 14 y 15, el propietario de revisión designado y una decisión de acceso provisional. Ese resultado es la entrada de un pasaporte. Una hoja de cálculo no lo es.
“Ya tenemos un inventario de activos de software.”
Los inventarios de activos controlan licencias y hosts. No le dicen qué proveedor de modelo hay detrás de una API, si un proveedor cambió ese modelo en silencio el trimestre pasado, qué agente tiene credenciales de escritura en un sistema clínico o de core bancario, o si un corpus RAG se ha comprobado alguna vez en busca de instrucciones inyectadas. Esas son las preguntas que responde un escaneo.
“No estamos listos para un programa de gobernanza completo.”
El escaneo no es el programa. Es el control fronterizo que lo precede. Le dice qué está ya operando dentro de su perímetro, qué sistemas no portan prueba alguna y cuáles tres necesitan primero un pasaporte. No se compromete nada más allá del propio escaneo.
“Nuestros proveedores ya nos han asegurado que cumplen.”
Una garantía es una afirmación. Un escaneo produce un hallazgo. Ambos divergen con más frecuencia en el cambio de distribución -un modelo validado en una población que ya no se parece a la que ahora puntúa- y en la discriminación por proxy, donde un atributo protegido eliminado se reconstruye a partir del código postal, el dispositivo o la vía de derivación. Ninguno es visible en una atestación de proveedor.
Paso 1 - el escaneo
Abra el expediente
antes de que lo haga otro.
Diez días hábiles. Alcance fijo. Cada sistema de IA que alcanza datos de salud, financieros o de menores: nombrado, clasificado según el Annex III y contrastado con las pruebas que aún no tiene.
AffectLog aporta pruebas técnicas y operativas para respaldar las decisiones de acceso a la IA. No constituye asesoramiento jurídico, certificación, evaluación de la conformidad por un organismo notificado ni aprobación regulatoria.