Ingenting kan klareras förrän akten är öppen. Currents öppnar akten.
Currents - steg 1 av 3
Hitta de AI-system ni redan är beroende av
och de bevisluckor som hör till dem.
Currents skapar en strukturerad inventering av upp till 20 AI-system, deras ägare, syfte, leverantörer och tillgängliga bevis. Resultatet visar var bevis finns, var de saknas och vilka system som är redo för fördjupat bevisarbete. Det är en guidad inventering: ni anger systemen; ingenting upptäcks automatiskt.
Currents - the open file
Triage model · A&E
Credit eligibility scorer
Minor-facing chat assistant
Claims RAG assistant
Procurement agent
Inget system klareras vid en gräns där det aldrig visades upp.
AL360° Oceans tillämpar gränskontroll på AI: skanna systemet, utfärda passet, bevilja visumet. Currents är steg ett. Det fastställer vad som faktiskt är i drift mot hälso-, finans- och minderårigas data - de tre kontexter där en felaktig modell har fel om en patient, en försörjning eller en barndoms journal - och vad som ännu inte är bevisat om något av det.
Vad som tvingar fram en skanning
Sex förhållanden som betyder att akten redan är försenad.
En behörig myndighet har frågat vilken AI ni driver
Svaret måste vara ett register, inte ett minne. En skanning tar fram registret.
Ert DPO kan inte namnge vilka system som behandlar data enligt Art. 9
Behandling av hälsodata, biometriska data och särskilda kategorier pågår någonstans. Ingen kan säga var.
En leverantör bytte sin underliggande modell utan att berätta det
Ett tyst modellbyte ogiltigförklarar varje påstående om rättvisa och träffsäkerhet ni har i akten.
Agenter anropar verktyg som ingen loggade
EU:s AI Act Art. 12 kräver automatisk registrering av händelser. Ologgade verktygsanrop är obevisade handlingar.
En RAG-assistent gör hämtningar från en korpus som ingen har granskat
Ett icke betrott dokument är en icke betrodd instruktion. Promptinjektion tar sig in genom korpusen.
Inköp står i begrepp att förnya AI som de aldrig skannade
Förnyelse utan en uppdaterad skanning godkänner förra årets bevis på nytt för årets modell.
Fellägen
Skanningen letar efter de fel som ingen självrapporterar.
Det här är de förhållanden som överlever ett leverantörsformulär och fallerar vid en inspektion inom marknadskontroll.
Fördelningsskifte
En triage- eller poängsättningsmodell validerad på en kohort som inte längre liknar den population den betjänar. Träffsäkerheten håller i aggregat och sviktar i en undergrupp. EU:s AI Act Art. 15 kräver att träffsäkerhet och robusthet håller över livscykeln - inte på valideringsdagen.
Proxydiskriminering
Det skyddade attributet togs bort; postnummer, enhetsklass och remissväg rekonstruerar det. Skillnaden överlever raderingen. Art. 10 kräver granskning av möjliga biaser; GDPR Art. 22 kräver att beslutet kan bestridas när det är automatiserat.
Promptinjektion i en RAG-korpus
Ett hämtat dokument bär en instruktion, inte bara innehåll. Assistenten följer den. Där korpusen är en skadeakt, en patientjournal eller en anteckning om skydd av utsatta ärver den injicerade instruktionen systemets dataåtkomst.
Tysta modellbyten hos leverantören
Slutpunkten är oförändrad; modellen bakom den är det inte. Varje rättvisemått, träffsäkerhetsvärde och teknisk dokumentation enligt Art. 11 ni har beskriver nu ett system som inte längre körs.
Ologgade verktygsanrop från agenter
En agent skrev till ett kärnsystem och ingen händelsepost finns. Art. 12 kräver automatisk registrering under systemets livstid. En ologgad handling kan inte rekonstrueras, bestridas eller försvaras.
Tillsyn som endast finns på papper
Art. 14 kräver att den mänskliga tillsynen är effektiv - en granskare som kan tolka utdatan och ingripa. En granskare som bara ser en godkänn-knapp, utan grund att invända mot, är inte tillsyn.
Skiftet
Före skanningen, och efter den.
Före skanningen
- Inget register över AI-system - bara minne
- Hälsodata enligt Art. 9 och minderårigas data enligt Art. 8 behandlade på okända platser
- Ingen Annex III-klassificering - status som hög risk är en åsikt
- Leverantörspåståenden i akten i stället för fynd
- Ingen namngiven granskningsansvarig per system
- Agenter och RAG-pipelines utanför varje inventering
Efter skanningen
- Atlas håller registret: varje system, ägare och kontext
- Datakategorier kartlagda per system, med flaggor för Art. 9 och Art. 8 uppsatta
- Preliminär klassificering enligt Art. 6 / Annex III registrerad per system
- Register över bevisluckor mot Art. 10, 12, 14, 15 - luckor namngivna, inte antydda
- DPO, CISO och inköp har var och en en namngiven kö
- Passkön: vilka Ripples som ska utfärdas, i vilken ordning
Så körs skanningen
Självbetjäning. Fast pris. En öppen akt.
Steg 1
Förteckna vad ni driver
- Omfattning: er organisation och de data era AI-system når
- Förteckna AI-system: leverantörsverktyg, modell-API:er, RAG-pipelines, interna modeller, agenter
- Ange ägare, syfte och datakategorier för vart och ett
- Bifoga underlag ni redan har: länkar, dokument, modell- och datamängdskort
Steg 2
Se luckorna och agera
- Varje system grupperat efter vad det fortfarande behöver: ägarens input, leverantörsunderlag, ett modell- eller datamängdskort, eller en granskning
- Begäran om underlag skickas till ägare och leverantörer från samma skärm
- Utkast till Ripples skapas för system med tillräckligt underlag för att påbörja ett
- Leverans: Currents-rapporten, inventeringen som CSV och bevisöversikten som JSON
Vad skanningen ger dig
Sex resultat, klara så snart er inventering är inlagd.
Steg 1 → steg 2 → steg 3
Skanningen är det som gör passet utfärdbart.
Ripples - bevispasset
Varje system som skanningen öppnar en akt om blir en kandidat för en Ripple: den varaktiga, portabla bevispost som systemet bär med sig in i varje granskning. Skanningen tillhandahåller luckorna; passet sluter dem.
Droplets - kontextvisumet
Ett pass säger vad systemet är. En Droplet säger var det får verka: en driftsättningskontext, en dataomfattning, tidsbegränsat och förfaller som standard. Agenter och RAG-assistenter som hittas i skanningen bör inte köras utan en.
Registret förblir öppet
Atlas håller skanningens fynd. Varje utfärdat pass, varje beviljat, nekat eller förfallet visum och varje lucka som fortfarande är öppen skrivs tillbaka till samma akt. Skanningen är inte ett dokument - den är början på en post.
Skanna
Currents öppnar akten om varje AI-system som når hälso-, finans- eller minderårigas data - och namnger vad som är obevisat.
Utfärda
En Ripple utfärdas per system: det bevispass det bär med sig in i varje granskning, med sina luckor namngivna och sina bevis registrerade.
Bevilja
En Droplet klarerar systemet för EN driftsättningskontext - tidsbegränsat, villkorsbundet och förfaller som standard.
Bemött
Currents - de fyra invändningar vi hör.
“Vi kan bygga inventeringen själva i ett kalkylark.”
Ett kalkylark registrerar namn. En Currents registrerar vad en granskare faktiskt kommer att efterfråga: de datakategorier varje system behandlar, dess preliminära Annex III-klassificering, dess bevisluckor mot Art. 10, 12, 14 och 15, den namngivna granskningsansvariga och ett preliminärt åtkomstbeslut. Det resultatet är indata till ett pass. Ett kalkylark är det inte.
“Vi har redan en inventering av programvarutillgångar.”
Tillgångsinventeringar följer licenser och värdar. De talar inte om vilken modellleverantör som sitter bakom ett API, om en leverantör tyst bytte den modellen förra kvartalet, vilken agent som har skrivbehörighet till ett kliniskt system eller kärnbanksystem, eller om en RAG-korpus någonsin har kontrollerats för injicerade instruktioner. Det är de frågor en skanning ställer.
“Vi är inte redo för ett fullständigt styrningsprogram.”
Skanningen är inte programmet. Den är den gränskontroll som föregår det. Den talar om vad som redan är i drift inuti din perimeter, vilka system som inte bär några bevis alls, och vilka tre som behöver ett pass först. Inget åtagande görs utöver själva skanningen.
“Våra leverantörer har redan försäkrat oss om att de följer regelverken.”
En försäkran är ett påstående. En skanning tar fram ett fynd. De två skiljer sig oftast åt vid fördelningsskifte - en modell validerad på en population som inte längre liknar den som den nu poängsätter - och vid proxydiskriminering, där ett borttaget skyddat attribut rekonstrueras från postnummer, enhet eller remissväg. Ingetdera syns i ett leverantörsintyg.
Steg 1 - skanningen
Öppna akten
innan någon annan gör det.
Fast pris, självbetjäning. Varje AI-system som når hälso-, finans- eller minderårigas data - namngivet, med en ägare, och matchat mot det underlag det ännu saknar.
AffectLog tillhandahåller tekniska och operativa bevis som stöd för åtkomstbeslut om AI. Inte juridisk rådgivning, certifiering, bedömning av överensstämmelse utförd av ett anmält organ eller regulatoriskt godkännande.