Ripple
Utfärdad via AffectLog
Begränsad
Meridian Akuttriage v3.1
Akut patienttriage · AI Act Annex III 5(d) · GDPR Art. 9
Övervakning aktivUpphör 15 Nov 202614 kvitton
84%
Bevisraw_data: avraw_prompts: av
ALP-2026-MER-R3K9Skanningen öppnade akten. Passet är det systemet bär med sig ut ur den.
Ripples - steg 2 av 3
Ge ett AI-system
ett återanvändbart bevispass.
En Ripple samlar systemets syfte, bevis, luckor och granskningsläge i en versionerad post som kan återanvändas när köpare, granskare eller interna team frågar vad som faktiskt är visat.
Steg 2 - passetSkapas en gång, återanvändbart för köpare och granskningarBevisposter bifogadeFörfaller som standard
Ett pass läggs fram. Det påstås inte.
Skanna systemet. Utfärda passet. Bevilja visumet. En Ripple är steg två: den varaktiga, portabla bevispost som ett AI-system bär med sig - så att sjukhuset, tillsynsmyndigheten, bankens riskfunktion och det anmälda organet alla läser samma dokument, och inget av dem läser ett påstående.
Två sidor av bordet
Samma pass, läst från båda håll.
Granskaren frågar
Får det här systemet verka mot våra patienter, våra sökande, våra barn?
Passet anger det avsedda syfte som systemet validerades för. Där driftsättningen skiljer sig från det klarerar passet inte systemet - en Droplet måste beviljas, eller avslås.
Vilka personuppgifter behandlar det, och på vilken grund?
Datakategorier, rättslig grund enligt GDPR Art. 6, villkor för särskild kategori enligt Art. 9, Art. 8 där minderåriga är inblandade, Art. 22 där beslutet är automatiserat, DPIA-status enligt Art. 35, samt grund för dataplacering och överföring. Obligatoriska fält, inte valfria.
Är bevisen tillräckligt fullständiga för att skriva under?
Fullständighet spåras per avsnitt, mot namngivna artiklar. En granskare ser exakt vilken av Art. 10, 12, 14 eller 15 som är obevisad - innan de ombeds sätta sitt namn på ett beslut.
Vad händer när leverantören byter modellen?
Ett modellbyte kan ogiltigförklara passets bevis för träffsäkerhet och rättvisa. Registrera ändringen så granskas de berörda avsnitten på nytt innan passet används som underlag; en Droplet som beviljats på de bevisen bör förnyas mot de nya bevisen.
Utfärdaren säger
“Varje köpare skickar ett annat frågeformulär.”
Utfärda en enda Ripple. Det är det pass ditt system bär med sig in i varje granskning - en behörig myndighet, en vårdgivare, en banks riskfunktion för tredjepart, ett anmält organ. Lägg fram det; bygg inte om det.
“Våra affärer dör i DPO-granskningen.”
De dör för att bevisen kommer in ostrukturerade. En Ripple är byggd för att granskas: rättslig grund, DPIA-status, granskning av bias, utformning av tillsyn och registrerade bevis, var och en kopplad till den artikel granskaren måste uppfylla.
“Vi vill ha en referens vi kan visa offentligt.”
Ett system som har tilldelats en Ripple kan visa det: "Bär en Ripple" - Ripple-utfärdad, offentligt synlig, med förfallodatum. Den länkar till passets registrerade status, inte till en logotyp de måste lita på.
“Vi kan inte exponera modellens immateriella rättigheter.”
Ett pass registrerar vad som är bevisat om ett system, inte hur det är byggt. AffectLog begär inte vikter, korpusar eller prompter: du tillhandahåller bevisen - resultatet, aldrig råmaterialet.
Inuti passet
Tolv avsnitt. Vart och ett kopplat till en artikel.
Fullständighet spåras per avsnitt, inte som ett övergripande betyg. En granskare kan se att DPIA:n saknas, att granskning av bias enligt Art. 10 aldrig gjordes, eller att bevisen för träffsäkerhet är äldre än den nuvarande modellen - innan något skrivs under.
Identitet, leverantör och avsett syfte
Datakategorier - Art. 9, Art. 8, finansiell profilering
Modell- och leverantörsstack - som deklarerad
Rättslig grund - GDPR Art. 6, 9, 22 · DPIA enligt Art. 35
Säkerhetshållning och utflödesgräns
Bevis för träffsäkerhet och robusthet - AI Act Art. 15
Underbiträden, värdregion och överföringsgrund
Utformning av mänsklig tillsyn - AI Act Art. 14
Datastyrning och granskning av bias - AI Act Art. 10
Händelseloggning och spårbarhet - AI Act Art. 12
Bevisposter - diagnostiska fynd, utan data bakom dem
Gällande visum - vilka Droplets detta pass bär
Fullständighet är ett fynd, inte ett procenttal
Bevisat
Identitet, datakategorier, grund enligt Art. 6 och Art. 9 - styrkt och registrerat.
Delvis
DPIA enligt Art. 35 påbörjad men osignerad. Luckan är synlig för DPO före granskning, inte efter.
Obevisat
Granskning av bias enligt Art. 10 aldrig gjord. Ingen Droplet får beviljas på detta pass.
Referensen
Ett system som har tilldelats en Ripple kan säga det.
Inte ett godkännandemärke - ett konstaterande att ett pass finns, är aktuellt och kan kontrolleras. Det bär ett förfallodatum av samma skäl som ett pass gör.
Ripple-utfärdad - referensen en granskare kan slå upp
En granskare klickar sig vidare till passets registrerade status: fullständighet, förfallodatum och det åtkomstbeslut som finns registrerat - utan att kontakta leverantören.
Bevispost. Inte certifiering, bedömning av överensstämmelse eller regulatoriskt godkännande.
Bär en Ripple
Ripple-utfärdad · offentligt synlig · förfaller
Ripple - evidence passportCleared with Limits
Akuttriagemodell v3.1
Akut triage · Annex III 5(d)
Evidence84%
Expiry15 Nov 2026
Raw data exportoff
ALP-2026-MER-R3K9
Ripple - evidence passportReview Needed
Kreditvärdighetsmodell CW-2.1
Konsumentkredit · Annex III 5(b) · GDPR Art. 22
Evidence57%
Expiry02 Sep 2026
Raw data exportoff
ALP-2026-CRD-B4T1
Ripple - evidence passportBlocked
Följeslagarrekommenderare (U16)
Nåbar för minderåriga · gräns enligt Art. 5(1)(f) · DSA Art. 28
Evidence38%
Expiry-
Raw data exportoff
ALP-2026-MIN-K2W7
Bevisposter
Passet bygger på bevis, inte på påståenden.
En bevispost är ett fynd - resultatet, aldrig data bakom det. AffectLog begär inte råposter, och råexport är avstängd som standard och kan inte aktiveras från webbläsaren.
Exponering av särskild kategori
Upptäcker hälsodata och biometriska data enligt Art. 9 som når modellen - endast bevispost
Analys av gruppskillnader
Granskning av bias enligt AI Act Art. 10 - inklusive proxyrekonstruktion
Förankring av hämtning
RAG-trohet och korpusintegritet - upptäckt av injicerade instruktioner
Träffsäkerhet vid skifte
Robusthet enligt Art. 15 omtestad mot den nuvarande populationen, inte valideringsuppsättningen
DPO Review
CISO Review
Procurement
Retail Credit Scorecard v7 · Art. 6(2) + Annex III(5)(b) creditworthiness
Art. 6 routeAnnex III(5)(b) - scoring, not fraud detection
Art. 10 bias examNo proxy test: postcode, device, income correlates
Art. 12 loggingActor, input hash, override - 6-month retention
Art. 14 oversightNo named human with authority to reverse a refusal
GDPR Art. 22Human intervention on refusal · CCD (EU) 2023/2225
2 gaps block the visa - Art. 10 bias examination, Art. 14 oversightReview Required
Vad ett pass inte är
Inte en bedömning av överensstämmelse eller CE-märkning
Inte ett beslut från ett anmält organ enligt EU:s AI Act
Inte ett regulatoriskt godkännande eller ett juridiskt utlåtande
Inte en klarering att verka - det är en Droplet
Inte permanent - varje pass förfaller
Passets livscykel
Utfärda. Försegla. Lägg fram. Nyutfärda.
01
Utfärda
Skanningens öppna akt blir ett pass: identitet, syfte, datakategorier, rättslig grund, utformning av tillsyn.
02
Försegla
Bevisposter fästs vid de avsnitt de stöder - bias, träffsäkerhet, förankring, exponering.
03
Lägg fram
En Wake bär en bevisexport till granskaren: DPO, CISO, myndighet eller anmält organ.
04
Nyutfärda
Varje pass förfaller. En registrerad modelländring skickar de berörda avsnitten tillbaka för granskning. Pass förnyas inte i tysthet.
Skiftet
Bevis, före och efter passet.
Utan en Ripple
- Bevis byggda om från grunden för varje granskare
- Rättslig grund påstådd i prosa, inte registrerad som ett fält
- Granskning av bias enligt Art. 10 aldrig gjord, bara beskriven
- Diagnostiska resultat odaterade - omöjliga att rekonstruera i efterhand
- Ett modellbyte ogiltigförklarar tyst akten, och ingen får veta
- Godkännanden som aldrig förfaller, på bevis som redan har gjort det
Med en Ripple
- Ett pass, skapat en gång, återanvänt vid varje granskning
- Grund enligt Art. 6 / 9 / 22 och DPIA enligt Art. 35 som obligatoriska fält
- Bevis om gruppskillnader och proxyrekonstruktion registrerade och bifogade
- Varje resultat en bevispost - fyndet, inte data
- En registrerad modelländring skickar berörda avsnitt tillbaka för granskning
- Förfall som standard; ett utgånget pass klarerar ingenting
Bemött
Ripples - de fyra invändningar vi hör.
“Vi har SOC 2 och ISO 27001.”
De intygar hur ni driver ert företag. En Ripple intygar vad som är sant om ett enda AI-system: vilka data av särskild kategori det berör, om det tränar på dem, hur bias granskades enligt Art. 10, hur tillsynen är utformad enligt Art. 14, och om träffsäkerheten har hållit enligt Art. 15 sedan den dag det validerades. Ett certifikat för ledningssystem besvarar inget av det.
“Det här är mer pappersarbete.”
Det är pappersarbetet, utfört en gång. Ett pass är varaktigt och portabelt i sin konstruktion: slutför det, och det är strukturerat för återanvändning i efterföljande granskningar i stället för att byggas om för var och en. Kostnaden tas i förskott just för att den ska sluta återkomma.
“Vi är inte i en reglerad sektor.”
Era driftsättare kan vara det. En modell som säljs in i klinisk triage ärver MDR och GDPR Art. 9. Såld in i kredit eller försäkring ärver den Art. 22 och DORA. Såld in i någon tjänst en minderårig kan nå ärver den GDPR Art. 8 och DSA Art. 28. Skyldigheten följer kontexten, inte er sektorsetikett.
“Är en Ripple en certifiering?”
Nej. Den är inte en bedömning av överensstämmelse, en CE-märkning eller ett regulatoriskt godkännande, och den ersätter inte ett anmält organ. Den är en strukturerad bevispost som en mänsklig granskare använder för att nå ett beslut - och som en granskare kan hållas ansvarig för i efterhand.
Steg 2 - passet
Utfärda din första Ripple.
Ett pass. Varje granskning.
Skanna systemet. Utfärda passet. Bevilja visumet. En Ripple är den post ett AI-system bär med sig - och det enda en Droplet kan beviljas mot.
AffectLog tillhandahåller tekniska bevis som stöd för granskning av AI-åtkomst, leverantörsrisk, säkerhet, integritet och styrning. Inte juridisk rådgivning, certifiering, bedömning av överensstämmelse utförd av ett anmält organ eller regulatoriskt godkännande.