Ripple
Issued through AffectLog
LIMITED
Meridian Akuttriage v3.1
Akut patienttriage · AI Act Annex III 5(d) · GDPR Art. 9
Monitoring activeExp 15 Nov 202614 receipts
84%
Evidenceraw_data: offraw_prompts: off
ALP-2026-MER-R3K9Skanningen öppnade akten. Passet är det systemet bär med sig ut ur den.
Ripples - steg 2 av 3
Utfärda passet
som systemet bär.
En Ripple är bevispasset för ett AI-system. Identitet, datakategorier, rättslig grund, granskning av bias, utformning av tillsyn, förseglad diagnostik och förfall - utfärdas en gång, läggs fram vid varje granskning.
Steg 2 - passetUtfärdas en gång, accepteras överalltFörseglade bevisposter bifogadeFörfaller som standard
Ett pass läggs fram. Det påstås inte.
Skanna systemet. Utfärda passet. Bevilja visumet. En Ripple är steg två: den varaktiga, portabla bevispost som ett AI-system bär med sig - så att sjukhuset, tillsynsmyndigheten, bankens riskfunktion och det anmälda organet alla läser samma dokument, och inget av dem läser ett påstående.
Två sidor av bordet
Samma pass, läst från båda håll.
Granskaren frågar
Får det här systemet verka mot våra patienter, våra sökande, våra barn?
Passet anger det avsedda syfte som systemet validerades för. Där driftsättningen skiljer sig från det klarerar passet inte systemet - en Droplet måste beviljas, eller avslås.
Vilka personuppgifter behandlar det, och på vilken grund?
Datakategorier, rättslig grund enligt GDPR Art. 6, villkor för särskild kategori enligt Art. 9, Art. 8 där minderåriga är inblandade, Art. 22 där beslutet är automatiserat, DPIA-status enligt Art. 35, samt grund för dataplacering och överföring. Obligatoriska fält, inte valfria.
Är bevisen tillräckligt fullständiga för att skriva under?
Fullständighet spåras per avsnitt, mot namngivna artiklar. En granskare ser exakt vilken av Art. 10, 12, 14 eller 15 som är obevisad - innan de ombeds sätta sitt namn på ett beslut.
Vad händer när leverantören byter modellen?
Ett modellbyte ogiltigförklarar passets bevis för träffsäkerhet och rättvisa. Övervakningen upptäcker ändringen, de berörda avsnitten återgår till obevisade, och varje Droplet som beviljats på de bevisen upphävs i väntan på nyutfärdande.
Utfärdaren säger
“Varje köpare skickar ett annat frågeformulär.”
Utfärda en enda Ripple. Det är det pass ditt system bär med sig in i varje granskning - en behörig myndighet, en vårdgivare, en banks riskfunktion för tredjepart, ett anmält organ. Lägg fram det; bygg inte om det.
“Våra affärer dör i DPO-granskningen.”
De dör för att bevisen kommer in ostrukturerade. En Ripple är byggd för att granskas: rättslig grund, DPIA-status, granskning av bias, utformning av tillsyn och förseglad diagnostik, var och en kopplad till den artikel granskaren måste uppfylla.
“Vi vill ha en referens vi kan visa offentligt.”
Ett system som har tilldelats en Ripple kan visa det: "Bär en Ripple" - Ripple-utfärdad, verifierbar, med förfallodatum. Det är en referens granskaren kan kontrollera, inte en logotyp de måste lita på.
“Vi kan inte exponera modellens immateriella rättigheter.”
Ett pass registrerar vad som är bevisat om ett system, inte hur det är byggt. Diagnostik körs inuti din perimeter och exporterar en signerad bevispost - resultatet, aldrig vikterna, korpusen eller prompterna.
Inuti passet
Tolv avsnitt. Vart och ett kopplat till en artikel.
Fullständighet spåras per avsnitt, inte som ett övergripande betyg. En granskare kan se att DPIA:n saknas, att granskning av bias enligt Art. 10 aldrig gjordes, eller att bevisen för träffsäkerhet är äldre än den nuvarande modellen - innan något skrivs under.
Identitet, leverantör och avsett syfte
Datakategorier - Art. 9, Art. 8, finansiell profilering
Modell- och leverantörsstack - med upptäckt av byten
Rättslig grund - GDPR Art. 6, 9, 22 · DPIA enligt Art. 35
Säkerhetshållning och utflödesgräns
Bevis för träffsäkerhet och robusthet - AI Act Art. 15
Underbiträden, värdregion och överföringsgrund
Utformning av mänsklig tillsyn - AI Act Art. 14
Datastyrning och granskning av bias - AI Act Art. 10
Händelseloggning och spårbarhet - AI Act Art. 12
Bevisposter - diagnostiska fynd, utan data bakom dem
Gällande visum - vilka Droplets detta pass bär
Fullständighet är ett fynd, inte ett procenttal
Bevisat
Identitet, datakategorier, grund enligt Art. 6 och Art. 9 - styrkt och förseglat.
Delvis
DPIA enligt Art. 35 påbörjad men osignerad. Luckan är synlig för DPO före granskning, inte efter.
Obevisat
Granskning av bias enligt Art. 10 aldrig gjord. Ingen Droplet får beviljas på detta pass.
Referensen
Ett system som har tilldelats en Ripple kan säga det.
Inte ett godkännandemärke - ett konstaterande att ett pass finns, är aktuellt och kan kontrolleras. Det bär ett förfallodatum av samma skäl som ett pass gör.
Ripple-utfärdad - den verifierbara referensen
En granskare klickar sig vidare till själva passet: avsnitt, förseglade bevisposter, förfallodatum och eventuella gällande Droplets. Verifiering kräver inte att man litar på påståendet - eller kontaktar leverantören.
Bevispost. Inte certifiering, bedömning av överensstämmelse eller regulatoriskt godkännande.
Bär en Ripple
Ripple-utfärdad · verifierbar · förfaller
Ripple - evidence passportCleared with Limits
Akuttriagemodell v3.1
Akut triage · Annex III 5(d)
Evidence84%
Expiry15 Nov 2026
Raw data exportoff
ALP-2026-MER-R3K9
Ripple - evidence passportReview Needed
Kreditvärdighetsmodell CW-2.1
Konsumentkredit · Annex III 5(b) · GDPR Art. 22
Evidence57%
Expiry02 Sep 2026
Raw data exportoff
ALP-2026-CRD-B4T1
Ripple - evidence passportBlocked
Följeslagarrekommenderare (U16)
Nåbar för minderåriga · gräns enligt Art. 5(1)(f) · DSA Art. 28
Evidence38%
Expiry-
Raw data exportoff
ALP-2026-MIN-K2W7
Bevisposter
Passet stämplas av diagnostik, inte av påståenden.
En bevispost är ett diagnostiskt fynd - resultatet, aldrig data bakom det. Diagnostiken körs där data finns; endast den förseglade posten korsar gränsen. Råexport är avstängd som standard och kan inte aktiveras från webbläsaren.
Exponering av särskild kategori
Upptäcker hälsodata och biometriska data enligt Art. 9 som når modellen - endast bevispost
Analys av gruppskillnader
Granskning av bias enligt AI Act Art. 10 - inklusive proxyrekonstruktion
Förankring av hämtning
RAG-trohet och korpusintegritet - upptäckt av injicerade instruktioner
Träffsäkerhet vid skifte
Robusthet enligt Art. 15 omtestad mot den nuvarande populationen, inte valideringsuppsättningen
DPO Review
CISO Review
Procurement
Retail Credit Scorecard v7 · Art. 6(2) + Annex III(5)(b) creditworthiness
Art. 6 routeAnnex III(5)(b) - scoring, not fraud detection
Art. 10 bias examNo proxy test: postcode, device, income correlates
Art. 12 loggingActor, input hash, override - 6-month retention
Art. 14 oversightNo named human with authority to reverse a refusal
GDPR Art. 22Human intervention on refusal · CCD (EU) 2023/2225
2 gaps block the visa - Art. 10 bias examination, Art. 14 oversightReview Required
Vad ett pass inte är
Inte en bedömning av överensstämmelse eller CE-märkning
Inte ett beslut från ett anmält organ enligt EU:s AI Act
Inte ett regulatoriskt godkännande eller ett juridiskt utlåtande
Inte en klarering att verka - det är en Droplet
Inte permanent - varje pass förfaller
Passets livscykel
Utfärda. Försegla. Lägg fram. Nyutfärda.
01
Utfärda
Skanningens öppna akt blir ett pass: identitet, syfte, datakategorier, rättslig grund, utformning av tillsyn.
02
Försegla
Diagnostik körs där data finns och bifogar signerade bevisposter - bias, träffsäkerhet, förankring, exponering.
03
Lägg fram
En Wake bär en stämplad, förseglad export till granskaren: DPO, CISO, myndighet eller anmält organ.
04
Nyutfärda
Ett modellbyte, en driftvarning eller ett förfall återställer de berörda avsnitten till obevisade. Pass förnyas inte i tysthet.
Skiftet
Bevis, före och efter passet.
Utan en Ripple
- Bevis byggda om från grunden för varje granskare
- Rättslig grund påstådd i prosa, inte registrerad som ett fält
- Granskning av bias enligt Art. 10 aldrig gjord, bara beskriven
- Diagnostiska resultat osignerade - inte verifierbara i efterhand
- Ett modellbyte ogiltigförklarar tyst akten, och ingen får veta
- Godkännanden som aldrig förfaller, på bevis som redan har gjort det
Med en Ripple
- Ett pass, utfärdat en gång, framlagt vid varje granskning
- Grund enligt Art. 6 / 9 / 22 och DPIA enligt Art. 35 som obligatoriska fält
- Gruppskillnader och proxyrekonstruktion testade, förseglade, bifogade
- Varje resultat en bevispost - fyndet, inte data
- Modelländring upptäckt - berörda avsnitt återgår till obevisade
- Förfall som standard; ett utgånget pass klarerar ingenting
Bemött
Ripples - de fyra invändningar vi hör.
“Vi har SOC 2 och ISO 27001.”
De intygar hur ni driver ert företag. En Ripple intygar vad som är sant om ett enda AI-system: vilka data av särskild kategori det berör, om det tränar på dem, hur bias granskades enligt Art. 10, hur tillsynen är utformad enligt Art. 14, och om träffsäkerheten har hållit enligt Art. 15 sedan den dag det validerades. Ett certifikat för ledningssystem besvarar inget av det.
“Det här är mer pappersarbete.”
Det är pappersarbetet, utfört en gång. Ett pass är varaktigt och portabelt i sin konstruktion: slutför det, och det läggs fram vid varje efterföljande granskning i stället för att byggas om för var och en. Kostnaden tas i förskott just för att den ska sluta återkomma.
“Vi är inte i en reglerad sektor.”
Era driftsättare kan vara det. En modell som säljs in i klinisk triage ärver MDR och GDPR Art. 9. Såld in i kredit eller försäkring ärver den Art. 22 och DORA. Såld in i någon tjänst en minderårig kan nå ärver den GDPR Art. 8 och DSA Art. 28. Skyldigheten följer kontexten, inte er sektorsetikett.
“Är en Ripple en certifiering?”
Nej. Den är inte en bedömning av överensstämmelse, en CE-märkning eller ett regulatoriskt godkännande, och den ersätter inte ett anmält organ. Den är en strukturerad, signerad, verifierbar bevispost som en mänsklig granskare använder för att nå ett beslut - och som en granskare kan hållas ansvarig för i efterhand.
Steg 2 - passet
Utfärda din första Ripple.
Ett pass. Varje granskning.
Skanna systemet. Utfärda passet. Bevilja visumet. En Ripple är den post ett AI-system bär med sig - och det enda en Droplet kan beviljas mot.
AffectLog tillhandahåller tekniska bevis som stöd för granskning av AI-åtkomst, leverantörsrisk, säkerhet, integritet och styrning. Inte juridisk rådgivning, certifiering, bedömning av överensstämmelse utförd av ett anmält organ eller regulatoriskt godkännande.