Una empresa vol garbellar currículums amb IA.
Així es governa, pas a pas.
Alba Logística rep centenars de candidatures per vacant i vol un assistent que les llegeixi i proposi una llista curta. La decisió continua sent humana. Sembla inofensiu, però l'EU AI Act el classifica d'alt risc: l'Annex III inclou la selecció de persones. Amb l'acompanyament de Merlín Digital Partners en el disseny del procés de selecció, aquest és el recorregut complet a V-PROOF, des de la inscripció fins a l'informe per al consell, amb les pantalles reals de la plataforma.
En col·laboració amb Merlín Digital Partners , partner de V-PROOF en selecció de talent.
Recorregut realitzat el 23 de setembre del 2026 en un entorn de la plataforma. L'empresa, les persones i les dades són ficticis. Cap captura no procedeix d'un client.
Inscriure
L'assistent entra a l'inventari amb un responsable i una finalitat.
Tot sistema d'IA que l'organització construeix, compra o fa servir es registra amb referència, tipus, unitat de negoci i una persona responsable. La finalitat prevista no és un camp més: és un concepte legal del EU AI Act (art. 3.12), i en depenen les obligacions.
L'assistent queda vinculat al model que utilitza ia les dades que tracta, amb la base jurídica i el termini de conservació.
Classificar
Onze preguntes. El nivell de risc del EU AI Act es calcula mentre es respon.
Pràctica prohibida, àmbit de l'Annex III, efectes jurídics, dades personals, grau d'autonomia, proveïdor extern. Amb cada resposta, el tauler actualitza el nivell, la puntuació, els motius i les obligacions que s'activen.
Resultat: Alt, 88 sobre 100. Ocupació de l'Annex III, decisions amb efectes significatius, dades personals, proveïdor extern.
- 1 Nivell Alt, 88 sobre 100, calculat amb regles fixes a partir de les respostes
- 2 Motius Annex III (ocupació), efectes significatius, dades personals i model d'un tercer
- 3 Obligacions Els articles de EU AI Act i del RGPD que s'activen, amb NIST i ISO 42001
- 4 Següent pas L'avaluació inicial, que fixa el nivell
Puntuar els riscos
Probabilitat per impacte. Ningú no pot escriure la puntuació a mà.
Cada risc es puntua abans i després de les mesures: inherent i residual. El biaix contra candidatures de dones o de persones majors parteix de 20, crític, i baixa a 10, alt, amb dues mitigacions: revisió humana de cada descart i prova de biaix trimestral amb candidatures anonimitzades.
La plataforma calcula a partir de probabilitat i impacte. Així ningú no maquilla un risc.
Controls
Què exigeix cada marc i en quin punt hi ha el sistema, control a control.
La biblioteca porta 76 controls: EU AI Act, NIST AI RMF, ISO/IEC 42001, RGPD i principis interns. La matriu mostra els aplicables al nivell Alt, agrupats per marc, i cada canvi d’estat queda al registre d’auditoria.
Quatre polítiques de l'organització s'apliquen amb salvaguardes de la plataforma: filtre del xat, auditoria de compliment, segell obligatori i revisió humana.
Signar per torns
Dues persones aproven, en ordre, i cadascuna deixa escrit què ha comprovat.
L'avaluació obre una sol·licitud. Es configuren els passos: primer el responsable de governança de la IA, després la delegada de protecció de dades. Cada firma exigeix una atestació, que queda registrada literalment, i admet condicions: aquí, completar la FRIA abans de la producció.
Només pot decidir la persona el correu de la qual figura al pas. Si una altra ho intenta, la plataforma ho rebutja.
- 1 Pas nominal Només decideix la persona el correu del qual figura al pas
- 2 Decisió La d'aquest pas, a l'ordre configurat
- 3 Atestació Obligatòria per aprovar: què s'ha comprovat, registrat literalment
- 4 Condició Completar la FRIA (art. 27) abans de producció
Segellar l'evidència
L'informe de biaix entra amb la seva empremta criptogràfica i queda associat a una evidència verificable.
Una evidència és un document que prova alguna cosa: un informe de biaix, una prova de seguretat, una acta. En incorporar-lo, la plataforma calcula la seva empremta criptogràfica, que és la mateixa que s'obté calculant-la fora: és la de l'arxiu, no una còpia.
Amb un V-Seal®, aquesta empremta queda registrada com a evidència criptogràfica verificable. Un auditor comprova més endavant que el document no ha canviat, sense accedir a la plataforma ni al contingut. El segellat queda registrat i es confirma de manera explícita abans de completar-lo.
- 1 Enllaç L'evidència queda vinculada a la vostra V-Seal®
- 2 Empremta L’empremta criptogràfica de l'arxiu, la mateixa que es calcula fora de la plataforma
- 3 Estat Segellada, o només amb empremta en espera de segellar
- 4 Segellar Registrar l'empremta com a evidència verificable mitjançant V-Seal®
Informar
Per a l'auditor, la fitxa completa. Pel consell, una pàgina.
Quatre informes: la fitxa del sistema, la fitxa del model, l'informe de compliment per marc i el resum per a direcció, amb els indicadors, els riscos pitjors, les aprovacions pendents i els incidents oberts.
Darrere de tot, el registre d'auditoria: cada acció amb qui, quan, abans i després. Ningú no pot editar ni esborrar aquestes files, ni tan sols un administrador.
Què sap ara la plataforma de l?assistent.
AI-0100 registrat, amb responsable, finalitat, model vinculat i fitxa del sistema.
Currículums de candidats: dades personals, base jurídica RGPD 6.1.b, conservació de 12 mesos.
Alt segons el EU AI Act, Annex III, ocupació. Fixat per l'avaluació inicial, 88 sobre 100.
Dos oberts amb mitigacions: biaix, residual 10, i privadesa, residual 6.
Dotze controls del EU AI Act avaluats, amb el seu estat i les evidències que els donen suport.
Dues firmes amb atestació literal i una condició: FRIA abans de producció.
Informe de biaix amb empremta SHA-256, segellat amb V-Seal® i verificable per un tercer.
Cada pas anterior és al registre d'auditoria, amb abans i després, sense ruta d'esborrat.
El que avui segueix fent una persona.
Preferim explicar-ho abans que ho descobreixi a la demo. La plataforma registra, audita i segella; no substitueix el criteri de qui decideix.
Quins sistemes d'IA té la vostra organització sense inscriure encara?
Diagnòstic amb direcció executiva: inventari, classificació segons el EU AI Act, bretxes d'evidència i pla de segellat en els processos reals.