Governança verificable de la IA.
La guia.
Gairebé totes les organitzacions ja tenen una política d'IA. Molt poques poden demostrar que es va complir en un sistema concret, en una data concreta, amb una persona al comandament. Aquesta guia explica com tancar aquesta distància.
Governança verificable de la IA:
de dir què hauria de passar a demostrar què va passar.
«Tots els models d'alt risc passen una avaluació abans de desplegar-se.»
«El model v3.2 va passar l?avaluació E-114 el 14 de març. La va aprovar la responsable de risc. Petjada 7f2a…: qualsevol pot comprovar que no ha canviat.»
Fins fa poc, n'hi havia prou amb una política ben escrita. Quatre canvis arriben alhora i la deixen curta.
Agents que actuen
La IA obre tiquets, executa codi, mou dades. Una acció sense evidència de qui la va autoritzar és un risc operatiu i legal.
Models que canvien
El que s'avalua al gener pot no ser el que opera al juny. Sense evidència per versió, l?avaluació caduca en setmanes.
Normes que demanen prova
L'EU AI Act i ISO/IEC 42001 s'auditen contra fets: registres, versions, supervisió humana. No contra intencions.
Clients que pregunten
Grans comptes i sector públic volen saber com es governa el que contracten. Una resposta verificable tanca la conversa.
No tota evidència demostra el mateix.
Cada nivell respon a una pregunta.
Confondre els nivells és lerror més habitual en dissenyar un programa de governança verificable. Cadascú afegeix una garantia i té un límit clar.
Integritat
Petjada criptogràfica de l'actiu. El que s'examina avui és exactament el que existia en registrar-ho.
No diu qui ho va fer ni si era correcte.
Identitat i autoritat
Qui va registrar l'evidència, amb quin rol i sota quina política?
No diu que aquesta persona revisés el contingut detalladament.
Supervisió humana
Què es va revisar, què va canviar, què es va aprovar o rebutjar. Allò que demana l'art. 14 de l'EU AI Act.
No substitueix la qualitat de la revisió; la fa demostrable.
Temps
Quan hi havia l'evidència. Permet demostrar que una avaluació va precedir un desplegament.
El segell del registre V-Seal™ no és un segell de temps qualificat eIDAS.
Cinc peces que canvien a ritmes diferents.
Un mateix registre d‟evidència.
La IA duna organització no és un objecte. La governança verificable tracta cada peça per separat i les vincula al registre V-Seal™.
Sistemes i models
- Inventari i finalitat
- Nivell de risc
- Versions i avaluacions
- Aprovacions
Agents
- Identitat i autoritat
- Límits i eines
- Accions rellevants
- Intervencions humanes
Codi
- Canvis i revisió
- Ràtio IA · Humà
- Desplegaments
- Dependències
Dades i documentació
- Base jurídica i conservació
- Documentació tècnica
- Polítiques en versions controlades
Decisions humanes
- Aprovacions i rebutjos
- Excepcions amb termini
- Incidents i tancament
Com funciona V-Seal™: la petjada es registra, el contingut no surt del perímetre.
Empremta
SHA-256 de l'actiu o del manifest. El fitxer no s'envia ni s'emmagatzema a V-PROOF.
Context
Sistema, versió, política, responsable, ràtio IA · Humà i supervisió, vinculats a la petjada.
Segell
Registre amb referència única i data. Qualsevol canvi posterior trenca la correspondència.
Verificació
Un tercer comprova al portal públic, sense compte: Coincideix o No trobada.
Governança verificable i compliment:
cada marc demana alguna cosa, l?evidència és la mateixa.
No és un marc més. És la manera de demostrar els que ja té o tindrà.
No cal governar-ho tot el primer dia.
Cal demostrar el primer.
Els programes fracassen per ambició: volen cobrir tota la IA abans de tenir una sola evidència verificable. El camí contrari funciona.
Inventari
Quins sistemes de IA hi ha, qui respon de cadascú, quin nivell de risc tenen.
Diagnòstic
Quines obligacions ja apliquen, quina evidència existeix i quina és només declarativa. Una setmana.
Un sistema
El de més risc o el que més pregunten els clients. Es governa de principi a fi.
Primeres evidències
Avaluació, aprovació, versió i supervisió, segellades i verificables. Després repetir.
El que solen preguntar abans de començar.
En què es diferencia una eina GRC o un SIEM?
Un GRC organitza polítiques, riscos i controls; un SIEM recull esdeveniments de seguretat. Cap no produeix evidència que un tercer pugui verificar sense confiar en la pròpia eina. La governança verificable es recolza en tots dos i afegeix aquesta capa: empremta, context i registre independent.
Substitueix l'auditoria o la certificació?
No. Canvia el temps i la fiabilitat: en lloc de reconstruir evidències amb correus i captures, l'auditor verifica registres amb empremta, data i responsable.
Què surt del perímetre de la meva organització?
La petjada i el context de governança que vostè decideix registrar. El contingut de l'actiu, sigui document, model, dades o codi, no s'envia ni s'emmagatzema a V-PROOF. Pot veure'l part per part en Confiança .
Què passa si el document o el model canvia després de segellar-lo?
Qualsevol canvi dóna una empremta diferent i la còpia modificada torna «No s'ha trobat». La versió original continua sent verificable; una versió nova legítima se segella com a tal i queda la cadena entre totes dues.
És el mateix que una signatura electrònica?
No. La signatura electrònica qualificada acredita la identitat del signant sota eIDAS. El segell V-Seal™ acredita la integritat d'una evidència, el seu context de governança i el moment en què existia al registre. Són complementaris.
Serveix per a la IA que comprem a tercers?
Sí, i és el cas més freqüent. Es governa lús que lorganització fa del sistema: finalitat, avaluació, aprovació, configuració, supervisió i incidents.