Cuatro pasos. Ninguno sin autorización.
Antes de mirar nada se comprueba que el dominio es tuyo, y queda registrado quién autorizó qué y cuándo. A partir de ahí se observa solo lo que cualquiera puede observar desde fuera, sin tocar tu web ni pedir acceso a tu panel.
DECLARAS
Nos dices qué usas: el chatbot que tienes puesto, si generas imágenes o textos con IA, para qué. Es un formulario corto, no una auditoría.
Todo lo que declares queda marcado en el expediente como declaración tuya, no como hecho comprobado. Esa distinción es el producto.
OBSERVAMOS
Antes de mirar nada, se comprueba que el dominio es tuyo. Sin esa autorización no se escanea, y la forma en que se verificó consta en el expediente.
Después se mira tu web como la vería un visitante: qué proveedor de chat carga, qué dice el bot cuando se abre, si las imágenes llevan credenciales de contenido. Solo se abre el chat y se escucha el primer mensaje; nunca se le escribe, ni se rellena nada, ni se entra en zonas privadas.
CONTRASTAMOS
Se cruza lo que declaraste con lo que se observó. Cuando coinciden, queda constancia. Cuando no, queda constancia de las dos cosas: lo que dijiste y lo que se vio, cada una con su procedencia.
Ahí es donde suele estar lo interesante. «El aviso está configurado» y «el aviso no aparece» pueden ser ciertas a la vez si alguien cambió algo y nadie lo revisó.
REPITES
El expediente sale fechado, con la versión de reglas usada y su propia huella. Cualquiera puede comprobar que no se ha tocado.
Y se puede volver a hacer. Un expediente nuevo sobre la misma web permite comparar: qué cambió, cuándo, y respecto a qué estado anterior. Una fotografía de hace ocho meses vale mucho menos que una de la semana pasada.
Sobre el cuarto paso, con precisión. Hoy la nueva verificación se pide y se hace. El aviso automático por correo cuando algo cambia todavía no está disponible, y no lo vamos a anunciar como si lo estuviera. Cuando lo esté, se dirá aquí.
Qué recibes
Un expediente en PDF con el inventario que declaraste, las señales observadas, los hallazgos con su procedencia, la fecha y la versión de reglas. Y un manifiesto con las huellas, para que quien lo reciba pueda comprobarlo por su cuenta.
Está pensado para que lo lea tu asesoría o tu delegado de protección de datos, que es quien va a decidir qué hacer con ello. No para impresionar a nadie.
Puedes ver uno de ejemplo aquí.
Qué NO recibes
- Ningún sello, badge ni distintivo que puedas poner en tu web. No existen para el artículo 50, y quien te ofrezca uno te está vendiendo humo.
- Ninguna nota, puntuación ni porcentaje. Un número resume, y resumir es justo lo que destruye el valor de un expediente.
- Ninguna afirmación de que cumples. Eso no lo puede decir un tercero por ti.
- Ningún consejo jurídico sobre tu caso. Se cita la norma; interpretarla es trabajo de quien te asesora.
No existe ninguna certificación del artículo 50. El Reglamento prevé organismos notificados solo para sistemas de alto riesgo. Las obligaciones de transparencia son de autoevaluación del proveedor o del responsable del despliegue.
Si alguien te ofrece un «certificado AI Act artículo 50», no existe tal cosa.
¿Y cuánto cuesta?
Todavía no hay precio publicado, y prefiero decirlo así antes que poner una cifra provisional que luego cambie. Estamos con los primeros expedientes y el precio se fija cuando sepamos de verdad lo que cuesta hacerlos bien.
Si quieres estar entre los primeros, escribe y hablamos.
HABLAR CON KERAVO→