Cómo identificamos a nuestros agentes de IA

Los agentes publicados en nuestro registro pueden consultarse mediante un carné de identidad digital emitido y firmado por Cosmolabs OÜ. Ese carné dice quién es el agente, quién responde por él, qué tiene permitido hacer y qué tiene prohibido, y puede comprobarse en cualquier momento, por cualquier persona, en digitalcortex.tech/verify/<agente>.

La identidad facilita que un tercero sepa qué organización declara operar un agente. El artículo 50 del Reglamento (UE) 2024/1689 establece obligaciones de transparencia según el rol, el sistema y su uso, incluidas condiciones y excepciones. No exige un DNI criptográfico ni convierte un sello en prueba suficiente de cumplimiento. Nuestra credencial aporta una declaración firmada que debe acompañarse de los avisos y controles que correspondan.

• Identificador único del agente (un DID, «identificador descentralizado», del tipo did:web:digitalcortex.tech:agents:<agente>).
• Nombre y función del agente y su nivel máximo de autonomía (de A0, solo observa, a A4, ejecuta acciones externas únicamente con aprobación humana válida; A5 no es un nivel alcanzable: es la clase de acciones prohibidas para cualquier agente).
• Alcance autorizado: la lista de acciones que puede realizar y la lista de acciones expresamente prohibidas.
• Huella del manifiesto: un resumen criptográfico de los campos declarados en el manifiesto registrado. La comprobación compara ese registro con la credencial; no inspecciona por sí sola el modelo, los prompts, las herramientas o los permisos de un sistema en ejecución.
• Responsable: Cosmolabs OÜ, con sus datos registrales y un canal de contacto.
• Vigencia: fecha de emisión y de caducidad (90 días por defecto; cada credencial publica sus fechas concretas).
• Aviso de transparencia: la declaración de que es un sistema de IA y no una persona.

La identidad no contiene datos personales de personas físicas: ni de quien opera el agente ni de terceros. Es una decisión de diseño (minimización de datos) y una garantía para quien la consulta.

Cada identidad tiene una representación visual: el sello. No es un logotipo, es una lectura gráfica de la credencial. Los rombos claros son las acciones permitidas; los rojos, las prohibidas; el anillo de marcas es la huella del manifiesto, marca a marca; la nebulosa central se genera a partir de esa misma huella. Es una representación visual, no una prueba de unicidad ni de quién la presenta. El código QR abre la página de verificación.

El sello puede reproducirse íntegro y sin alteraciones con fines informativos, siempre acompañado de su QR o de la URL de verificación. Si la credencial se revoca o caduca, el sello que sirve nuestra web se apaga y muestra un aviso; una copia antigua no es prueba de nada: hay que escanear.

La página de verificación realiza, cada vez que se abre, ocho comprobaciones: que la credencial tiene el formato correcto; que la clave que la firmó está declarada públicamente por el emisor; que la firma es válida; que el emisor declarado coincide con el que firmó; que está en vigor; que no ha sido revocada; que el hash del manifiesto registrado coincide con el autorizado; y que el documento de identidad del emisor está publicado en este dominio. Si alguna falla, se indica en rojo cuál y por qué.

El resultado refleja los datos consultados y puede depender de las cachés del verificador, la lista de estado y el registro. Una captura o un sello impreso no acreditan vigencia ni autentican al sistema que los presenta.

• Solo Cosmolabs OÜ emite identidades para sus agentes. La clave de firma se custodia en un módulo de gestión de claves externo; no reside en el servidor web ni en ningún equipo personal.
• Una identidad se emite únicamente sobre una versión concreta y aprobada de la configuración del agente. Cambiar el manifiesto registrado obliga a reemitir la identidad. Los cambios externos al manifiesto requieren sus propios controles.
• Cosmolabs OÜ puede revocar una identidad en cualquier momento (incidente, retirada del agente, cambio de alcance). La revocación se publica en una lista firmada y se refleja cuando la comprobación consulta el estado actualizado. Retirar el acceso efectivo requiere además actuar sobre conectores, sesiones y tareas en curso.
• Cualquier persona puede solicitar la revisión o revocación de un agente escribiendo a legal@digitalcortex.tech.

La identidad acredita que Cosmolabs OÜ autoriza al agente identificado a operar dentro del alcance declarado, mientras esté vigente y no revocada. No certifica la calidad ni el resultado de una tarea concreta, no bloquea por sí sola acciones ni garantiza la ausencia de incidentes, no sustituye a los contratos o condiciones que rijan cada servicio, y no convierte al agente en sujeto de derechos u obligaciones: de sus actuaciones dentro del alcance autorizado responde Cosmolabs OÜ conforme a la legislación aplicable.

Está prohibido alterar un sello, recortar o sustituir su código QR, presentar como vigente una identidad revocada o caducada, o hacer pasar por agente de CORTEX a un sistema que no lo sea. Si detectas cualquiera de estos casos, escríbenos a legal@digitalcortex.tech.

• Formato: W3C Verifiable Credentials Data Model 2.0, asegurada con VC-JOSE-COSE (JWT compacto, typ: vc+jwt).
• Firma: ES256 (ECDSA sobre P-256 con SHA-256). Identificador de clave: huella JWK (RFC 7638).
• Identificadores: método did:web. Documento del emisor en /.well-known/did.json; documento de cada agente en /agents/<agente>/did.json; registro público en /.well-known/agents.json.
• Revocación: W3C Bitstring Status List v1.0, publicada firmada en /functions/statusList.
• Verificador: /functions/credentialVerify?slug=<agente> devuelve el resultado en JSON; acepta también POST { jwt } para verificar cualquier credencial de este emisor.
• Sello: /functions/agentSeal?slug=<agente> (SVG) y &format=json (metadatos).
• Documentación técnica completa (manifiesto, credencial, verificación, ciclo de vida, integración): /docs/identidad.

Explicación divulgativa, para quien no necesita los detalles: DNI digital para agentes de IA, en la web de NEXTAI, la consultora que implanta estos agentes; y la serie de artículos sobre identidad agéntica.

Esta política puede actualizarse para reflejar mejoras técnicas o cambios normativos. La versión vigente es siempre la publicada en esta dirección, que es la que referencian las credenciales emitidas. Consulta también el aviso legal y la política de privacidad.