ROSS · AI Act art 50/52 compliant by design · únicos en EU regulated lane
Enforcement deadline 2026-08-02 · penalización €15M o 3 % turnover global. ROSS opera con disclosure first-turn multilingual desde el día 1, audit-trail SHA-256 chained verificable por cualquier auditor, y DPIA generator embebido — con el watermark dual PerTH + AudioSeal ya elegido, licenciado y con su interfaz de integración lista para el día que el sidecar entre en producción.
Watermark dual · PerTH + AudioSeal
La arquitectura está decidida y lista para desplegar: Resemble PerTH (psychoacoustic · inaudible · robusto a re-encoding, MIT) + Meta AudioSeal (deep-learning · localized detection segmento por segmento, MIT) sobre el audio sintético de Sara, vía un microservicio Python self-host en Hetzner (EU) — ambas librerías son Python, la interfaz de integración desde el runtime Next.js de ROSS ya existe (lib/voice/watermark-production.ts) y solo espera al sidecar en producción.
Honesto ahora mismo: el sidecar todavía no está desplegado — es un gate de infraestructura, no de código ni de decisión. Hasta que lo esté, ROSS no afirma que el audio de una llamada real lleve watermark, y así lo dice también el checklist interno de cumplimiento. Cuando el sidecar entre en producción, cada llamada queda con su recibo de cumplimiento verificable (ver ross_compliance.voice_watermark_audit, con su propia cadena de huellas SHA-256) — la pieza que lo consume ya existe hoy en el detalle de cada llamada de voz.
Audit-trail SHA-256 chained · retention 6 años
La tabla ross_compliance.voice_watermark_audit graba cada llamada con hash SHA-256 encadenado a la fila previa del mismo tenant. Cualquier modificación retrospectiva rompe la cadena. Retention 6 años (excede AI Act art 19 que pide 6 meses).
Auditor-callable RPC public.verify_watermark_chain(tenant_id, from_date) · recomputa hash fila a fila · devuelve chain_intact · puntero exacto al primer break si lo hay.
Disclosure first-turn · art 50.1 multilingual
Sara dice la línea de disclosure en los primeros 5 segundos de cada llamada (ES · EN · FR · DE · IT · variantes formal + conversational). Sync con lib/voice/disclosure-script.ts · banner visual UI forced en cualquier surface /cockpit/voice-call/* · NO dismissable · cada display dispara fila de audit-trail en voice_watermark_audit.
DPIA + GDPR art 35 · generator embebido
Endpoint POST /api/compliance/dpia-generator · entrada tenant + vertical + scope + retention · salida markdown legal-grade con 10 secciones canónicas (controller · processing · risk · mitigation · AI Act art 26 deployer checklist · GDPR art 30 record · sign-off). Para verticals banking · insurance · healthcare · legal marca riesgos HIGH y exige DPO + CISO sign-off + air-gap deploy EU-sovereign.
Cost tracking L30 FinOps · dual-write finops_agent_action · linkado a voice_watermark_audit como evidence section 7 del DPIA.
ROSS vs Vapi · Bland · Retell · Artisan · 11x
| Capability | ROSS EU | Vapi US | Bland US | Retell US | Artisan US | 11x US |
|---|---|---|---|---|---|---|
| Watermark dual (PerTH + AudioSeal) | Interfaz lista | No | No | No | No | No |
| C2PA chain-of-custody signature | Interfaz lista | No | No | No | No | No |
| Audit-trail SHA-256 chained retention 6 años | Sí | Parcial | No | Parcial | No | No |
| Disclosure first-turn multilingual (5 idiomas) | Sí | Manual | Manual | Manual | Manual | Manual |
| DPIA generator embebido (GDPR art 35 + AI Act art 26) | Sí | No | No | No | No | No |
| Data residency EU-sovereign (Hetzner · Garage S3 EU) | Enterprise | US | US | US | US | US |
| Verify chain RPC auditor-callable (verify_watermark_chain) | Sí | No | No | No | No | No |
| AI Act art 26 deployer checklist · generador embebido | Sí | No | No | No | No | No |
Última actualización · 2026-09-06 (DEC-HONESTIDAD-09, corregidas dos filas de watermark que decían "Sí" sin sidecar desplegado) · fuentes públicas docs vendors + ROSS internal audit DEC-V11-58/60.
Honestidad (actualizado 2026-09-05, DEC-POSICION-01): en el tier por defecto (Startup / Founding-50), el runtime de telefonía de Sara es Vapi, con infraestructura en EE. UU. — mismo proveedor que aparece arriba como "US". El despliegue EU-soberano sobre Hetzner k3s es real como arquitectura y está disponible en Enterprise y on-prem hoy; convertirlo en el stack por defecto de todos los tiers está en construcción, no vendido como ya hecho.
Three Layers Audit · Voice · CRM · Pipeline
60 min con Sara + Sales Commander · TENANT.md baseline · 2 quick-wins implementables hoy · 4-week roadmap firmado. €299 credit-toward-Startup si upgrade ≤14 días.
Book ROSS Hour ·