Cumplimiento
Memoria que tu auditor puede auditar.
La mayoría de los sistemas de memoria optimizan para recordarlo todo. Eso es un pasivo cuando manejas datos regulados. Mnemosine se diseñó al revés: borrado demostrable, estado histórico consultable y rastro de auditoría en cada operación. Abajo, cómo cada capacidad se conecta con obligaciones concretas de GDPR y el AI Act de la UE.
GDPR
Derecho al olvido (Art. 17)
forget borra el recuerdo y deja un registro auditado con la huella del texto (no el contenido); aún no borra los hechos derivados y puede dejar vectores residuales hasta reindexar. Crypto-shredding: roadmap.
POST /v1/forget · registro de auditoría
Derecho de acceso (Art. 15)
Listado de recuerdos con origen y alcance; consulta de estado por entidad. El filtro por sujeto aún no cubre los datos derivados de los recuerdos.
GET /v1/memories · get_state
Limitación de conservación (Art. 5.1e)
Olvido por política (Lethe): vida media y reglas de protección: los datos no se guardan indefinidamente; caducan según la política que declares, con registro de cada evicción.
Lethe ·
declare_policy
Responsabilidad proactiva (Art. 5.2, 30)
Rastro de auditoría append-only de escrituras, supersesiones y borrados. Y bitemporalidad:
get_state(as_of=T) prueba qué sabía el sistema en cualquier fecha pasada.
Registro de auditoría · bitemporal
Privacidad desde el diseño (Art. 25)
Aislamiento entre cuentas con RLS y origen en cada escritura. El texto de cada recuerdo y de cada consulta de recuperación se envía a OpenAI para calcular embeddings. Los eventos que envías por la API REST (para extraer recuerdos) y los resúmenes del olvido por política (Lethe) se procesan con Anthropic. El recomendador envía el texto de tu caso de uso a un modelo de OpenAI. Los alcances por usuario y equipo se registran, pero aún no restringen el acceso: previstos para v1.
RLS · origen · alcances: v1
Datos sensibles
Recuerdos bloqueados: el agente sabe que existen, no qué dicen, hasta que se desbloquean. Hoy el candado es del servidor; el cifrado de extremo a extremo con frase secreta (ni el operador puede leerlos) está en roadmap.
Bloqueado (E2E Argon2id + XChaCha20: roadmap)
Residencia de datos
Residencia de datos UE/EE. UU. y despliegue autoalojado en tu infraestructura: roadmap.
Autoalojado / región fija: roadmap
AI Act de la UE
Registro y trazabilidad (Art. 12)
Cada operación de memoria queda registrada; el rastro bitemporal permite reconstruir qué información tenía el sistema cuando el agente tomó una decisión.
Registro de auditoría ·
get_state(as_of)
Gobernanza de datos (Art. 10)
Origen por recuerdo (usuario / agente / contenido no confiable) para distinguir las fuentes. La cuarentena automática está en el roadmap.
origen · cuarentena: roadmap
Supervisión humana (Art. 14)
La herramienta
forget está activa en el MCP alojado, acotada al espacio de la conexión. Cada borrado deja un registro auditado con la huella del texto (no el contenido). Los permisos por herramienta y la aprobación humana están previstos para v1.
Permisos por herramienta: v1
Aviso honesto. Esto describe capacidades técnicas que te ayudan a cumplir tus obligaciones; no es asesoría legal ni una declaración de certificación. El cumplimiento depende de cómo configures y operes el sistema. SOC 2 y una auditoría externa están en el roadmap, no completados hoy — y lo diremos claramente cuando lo estén.