Verificación de procedencia de IA

LeadPass adjunta un envelope firmado leadpass.ai-provenance.v1 a los artefactos generados por IA. Puedes verificar un envelope contra el contenido JSON exacto que describe con el endpoint de verificación sin estado:

POST /legal/ai-provenance/verify
Content-Type: application/json
Accept: application/json

{
  "envelope": "eyJhbGdvcml0aG0iOiJITUFDLVNIQTI1NiIsLi4u",
  "content_json": "{\"summary\":\"The exact original artifact\"}"
}

envelope es el valor base64url sin padding que aparece en los metadatos data-ai-provenance de LeadPass. content_json es una cadena que contiene el artefacto exacto como JSON válido; el orden de las claves de los objetos no importa, pero el orden de los arrays, los valores y los tipos sí. El endpoint acepta como máximo 4 KiB de envelope y 128 KiB de JSON de contenido. Cualquier campo adicional en la petición se rechaza.

Una respuesta válida contiene únicamente el resultado y metadatos que no revelan el contenido:

{
  "valid": true,
  "scheme": "leadpass.ai-provenance.v1",
  "generated": true,
  "artifact_type": "qualification_report",
  "generated_at": "2026-07-16T10:00:00.000000Z",
  "content_sha256": "8e3a0a1204f1a893be89ee7c3c4249d46284801dcf37e51776c66f85a99814a2"
}

Un par inválido o alterado devuelve "valid": false. El endpoint no devuelve el envelope ni el contenido enviados, y tampoco escribe ninguno de los dos valores en la base de datos de la aplicación, los logs ni la sesión de LeadPass. Las respuestas llevan Cache-Control: no-store; el control de abuso solo conserva un contador de límite de peticiones de corta duración, derivado de una representación unidireccional de la IP de origen.

Alcance de esta prueba

Esta verificación demuestra únicamente que LeadPass firmó ese artefacto JSON exacto con una clave de LeadPass y que los campos firmados no han cambiado. No es un detector general de texto arbitrario, ni una credencial C2PA o IPTC, ni una marca de agua interoperable, ni supone por sí sola el cumplimiento completo del artículo 50 del Reglamento de IA de la UE. Que falte el envelope o que no sea válido no demuestra que el contenido haya sido generado por IA, ni tampoco lo contrario.