Governance capability experiment
Entscheidungsunterstützung für regulatorische Workflows
A regulatory-workflow backend prototype with inventory, retrieval, classification, evidence, remediation, audit, and report modules. It is a decision-support system under development, not legal advice or a conformity assessment.
Brücke Business ↔ Technologie · Governance capability experiment
Explores evidence-linked regulatory workflow without presenting generated guidance as legal authority.
Dies ist eine Portfolio- und Quellinterpretation, keine Aussage über Kunden, Betrieb, Zertifizierung oder Ergebnisse.
System inventory, risk classification, evidence, remediation, and reporting are often fragmented across legal, compliance, product, and engineering teams.
Separate deterministic inventory and workflow state from retrieval-assisted interpretation, and preserve named human review points.
Inventory, retrieval, classification, evidence, remediation, audit, and report modules with migrations and selected mocked test seams.
Evidence gaps and classification uncertainty return to product scope, control design, accountable owners, and release planning.
Quellcode-Evidenz
A regulatory-workflow backend prototype with inventory, retrieval, classification, evidence, remediation, audit, and report modules. It is a decision-support system under development, not legal advice or a conformity assessment.
Der detaillierte technische Stand wird auf Englisch gepflegt.
Repository-Evidenz ist kein Nachweis für Kunden, Betrieb, Zertifizierung oder Ergebnisse.
Architektur
Drei Quellcode-Schichten: Überwachung regulatorischer Feeds, Retrieval-gestützte Pflichtenextraktion und eine Audit-Kette mit Manipulationserkennung. Die Akzeptanz jedes einzelnen Eintrags durch Regulierungsbehörden muss gesondert beurteilt werden.
Nur Quellübersicht: Eine Schicht kann implementierten Code, eine Adaptergrenze oder dokumentiertes Design darstellen. Sie belegt keinen konfigurierten Produktionsdienst.
Der Quellcode bildet drei EUR-Lex ATOM-Feeds (EU AI Act, GDPR, AI General), das Parsen neuer Instrumente nach CELEX, die Extraktion der Schweregrade (kritisch/hoch/niedrig) und einen Schritt zur Mistral-Impact-Analyse gegenüber dem registrierten KI-System-Inventar ab. Eine Live-Überwachung wird nicht behauptet.
Der Quellcode bildet Mistral + RAG über ein Korpus aus Artikeln, Anhängen und EDPB-Leitlinien ab: Pflichtenextraktion, Abbildung von Überschneidungen zwischen Vorschriften (EU AI Act ↔ GDPR ↔ NIS2), Risikoklassifizierung und Gap-Analyse, mit Konfidenzscores und Artikel-genauen Zitaten. Die Ergebnisse erfordern eine fachliche Prüfung.
Der Quellcode modelliert Einträge zu Klassifizierung, Lücken, Abhilfemaßnahmen, Zeitstempeln und Prüfern in einer Audit-Kette. Ob ein exportierter Eintrag eine gesetzliche oder behördliche Anforderung erfüllt, muss gesondert beurteilt werden.
Das Problem
Warum regulatorische Compliance nicht funktioniert
Allein der EU AI Act umfasst über 180 Seiten, 113 Artikel und 13 Anhänge. Der Abgleich mit GDPR, NIS2 und DORA vervielfacht den Aufwand exponentiell.
Compliance-Beauftragte verbringen Wochen damit, Pflichten aus Regulierungstexten zu extrahieren, diese Geschäftsbereichen zuzuordnen und Dokumentationen von Grund auf zu erstellen.
Tabellen zur Nachverfolgung, Word für Dokumentation, E-Mail für Zusammenarbeit. Kein einheitliches System verknüpft Pflichten mit Nachweisen und Prüfpfaden.
Organisationen erfahren von regulatorischen Änderungen erst nach Ablauf der Fristen. Ohne automatisierte Überwachung hinkt die Compliance stets hinterher.
Module
8 Workflow-Module, im Quellcode des Prototyps abgebildet
Nur Quellumfang: Ein Eintrag kann Code, einen dokumentierten Adapter oder einen konfigurierten Workflow beschreiben. Er besagt nicht, dass ein Produktionsdienst aktiv ist.
01
Der Quellcode bildet Horizon-Scanning über 3 EUR-Lex ATOM-Feeds (EU AI Act, GDPR, KI allgemein) ab: CELEX-Parsing, Schweregrade (kritisch/hoch/niedrig) und eine Mistral-Folgenabschätzung für registrierte KI-Systeme. Eine Live-Überwachung wird nicht behauptet.
02
Der Quellcode bildet ein KI-Systeminventar mit Mistral-gestützter Zuordnung zu den Risikostufen des EU AI Act ab, mit Konfidenzwerten, Begründungen und Artikelverweisen. Die rechtliche Einstufung bleibt eine menschliche Entscheidung.
03
Retrieval-gestützte Pflichtenextraktion und regulierungsübergreifendes Mapping sind im Quellcode abgebildet. Vollständigkeit und rechtliche Auslegung erfordern eine fachliche Prüfung.
04
Workflows für die Aufnahme von Richtlinien und den Retrieval-gestützten Vergleich sind im Quellcode abgebildet. Das Ergebnis ist eine Prüfwarteschlange, keine Compliance-Feststellung.
05
Der Quellcode bildet die Erstellung von Entwürfen für 5 Compliance-Dokumenttypen aus erkannten Lücken ab: Richtlinien, Verfahren, technische Dokumentation, Checklisten und Risikobewertungen — mit Konfidenzscoring und PDF/CSV/Markdown-Export. Entwürfe erfordern eine Prüfung durch eine verantwortliche Person.
06
Der Quellcode modelliert einen mehrbenutzerfähigen Arbeitsbereich mit rollenbasierter Zugriffskontrolle: Zuweisung von Pflichten an Abteilungen, Verfolgung des Aufgabenabschlusses und teamweite Sichtbarkeit der Compliance-Arbeit.
07
Das Backend modelliert gehashte Audit-Einträge, Nachweisversionen und den Prüfstatus. Unveränderlichkeit im Betrieb, Aufbewahrung und Nachweiskette hängen von den Kontrollen der jeweiligen Bereitstellung ab.
08
Der Quellcode bildet drei Berichtstypen ab: Prüfberichte für Regulierungsbehörden, Vorstandsberichte für Führungskräfte und Fortschrittsberichte im Zeitverlauf, mit PDF-Export und geplanter Zustellung. Die Akzeptanz durch Regulierungsbehörden muss gesondert beurteilt werden.
EU AI Act-Abdeckung
Compliance-Theater ist eine Liste von Artikeln in einem PDF. Compliance-Praxis bedeutet, jeden Artikel einem bestimmten KI-System zuzuordnen – mit Nachweisen, Verantwortlichen und dem Datum der letzten Überprüfung. Unten: die Artikel, die der Prototyp pro registriertem System abbildet. Extrahierte Pflichten erfordern eine fachliche Prüfung.
Nur Repository-Oberfläche: Verfügbarkeit, Vollständigkeit, Leistung und Betriebstauglichkeit erfordern eine gesonderte Validierung.
ART. 4Der Quellcode enthält Workflows für die rollenbasierte Nachverfolgung der KI-Kompetenz, für Quiz und für die Erstellung von Aufzeichnungen. Er bescheinigt weder die Kompetenz einer Person noch die Einhaltung von Artikel 4 durch eine Organisation.
ART. 5Ein Regel- und Retrieval-Workflow gleicht ein registriertes System mit Kategorien verbotener Praktiken und Verweisen ab. Die rechtliche Einstufung bleibt eine menschliche Entscheidung.
ART. 6Der Quellcode bildet eine Risikoklassifizierung nach Anhang III mit von Mistral generierter Begründung, einem Konfidenzwert und einem Pflichtenbaum pro Anhang ab. Sie ist darauf ausgelegt, bei Registry-Ereignissen (Modellwechsel, Änderung des Anwendungsbereichs, Aktualisierung der Trainingsdaten) erneut ausgeführt zu werden.
ART. 9Kontinuierliche Identifizierung, Einschätzung, Bewertung und Behandlung von Risiken. Der Prototyp ist darauf ausgelegt, jedes identifizierte Risiko mit seiner Gegenmaßnahme zu verknüpfen und Nachweise aus einer CI-Pipeline (Testergebnisse, Model Card, Evaluierungssuite) zu übernehmen. Eine Live-Integration wird nicht behauptet.
ART. 10Trainings-, Validierungs- und Testdatensätze mit repräsentativer Abdeckung, Erkennung von Verzerrungen und Herkunftsnachweis. Der Prototyp ist darauf ausgelegt, ein Dataset-Register mit den Anforderungen an die technische Dokumentation aus Anhang IV abzugleichen.
ART. 11Technische Akte nach Anhang IV: Systemzweck, Design, Trainingsmethodik, Leistungsmetriken. Der Prototyp ist darauf ausgelegt, das Dokumentengerüst zu generieren, Nachweise aus dem Register einzufügen und fehlende Abschnitte gemäß Anhang IV.1–9 zu markieren. Entwürfe erfordern eine Prüfung durch eine verantwortliche Person.
ART. 12Der Prototyp bildet Prüfungen von Ereignisschemata und Audit-Einträgen für registrierte Systeme ab. Er belegt nicht, dass eine externe Betriebspipeline vollständige oder rechtlich ausreichende Protokolle erzeugt.
ART. 13Gebrauchsanweisungen mit Angaben zu Zweck, Genauigkeit, Robustheit, vorhersehbarem Missbrauch und Maßnahmen zur menschlichen Aufsicht. Der Prototyp ist darauf ausgelegt, die anwenderseitige Transparenzmitteilung anhand einer Checkliste zu Artikel 13 zu entwerfen.
ART. 14Effektive Aufsichtsmaßnahmen, die in das System integriert sind. Der Prototyp ist darauf ausgelegt, ein Aufsichtskonzept anhand von vier aus Artikel 14 abgeleiteten Fähigkeiten (Verstehen, Überwachen, Übersteuern, Deaktivieren) zu bewerten und eine Gap-Analyse zur Prüfung zu erstellen.
ART. 15Leistungsmetriken, Robustheit gegenüber Fehlern, Störungen und Inkonsistenzen; Cybersicherheit gegen adversarische Angriffe. Der Prototyp ist darauf ausgelegt, Ergebnisse der Evaluierungssuite, Red-Team-Berichte und eine SBOM im Nachweisblock nach Anhang IV zusammenzuführen. Eine Live-Integration wird nicht behauptet.
Technologien
Genannte Technologien kennzeichnen Repository-Abhängigkeiten oder Adapteroberflächen; sie belegen keine aktive Integration oder Bereitstellung.
Quellcode
Der Quellcode des Aegis AI-Prototyps ist auf Anfrage für Evaluierungs- und Partnerschaftszwecke verfügbar.
Um auf den Quellcode zuzugreifen, unterzeichnen Sie bitte die Geheimhaltungsvereinbarung. Dies ist eine übliche rechtliche Formalität.
Über Aegis AI hinaus biete ich praktische Beratung zum Aufbau und zur Absicherung von KI-Systemen.
Zwölf bis vierundzwanzig Wochen zur Risikoklassifizierung Ihrer KI-Systeme, Unterstützung der anbietergeführten Konformitätsbewertung und Erarbeitung der Nachweise, Erstellung der Anhang IV-Technischen Dokumentation und Einrichtung der Marktüberwachung — mit besonderer Tiefe für die Hochrisikokategorien, die für autonome, industrielle und Robotik-Einsätze gelten
Partnerschaft
Für Teams, die einen überprüfbaren regulatorischen Workflow mit ausdrücklichen Gates für Recht und Systemverantwortliche erkunden.
Von der Demo zum verlässlichen Betrieb. Melden Sie sich für neue Beiträge zu Physical AI an.
Jederzeit abbestellbar. Kein Spam, niemals.