RaumLogik Compliance Decision System – EU AI Act-konforme, transparente, priorisierte und ethikbasierte Entscheidungsunterstützung

Compliance Decision System (CDS) Kurzüberblick (Executive Summary) Das Compliance Decision System (CDS) ist ein deterministisches, regel- und risikobasiertes Entscheidungs- und Bewertungssystem zur Unterstützung von Unternehmen bei Compliance-, Governance- und Risikoentscheidungen, insbesondere im Kontext des EU AI Act, Datenschutz (z. B. DSGVO) und interner Unternehmensrichtlinien. Das System trifft transparente, nachvollziehbare und auditierbare Entscheidungen darüber, ob eine geplante Aktion erlaubt (ALLOWED) oder blockiert (BLOCKED) wird. Zusätzlich priorisiert es blockierte Aktionen nach Kritikalität, sodass sich Organisationen auf die gravierendsten Risiken konzentrieren können. CDS ist keine KI, sondern bewusst deterministisch aufgebaut. Jede Entscheidung ist erklärbar, reproduzierbar und revisionssicher. Problemstellung Unternehmen stehen vor der Herausforderung, technische, rechtliche und ethische Anforderungen gleichzeitig zu erfüllen: EU AI Act verlangt nachvollziehbare Entscheidungslogiken Datenschutzverletzungen müssen verhindert und dokumentiert werden KI-Systeme dürfen nicht „blind“ oder unkontrolliert agieren Auditoren und Aufsichtsbehörden verlangen Erklärbarkeit statt Blackbox Viele bestehende Lösungen setzen selbst wieder auf KI-Modelle zur Überwachung von KI – was neue Risiken schafft. CDS verfolgt einen anderen Ansatz: Ein klarer, überprüfbarer Entscheidungsmechanismus, der auf expliziten Regeln und Scores basiert. Grundprinzip Jede geplante Aktion wird als sogenanntes Proposal beschrieben. Dieses Proposal enthält: die geplante Aktion (z. B. Datenspeicherung, Modell-Deployment) einen Ethik-Score (0–1) einen Trust-Score (0–1) eine Liste erkannter Regelverletzungen (z. B. R7 = Datenschutzverstoß) Das System bewertet dieses Proposal anhand von: Harten Regeln (Rule Violations) Weichen Faktoren (Ethik- und Vertrauens-Scores) Gewichtungen pro Regel (Risikoschwere) Ergebnis: Entscheidung: ALLOWED oder BLOCKED Begründungen (Reasons) Kritikalitätswert (Priorisierung) Zeitstempel (Audit-Trail) Was das System leistet ✔ Deterministische Entscheidungen (keine Zufälligkeit) ✔ Vollständig erklärbar (Whitebox) ✔ Maschinenlesbare Audit-Logs (JSON) ✔ Priorisierung von Risiken nach Kritikalität ✔ EU-AI-Act- und Governance-tauglich ✔ Einfach integrierbar (Microservice-fähig) Was das System bewusst nicht tut ✘ Keine Inhaltsanalyse von Daten oder Texten ✘ Keine automatische Erkennung von Regelverstößen ✘ Keine KI-basierte Bewertung CDS ist ein Policy Decision Point, kein Detektor. Das bedeutet: Die Qualität der Entscheidung hängt von der Qualität der gelieferten Metadaten ab. Genau dadurch bleibt das System kontrollierbar und auditierbar. Architektur (vereinfacht) Ein vorgelagertes System (z. B. KI, Scanner, Mensch) bewertet eine Aktion Dieses System liefert Scores und erkannte Regelverletzungen CDS trifft die finale Entscheidung Ergebnis wird ausgeführt oder blockiert Entscheidung wird revisionssicher protokolliert Dateien & Struktur Alle Dateien müssen sich im gleichen Ordner befinden: compliance.py – Kernlogik der Entscheidungsfindung demo.py – Beispiel- und Testausführung rules.json – Regeldefinitionen mit Gewichtungen proposals.json – Beispiel-Proposals (Testset) audit_log.json – Automatisch erzeugtes Audit-Log Installation & Start Voraussetzungen Python ≥ 3.10 Keine externen Abhängigkeiten Start python demo.py proposals.json Das System: bewertet alle Proposals gibt Entscheidungen auf der Konsole aus schreibt Ergebnisse in audit_log.json Kritikalitätsbewertung Zusätzlich zur Blockierung berechnet CDS eine Kritikalität, um Risiken zu priorisieren. Beispiel: Manipulation von KI-Empfehlungen → hohe Kritikalität Lizenzproblem → niedrigere Kritikalität Dies ermöglicht: Fokus auf die gefährlichsten Vorfälle Grundlage für Dashboards, Ticketsysteme, Audits Einsatzszenarien KI-Governance-Layer in Unternehmen Entscheidungsfreigabe vor Deployment Compliance-Prüfung von KI-Aktionen Vorbereitung auf Audits (EU AI Act, ISO, DSGVO) Forschung & Lehre (Explainable Governance) Einordnung & Philosophie Das System folgt einer raumlogischen Denkweise: klare Zustände (erlaubt / blockiert) explizite Grenzüberschreitungen keine impliziten Annahmen keine versteckten Heuristiken Diese Denkweise ist nicht zwingend notwendig, um ein solches System zu bauen – sie erklärt jedoch, warum das System so klar, reduziert und erklärbar aufgebaut ist. Status & Weiterentwicklung Das System ist ein funktionaler Prototyp, der bewusst einfach gehalten ist. Mögliche Erweiterungen: API (z. B. FastAPI) Konfigurierbare Schwellenwerte Anbindung externer Detektoren Datenbank- oder SIEM-Anbindung UI für Regelverwaltung Lizenz & Nutzung Das System ist zur freien Evaluation, Forschung und Weiterentwicklung gedacht. Eine Nutzung in produktiven Umgebungen erfordert: fachliche Anpassung der Regeln Integration in bestehende Governance-Prozesse Zusammenfassung Das Compliance Decision System bietet keine Magie, sondern Kontrolle. In einer Zeit, in der viele Systeme immer intransparenter werden, setzt CDS bewusst auf: Klarheit, Nachvollziehbarkeit und Verantwortung. Genau das macht es für Unternehmen relevant.合规决策系统（Compliance Decision System, CDS） 执行摘要（Executive Summary） 合规决策系统（Compliance Decision System, CDS）是一款基于确定性规则与风险的决策及评估系统，旨在协助企业开展合规、治理与风险相关决策，尤其适配《欧盟人工智能法案》（EU AI Act）、数据隐私保护（如《通用数据保护条例》（Datenschutz-Grundverordnung, DSGVO））及企业内部规章制度场景。 该系统可针对某一拟执行操作做出透明、可追溯且可审计的决策，判定其是否获准执行（"ALLOWED"）或予以阻断（"BLOCKED"）。此外，系统会依据严重程度对被阻断的操作进行优先级排序，帮助组织聚焦于最严峻的风险。 CDS并非人工智能（Artificial Intelligence, AI）系统，而是刻意采用确定性架构构建。每一项决策均可解释、可复现且可追溯审计。 问题背景 企业当前面临需同时满足技术、法律与伦理要求的挑战： - 《欧盟人工智能法案》要求决策逻辑具备可追溯性 - 必须防范并记录数据隐私违规行为 - 人工智能系统不得“盲目”或无节制地运行 - 审计师与监管机构要求决策具备可解释性，而非“黑箱”模式 现有诸多解决方案本身仍依赖人工智能模型来监控人工智能系统，这反而催生了新的风险。 CDS则采用了截然不同的方案：构建基于明确规则与评分的可验证决策机制。 基本原则 每一项拟执行操作均需以所谓的“提案（Proposal）”形式进行描述，该提案包含： - 拟执行的操作（例如数据存储、模型部署） - 伦理评分（0–1区间） - 信任评分（0–1区间） - 已识别的违规规则列表（例如R7=数据隐私违规） 系统将依据以下维度对该提案进行评估： - 硬性规则（违规规则） - 软性因素（伦理与信任评分） - 每条规则的权重（风险严重程度） 评估结果包含： - 决策："ALLOWED" 或 "BLOCKED" - 决策依据（Reasons） - 严重程度值（优先级排序依据） - 时间戳（审计追踪） 系统功能特性 ✅ 确定性决策（无随机性） ✅ 完全可解释（白盒模式） ✅ 机器可读的审计日志（JSON格式） ✅ 按严重程度对风险进行优先级排序 ✅ 适配《欧盟人工智能法案》与治理要求 ✅ 易于集成（支持微服务架构） 系统明确不支持的功能 ❌ 不对数据或文本进行内容分析 ❌ 不会自动识别违规规则 ❌ 不采用基于人工智能的评估方式 CDS属于策略决策点（Policy Decision Point），而非检测器。这意味着： 决策的质量取决于所提供元数据的质量。 也正是如此，系统才具备可控性与可审计性。 简化架构 1. 上游系统（例如人工智能、扫描工具、人工操作）对某项操作进行评估 2. 该上游系统提供评分与已识别的违规规则 3. CDS做出最终决策 4. 决策结果将被执行或阻断 5. 决策将以可追溯审计的方式进行记录 文件与目录结构 所有文件需置于同一目录下： - compliance.py：决策核心逻辑 - demo.py：示例与测试执行脚本 - rules.json：带权重的规则定义文件 - proposals.json：示例提案（测试集） - audit_log.json：自动生成的审计日志 安装与启动 前置要求： - Python ≥ 3.10 - 无外部依赖项 启动命令： python demo.py proposals.json 系统将执行以下操作： - 对所有提案进行评估 - 在控制台输出决策结果 - 将结果写入audit_log.json 风险严重程度评估 除阻断操作外，CDS还会计算严重程度值以实现风险优先级排序。示例如下： - 篡改人工智能推荐结果 → 高严重程度 - 许可问题 → 较低严重程度 这可实现： - 聚焦于最具危害性的事件 - 为仪表盘、工单系统、审计工作提供依据 应用场景 - 企业内的人工智能治理层 - 模型部署前的决策审批 - 人工智能操作的合规性检查 - 审计准备（适配《欧盟人工智能法案》、ISO标准、《通用数据保护条例》） - 教学与研究（可解释性治理） 设计理念与系统定位 该系统遵循显式逻辑思维模式： - 明确的状态（获准/阻断） - 清晰的边界越界判定 - 无隐含假设 - 无隐藏启发式规则 这种思维模式并非构建此类系统的唯一方式，但它解释了为何该系统设计得如此清晰、精简且具备可解释性。 项目现状与后续迭代方向 本系统为功能原型，刻意保持简洁。 可拓展方向包括： - 接口（例如FastAPI） - 可配置阈值 - 对接外部检测器 - 数据库或安全信息和事件管理（Security Information and Event Management, SIEM）集成 - 规则管理用户界面 许可与使用规范 本系统仅供免费评估、研究与迭代开发使用。 若需在生产环境中部署，则需： - 对规则进行专业适配 - 集成至现有治理流程中 总结 合规决策系统并无“魔力”，仅提供可控性。在众多系统日益缺乏透明度的当下，CDS刻意秉持清晰、可追溯与责任明确的原则。这也正是其对企业具备价值的核心所在。