EuConform

🇪🇺 Open-Source-Evidence-Toolkit für KI-Compliance

Offenes Evidenzformat • Lokale Bias-Auswertung • Schema-Validierung • CycloneDX-Interoperabilität
Offline-First • Datenschutzkonform • Wiederverwendbare Artefakte • WCAG 2.2 AA barrierefrei

EuConform definiert ein offenes Evidenzformat für KI-Compliance und bietet die Werkzeuge, um es zu erstellen, zu validieren und empirisch zu bewerten – offline und anbieterunabhängig.

[!IMPORTANT] Rechtlicher Hinweis: Dieses Werkzeug bietet ausschließlich technische Orientierung. Es stellt keine Rechtsberatung dar und ersetzt nicht rechtsverbindliche Konformitätsbewertungen durch benannte Stellen oder professionelle rechtliche Beratung. Ziehen Sie bei Compliance-Entscheidungen stets qualifizierte Rechtsberater hinzu.

🚀 Schnellstart · 📖 Dokumentation · 🌐 Bereitstellen · 🐛 Fehler melden

✨ Funktionen

🧰 CLI auf einen Blick

🚀 Schnellstart

Ohne Installation testen? Klicken Sie auf den Link 🌐 Bereitstellen oben, um Ihre eigene Instanz auf Vercel zu starten.

Voraussetzungen

• Node.js ≥ 18
• pnpm ≥ 10 (empfohlen) oder npm/yarn

Installation

# Repository klonen
git clone https://github.com/Hiepler/EuConform.git
cd EuConform

# Abhängigkeiten installieren
pnpm install

# Entwicklungs-Server starten
pnpm dev

# http://localhost:3001 öffnen

Die CLI bauen

Die folgenden Beispiele verwenden die direkt gebaute CLI:

# CLI bauen
pnpm --filter @euconform/cli build

Workflow 1: Ein Repository scannen

Native EuConform-Artefakte aus einer echten Codebasis generieren:

node packages/cli/dist/index.js scan . --scope production

Dies schreibt:

• .euconform/euconform.report.json
• .euconform/euconform.aibom.json
• .euconform/euconform.summary.md
• .euconform/euconform.bundle.json

Typische Verwendung:

• Evidenzerfassung für lokale OSS oder interne KI-Projekte
• CI-Gating und Reviewer-Übergabe
• Portable Artefakterzeugung ohne Anbieterplattform

Für CI-Nutzung mit GitHub-nativen Annotationen und Fehlerschwellen:

node packages/cli/dist/index.js scan . --scope production --ci github --fail-on high

Für portablen Artefaktaustausch ein Bundle-Archiv erstellen:

node packages/cli/dist/index.js scan . --scope production --zip true

Workflow 2: Vorhandene Artefakte validieren und verifizieren

Einzelne EuConform-JSON-Dokumente gegen die veröffentlichten Schemata validieren:

node packages/cli/dist/index.js validate .euconform

Typische Ausgabe:

• eine Zeile pro Datei wie euconform.aibom.json — valid (euconform.aibom.v1)
• Exit-Code 0 für vollständig gültige Eingabe, 1 für Schema-Fehler, 2 wenn keine EuConform-JSON-Dateien gefunden werden

Bundle-Manifest, extrahiertes Bundle-Verzeichnis oder ZIP-Archiv verifizieren:

node packages/cli/dist/index.js verify .euconform/euconform.bundle.json

Typische Verwendung:

• Reviewer-seitige Schema-Prüfung vor manueller Analyse
• CI-Sanity-Checks für bereits anderweitig erstellte Artefaktsets
• Portabilitätsprüfungen vor dem Teilen von Bundles mit nachgelagerten Werkzeugen

Workflow 3: Modell-Bias lokal auswerten

Reproduzierbare CrowS-Pairs-Bias-Auswertung gegen ein lokales Ollama-Modell durchführen:

node packages/cli/dist/index.js bias llama3.2 --lang de --output all

Dies ist EuConforms charakteristische empirische Evidenzschicht. Es erzeugt Modellverhaltensdaten, die derzeit kein anderes Open-Source-Compliance-Tool bietet – vollständig offline, reproduzierbar und unabhängig von einer Anbieter-API.

Typische Verwendung:

• Empirische Modellverhaltensevidenz für Art. 10 Bias/Fairness-Dokumentation
• Reproduzierbare lokale Auswertung vor und nach Modellaktualisierungen
• Hinzufügen einer Verhaltensevidenzschicht über der strukturellen Evidenz aus scan

Workflow 4: Eine externe CycloneDX-SBOM importieren

Eine externe CycloneDX-JSON-Datei in die EuConform-AI-BOM-Ebene abbilden:

node packages/cli/dist/index.js import ./third-party.cdx.json \
  --scope production \
  --output /tmp/euconform-import

node packages/cli/dist/index.js validate /tmp/euconform-import/euconform.aibom.json

Dies schreibt:

• /tmp/euconform-import/euconform.aibom.json

Wichtige Hinweise:

• import akzeptiert CycloneDX-JSON und bildet nur die KI-relevanten Teilmengen in euconform.aibom.v1.1 ab
• --scope production schließt optional- und excluded-Komponenten aus
• Der Importeur ist absichtlich konservativ und leitet keine Compliance-Fähigkeiten aus einer SBOM ab
• Die Projektbenennung kann aus BOM-Metadaten oder dem Quelldateinamen stammen, je nach Eingabe

Das Format in 10 Minuten testen

Wenn Sie den aktuellen Einführungspfad als OSS-Entwickler bewerten möchten, verwenden Sie eines der Referenzprojekte in examples/:

# 1. CLI bauen
pnpm --filter @euconform/cli build

# 2. Ein Referenzprojekt scannen
node packages/cli/dist/index.js scan examples/ollama-chatbot \
  --scope production \
  --output /tmp/euconform-ollama

# 3. Das generierte Bundle verifizieren
node packages/cli/dist/index.js verify /tmp/euconform-ollama/euconform.bundle.json

# 4. Die Web-App öffnen und die generierten Artefakte importieren
pnpm dev

Für ein retrieval-orientiertes Beispiel ersetzen Sie examples/ollama-chatbot durch examples/rag-assistant.

Verwendung mit lokalen KI-Modellen (optional)

Für verbesserte Bias-Erkennung mit eigenen Modellen:

1. Ollama installieren: Herunterladen von ollama.ai
2. Ein Modell ziehen: ollama pull llama3.2
3. Ollama starten: ollama serve
4. "Ollama" auswählen in der Web-Oberfläche

Unterstützt Llama-, Mistral- und Qwen-Varianten mit automatischer Log-Wahrscheinlichkeits-Erkennung.

[!WARNING] Vercel / Cloud-Bereitstellung: Diese Funktion erfordert die lokale Ausführung von EuConform (pnpm dev).

📖 Dokumentation

Rechtliche Grundlage & Compliance-Abdeckung

[!NOTE] Primäre Rechtsquelle: Verordnung (EU) 2024/1689 (EU KI-Verordnung)

Werkzeugabdeckung:

Umsetzungszeitplan: Verpflichtungen werden gestaffelt wirksam. Hochrisiko-Verpflichtungen gelten ab 2027. Überprüfen Sie stets aktuelle Leitlinien und delegierte Rechtsakte.

CLI-Scanner & CI

Die CLI von EuConform ist als wiederverwendbare Evidenzinfrastruktur konzipiert:

• euconform scan erzeugt native EuConform-Artefakte aus einem Repository.
• euconform bias liefert EuConforms charakteristische empirische Modellverhaltensevidenzschicht.
• euconform validate prüft einzelne EuConform-JSON-Dateien gegen die veröffentlichten Schemata.
• euconform verify prüft die Integrität von Artefaktsets für Manifeste, Verzeichnisse und ZIP-Bundles.
• euconform import überbrückt externe CycloneDX-JSON in die EuConform-AI-BOM-Ebene.

Die Web-App bleibt der Ort für Rollen- und Risikoklassifizierung mit menschlichem Kontext.

GitHub Actions Beispiel

- name: CLI bauen
  run: pnpm --filter @euconform/cli build

- name: EuConform-Scan ausführen
  run: node packages/cli/dist/index.js scan . --scope production --ci github --fail-on high

In GitHub Actions emittiert EuConform:

• Workflow-Annotationen für die wichtigsten Compliance-Lücken
• eine Markdown-Schritt-Zusammenfassung
• maschinenlesbare CI-Artefakte: euconform.ci.json und euconform.ci-summary.md

EuConform-Evidenzformat

EuConform implementiert das EuConform-Evidenzformat, eine offene Spezifikation für portable, maschinenlesbare KI-Compliance-Evidenz.

• euconform.report.v1 erfasst Compliance-Evidenz, Lücken und offene Fragen
• euconform.aibom.v1 ist die Inventarebene der KI-Stückliste (AI BOM)
• euconform.ci.v1 erfasst CI-Schwellenwerte, Status und wichtigste Erkenntnisse
• euconform.bundle.v1 bindet Artefaktsets in ein portables, integritätsbewusstes Manifest

Aktuelle Workflow-Grenzen:

• scan erzeugt native EuConform-Artefakte aus Quell-Repositories
• import kann externe CycloneDX-JSON in die aktuelle AIBOM-Ebene importieren für Interoperabilitäts-Workflows
• validate macht die Schema- und Kompatibilitätsgeschichte auf JSON-Dokumentebene überprüfbar
• verify prüft die portable Bundle-Integrität vor Austausch oder Automatisierung

Dokumentation der Stufe 1, Schemas und Beispielartefakte befinden sich in docs/spec/README.md. Referenz-Quellprojekte für OSS-Entwickler befinden sich in examples/README.md.

Bias-Testmethodik

Wir verwenden die CrowS-Pairs-Methodik (Nangia et al., 2020), um soziale Verzerrungen in Sprachmodellen zu messen.

Berechnungsmethoden

[!TIP] Für beste Genauigkeit verwenden Sie Ollama v0.1.26+ mit Modellen, die den Parameter logprobs unterstützen (Llama 3.2+, Mistral 7B+).

Ethikerklärung

Die Stereotyp-Paare werden ausschließlich zur wissenschaftlichen Bewertung verwendet und geben nicht die Meinung der Entwickler wieder. Einzelne Paare werden in der Benutzeroberfläche nicht angezeigt, um die Verstärkung schädlicher Stereotype zu vermeiden – es werden nur aggregierte Metriken angezeigt.

Benutzerdefinierte Testsuiten

Erstellen Sie domänenspezifische Bias-Tests, indem Sie Ihre eigenen Testfälle hochladen:

[!TIP] Benutzerdefinierte Testsuiten werden vollständig in Ihrem Browser verarbeitet – Ihre proprietären Testfälle verlassen niemals Ihr Gerät.

@inproceedings{nangia-etal-2020-crows,
    title = "{C}row{S}-Pairs: A Challenge Dataset for Measuring Social Biases in Masked Language Models",
    author = "Nangia, Nikita and Vania, Clara and Bhalerao, Rasika and Bowman, Samuel R.",
    booktitle = "Proceedings of the 2020 Conference on Empirical Methods in Natural Language Processing (EMNLP)",
    year = "2020",
    publisher = "Association for Computational Linguistics",
    url = "https://aclanthology.org/2020.emnlp-main.154",
    doi = "10.18653/v1/2020.emnlp-main.154",
    pages = "1953--1967"
}

🏗️ Projektstruktur

euconform/
├── apps/
│   ├── web/                  # Next.js 16 Produktions-App
│   └── docs/                 # Dokumentationsseite (WIP)
├── packages/
│   ├── cli/                  # Lokaler Repository-Scanner und CI-Integration
│   ├── core/                 # Risiko-Engine, Scanner-Engine, Fairness-Metriken, Typen
│   ├── ui/                   # Gemeinsame UI-Komponenten (shadcn-Stil)
│   ├── typescript-config/    # Gemeinsame TypeScript-Konfiguration
│   └── tailwind-config/      # Gemeinsame Tailwind-Konfiguration
├── .github/
│   ├── workflows/            # CI/CD-Pipelines
│   └── ISSUE_TEMPLATE/       # Issue-Vorlagen
├── biome.json                # Biome-Linter-Konfiguration
└── turbo.json                # Turborepo-Pipeline-Konfiguration

🧪 Tests

# Unit-Tests ausführen
pnpm test

# Mit Coverage ausführen
pnpm test -- --coverage

# E2E-Tests ausführen (erfordert Playwright)
pnpm test:e2e

# Typüberprüfung
pnpm check-types

# Linting
pnpm lint

🛠️ Technologie-Stack

❓ FAQ

🤝 Mitwirken

Wir begrüßen Beiträge! Bitte lesen Sie zuerst unseren Leitfaden für Mitwirkende und Verhaltenskodex.

# Forken und klonen
git clone https://github.com/yourusername/EuConform.git
cd EuConform

# Installieren und entwickeln
pnpm install
pnpm dev

# Vor dem Einreichen
pnpm lint && pnpm check-types && pnpm test

Siehe CONTRIBUTING.md für detaillierte Richtlinien.

🔒 Sicherheit

Bei Sicherheitsbedenken beachten Sie bitte unsere Sicherheitsrichtlinie. Erstellen Sie keine öffentlichen Issues für Sicherheitslücken.

📄 Lizenz

Dual-lizenziert unter:

• MIT-Lizenz – für maximale Kompatibilität
• EUPL-1.2 – für Kompatibilität mit EU-Institutionen

Mit ❤️ gemacht für verantwortungsvolle KI in Europa

Issues · Diskussionen