EuConform

🇪🇺 开源证据工具包，助力AI合规

开放证据格式 · 本地偏见评估 · Schema验证 · CycloneDX互操作
离线优先 · 保护隐私 · 可复用制品 · 符合WCAG 2.2 AA标准

EuConform 定义了一种用于AI合规的开放证据格式，并提供工具来生成、验证和实证评估它——完全离线且独立于供应商。

---

[!IMPORTANT] 法律免责声明：本工具仅提供技术指导。它不构成法律建议，也不能替代指定机构或专业法律咨询的具有法律约束力的合规评估。在进行合规决策时，请务必咨询合格的法律专业人士。

---

🚀 快速开始 · 📖 文档 · 🌐 部署 · 🐛 报告问题

---

✨ 功能特性

功能	描述
🧾 开放证据格式	生成便携的 report、aibom、ci 和 bundle 制品，作为可检查的JSON文档
🧪 本地偏见评估	基于CrowS-Pairs的模型评估，支持对数概率和延迟回退——可重复、离线、无供应商依赖
✅ Schema验证	使用 euconform validate 命令，根据已发布的schema验证EuConform JSON文档
📦 包验证	在将制品交给CI、审阅者或审计人员之前，验证清单、目录或ZIP包的完整性
🚦 合规CI门控	将 euconform scan 转换为GitHub原生注释、CI摘要和机器可读的制品
🎯 风险分类	实现《欧盟AI法案》第5条（禁止项）、第6条+附件III（高风险）的交互式问答
🔄 CycloneDX互操作	将外部CycloneDX SBOM导入EuConform AI BOM层，作为互操作桥梁
🌐 离线优先	核心证据工作流保持本地化和可检查性，无需依赖供应商仪表板
🔒 保护隐私	零追踪、无Cookie、无外部字体——您的数据始终在您的控制之下
🌙 深色模式	优美的玻璃态设计，全面支持深色模式
♿ 无障碍访问	符合WCAG 2.2 AA标准，支持完整的键盘导航
🌍 多语言	英语和德语界面

🧰 CLI 概览

命令	主要输出	使用场景
scan	原生EuConform制品	从真实仓库生成结构化证据
bias	偏见报告JSON和/或Markdown	使用Ollama运行可重复的本地模型评估——EuConform独有的实证层
validate	每个JSON文件的有效/无效状态	根据已发布的schema检查EuConform JSON文件
verify	包完整性状态	检查清单、解压后的包目录或ZIP归档
import	euconform.aibom.json	将外部CycloneDX SBOM映射到EuConform AI BOM层

🚀 快速开始

想不安装就试试？ 点击上面的 🌐 部署 链接，在Vercel上启动您自己的实例。

前提条件

• Node.js ≥ 18
• pnpm ≥ 10（推荐）或 npm/yarn

安装

# 克隆仓库
git clone https://github.com/Hiepler/EuConform.git
cd EuConform

# 安装依赖
pnpm install

# 启动开发服务器
pnpm dev

# 打开 http://localhost:3001

构建CLI

下面的仓库本地示例直接使用构建后的CLI：

# 构建CLI
pnpm --filter @euconform/cli build

工作流 1：扫描仓库

从真实代码库生成原生EuConform制品：

node packages/cli/dist/index.js scan . --scope production

这会写入：

• .euconform/euconform.report.json
• .euconform/euconform.aibom.json
• .euconform/euconform.summary.md
• .euconform/euconform.bundle.json

典型使用场景：

• 为本地开源或内部AI项目收集证据
• CI门控和审阅者交接
• 无需供应商平台的便携式制品生成

对于CI使用，添加GitHub原生注释和失败阈值：

node packages/cli/dist/index.js scan . --scope production --ci github --fail-on high

对于便携式制品交换，创建包归档：

node packages/cli/dist/index.js scan . --scope production --zip true

工作流 2：验证已有制品

根据已发布的schema验证单个EuConform JSON文档：

node packages/cli/dist/index.js validate .euconform

典型输出：

• 每文件一行，例如 euconform.aibom.json — valid (euconform.aibom.v1)
• 输入全部有效时退出码为 0，schema错误时为 1，未找到EuConform JSON文件时为 2

验证包清单、包目录或ZIP归档：

node packages/cli/dist/index.js verify .euconform/euconform.bundle.json

典型使用场景：

• 审阅者在手动分析前进行schema检查
• 对其他地方已生成的制品集进行CI完整性检查
• 在与下游工具共享包前进行可移植性检查

工作流 3：本地评估模型偏见

对本地Ollama模型运行可重复的CrowS-Pairs偏见评估：

node packages/cli/dist/index.js bias llama3.2 --lang de --output all

这是EuConform独有的实证证据层。它生成模型行为数据，这是其他任何开源合规工具目前都无法提供的——完全离线、可重复、且独立于任何供应商API。

典型使用场景：

• 为第10条偏见/公平性文档提供实证模型行为证据
• 在模型更新前后进行可重复的本地评估
• 在 scan 提供的结构证据之上增加行为证据层

工作流 4：导入外部CycloneDX SBOM

将外部CycloneDX JSON文件映射到EuConform AI BOM层：

node packages/cli/dist/index.js import ./third-party.cdx.json \
  --scope production \
  --output /tmp/euconform-import

node packages/cli/dist/index.js validate /tmp/euconform-import/euconform.aibom.json

这会写入：

• /tmp/euconform-import/euconform.aibom.json

重要说明：

• import 接受CycloneDX JSON，并仅将AI相关子集映射到 euconform.aibom.v1.1
• --scope production 排除 optional 和 excluded 组件
• 导入器有意保持保守，不会从SBOM推断合规能力
• 项目名称可能来自BOM元数据或源文件名，具体取决于输入

10分钟内体验格式

如果您想以开源构建者的身份评估当前的采用路径，请使用 examples/ 目录下的参考项目：

# 1. 构建CLI
pnpm --filter @euconform/cli build

# 2. 扫描参考项目
node packages/cli/dist/index.js scan examples/ollama-chatbot \
  --scope production \
  --output /tmp/euconform-ollama

# 3. 验证生成的包
node packages/cli/dist/index.js verify /tmp/euconform-ollama/euconform.bundle.json

# 4. 打开Web应用并导入生成的制品
pnpm dev

对于检索优先的示例，将 examples/ollama-chatbot 替换为 examples/rag-assistant。

使用本地AI模型（可选）

为了使用您自己的模型进行增强的偏见检测：

1. 安装Ollama：从 ollama.ai 下载
2. 拉取模型：ollama pull llama3.2
3. 启动Ollama：ollama serve
4. 在Web界面中选择"Ollama"

支持Llama、Mistral和Qwen系列，自动检测对数概率支持。

[!WARNING] Vercel / 云部署：此功能需要在本地运行EuConform（pnpm dev）。

📖 文档

法律基础与合规覆盖范围

[!NOTE] 主要法律来源：法规 (EU) 2024/1689 (欧盟AI法案)

工具覆盖范围：

欧盟AI法案参考	覆盖范围
第5条	禁止的AI系统（红旗指标）
第6–7条 + 附件III	风险分类（8个高风险用例）
第9–15条	风险管理、数据治理、透明度、人类监督
第10条 (第2–4款)	偏见/公平性指标及可重复测试协议
序言第54条	防止歧视
附件IV	技术文档（报告结构）

实施时间表：义务分阶段生效。高风险义务自2027年起适用。请始终核实当前指南和授权法案。

CLI扫描器与CI

EuConform的CLI被设计为可复用的证据基础设施：

• euconform scan 从仓库生成原生EuConform制品。
• euconform bias 提供EuConform独有的实证模型行为证据层。
• euconform validate 根据已发布的schema检查单个EuConform JSON文件。
• euconform verify 检查清单、目录和ZIP包的制品集完整性。
• euconform import 将外部CycloneDX JSON桥接到EuConform AI BOM层。

Web应用 仍然是为角色和风险分类提供人类上下文的场所。

GitHub Actions 示例

- name: 构建CLI
  run: pnpm --filter @euconform/cli build

- name: 运行EuConform扫描
  run: node packages/cli/dist/index.js scan . --scope production --ci github --fail-on high

在GitHub Actions中，EuConform会输出：

• 针对主要合规差距的工作流注释
• 一个Markdown步骤摘要
• 机器可读的CI制品：euconform.ci.json 和 euconform.ci-summary.md

EuConform 证据格式

EuConform实现了 EuConform 证据格式，这是一个用于便携式、机器可读的AI合规证据的开放规范。

• euconform.report.v1 捕获合规证据、差距和未决问题
• euconform.aibom.v1 是AI物料清单（AI BOM）清单层
• euconform.ci.v1 捕获CI阈值、状态和主要发现
• euconform.bundle.v1 将制品集绑定为便携的、完整性感知的清单

当前工作流边界：

• scan 生成 来自源代码仓库的原生EuConform制品
• import 可以 摄取 外部CycloneDX JSON到当前AIBOM层，用于互操作工作流
• validate 在JSON文档层面使schema和兼容性故事可检查
• verify 在交换或自动化之前检查便携式包的完整性