EuConform

🇪🇺 开源证据工具包，助力AI合规

开放证据格式 · 本地偏见评估 · Schema验证 · CycloneDX互操作
离线优先 · 保护隐私 · 可复用制品 · 符合WCAG 2.2 AA标准

EuConform 定义了一种用于AI合规的开放证据格式，并提供工具来生成、验证和实证评估它——完全离线且独立于供应商。

[!IMPORTANT] 法律免责声明：本工具仅提供技术指导。它不构成法律建议，也不能替代指定机构或专业法律咨询的具有法律约束力的合规评估。在进行合规决策时，请务必咨询合格的法律专业人士。

🚀 快速开始 · 📖 文档 · 🌐 部署 · 🐛 报告问题

✨ 功能特性

🧰 CLI 概览

🚀 快速开始

想不安装就试试？ 点击上面的 🌐 部署 链接，在Vercel上启动您自己的实例。

前提条件

• Node.js ≥ 18
• pnpm ≥ 10（推荐）或 npm/yarn

安装

# 克隆仓库
git clone https://github.com/Hiepler/EuConform.git
cd EuConform

# 安装依赖
pnpm install

# 启动开发服务器
pnpm dev

# 打开 http://localhost:3001

构建CLI

下面的仓库本地示例直接使用构建后的CLI：

# 构建CLI
pnpm --filter @euconform/cli build

工作流 1：扫描仓库

从真实代码库生成原生EuConform制品：

node packages/cli/dist/index.js scan . --scope production

这会写入：

• .euconform/euconform.report.json
• .euconform/euconform.aibom.json
• .euconform/euconform.summary.md
• .euconform/euconform.bundle.json

典型使用场景：

• 为本地开源或内部AI项目收集证据
• CI门控和审阅者交接
• 无需供应商平台的便携式制品生成

对于CI使用，添加GitHub原生注释和失败阈值：

node packages/cli/dist/index.js scan . --scope production --ci github --fail-on high

对于便携式制品交换，创建包归档：

node packages/cli/dist/index.js scan . --scope production --zip true

工作流 2：验证已有制品

根据已发布的schema验证单个EuConform JSON文档：

node packages/cli/dist/index.js validate .euconform

典型输出：

• 每文件一行，例如 euconform.aibom.json — valid (euconform.aibom.v1)
• 输入全部有效时退出码为 0，schema错误时为 1，未找到EuConform JSON文件时为 2

验证包清单、包目录或ZIP归档：

node packages/cli/dist/index.js verify .euconform/euconform.bundle.json

典型使用场景：

• 审阅者在手动分析前进行schema检查
• 对其他地方已生成的制品集进行CI完整性检查
• 在与下游工具共享包前进行可移植性检查

工作流 3：本地评估模型偏见

对本地Ollama模型运行可重复的CrowS-Pairs偏见评估：

node packages/cli/dist/index.js bias llama3.2 --lang de --output all

这是EuConform独有的实证证据层。它生成模型行为数据，这是其他任何开源合规工具目前都无法提供的——完全离线、可重复、且独立于任何供应商API。

典型使用场景：

• 为第10条偏见/公平性文档提供实证模型行为证据
• 在模型更新前后进行可重复的本地评估
• 在 scan 提供的结构证据之上增加行为证据层

工作流 4：导入外部CycloneDX SBOM

将外部CycloneDX JSON文件映射到EuConform AI BOM层：

node packages/cli/dist/index.js import ./third-party.cdx.json \
  --scope production \
  --output /tmp/euconform-import

node packages/cli/dist/index.js validate /tmp/euconform-import/euconform.aibom.json

这会写入：

• /tmp/euconform-import/euconform.aibom.json

重要说明：

• import 接受CycloneDX JSON，并仅将AI相关子集映射到 euconform.aibom.v1.1
• --scope production 排除 optional 和 excluded 组件
• 导入器有意保持保守，不会从SBOM推断合规能力
• 项目名称可能来自BOM元数据或源文件名，具体取决于输入

10分钟内体验格式

如果您想以开源构建者的身份评估当前的采用路径，请使用 examples/ 目录下的参考项目：

# 1. 构建CLI
pnpm --filter @euconform/cli build

# 2. 扫描参考项目
node packages/cli/dist/index.js scan examples/ollama-chatbot \
  --scope production \
  --output /tmp/euconform-ollama

# 3. 验证生成的包
node packages/cli/dist/index.js verify /tmp/euconform-ollama/euconform.bundle.json

# 4. 打开Web应用并导入生成的制品
pnpm dev

对于检索优先的示例，将 examples/ollama-chatbot 替换为 examples/rag-assistant。

使用本地AI模型（可选）

为了使用您自己的模型进行增强的偏见检测：

1. 安装Ollama：从 ollama.ai 下载
2. 拉取模型：ollama pull llama3.2
3. 启动Ollama：ollama serve
4. 在Web界面中选择"Ollama"

支持Llama、Mistral和Qwen系列，自动检测对数概率支持。

[!WARNING] Vercel / 云部署：此功能需要在本地运行EuConform（pnpm dev）。

📖 文档

法律基础与合规覆盖范围

[!NOTE] 主要法律来源：法规 (EU) 2024/1689 (欧盟AI法案)

工具覆盖范围：

实施时间表：义务分阶段生效。高风险义务自2027年起适用。请始终核实当前指南和授权法案。

CLI扫描器与CI

EuConform的CLI被设计为可复用的证据基础设施：

• euconform scan 从仓库生成原生EuConform制品。
• euconform bias 提供EuConform独有的实证模型行为证据层。
• euconform validate 根据已发布的schema检查单个EuConform JSON文件。
• euconform verify 检查清单、目录和ZIP包的制品集完整性。
• euconform import 将外部CycloneDX JSON桥接到EuConform AI BOM层。

Web应用 仍然是为角色和风险分类提供人类上下文的场所。

GitHub Actions 示例

- name: 构建CLI
  run: pnpm --filter @euconform/cli build

- name: 运行EuConform扫描
  run: node packages/cli/dist/index.js scan . --scope production --ci github --fail-on high

在GitHub Actions中，EuConform会输出：

• 针对主要合规差距的工作流注释
• 一个Markdown步骤摘要
• 机器可读的CI制品：euconform.ci.json 和 euconform.ci-summary.md

EuConform 证据格式

EuConform实现了 EuConform 证据格式，这是一个用于便携式、机器可读的AI合规证据的开放规范。

• euconform.report.v1 捕获合规证据、差距和未决问题
• euconform.aibom.v1 是AI物料清单（AI BOM）清单层
• euconform.ci.v1 捕获CI阈值、状态和主要发现
• euconform.bundle.v1 将制品集绑定为便携的、完整性感知的清单

当前工作流边界：

• scan 生成 来自源代码仓库的原生EuConform制品
• import 可以 摄取 外部CycloneDX JSON到当前AIBOM层，用于互操作工作流
• validate 在JSON文档层面使schema和兼容性故事可检查
• verify 在交换或自动化之前检查便携式包的完整性

第1阶段的文档、schema和示例制品位于 docs/spec/README.md。 针对开源构建者的参考源项目位于 examples/README.md。

偏见测试方法论

我们使用 CrowS-Pairs 方法论 (Nangia et al., 2020) 来测量语言模型中的社会偏见。

计算方法

[!TIP] 为了获得最佳准确性，请使用Ollama v0.1.26+，配合支持 logprobs 参数的模型（Llama 3.2+、Mistral 7B+）。

伦理声明

刻板印象对 仅用于科学评估，不代表开发者的观点。UI中不会显示单个对，以避免强化有害的刻板印象——仅显示聚合指标。

自定义测试套件

通过上传您自己的测试用例来创建特定领域的偏见测试：

[!TIP] 自定义测试套件完全在您的浏览器中处理——您的专有测试用例永远不会离开您的设备。

@inproceedings{nangia-etal-2020-crows,
    title = "{C}row{S}-Pairs: A Challenge Dataset for Measuring Social Biases in Masked Language Models",
    author = "Nangia, Nikita and Vania, Clara and Bhalerao, Rasika and Bowman, Samuel R.",
    booktitle = "Proceedings of the 2020 Conference on Empirical Methods in Natural Language Processing (EMNLP)",
    year = "2020",
    publisher = "Association for Computational Linguistics",
    url = "https://aclanthology.org/2020.emnlp-main.154",
    doi = "10.18653/v1/2020.emnlp-main.154",
    pages = "1953--1967"
}

🏗️ 项目结构

euconform/
├── apps/
│   ├── web/                  # Next.js 16 生产应用
│   └── docs/                 # 文档站点（开发中）
├── packages/
│   ├── cli/                  # 本地仓库扫描器和CI集成
│   ├── core/                 # 风险引擎、扫描器引擎、公平性指标、类型
│   ├── ui/                   # 共享UI组件（shadcn风格）
│   ├── typescript-config/    # 共享TypeScript配置
│   └── tailwind-config/      # 共享Tailwind配置
├── .github/
│   ├── workflows/            # CI/CD流水线
│   └── ISSUE_TEMPLATE/       # Issue模板
├── biome.json                # Biome linter配置
└── turbo.json                # Turborepo流水线配置

🧪 测试

# 运行单元测试
pnpm test

# 带覆盖率运行
pnpm test -- --coverage

# 运行端到端测试（需要Playwright）
pnpm test:e2e

# 类型检查
pnpm check-types

# 代码检查
pnpm lint

🛠️ 技术栈

❓ 常见问题

🤝 贡献

我们欢迎贡献！请先阅读我们的 贡献指南 和 行为准则。

# Fork并克隆
git clone https://github.com/yourusername/EuConform.git
cd EuConform

# 安装并开发
pnpm install
pnpm dev

# 提交前
pnpm lint && pnpm check-types && pnpm test

详细指南请参见 CONTRIBUTING.md。

🔒 安全

有关安全问题，请参阅我们的 安全策略。请不要为安全漏洞创建公开Issue。

📄 许可证

双许可：

• MIT许可证 – 实现最大兼容性
• EUPL-1.2 – 实现欧盟机构兼容性

用 ❤️ 为欧洲负责任的人工智能而制作

Issues · Discussions