Wie Scanaras Regeln entstehen und verifiziert werden

Wie Scanara Dokumentation mit OPA und Rego auswertet

Scanaras dokumentenbasierte Compliance-Prüfungen laufen auf Open Policy Agent (OPA). OPA prüft technische Dokumentation gegen Pflichten der Verordnung (EU) 2024/1689. Das folgt demselben Policy-as-Code-Ansatz, der im gesamten OPA-Ökosystem verwendet wird: deklarative Regeln, deterministische Auswertung, jedes Mal ein nachvollziehbares Ergebnis. Das läuft parallel zu Scanaras Code-Scan. Code-Scanning prüft, was der Code tut. OPA prüft, was die Dokumentation sagt.

Jede Dokumentationsdatei durchläuft dieselben Schritte. Zuerst parst Scanara die Datei und erkennt ihre Sprache (8 EU-Sprachen werden unterstützt). Dann normalisiert Scanara die Datei zu einem strukturierten Eingabedokument: Abschnitte, Überschriften, extrahierter Text. OPA wertet dieses strukturierte Dokument gegen ein kompiliertes Rego-Policy-Bundle aus.

Scanara generiert diese Regeln aus einer kanonischen Zuordnung zwischen dem Artikeltext der Verordnung (EU) 2024/1689 und maschinell prüfbaren Anforderungen. Keine Regel wird pro Repository von Hand geschrieben. Jede Regel lässt sich bis zu einem konkreten Artikel, Absatz und Buchstaben zurückverfolgen. Die Auswertung erzeugt einen Befund je Pflicht: erfüllt, fehlend oder teilweise erfüllt. Diese Befunde fließen zusammen mit den Code-Befunden in den Compliance-Bericht ein.

Das folgende Beispiel zeigt das Muster. Es ist zur Veranschaulichung vereinfacht. Das produktive Regelwerk deckt Dutzende Pflichtenkategorien ab, dazu mehrsprachige Erkennung, Schweregrad-Gewichtung und dokumentübergreifende Konsistenzprüfungen, die hier nicht gezeigt werden.

package eu_ai_act.example.article_11

# Illustrative pattern only — simplified for public documentation.
# Scanara's production ruleset covers dozens of obligation categories with
# multi-language detection, severity weighting, and cross-document
# consistency checks not shown here.

default satisfied := false

# A document satisfies this (illustrative) Article 11 check when its parsed
# sections include the required topic, with non-empty content.
satisfied if {
	some section in input.document.sections
	section.topic == "risk_management_process"
	count(trim_space(section.content)) > 0
}

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "satisfied",
} if satisfied

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "missing",
	"severity": "high",
} if not satisfied

Zusammen erkennen beide Engines automatisch 66 Artikel der Verordnung (EU) 2024/1689: 44 code-fähig und 22 dokumentenbasiert über OPA. Die Abdeckung umfasst alle 8 EU-Sprachen. Die Befunde beider Engines fließen direkt in das generierte Compliance-Dossier ein. Die Beweiskette lässt sich bis zu einem tatsächlichen Scan-Ergebnis zurückverfolgen, nicht bis zu einer Selbstauskunft.