Comment les règles de Scanara sont construites et vérifiées

Comment Scanara évalue la documentation avec OPA et Rego

Les contrôles de conformité de Scanara au niveau documentaire s'exécutent sur Open Policy Agent (OPA). OPA évalue la documentation technique par rapport aux obligations du règlement (UE) 2024/1689. Cela suit la même approche policy-as-code utilisée dans tout l'écosystème OPA : des règles déclaratives, une évaluation déterministe, un résultat auditable à chaque fois. Cela s'exécute en parallèle de l'analyse du code source de Scanara. L'analyse de code vérifie ce que fait le code. OPA vérifie ce que dit la documentation.

Chaque fichier de documentation suit les mêmes étapes. D'abord, Scanara l'analyse et détecte sa langue (8 langues de l'UE sont prises en charge). Ensuite, Scanara le normalise en un document d'entrée structuré : sections, titres, texte extrait. OPA évalue ce document structuré à l'aide d'un ensemble de règles Rego compilées.

Scanara génère ces règles à partir d'une correspondance canonique entre le texte des articles du règlement (UE) 2024/1689 et des exigences vérifiables automatiquement. Aucune règle n'est écrite à la main pour un dépôt donné. Chaque règle se rattache à un article, un paragraphe et un point précis. L'évaluation produit un constat par obligation : satisfaite, manquante ou partielle. Ces constats alimentent le rapport de conformité aux côtés des constats du code source.

L'exemple ci-dessous illustre le principe. Il est simplifié à des fins de documentation publique. Le jeu de règles en production couvre des dizaines de catégories d'obligations, avec en plus la détection multilingue, la pondération de gravité et des contrôles de cohérence entre documents non présentés ici.

package eu_ai_act.example.article_11

# Illustrative pattern only — simplified for public documentation.
# Scanara's production ruleset covers dozens of obligation categories with
# multi-language detection, severity weighting, and cross-document
# consistency checks not shown here.

default satisfied := false

# A document satisfies this (illustrative) Article 11 check when its parsed
# sections include the required topic, with non-empty content.
satisfied if {
	some section in input.document.sections
	section.topic == "risk_management_process"
	count(trim_space(section.content)) > 0
}

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "satisfied",
} if satisfied

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "missing",
	"severity": "high",
} if not satisfied

Ensemble, les deux moteurs détectent automatiquement 66 articles du règlement (UE) 2024/1689 : 44 éligibles au code et 22 documentaires via OPA. La couverture s'étend aux 8 langues de l'UE. Les constats des deux moteurs alimentent directement le dossier de conformité généré. La traçabilité des preuves remonte à un résultat de scan réel, pas à une simple déclaration.