Come vengono costruite e verificate le regole di Scanara

Come Scanara valuta la documentazione con OPA e Rego

I controlli di conformità a livello documentale di Scanara vengono eseguiti su Open Policy Agent (OPA). OPA valuta la documentazione tecnica rispetto agli obblighi del Regolamento (UE) 2024/1689. Questo segue lo stesso approccio policy-as-code usato in tutto l'ecosistema OPA: regole dichiarative, valutazione deterministica, un risultato verificabile ogni volta. Questo avviene in parallelo alla scansione del codice sorgente di Scanara. La scansione del codice controlla cosa fa il codice. OPA controlla cosa dice la documentazione.

Ogni file di documentazione segue gli stessi passaggi. Prima, Scanara lo analizza e rileva la lingua (sono supportate 8 lingue UE). Poi lo normalizza in un documento di input strutturato: sezioni, intestazioni, testo estratto. OPA valuta questo documento strutturato rispetto a un bundle di policy Rego compilato.

Scanara genera queste regole a partire da una mappatura canonica tra il testo degli articoli del Regolamento (UE) 2024/1689 e requisiti verificabili automaticamente. Nessuna regola è scritta a mano per un singolo repository. Ogni regola è riconducibile a un articolo, paragrafo e punto specifici. La valutazione produce un riscontro per ogni obbligo: soddisfatto, mancante o parziale. Questi riscontri confluiscono nel report di conformità insieme ai riscontri sul codice sorgente.

L'esempio seguente mostra il pattern. È semplificato a scopo di documentazione pubblica. Il ruleset in produzione copre decine di categorie di obblighi, oltre a rilevamento multilingue, ponderazione della gravità e controlli di coerenza tra documenti non mostrati qui.

package eu_ai_act.example.article_11

# Illustrative pattern only — simplified for public documentation.
# Scanara's production ruleset covers dozens of obligation categories with
# multi-language detection, severity weighting, and cross-document
# consistency checks not shown here.

default satisfied := false

# A document satisfies this (illustrative) Article 11 check when its parsed
# sections include the required topic, with non-empty content.
satisfied if {
	some section in input.document.sections
	section.topic == "risk_management_process"
	count(trim_space(section.content)) > 0
}

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "satisfied",
} if satisfied

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "missing",
	"severity": "high",
} if not satisfied

Insieme, i due motori rilevano automaticamente 66 articoli del Regolamento (UE) 2024/1689: 44 rilevabili nel codice e 22 a livello documentale tramite OPA. La copertura si estende a tutte le 8 lingue UE. I riscontri di entrambi i motori confluiscono direttamente nel dossier di conformità generato. La tracciabilità delle prove risale a un risultato di scansione reale, non a un'autodichiarazione.