Hoe Scanara's regels worden gebouwd en geverifieerd

Hoe Scanara documentatie beoordeelt met OPA en Rego

Scanara's compliance-controles op documentniveau draaien op Open Policy Agent (OPA). OPA toetst technische documentatie aan verplichtingen uit de Verordening (EU) 2024/1689. Dit volgt dezelfde policy-as-code-aanpak die in het hele OPA-ecosysteem wordt gebruikt: declaratieve regels, deterministische evaluatie, elke keer een controleerbaar resultaat. Dit loopt parallel aan Scanara's broncodescan. Codescanning controleert wat de code doet. OPA controleert wat de documentatie zegt.

Elk documentatiebestand doorloopt dezelfde stappen. Eerst parst Scanara het bestand en detecteert de taal (8 EU-talen worden ondersteund). Daarna normaliseert Scanara het bestand tot een gestructureerd invoerdocument: secties, koppen, geëxtraheerde tekst. OPA toetst dit gestructureerde document aan een gecompileerde Rego-policybundel.

Scanara genereert deze regels vanuit een canonieke koppeling tussen de artikeltekst van de Verordening (EU) 2024/1689 en machinaal controleerbare vereisten. Geen enkele regel wordt per repository met de hand geschreven. Elke regel is herleidbaar tot een specifiek artikel, lid en punt. De evaluatie levert één bevinding per verplichting op: voldaan, ontbrekend of gedeeltelijk. Deze bevindingen komen samen met de broncodebevindingen in het compliance-rapport terecht.

Het onderstaande voorbeeld toont het patroon. Het is vereenvoudigd voor openbare documentatie. De productieregelset omvat tientallen verplichtingscategorieën, plus meertalige detectie, ernstweging en documentoverschrijdende consistentiecontroles die hier niet worden getoond.

package eu_ai_act.example.article_11

# Illustrative pattern only — simplified for public documentation.
# Scanara's production ruleset covers dozens of obligation categories with
# multi-language detection, severity weighting, and cross-document
# consistency checks not shown here.

default satisfied := false

# A document satisfies this (illustrative) Article 11 check when its parsed
# sections include the required topic, with non-empty content.
satisfied if {
	some section in input.document.sections
	section.topic == "risk_management_process"
	count(trim_space(section.content)) > 0
}

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "satisfied",
} if satisfied

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "missing",
	"severity": "high",
} if not satisfied

Samen detecteren beide engines automatisch 66 artikelen van de Verordening (EU) 2024/1689: 44 code-detecteerbaar en 22 documentniveau via OPA. De dekking omvat alle 8 EU-talen. Bevindingen van beide engines komen rechtstreeks in het gegenereerde compliance-dossier terecht. Het bewijstraject is herleidbaar tot een daadwerkelijk scanresultaat, niet tot een zelf gerapporteerde checklist.