Como as regras da Scanara são criadas e verificadas

Como a Scanara avalia a documentação com OPA e Rego

As verificações de conformidade da Scanara ao nível dos documentos são executadas sobre Open Policy Agent (OPA). O OPA avalia a documentação técnica face às obrigações do Regulamento (UE) 2024/1689. Isto segue a mesma abordagem policy-as-code usada em todo o ecossistema OPA: regras declarativas, avaliação determinística, um resultado auditável sempre. Isto ocorre em paralelo com a análise de código-fonte da Scanara. A análise de código verifica o que o código faz. O OPA verifica o que a documentação diz.

Cada ficheiro de documentação segue os mesmos passos. Primeiro, a Scanara analisa-o e deteta o idioma (são suportados 8 idiomas da UE). Depois normaliza-o num documento de entrada estruturado: secções, títulos, texto extraído. O OPA avalia este documento estruturado face a um pacote de políticas Rego compilado.

A Scanara gera estas regras a partir de um mapeamento canónico entre o texto dos artigos do Regulamento (UE) 2024/1689 e requisitos verificáveis automaticamente. Nenhuma regra é escrita manualmente por repositório. Cada regra é rastreável até um artigo, número e alínea específicos. A avaliação produz um resultado por obrigação: satisfeita, em falta ou parcial. Estes resultados alimentam o relatório de conformidade juntamente com os resultados do código-fonte.

O exemplo abaixo mostra o padrão. Está simplificado para documentação pública. O conjunto de regras em produção abrange dezenas de categorias de obrigações, além de deteção multilingue, ponderação de gravidade e verificações de consistência entre documentos não apresentadas aqui.

package eu_ai_act.example.article_11

# Illustrative pattern only — simplified for public documentation.
# Scanara's production ruleset covers dozens of obligation categories with
# multi-language detection, severity weighting, and cross-document
# consistency checks not shown here.

default satisfied := false

# A document satisfies this (illustrative) Article 11 check when its parsed
# sections include the required topic, with non-empty content.
satisfied if {
	some section in input.document.sections
	section.topic == "risk_management_process"
	count(trim_space(section.content)) > 0
}

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "satisfied",
} if satisfied

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "missing",
	"severity": "high",
} if not satisfied

Juntos, os dois motores detetam automaticamente 66 artigos do Regulamento (UE) 2024/1689: 44 detetáveis no código e 22 ao nível documental através do OPA. A cobertura abrange os 8 idiomas da UE. Os resultados de ambos os motores alimentam diretamente o dossier de conformidade gerado. O rasto de evidências remonta a um resultado real de scan, não a uma lista de verificação autodeclarada.