Zasady governance

Zasady operacyjne i instytucjonalne kierujące projektowaniem, wdrażaniem i utrzymaniem OmegaOS™ Kernel.

Advisory-only z założenia

OmegaOS™ Kernel generuje ustrukturyzowane decyzje (Zezwolenie, Odmowa, Indeterminate), które informują operatorów ludzkich. Nie wykonuje autonomicznie konsekwencji, nie aktywuje działań i nie egzekwuje wyników bez jawnej konfiguracji. W trybach Observe i Shadow system jest wyłącznie doradczy. W trybie Enforce bramka stosuje decyzje dostępowe (200/403/409), ale nie wykonuje logiki biznesowej — deleguje działanie do systemu wywołującego. Ta separacja spełnia wymogi nadzoru ludzkiego EU AI Act i analogicznych ram regulacyjnych.

Domyślne fail-closed

Gdy system nie jest w stanie zewaluować decyzji — upstream PDP nieosiągalny, błąd wewnętrzny lub brakujące dowody — domyślnie przełącza się na DENY (Odmowa) zamiast ALLOW (Zezwolenie). Tryb awaryjny jest konfigurowalny (OPA_FAIL_MODE), ale domyślnie ustawiony na closed. Fail-open jest dostępny dla środowisk niekrytycznych, ale nie jest zalecany w produkcji. Każde zdarzenie błędu jest rejestrowane w dzienniku audytu z pełnym kontekstem.

Ewaluacja deterministyczna

Każda ewaluacja przy identycznych danych wejściowych, wersji polityki i zbiorze dowodów generuje identyczny wynik. System nie stosuje wag heurystycznych, inferencji probabilistycznej ani interpretacji kontekstowej. Determinizm jest właściwością strukturalną silnika rozstrzygania, a nie opcją konfiguracyjną. Gwarantuje to, że wyniki są reprodukowalne w czasie, środowiskach i pomiędzy operatorami.

Rozstrzyganie oparte na dowodach

Decyzje są podejmowane wyłącznie na podstawie zarejestrowanego dowodu. Żadne zewnętrzne źródło danych, domniemane założenie ani niezarejestrowane dane wejściowe nie mogą wpływać na wynik ewaluacji. Dowody muszą być jawnie przesłane, zanim będą mogły uczestniczyć w procesie decyzyjnym. To powiązanie gwarantuje, że każda decyzja może być niezależnie zweryfikowana poprzez zbadanie dowodów, które ją wygenerowały.

Jurysdykcja i zakotwiczenie prawne

Infrastruktura działa w ramach jurysdykcji szwajcarskiej. Rezydencja danych, zobowiązania umowne i rozstrzyganie sporów podlegają prawu szwajcarskiemu. Dane nie są celowo przekazywane poza Szwajcarię. Ramy prawne zapewniają stabilne, dobrze zdefiniowane środowisko regulacyjne dla instytucji działających na rynkach europejskich.

Ciągłość operacyjna

Infrastruktura jest zaprojektowana dla ciągłej dostępności bez zależności od usług zewnętrznych w zakresie podstawowych funkcji oceny. Weryfikacja licencji odbywa się offline za pomocą Ed25519 z osadzonym materiałem klucza publicznego. Ocena ewaluacyjna nie wymaga połączenia sieciowego z punktami końcowymi zewnętrznymi. Dzienniki audytu są append-only i przechowywane lokalnie. Te właściwości zapewniają, że infrastruktura decyzyjna pozostaje operacyjna nawet w przypadku przerw w łączności sieciowej lub awarii usług podmiotów trzecich.

Zapoznaj się z pełnym modelem bezpieczeństwa

Zasady governance są wzmocnione strukturalnymi kontrolami bezpieczeństwa udokumentowanymi w architekturze bezpieczeństwa.

Architektura bezpieczeństwa

Zgodność z EU AI Act

Powyższe zasady governance bezpośrednio przekładają się na wymagania techniczne EU AI Act. Poniższa tabela przedstawia tę korespondencję.

Zasada governance	Wymóg EU AI Act
Advisory-only z założenia	Art. 14 — Nadzór ludzki: systemy AI muszą być zaprojektowane tak, aby operatorzy ludzcy mogli nadpisywać, interweniować lub zatrzymywać system.
Domyślne fail-closed	Art. 9 — Zarządzanie ryzykiem: systemy muszą implementować środki ograniczające ryzyko. Fail-closed zapobiega nieautoryzowanemu dostępowi w niejednoznacznych warunkach.
Ewaluacja deterministyczna	Art. 13 — Przejrzystość: dane wyjściowe muszą być interpretowalane i identyfikowalne. Ewaluacja deterministyczna gwarantuje, że identyczne dane wejściowe generują identyczne, wyjaśnialne wyniki.
Rozstrzyganie oparte na dowodach	Art. 12 — Obowiązek rejestracji: systemy AI wysokiego ryzyka muszą utrzymywać wystarczające dzienniki umożliwiające monitoring i audyt post-hoc.
Jurysdykcja i zakotwiczenie prawne	Art. 13 — Przejrzystość: dostawcy muszą być informowani o możliwościach, ograniczeniach i obowiązujących ramach prawnych systemu.
Ciągłość operacyjna	Art. 9 — Zarządzanie ryzykiem: systemy muszą być odporność na przerwy operacyjne. Weryfikacja licencji offline i domyślne fail-closed zapewniają ciągłość.

Niniejsze zestawienie służy wyłącznie celom informacyjnym. Nie stanowi porady prawnej ani certyfikacji. Prosimy o konsultację z wykwalifikowanym doradcą prawnym w sprawie obowiązków zgodności specyficznych dla Państwa organizacji.