Conformité réglementaire
Conçu pour les auditeurs, pas contre eux. Chaque décision architecturale a été prise sous l'angle de la conformité réglementaire — pas ajustée a posteriori.
Approche Compliance
AIMOS satisfait les exigences de protection des données et de sécurité non pas par un ajustement a posteriori, mais par des décisions architecturales. Trois principes de conception traversent l'ensemble du système :
Tout le traitement sur votre serveur. Aucun octet ne quitte votre réseau — sauf si vous l'autorisez explicitement.
L'agent prépare, l'humain valide. Aucun envoi automatique, aucune réservation automatique.
Piste d'audit complète : qui a demandé quoi et quand, quel outil a été utilisé, quelle réponse a été obtenue.
Protection des données UE
AIMOS satisfait le RGPD non pas par un ajustement a posteriori, mais par des décisions architecturales — Privacy by Design.
EU AI Act
Classification des risques · Transparenz · Supervision humaine · Dokumentation
Réglementation UE
Le règlement européen sur l'IA (UE) 2024/1689 entre progressivement en vigueur et concerne chaque entreprise utilisant des systèmes d'IA. AIMOS est architecturalement conçu pour la conformité — pas ajusté a posteriori.
AIMOS-Agenten sind systèmes d'assistance avec supervision humaine (Human-in-the-Loop). Aucune décision autonome concernant des personnes, aucune surveillance biométrique, aucune fonction de scoring social. Ils entrent ainsi dans la catégorie « risque limité » — pas « haut risque ».
Art. 50: Nutzer müssen wissen, dass sie mit einer KI interagieren. Jeder AIMOS-Agent identifiziert sich in seinem System-Prompt als KI-Assistent. Alle Aktionen sind im Piste d'audit nachvollziehbar.
Art. 14: Les Execution Rings garantissent qu'aucun agent n'exécute d'actions critiques de manière autonome. Les réservations, e-mails et commandes sont présentés sous forme de brouillon — l'humain décide.
Art. 11 : Architecture du système, flux de données, description du modèle, indicateurs de performance et évaluation des risques sont documentés et consultables. Licence MIT : accès intégral au code source.
Art. 12: Chaque action d'agent est journalisée — appels d'outils, requêtes LLM, consommation de tokens, chaînes de décision. Pistes d'audit inaltérables avec IDs de session et horodatages.
Art. 10: Les données d'entraînement et de traitement ne quittent pas le SovereignNode. Le PII-Vault anonymise automatiquement les appels API externes. Aucune dépendance cloud.
Les services d'IA cloud doivent, en tant que „General Purpose AI” (GPAI) satisfaire des exigences plus strictes. AIMOS utilise un modèle open source exploité localement — les obligations GPAI incombent au fournisseur du modèle (Alibaba/Qwen), pas à l'exploitant.
Conformité aux normes
ISO 9001 & 27001 · GoBD
Conformité aux normes
AIMOS soutient les exigences des deux normes grâce à des mécanismes intégrés.
Comptabilité
Les GoBD (principes de tenue et de conservation régulières des livres, enregistrements et documents sous forme électronique) imposent des exigences particulières aux systèmes assistés par IA.
AIMOS résout cela par une séparation architecturale stricte :
Les agents préparent les écritures comptables (brouillon). La validation est effectuée exclusivement par des collaborateurs autorisés dans le système cible (ETA V8, DATEV, etc.). Aucun LLM n'a de droits de transaction.
Les actions Ring 2 (accès en écriture) nécessitent une activation explicite. Les opérations comptables nécessitent toujours une validation humaine — imposé par l'architecture, pas par une politique.
Protection des données par la technique
PII-Vault · Piste d'audit · Execution Rings · Token-Tracking
Souveraineté des données
Toutes les données restent sur votre SovereignNode. Aucun octet ne quitte votre réseau — sauf si vous l'autorisez explicitement.
Moteur de protection des données
Automatische Anonymisierung personenbezogener Daten vor jedem externen API-Aufruf.
Les mappings sont liés à la session et ne sont pas stockés de manière persistante
Détection via Regex-Patterns et Named Entity Recognition
Chaque anonymisation est documentée dans le journal d'audit
Journalisation
Chaque action d'agent est consignée sans lacune. La piste d'audit capture six types d'événements :
{
"id": 42847,
"timestamp": "2026-03-22T14:32:17.445Z",
"session_id": "ses_7f3a2b91",
"agent": "logistik",
"event_type": "TOOL_START",
"tool": "sql_query",
"ring": 1,
"params": {
"connector": "uyumsoft_db",
"query": "SELECT item, qty FROM stock WHERE qty < 10"
},
"user_id": "tg_12345",
"pii_anonymized": false
}{
"event_type": "LLM_USAGE",
"session_id": "ses_7f3a2b91",
"model": "qwen3.5:27b",
"prompt_tokens": 2847,
"completion_tokens": 312,
"total_tokens": 3159,
"latency_ms": 4280,
"cognitive_balance": 3
}Contrôle d'accès
Wie Execution Rings unautorisierte Aktionen verhindern.
Surveillance des ressources
Chaque appel LLM est documenté avec la consommation exacte de tokens, le nom du modèle et la latence.
Décomposition exacte en prompt_tokens et completion_tokens par requête.
Chaque requête LLM est enregistrée avec latency_ms, y compris le nom du modèle et le contexte de session.
Verbleibende LLM-Aufrufe pro Session werden als cognitive_balance mitgeführt.
Démontrabilité
Traçabilité complète de chaque décision assistée par IA.
Chaque appel LLM est documenté avec la consommation exacte de tokens (Prompt + Completion), nom du modèle et latence.
De la requête utilisateur aux appels d'outils jusqu'à la réponse — chaque étape est traçable avec horodatage et Session-ID.
Mappings d'anonymisation liés à la session. Traçable, quelles données ont été anonymisées et dé-anonymisées quand.
Licence MIT : les auditeurs peuvent examiner chaque ligne de code. Pas de boîte noire, pas de logique propriétaire.