Compliance & raportowanie

Legal/Compliance Engine (Moduł 6) i Faza 5 łańcucha reagowania. Silnik przekłada sklasyfikowany incydent na obowiązki regulacyjne, generuje szablony raportów do organów z zachowaniem terminów ustawowych i utrzymuje audytowalny rejestr decyzji. Doktryna: claim ≤ proof — żaden raport nie wychodzi bez powiązanego łańcucha dowodowego.

1. Flagi prawne — słownik

Classification Engine ustawia poniższe flagi boolean na rekordzie incydentu. Każda flaga aktywna uruchamia odpowiedni szablon raportu i zegar terminu.

RAMKA/NORMA Powyższe to interpretacja obowiązków na podstawie publicznie znanej treści regulacji — nie porada prawna dla konkretnego stanu faktycznego.

2. Szablony raportów do organów

2.1 AI Act art. 73 — poważny incydent (serious incident)

RAMKA/NORMA AI Act przewiduje niezwłoczne zgłoszenie po ustaleniu związku przyczynowego (lub jego rozsądnego prawdopodobieństwa), z terminami zależnymi od skali skutku. System nie zastępuje oceny prawnej dostawcy.

2.2 NIS2 — trójstopniowa ścieżka zgłoszeniowa

RAMKA/NORMA Ścieżka 24h/72h/1 mies. odwzorowuje reżim art. 23 NIS2. W trakcie trwania incydentu możliwe raporty pośrednie na żądanie organu.

2.3 RODO art. 33 / 34 — naruszenie ochrony danych

3. Workflow DPO / Legal

1. Trigger: incydent otrzymuje flagę GDPR_PERSONAL_DATA → automatyczne przypisanie roli Legal/DPO.
2. Ocena naruszenia: DPO decyduje, czy zdarzenie to GDPR_BREACH (utrata poufności/integralności/dostępności). Decyzja + uzasadnienie zapisane w rejestrze.
3. Zegar 72h: od stwierdzenia naruszenia system odlicza termin art. 33; widoczny licznik na Legal Board.
4. Ocena ryzyka dla osób: jeśli wysokie ryzyko → uruchomienie ścieżki art. 34.
5. Draft + wysyłka: szablon wypełniony danymi z Evidence Layer; DPO zatwierdza, Operator wysyła.
6. Zamknięcie: potwierdzenie doręczenia + numer sprawy organu dopięte do rekordu.

4. Rejestr decyzji human-in-the-loop

Każda decyzja wpływająca na reżim prawny lub działanie wysokiego ryzyka jest logowana weryfikowalnie (kto, kiedy, na jakiej podstawie dowodowej). To fundament audytowalności wobec KNF, PUODO, organu nadzoru rynku AI.

Powyższe wiersze to SYMULACJA — dane demonstracyjne ilustrujące strukturę rejestru, nie rzeczywiste decyzje.

5. Eksport dowodowy

Silnik generuje paczkę dowodową dołączaną do każdego raportu. Integralność zapewnia hash łańcuchowy (chain-of-custody), tak by materiał był użyteczny w postępowaniu przed organem lub sądem.

POST /api/incidents/:id/export
{
  "format": "evidence-bundle",     // pdf-signed | json-manifest | evidence-bundle
  "include": ["timeline","evidence","classification","decisions","report"],
  "seal": "sha256-chain",          // hash każdego artefaktu + hash zbiorczy
  "recipient": "CSIRT | PUODO | market-surveillance"
}
--> 200 { "bundle_id":"EXB-0091", "sealed_hash":"…", "artifacts": 14 }

6. Kalendarz terminów (ramki norm)

RAMKA/NORMA Kalendarz odwzorowuje terminy ustawowe, nie odnosi się do żadnego rzeczywistego incydentu. Zegary uruchamiają się dopiero po sklasyfikowaniu realnego zdarzenia.

7. Kontekst AI Act — harmonogram obowiązywania

8. Definicja ukończenia v1.0 (Legal/Compliance Engine)

1. Słownik 9 flag prawnych z definicjami operacyjnymi — GOTOWE.
2. Mapowanie flaga → reżim → termin → organ — GOTOWE.
3. Szablon AI Act art. 73 (serious incident) — GOTOWE.
4. Ścieżka NIS2 24h / 72h / raport końcowy — GOTOWE.
5. Szablony RODO art. 33 (PUODO) i art. 34 (osoby) — GOTOWE.
6. Workflow DPO z zegarem 72h — GOTOWE.
7. Rejestr decyzji human-in-the-loop (weryfikowalny) — GOTOWE.
8. Eksport dowodowy z chain-of-custody (hash łańcuchowy) — GOTOWE.
9. Kalendarz terminów jako ramki norm (nie incydenty) — GOTOWE.
10. Integracja z Classification Engine (odczyt flag) — DO WPIĘCIA (interfejs zdefiniowany).
11. Integracja z Evidence Board (źródło artefaktów) — DO WPIĘCIA.
12. Kontekst AI Act (art. 50 / Aneks III odroczenie) udokumentowany — GOTOWE.
13. Doktryna claim ≤ proof egzekwowana w eksporcie — GOTOWE.

Powiązane: Legal Board · Classification Engine · Evidence Board · Playbook AI Act · Playbook wyciek danych · Demo bankowe