Des packs de preuve, pas de la doc morte.
La conformité de runward était du cadrage. Elle devient un livrable : runward compliance transforme ton travail de conformité en un dossier de preuve cadré par régime, prêt à remettre, et interopérable. Déterministe, read-only, zéro-LLM, jamais un claim de conformité.
La commande runward compliance <regime>
Elle lit tes artefacts réels au repos (couverture OWASP ASI, statut de conformité, journal d'ADR, modèle de menace) et assemble un « assessment-readiness draft » cadré au régime :
- ISO/IEC 42001 : les colonnes statut + pointeur de preuve du Statement of Applicability, les records risque et décision.
- NIST AI RMF : une crosswalk ASI vers les sous-catégories, la documentation MEASURE/TEVV.
- EU AI Act : une carte de l'Annexe IV, où ton journal d'ADR est un quasi-verbatim de la partie « choix de conception » du Point 2.
Et surtout, elle signale explicitement les trous que toi seul peux combler : applicabilité, acceptation du risque, sign-off management, déclaration de conformité UE. La machine remplit ce qu'elle peut, te dit ce qui reste.
OSCAL : la preuve devient interopérable
Chaque run écrit aussi un OSCAL component-definition (le standard machine-readable de la preuve de contrôles), avec des UUID déterministes pour des re-runs à l'identique. La preuve d'ingénierie de runward coule dans les outils GRC et les workflows d'auditeurs (Vanta, Drata) plutôt que de les concurrencer. runward est une couche de provenance amont, pas une plateforme.
Le moat : personne d'autre ne dérive la preuve d'un journal de décisions ratifié par l'humain. Les autres scrappent l'état live ou font rédiger par un LLM. runward assemble depuis des artefacts ratifiés, jamais un draft de modèle.
Honnête par construction : un draft, une preuve d'appui, jamais « compliant » ni « certified ». Décidé avant le code (ADR-0016), prouvé par la suite de tests.
Installer : npx runward init
Release v0.11.0 sur GitHub · CHANGELOG
← Toutes les nouveautés