Passer au contenu principal
Une checklist de framework est une liste de clauses. Un pack de conformité est la même checklist, chaque clause câblée à un contrôle qui tourne réellement sur la passerelle. Lorsque vous installez un pack, OrcaRouter lit sa correspondance clause-vers-contrôle et matérialise des objets de politique réels et éditables dans votre espace de travail — de sorte que « SOC 2 CC6.1 » cesse d’être une ligne dans un tableur et devient un guardrail qui bloque les PII confidentielles avant qu’elles n’atteignent le modèle. Cette page explique ce que contient un pack de conformité IA, comment ses deux plans d’application correspondent aux clauses, et la traçabilité de provenance qui permet à un auditeur de remonter de n’importe quelle clause jusqu’à la politique exacte qui l’applique. Pour le flux d’installation et le rapport signé, suivez les liens à la fin.

​
1. Un pack est une correspondance clause-vers-contrôle, pas une nouvelle application

Un pack ne livre aucun nouveau moteur d’exécution. Chaque contrôle qu’il porte réutilise la même machinerie Guardrails et Firewall que vous configurez déjà à la main — un pack est la correspondance rédigée qui dit quel contrôle existant satisfait quelle clause. Chaque pack s’étend sur deux plans d’application :

Plan guardrail

Les contrôles de texte / données — les clauses sur les données confidentielles, la divulgation de PII, la défense contre l’injection ou les divulgations requises correspondent à des règles guardrail (pii, regex, llm_judge, et consorts) avec une action block, mask ou flag.

Plan firewall

Les contrôles d’appels d’outils — les clauses sur l’agence excessive, les actions dangereuses ou l’egress correspondent à des règles firewall avec un verdict allow / audit / deny sur la surface inbound, response, mcp ou egress.
Installer le pack fusionne ses contrôles sélectionnés en un guardrail et une politique firewall, tagués avec la provenance du pack, de sorte qu’ils co-appliquent à travers le résolveur normal et que chaque attachement et chemin d’historique existant continue de fonctionner.
Un pack ne couvre que les contrôles applicables par la passerelle. Les clauses organisationnelles — formation du personnel, Business Associate Agreements, accès physique — ne peuvent jamais être appliquées par un proxy, donc le rapport les divulgue comme des lacunes (ou comme attestées par le propriétaire) plutôt que de revendiquer une fausse couverture. Voir la matrice de contrôles.

​
2. Une clause, de bout en bout — un exemple concret

Prenez le pack SOC 2. Il fait correspondre trois clauses Trust Services à trois contrôles vivants :
ClausePlanContrôle
CC6.1 Accès logiqueguardrailbloquer les PII confidentielles dans les prompts
CC7.2 Surveillance du systèmeguardrailenregistrer chaque décision de guardrail comme preuve
CC7.2 Détection d’anomaliesfirewallauditer chaque dispatch d’outil
Vous l’installez depuis la console — Compliance → Catalog → SOC 2 → Install — ce qui est réservé à l’Admin de l’espace de travail et appelle POST /api/compliance/packs/soc2/install pour vous sous votre session console. Vous ne remettez jamais une clé de relais sk-orca-… à une route de configuration ; le contenu et la politique vivent entièrement derrière votre connexion console. Après l’installation, la ligne CC6.1 n’est plus de la prose — c’est une règle de guardrail que vous pouvez ouvrir, lire et ajuster comme n’importe quelle autre.

​
3. Traçabilité de provenance — de la clause à la politique appliquante

La raison pour laquelle un pack est auditable est que le lien entre une clause et la politique qui l’applique est enregistré, pas implicite. Chaque contrôle que le pack matérialise porte :
Un control_id stable (par ex. soc2.confidentiality) et le texte verbatim de la clause (TSC CC6.1 Logical access controls), plus un lien source officiel pour qu’un auditeur lise la réglementation, pas seulement notre paraphrase.
Si le contrôle vit sur le plan guardrail ou firewall, et l’id de la politique guardrail ou firewall exacte que l’installation a matérialisée. Cet id est ce qui relie une ligne du rapport à un objet vivant et éditable dans votre espace de travail.
covered, observe, gap ou attested — et, sur la période du rapport, combien de fois ce contrôle s’est réellement déclenché. Une clause avec zéro correspondance et une clause qui a bloqué 4 000 requêtes se lisent différemment pour un auditeur, et le rapport montre les deux.
Chaque pack porte une ligne MappedBy — qui a rédigé la correspondance clause-vers-contrôle, sa version, et l’avertissement honnête qu’elle ne couvre que les contrôles applicables par la passerelle et n’est pas elle-même une certification. Cette ligne est estampillée sur la couverture du rapport signé.
Mis bout à bout, voici la lignée qu’un auditeur parcourt : clause → id de contrôle → politique guardrail ou firewall appliquante → les correspondances qu’elle a produites cette période → qui a rédigé la correspondance. Aucune étape n’est inférée.
La même matrice de couverture alimente à la fois la console et le rapport, de sorte que les deux ne peuvent jamais dériver silencieusement. Une clause que le framework attend mais qu’aucun pack installé ne couvre s’affiche toujours comme une lacune divulguée sur les deux surfaces.

​
4. Observez d’abord, puis appliquez

Un pack ne commence pas à bloquer le trafic au moment où vous l’installez. Les installations atterrissent en mode observe : les actions de guardrail sont contraintes à flag et la politique firewall tourne en shadow (log seul). Le pack produit des preuves « aurait bloqué » pour que vous puissiez voir exactement ce qu’il ferait contre le trafic réel avant qu’il ne le fasse. Lorsque vous êtes satisfait, un Admin de l’espace de travail appelle le passage en production, qui restaure les actions déclarées des contrôles (mask / block / deny) et promeut optionnellement les politiques matérialisées en défaut de l’espace de travail. C’est la même discipline observe-puis- applique décrite dans Observer vs appliquer.
Parcourir le catalogue, les packs installés et la readiness est ouvert à chaque membre de l’espace de travail et est gratuit. Installer un pack et passer en production sont des actions réservées à l’Admin de l’espace de travail qui requièrent un plan payant — le serveur applique les deux barrières, donc un viewer ou un espace de travail gratuit ne peut pas matérialiser une application en appelant l’API directement. Générer un rapport est aussi réservé à l’Admin : le plan gratuit inclut un rapport PDF, tandis que les exports CSV/JSON et les rapports supplémentaires requièrent un plan payant. Définir la résidence des données est aussi réservé à l’Admin de l’espace de travail, mais n’est pas lui-même derrière un paywall.

​
5. Ce qu’un pack ne contient pas

Pour garder la frontière honnête :
  • Aucune certification. Un pack fait correspondre vos contrôles de passerelle aux clauses d’un framework et produit des preuves signées. Ce n’est pas un audit, une attestation de toute votre organisation, ni un conseil juridique.
  • Aucun contrôle organisationnel. Les clauses de personnes-et-processus sont remontées comme des lacunes divulguées ou des attestations de propriétaire, jamais comme une couverture automatisée.
  • Aucun catalogue magique. Les frameworks du catalogue sont ceux qui ont une correspondance rédigée — SOC 2, HIPAA, GDPR / UK GDPR, l’EU AI Act, ISO 27001 / 42001, NIST AI RMF, PCI DSS, l’OWASP LLM Top 10, et les lois régionales sur la vie privée. Parcourez l’ensemble en direct sur Frameworks.

​
6. Où aller ensuite

Installer un pack

Le flux d’installation complet — sélection des contrôles, mode observe et passage en production.

Le rapport signé

Ce que contient le rapport de preuves signé Ed25519 et comment la lignée se restitue pour un auditeur.

Matrice de contrôles

Chaque clause, son plan, et si elle est couverte, observée, une lacune ou attestée.

Guardrails vs Firewall

Les deux plans dans lesquels un pack écrit, et comment le résolveur les exécute ensemble.
Un pack de conformité est le pont entre le langage d’un régulateur et l’application de la passerelle : il fait correspondre chaque clause à un contrôle réel, matérialise ce contrôle en une politique que vous possédez et pouvez ajuster, et enregistre la lignée pour que les preuves résistent à l’inspection.