Saltar para o conteúdo principal
A maior parte do trabalho de compliance de IA é trabalho de evidência: provar que os controles que um framework pede estão de fato rodando no caminho que seus agentes usam, e entregar ao auditor algo que ele possa verificar sem ter que confiar na sua palavra. O OrcaRouter transforma um framework em um conjunto de controles em funcionamento e em um relatório assinado em poucos passos — você instala um pack, observa-o em observe mode, depois liga o enforcement e gera evidência. Esta página é o hub. Ela explica as partes móveis e leva à página dedicada de cada uma.

​
1. O que compliance de IA significa no gateway

Um pack de compliance é um framework expresso como controles. Instalar um pack materializa dois objetos reais e editáveis no seu workspace:
  • um Guardrail — os controles do plano de conteúdo (PII, segredos, saída insegura) que o framework espera em requisições e respostas;
  • uma política de Firewall e suas regras — os controles do plano de ação (quais chamadas de ferramenta, dispatches de MCP e destinos de egress são permitidos).
Como os objetos são reais, o pack não é um checkbox — é a mesma maquinaria de guardrail e firewall que o resto do seu workspace usa, marcada para o framework para que os relatórios possam ler seu estado.
Navegar pelo catálogo, pelos packs instalados e pela prontidão é aberto a todo Member do workspace e é gratuito. Instalar um pack e ir ao ar exigem Admin do workspace e um plano pago. Gerar um relatório também é Admin — o plano gratuito inclui um relatório PDF; exports CSV/JSON e relatórios adicionais exigem um plano pago. Definir a residência é gated por Admin. Veja Plan gating.

​
2. Observe antes de aplicar

Um pack recém-instalado cai em observe mode: as ações do guardrail são forçadas para flag (anota, não bloqueia) e a política de firewall roda em shadow (ela registra [shadow] would … em vez de negar). Nada do que seus agentes fazem é interrompido enquanto você aprende o que os controles teriam capturado. Quando os feeds de correspondência e de eventos parecem limpos, você vai ao ar — os mesmos objetos passam para enforcement real. Esse arco de observar-depois-aplicar é o hábito mais importante na adoção de compliance, e tem sua própria página.

Observe vs enforce

O arco completo de rollout — o que o observe mode registra, como o go-live o vira e como ler o sinal antes de se comprometer.

O que um pack contém

Os objetos exatos de guardrail e firewall que um pack materializa, e como eles mapeiam para os controles do framework.

​
3. Escolha um framework

O catálogo cobre frameworks gerais de segurança e governança de IA (soc2, iso_27001, iso_42001, nist_ai_rmf, eu_ai_act, owasp_llm), regimes setoriais (hipaa, pci_dss, glba, nist_800_53) e um amplo conjunto de leis regionais de privacidade (gdpr, uk_gdpr, ccpa e mais). Navegue pela lista ao vivo em vez de codificá-la fixamente.

SOC 2

HIPAA

GDPR

EU AI Act

ISO 27001

ISO 42001

NIST AI RMF

OWASP LLM Top 10

PCI DSS

CCPA

Todos os frameworks

Matriz de controles

​
4. Instale um pack (um fluxo concreto)

A instalação roda no console em Compliance → Catalog, como Admin do workspace. A ação é gated no servidor para um plano pago; ela materializa os objetos de guardrail e firewall em observe mode. O console conduz essa rota de gerenciamento por você (ela usa sua sessão, não uma chave de relay): 
POST /api/compliance/packs/soc2/install
Authorization: Bearer <your console session>
Após a instalação, abra Readiness para ver quais controles estão satisfeitos, observe os feeds por uma semana, depois vá ao ar. A página Instale um pack percorre a sequência completa; Exporte evidência cobre o que sai do outro lado.
As leituras ficam abertas a Members para que seus revisores de segurança e auditoria possam acompanhar a prontidão sem acesso de escrita. Só o Admin que detém o rollout precisa da capacidade de instalar e ir ao ar.

​
5. Relatórios assinados e verificáveis

Um relatório de compliance é evidência em que um auditor pode confiar sem confiar em você. Cada relatório carrega um hash de conteúdo SHA-256 e uma assinatura Ed25519 sobre esse hash, e é exportável como CSV, JSON ou PDF. A assinatura é verificável publicamente — qualquer pessoa com o relatório e a chave pública do OrcaRouter pode confirmar que ele não foi alterado.
Um Admin do workspace gera o relatório; ele é hasheado e assinado na criação. Veja Relatório assinado.
Busque a chave pública em GET /api/public/compliance/pubkey e faça POST /api/public/compliance/verify do relatório — nenhuma conta necessária. Veja Verifique um relatório.
Cunhe um link somente-leitura que seu auditor abre em GET /api/public/compliance/share/:token — com escopo de um relatório, sem login. Veja Exporte evidência.

​
6. Residência de dados para evidência

A residência no gateway governa onde seus relatórios de compliance assinados são armazenados e servidos — não onde a inferência roda. Cada relatório é carimbado com a sua região declarada, e um relatório só é servido sob uma região declarada correspondente; uma leitura cross-region é retida. A região é uma entre us, eu, uk, ap, cn ou global, definível por um Admin do workspace: 
PUT /api/compliance/residency
Authorization: Bearer <your console session>

{ "region": "eu" }
A residência é uma propriedade do artefato de relatório, não uma garantia de que o tráfego de modelo está geo-fixado. Se uma regulação exige que a inferência permaneça em uma região, isso é uma decisão de roteamento upstream, separada de onde a evidência reside.

Residência de dados

Defina e altere a região sob a qual sua evidência é armazenada e servida.

Leituras cross-region

Por que um relatório carimbado com uma região não serve sob outra, e como lidar com programas multi-região.

​
7. Retenção e apagamento

Dois relógios importam para o compliance de IA, e ambos têm padrões observáveis pelo cliente:
SujeitoPadrãoLimite rígido
Retenção de log de requisição30 dias180 dias (server-clamped)
Carência de exclusão de usuário30 dias, depois scrub de PII—
O direito ao apagamento é embutido: uma autoexclusão inicia uma janela de carência de 30 dias, após a qual a PII é apagada e o cascade purga as correspondências de guardrail, os logs de requisição e os eventos de firewall. As páginas Retenção, Direito ao apagamento e Consentimento cobrem a mecânica de DSAR.

​
8. Onde isto se encaixa

O compliance lê os mesmos controles que o resto do modelo de segurança configura. Se você está chegando aqui primeiro, comece pelos conceitos:

Responsabilidade compartilhada

O que o gateway protege versus o que continua sendo seu — o mapa de fronteira honesto para qualquer afirmação de compliance.

Modos de enforcement

Observe, audit e enforce — o vocabulário compartilhado por trás do go-live.

A pilha de controle

Chaves, guardrails, firewall e auditoria como uma única imagem.

Glossário

Pack, prontidão, residência, atestação e o resto dos termos.
Um programa de compliance no OrcaRouter é o mesmo loop toda vez: instale o pack, observe o que ele captura, vá ao ar e entregue ao seu auditor um relatório assinado que ele mesmo possa verificar.