ความเป็นส่วนตัวทั่วโลกและการปฏิบัติตามข้อกำหนด

EDDI มีการปฏิบัติตามข้อกำหนดในตัวสำหรับ GDPR, CCPA, EU AI Act, HIPAA, PIPEDA, LGPD, APPI, POPIA, PDPA PDPA มาเลเซีย, PIPL และอื่นๆ — พร้อมการลบข้อมูลแบบ Cascade, Cryptographic Audit Trails และ API รวม

เริ่มต้น → ดูบน GitHub ↗

ความเป็นส่วนตัวทั่วโลกและการปฏิบัติตามข้อกำหนด

การปฏิบัติตามข้อกำหนดจากสถาปัตยกรรม

อุตสาหกรรมที่ถูกกำกับดูแลไม่สามารถเพิ่มการปฏิบัติตามข้อกำหนดลงในระบบ AI ภายหลัง EDDI ฝังรากฐานทางเทคนิคเพื่อการปฏิบัติตามข้อกำหนดทั่วโลกลงในสถาปัตยกรรมแพลตฟอร์มโดยตรง — Immutable Audit Trails, การลบข้อมูลแบบ Cascade, ข้อจำกัดการประมวลผล, ความถูกต้องของการเข้ารหัส และ Role-Based Access Control เป็นความสามารถหลัก ไม่ใช่ส่วนเพิ่ม API รวมเดียวครอบคลุมสิทธิ์ของเจ้าของข้อมูลทุกเขตอำนาจศาล

กรอบงาน AI Governance

เมื่อรัฐบาลทั่วโลกแนะนำกฎหมายเฉพาะ AI องค์กรต้องการแพลตฟอร์มที่ให้ความโปร่งใส การตรวจสอบย้อนกลับ และการกำกับดูแลของมนุษย์ตั้งแต่วันแรก สถาปัตยกรรมของ EDDI ตอบสนองข้อกำหนดทางเทคนิคหลักของกรอบงาน AI Governance หลัก

EU AI Act — สหภาพยุโรป

EU AI Act (ข้อบังคับ 2024/1689) เป็นกฎหมาย AI ครอบคลุมฉบับแรกของโลก กำหนดข้อกำหนดตามความเสี่ยงสำหรับระบบ AI EDDI ให้รากฐานทางเทคนิคสำหรับการปฏิบัติตามข้อกำหนดระบบ AI ที่มีความเสี่ยงสูง:

Immutable Audit Trails — ทุกการดำเนินงานถูกบันทึกด้วยความถูกต้องเข้ารหัส HMAC-SHA256 (มาตรา 12 — การเก็บบันทึก)
ความโปร่งใสในการตัดสินใจ — Pipeline tracing แบบเต็มแสดงว่าการตัดสินใจ AI ถูกทำอย่างไร รวมถึงชื่อโมเดล, prompt และ response (มาตรา 13 — ความโปร่งใส)
การกำกับดูแลของมนุษย์ — Management UI เปิดให้มนุษย์ตรวจสอบ แทรกแซง และหยุดฉุกเฉิน (มาตรา 14 — การกำกับดูแลของมนุษย์)
การจัดประเภทความเสี่ยง — สถาปัตยกรรมรองรับข้อกำหนดระบบ AI ความเสี่ยงสูงด้วยการควบคุมที่กำหนดค่าได้ (มาตรา 9 — การจัดการความเสี่ยง)
การทำซ้ำได้ — Config-as-Code เปิดให้ทำซ้ำพฤติกรรม AI ได้แม่นยำสำหรับการตรวจสอบกำกับดูแล (มาตรา 17 — การจัดการคุณภาพ)
Data Governance — OIDC/Keycloak RBAC, Vault-based secret management, การบันทึก input/output (มาตรา 10 — Data Governance)

NIST AI Risk Management Framework — สหรัฐอเมริกา

NIST AI RMF (AI 100-1) มีกรอบงานสมัครใจสำหรับการจัดการความเสี่ยง AI ผ่านสี่ฟังก์ชัน: Govern, Map, Measure และ Manage สถาปัตยกรรม EDDI ให้ความสามารถทางเทคนิคสนับสนุนองค์กรที่ต้องการสอดคล้อง NIST AI RMF:

Govern — RBAC roles (eddi-admin, eddi-editor, eddi-viewer), Immutable Audit Ledger และ documented data flows สนับสนุนโครงสร้าง AI governance
Map — Pipeline tracing และ conversation logging เปิดให้ระบุและจัดทำเอกสารความเสี่ยง AI ครอบคลุม
Measure — Prometheus metrics, token/cost tracking และ per-agent usage analytics ให้ตัวชี้วัดประสิทธิภาพ AI ที่วัดได้
Manage — Processing restriction API, การกำกับดูแลมนุษย์ผ่าน Manager UI และนโยบาย retention ที่กำหนดค่าได้เปิดให้ควบคุมการลดความเสี่ยง

ISO/IEC 42001 — AI Management Systems

ISO/IEC 42001:2023 กำหนดข้อกำหนดสำหรับ AI Management System (AIMS) EDDI ให้ความสามารถทางเทคนิคสนับสนุนการรับรอง ISO 42001:

นโยบาย AI ที่จัดทำเอกสาร — Config-as-Code หมายถึงพฤติกรรมเอเจนต์ทั้งหมดถูกกำหนดใน auditable JSON — rules, workflows, LLM configurations และ deployment descriptors
การประเมินความเสี่ยง — Audit trails จับประวัติการตัดสินใจทั้งหมดสำหรับการประเมินความเสี่ยงและการวิเคราะห์ผลกระทบ
การควบคุมการดำเนินงาน — RBAC, Vault-based secret management และข้อจำกัดการประมวลผลให้ governance เชิงปฏิบัติ
การตรวจสอบประสิทธิภาพ — Prometheus metrics, Grafana dashboards และ CQRS telemetry เปิดให้ประเมินประสิทธิภาพ AI อย่างต่อเนื่อง

กฎหมายความเป็นส่วนตัวของข้อมูล

EDDI ให้จุดเชื่อมต่อสิทธิ์เจ้าของข้อมูลรวมที่ตอบสนองข้อกำหนดทางเทคนิคของกฎหมายความเป็นส่วนตัวหลักทุกฉบับทั่วโลก API เดียวครอบคลุมการลบแบบ cascade, การส่งออกข้อมูลเต็ม และข้อจำกัดการประมวลผล — ไม่ว่าเขตอำนาจศาลใด

GDPR — สหภาพยุโรป / EEA

General Data Protection Regulation (EU 2016/679) เป็นมาตรฐานทองของความเป็นส่วนตัวข้อมูล EDDI ดำเนินการสิทธิ์เจ้าของข้อมูล GDPR เป็นAPI endpoints ระดับ first-class สนับสนุนด้วยการดำเนินการ cascade ข้ามทั้ง 5 data stores:

CCPA / CPRA — แคลิฟอร์เนีย สหรัฐอเมริกา

California Consumer Privacy Act และ California Privacy Rights Act ให้สิทธิ์ผู้บริโภคในการรับรู้ ลบ และปฏิเสธการขายข้อมูล EDDI ตอบสนองข้อกำหนดทางเทคนิค CCPA ผ่าน GDPR-compatible API:

สิทธิ์ในการรับรู้ (§1798.100) — GDPR export endpoint ให้ข้อมูลส่วนบุคคลทั้งหมดในรูปแบบ structured, machine-readable
สิทธิ์ในการลบ (§1798.105) — GDPR erasure endpoint ให้การลบ cascade ข้าม data stores ทั้งหมด
ห้ามขาย (§1798.120) — EDDI ไม่สามารถขายข้อมูลส่วนบุคคลจากสถาปัตยกรรม — เป็น middleware infrastructure ที่ประมวลผลข้อมูลเฉพาะในนามของผู้ deploy

PIPEDA — แคนาดา

PIPEDA ของแคนาดา (2000, แก้ไข 2023) กำกับดูแลการประมวลผลข้อมูลเชิงพาณิชย์ผ่าน 10 หลักการข้อมูลที่เป็นธรรม สถาปัตยกรรม EDDI สอดคล้องกับทุกหลักการ:

ความรับผิดชอบ — Immutable HMAC-signed audit ledger ติดตามทุกการดำเนินงาน
จำกัดการเก็บรวบรวม — Token-aware windowing จำกัดข้อมูลที่ส่งไป LLMs; retention ที่กำหนดค่าได้ลบ conversations เก่าอัตโนมัติ
จำกัดการใช้/เปิดเผย — ข้อมูลใช้เฉพาะสำหรับ agent interactions ที่กำหนดค่า; audit trail บันทึกทุก LLM invocation
มาตรการป้องกัน — AES-256-GCM envelope encryption (Secrets Vault), HMAC-SHA256 audit integrity, Keycloak OIDC, RBAC
การเข้าถึงของบุคคล — การส่งออกข้อมูลเต็มผ่าน REST API ส่งคืน memories, conversations และ managed conversation mappings ทั้งหมดเป็น JSON
การท้าทายการปฏิบัติตามข้อกำหนด — การลบ cascade ข้าม 5 data stores ทั้งหมด; audit trail ถูก pseudonymized (ไม่ถูกลบ) สำหรับข้อผูกพัน retention ทางกฎหมาย

LGPD — บราซิล

Lei Geral de Proteção de Dados ของบราซิล (2018, มีผลบังคับ 2020) ให้สิทธิ์เจ้าของข้อมูลอย่างกว้างขวางสอดคล้องกับ GDPR EDDI ครอบคลุมสิทธิ์มาตรา 18 ทั้งหมดด้วยความสามารถทางเทคนิคในตัว:

การเข้าถึงข้อมูล (มาตรา 18, II) — การส่งออกข้อมูล JSON เต็ม
การแก้ไข (มาตรา 18, III) — User memories อัปเดตได้ผ่าน PUT /usermemorystore/memories
การทำให้ไม่ระบุตัวตน/การลบ (มาตรา 18, IV) — การลบ cascade พร้อม SHA-256 pseudonymization ของ audit records
Data Portability (มาตรา 18, V) — Machine-readable JSON export รวมข้อมูลผู้ใช้ทั้งหมด
การลบข้อมูลที่ไม่จำเป็น (มาตรา 18, VI) — นโยบาย retention ที่กำหนดค่าได้พร้อม automatic cleanup
การถอนความยินยอม (มาตรา 18, IX) — End conversation และ cascade delete endpoints ให้กลไกทางเทคนิค

APPI — ญี่ปุ่น

Act on the Protection of Personal Information ของญี่ปุ่น (2003, แก้ไขสำคัญ 2022) เป็นหนึ่งในกฎหมายคุ้มครองข้อมูลที่สมบูรณ์ที่สุดในเอเชีย ญี่ปุ่นมี EU adequacy decision EDDI ให้:

มาตรการรักษาความปลอดภัย (มาตรา 23) — AES-256-GCM vault encryption, HMAC-SHA256 audit integrity, Keycloak OIDC, RBAC, SSRF protection
การเปิดเผยต่อเจ้าของข้อมูล (มาตรา 33) — การส่งออกข้อมูลเต็มผ่าน REST API
การแก้ไขและการลบ (มาตรา 34-35) — Memory updates สำหรับการแก้ไข; cascade deletion สำหรับการลบ
Pseudonymized Information (แก้ไข 2022) — GDPR erasure ใช้ SHA-256 pseudonymization ตอบสนองหมวด pseudonymized information ของ APPI
Cross-Border Transfer Documentation (มาตรา 28) — LLM provider data flows ถูกจัดทำเอกสาร; audit trail บันทึกว่า model/provider ใดประมวลผลแต่ละ turn

POPIA — แอฟริกาใต้

Protection of Personal Information Act ของแอฟริกาใต้ (2013, มีผลบังคับ 2021) กำหนด 8 เงื่อนไขการประมวลผลข้อมูลสอดคล้องกับมาตรฐาน EU EDDI ให้ความสามารถทางเทคนิคในตัวสำหรับทุกเงื่อนไข:

ความรับผิดชอบ (เงื่อนไข 1) — HMAC-signed audit ledger, documented data flows, Apache 2.0 open-source code
ข้อจำกัดการประมวลผล (เงื่อนไข 2) — Token-aware windowing, configurable retention, idle conversation auto-end
คุณภาพข้อมูล (เงื่อนไข 5) — Timestamped, versioned conversation state; user memories อัปเดตได้ผ่าน REST API
มาตรการรักษาความปลอดภัย (เงื่อนไข 7) — AES-256-GCM encryption, HMAC integrity, Keycloak OIDC, RBAC, SSRF protection
การมีส่วนร่วมของเจ้าของข้อมูล (เงื่อนไข 8) — Full data export และ cascade deletion endpoints

PDPA — สิงคโปร์และไทย

Personal Data Protection Acts ในสิงคโปร์ (2012, แก้ไข 2021) และไทย (2019, มีผลบังคับ 2022) เป็นกรอบงานความเป็นส่วนตัวที่สมบูรณ์ที่สุดของเอเชียตะวันออกเฉียงใต้ EDDI ครอบคลุมข้อผูกพันทางเทคนิคของทั้งสองเขตอำนาจศาล:

หน้าที่ในการเข้าถึง — การส่งออกข้อมูลเต็มผ่าน REST API และ MCP tools
หน้าที่ในการแก้ไข — User memories อัปเดตได้ผ่าน REST API
หน้าที่ในการคุ้มครอง — AES-256-GCM encryption, HMAC audit integrity, Keycloak OIDC, RBAC
ข้อจำกัด Retention — Configurable auto-cleanup พร้อม idle conversation timeout
แจ้งเตือนการละเมิดข้อมูล — Incident response runbook template รวมอยู่ในเอกสาร EDDI

PDPA — มาเลเซีย

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลของมาเลเซีย 2010 (กฎหมายที่ 709, แก้ไข 2024) กำกับดูแลการประมวลผลข้อมูลส่วนบุคคลเชิงพาณิชย์ผ่านหลักการคุ้มครองข้อมูล 7 ประการ EDDI ให้การควบคุมทางเทคนิคเพื่อสนับสนุนการปฏิบัติตามของผู้ deploy:

หลักการทั่วไป (§6) — นโยบายการเก็บรักษาที่กำหนดค่าได้และ endpoint จำกัดการประมวลผลสนับสนุนการประมวลผลที่จำกัดวัตถุประสงค์ตามความยินยอม
หลักการความปลอดภัย (§9) — การเข้ารหัส vault AES-256-GCM, ความสมบูรณ์การตรวจสอบ HMAC-SHA256, Keycloak OIDC, RBAC, การป้องกัน SSRF
หลักการการเก็บรักษา (§10) — การเก็บรักษาที่กำหนดค่าได้ตามหมวดหมู่พร้อมการทำความสะอาดอัตโนมัติ; การสิ้นสุดการสนทนาที่ไม่ได้ใช้งานอัตโนมัติ
หลักการความสมบูรณ์ของข้อมูล (§11) — สถานะการสนทนาที่มีเวอร์ชันพร้อม timestamp; หน่วยความจำผู้ใช้สามารถอัปเดตผ่าน REST API
หลักการการเข้าถึง (§12) — การส่งออกข้อมูลแบบเต็มผ่าน GET /admin/gdpr/{userId}/export ส่งคืนข้อมูลผู้ใช้ทั้งหมดเป็น JSON ที่มีโครงสร้าง
การโอนข้ามพรมแดน (§129) — สถาปัตยกรรมแบบ self-hosted ช่วยให้ผู้ deploy ควบคุมที่พักข้อมูลได้; เส้นทางการตรวจสอบบันทึกการไหลของข้อมูลผู้ให้บริการ LLM ทั้งหมด

PIPL — จีน

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีน (2021) เป็นหนึ่งในกฎหมายคุ้มครองข้อมูลที่ครอบคลุมที่สุดในโลก ควบคุมการประมวลผลข้อมูลส่วนบุคคลของบุคคลภายในจีน EDDI ให้โครงสร้างพื้นฐานทางเทคนิคสำหรับการ deploy ที่สอดคล้องกับ PIPL:

การประมวลผลที่ชอบด้วยกฎหมาย (มาตรา 13) — พฤติกรรม agent ที่ขับเคลื่อนด้วยการกำหนดค่าช่วยให้การประมวลผลอยู่ในวัตถุประสงค์ที่กำหนด; API จำกัดการประมวลผลหยุดกิจกรรมตามคำขอ
สิทธิส่วนบุคคล (มาตรา 44-49) — endpoint การส่งออกข้อมูลเต็มรูปแบบ การลบแบบ cascade และข้อจำกัดการประมวลผลครอบคลุมสิทธิในการรับรู้ คัดลอก แก้ไข ลบ และจำกัด
ความปลอดภัยของข้อมูล (มาตรา 51) — การเข้ารหัส vault AES-256-GCM, ความสมบูรณ์การตรวจสอบ HMAC-SHA256, Keycloak OIDC, RBAC, ศูนย์ eval()
การโอนข้ามพรมแดน (มาตรา 38-39) — สถาปัตยกรรมแบบ self-hosted ช่วยให้ deploy ภายในประเทศจีนได้; เส้นทางการตรวจสอบบันทึกการไหลของข้อมูลภายนอกทั้งหมดสำหรับการประเมินความปลอดภัย
การตัดสินใจอัตโนมัติ (มาตรา 24) — เส้นทางการตรวจสอบที่ไม่เปลี่ยนแปลงพร้อมการติดตาม pipeline แบบเต็มรูปแบบให้ความโปร่งใสในการตัดสินใจ AI; การกำกับดูแลโดยมนุษย์ผ่าน Management UI
การเก็บรักษาข้อมูล (มาตรา 19) — นโยบายการเก็บรักษาที่กำหนดค่าได้พร้อมการทำความสะอาดอัตโนมัติบังคับใช้ระยะเวลาจัดเก็บขั้นต่ำที่จำเป็น

เขตอำนาจศาลเพิ่มเติม

UK GDPR (สหราชอาณาจักร) — สะท้อน EU GDPR อย่างสำคัญ; GDPR endpoints ของ EDDI ตอบสนองสิทธิ์เจ้าของข้อมูล UK GDPR ทั้งหมด กำกับดูแลโดย ICOPIPA (เกาหลีใต้) — ข้อกำหนดความยินยอมเข้มงวด, DPO บังคับ, แจ้งเตือนการละเมิด 72 ชั่วโมง EDDI ให้โครงสร้างพื้นฐาน audit และ erasure ทางเทคนิคDPDPA (อินเดีย, 2023) — กรอบงานตามความยินยอมพร้อมข้อจำกัดข้ามพรมแดน Export และ erasure endpoints ของ EDDI ตอบสนองข้อกำหนด DPDPAPrivacy Act + APPs (ออสเตรเลีย) — 13 Australian Privacy Principles Audit trail และ data export ของ EDDI ครอบคลุมข้อผูกพันทางเทคนิคกฎหมายรัฐรูปแบบ CCPA (Virginia VCDPA, Colorado CPA, Connecticut CTDPA ฯลฯ) — GDPR/CCPA-compatible API ตอบสนองกฎหมายความเป็นส่วนตัวของรัฐ US ที่เกิดขึ้นใหม่ทั้งหมด

การปฏิบัติตามข้อกำหนดเฉพาะอุตสาหกรรม

HIPAA — การแพทย์สหรัฐอเมริกา

Health Insurance Portability and Accountability Act กำหนดมาตรการป้องกันสำหรับ Protected Health Information (PHI) EDDI ให้โครงสร้างพื้นฐานทางเทคนิคสำหรับ HIPAA-compliant AI deployments:

Access Controls (§164.312(a)) — Keycloak OIDC พร้อม role-based access (eddi-admin, eddi-editor, eddi-viewer)
Audit Controls (§164.312(b)) — HMAC-signed, immutable audit ledger บันทึกทุกการดำเนินงานพร้อม timestamps, user IDs และ outcomes
Integrity Controls (§164.312(c)) — HMAC-SHA256 tamper detection บน audit entries ทั้งหมด
Transmission Security (§164.312(e)) — TLS สำหรับ transit; AES-256-GCM สำหรับ secrets at rest ผ่าน Secrets Vault
Data Disposal (§164.310(d)(2)(i)) — GDPR cascade deletion endpoint ลบ PHI ถาวรข้ามทุก data stores
BAA Template — Business Associate Agreement template รวมอยู่ในเอกสาร EDDI สำหรับ healthcare deployments

SOC 2 Readiness

SOC 2 Type II ประเมินระบบตาม Trust Services Criteria สถาปัตยกรรม EDDI ให้ technical controls สนับสนุนองค์กรที่ต้องการ SOC 2 attestation:

ความปลอดภัย — OIDC/Keycloak authentication, RBAC, Secrets Vault (AES-256-GCM), zero eval(), path traversal protection, URL validation
ความพร้อมใช้งาน — Horizontal scaling ผ่าน NATS JetStream, dual database support (MongoDB/PostgreSQL), Kubernetes-native deployment
ความถูกต้องของการประมวลผล — Immutable HMAC-signed audit ledger พร้อม per-operation cryptographic integrity verification
ความลับ — Secret redaction filter ลบ API keys และ vault references จาก audit entries; PII-safe logging ด้วย SHA-256 pseudonyms
ความเป็นส่วนตัว — Full data subject rights API (erasure, export, restriction), configurable retention, processing restriction controls

API เดียวสำหรับการปฏิบัติตามข้อกำหนดทั่วโลก

ทุกกฎหมายความเป็นส่วนตัวข้างต้นให้บริการโดยREST API รวมเดียวกันและ MCP tools ไม่ว่าคุณจะตอบสนองต่อ GDPR erasure request ในเยอรมนี, CCPA deletion request ในแคลิฟอร์เนีย หรือ PDPA access request ในสิงคโปร์ — endpoints เดียวกันจัดการทั้งหมด:

DELETE /admin/gdpr/{userId} — Cascade erasure ข้าม 5 data stores (user memories, conversations, managed mappings, logs, audit entries)

GET /admin/gdpr/{userId}/export — การส่งออกข้อมูลผู้ใช้เต็มเป็น structured JSON (memories, conversations, audit records)

POST /admin/gdpr/{userId}/restrict — แช่แข็งการประมวลผลขณะเก็บรักษาข้อมูลสำหรับการระงับข้อพิพาท

MCP: delete_user_data — AI-orchestrated cascade erasure (ต้องการการยืนยันชัดเจน)

MCP: export_user_data — AI-orchestrated data export สำหรับ automated DSAR workflows

สร้างสำหรับอุตสาหกรรมที่ถูกกำกับดูแลทั่วโลก

การแพทย์ บริการทางการเงิน ภาครัฐ การผลิต และภาคส่วนที่ถูกกำกับดูแลอื่นๆ สามารถ deploy EDDI ได้อย่างมั่นใจ แพลตฟอร์มให้ความโปร่งใส ความสามารถในการตรวจสอบ และกลไกควบคุมที่กำหนดโดยกรอบงานกำกับดูแล 17+ กรอบ — ตั้งแต่ EU AI Act และ GDPR ในยุโรป ไปจนถึง HIPAA ในสหรัฐอเมริกา PIPEDA ในแคนาดา LGPD ในบราซิล APPI ในญี่ปุ่น POPIA ในแอฟริกาใต้ และ PDPA ในเอเชียตะวันออกเฉียงใต้ การปฏิบัติตามข้อกำหนดไม่ใช่ความคิดภายหลัง — เป็นรากฐานสถาปัตยกรรม