EU Audit Trail

eu-audit-mcp

EU AI Act および GDPR への準拠を目的とした、改ざんを検知できる監査証跡 MCP サーバーです。stdio トランスポートを介してローカルのデスクトップアプリケーションに統合するよう設計されています。

機能

• 改ざんを検知できるロギング — すべてのイベントに対する HMAC-SHA256 ハッシュチェーン
• PII スキャン — Microsoft Presidio による自動検出とマスキング（EU のパターン）
• GDPR に基づく消去 — 監査証跡を伴う第 17 条の消去権に対応
• コンプライアンスチェック — EU AI Act 第 12 条／第 19 条および GDPR 第 30 条に基づく技術的チェックリスト
• ローカルファースト — すべてのデータは、単一の SQLite ファイルとしてお使いのマシンに保存されます

規制の背景

このサーバーは、以下の EU 規制に対応するための技術的措置を実装しています。

規制	条文	要件
EU AI Act (2024/1689)	第 12 条	高リスク AI システムのイベント（ログ）の自動記録
	第 19 条	自動生成されたログを少なくとも 6 か月間保持すること
GDPR (2016/679)	第 17 条	個人データを消去する権利（「忘れられる権利」）
	第 30 条	目的やデータカテゴリを含む、処理活動の記録

EU AI Act の高リスクに関する義務は、2026 年 8 月 2 日に施行されます。

条文の全文と、各ツールが各要件にどのように対応するかの詳細な対応表については、LEGAL_REFERENCES.md をご覧ください。

免責事項： このツールが提供するのは技術的なチェックリストであり、法的助言ではありません。コンプライアンスに関する判断は、資格を有する法律専門家にご相談ください。

クイックスタート

pip install -e ".[dev]"

サーバーを実行する（stdio）

python -m eu_audit_mcp.server

MCP クライアントの設定

{
  "mcpServers": {
    "eu-audit": {
      "command": "python",
      "args": ["-m", "eu_audit_mcp.server"],
      "env": {
        "AUDIT_CONFIG": "./audit_config.yaml"
      }
    }
  }
}

テストを実行する

pytest tests/

MCP ツール

ツール	説明
log_event	PII の自動スキャンを行い、監査イベントを記録します
log_inference	LLM の推論呼び出し（モデル、トークン、コスト）を記録します
log_data_access	ドキュメント／データへのアクセスイベントを記録します
query_log	時間範囲、種類、セッションでイベントを検索します
get_session_trace	セッションの順序付き完全トレースを取得します
get_stats	期間内の統計情報を要約します
compliance_check	EU AI Act 第 12 条／第 19 条および GDPR 第 30 条に照らしてチェックします
execute_erasure	GDPR 第 17 条の消去権を実行します
get_pii_summary	検出された PII の種類を要約します（件数のみ）
verify_chain	ハッシュチェーンの整合性を検証します

設定

サンプル設定をコピーして、内容をカスタマイズします。

cp audit_config.example.yaml audit_config.yaml

AUDIT_CONFIG 環境変数に、設定ファイルのパスを指定してください。chain_secret が含まれる場合は、audit_config.yaml をコミットしないでください。デフォルトで .gitignore に登録されています。

セキュリティ

脅威モデル、セキュリティ対策、脆弱性の報告方法については、SECURITY.md をご覧ください。

ライセンス

Apache-2.0