regula

Regula

オフラインでも利用できる、コードネイティブな AI ガバナンススキャンです。コアスキャンはローカルで実行され、スキャンしたファイルの内容をアップロードせず、アカウントも必要ありません。テレメトリーは、明示的にオプトインに同意した場合にのみ送信されます。Regula は、EU AI Act、韓国の AI Basic Act、Colorado SB 26-189 に照らして確認が必要となる可能性のあるパターンにフラグを立て、コードからは把握できない導入に関する事実を記録し、スコアを捏造することなく、情報が不十分であると報告します。

---

目次

• できること
• 始め方を選ぶ
• クイックスタート
• Regula が提供する情報
• 主なコマンド
• 対象ユーザー
• Regula とは（そして、そうではないもの）
• バイアス評価：手法と倫理
• 重要な制限事項
• 検証済みの数値
• コントリビュート
• ライセンス

---

$ regula check examples/cv-screening-app --scope all

Decision: insufficient_information
Jurisdiction: eu
Rule resolution: unresolved
Facts needed to resolve the next decision: 2
  - is_ai_system: Does the subject meet the governing law's definition of an AI system or regulated automated technology?
  - jurisdiction_in_scope: Does this jurisdiction's territorial and operator scope apply?

Detector observations (not legal facts):

  Detector summary: ANNEX III OR SECURITY PATTERNS
  The scanner found patterns relevant to Annex III or security review.
  Resolve the facts listed above before attaching Article 9 to 15 duties.
  Files scanned:      1
  High-risk:          1
  INFO tier:          1

  HIGH-RISK INDICATORS:
    [INFO] [ 43] app.py — Employment and workers management [plan]

  Detector priority: 0-100 (higher = more code patterns matched; not a correctness probability)

実際の出力の抜粋です。追跡対象のフィクスチャ examples/cv-screening-app に対して、表示されているコマンドを実行した結果です。ゼロと表示されるカテゴリ別の件数と次のステップのフッターは、長さを抑えるため省略しています。それ以外は編集していません。scripts/verify_transcripts.py はすべてのチェックでこのコマンドを再実行し、上記の行が出力に表示されなくなると失敗します。

---

できること

Regula は、ローカルのソースコードフォルダーをスキャンし、AI ガバナンスの確認が必要となる可能性のあるパターンを探します。質問票では、システムの使用場所や使用方法など、コードからは把握できない事実を記録します。結果には、該当する可能性のあるリスクカテゴリが示され、関連する可能性のある規定へのリンクが記載されます。Regula は、法的な分類、コンプライアンス、または実際の導入に適用される義務を判断するものではありません。

参照資料は、EU AI Act、韓国の AI Basic Act（Act No. 20676）、Colorado SB 26-189 を対象としています。コアインストールに必須のサードパーティ製ランタイム依存関係はありません。オプションの追加機能には依存関係が含まれ、一部のオプションコマンドや設定済みの機能は外部サービスに接続する場合があります。適用される地域の範囲とデータ処理上の義務は、個別に評価してください。

平たく言えば、Regula にソースコードフォルダーを渡し、システムの使用方法に関する質問に回答します。すると、開発者、ガバナンス責任者、またはアドバイザーが次に何を調査すべきか判断できるよう、考えられる問題と確認の記録が提示されます。スキャンで何も検出されなくても、システムがコンプライアンスを満たしていることや、リスクが低いことの証明にはなりません。

始め方を選ぶ

次のどれをしたいですか？	ここから始めてください
何もインストールせずに質問を確認する	ブラウザー評価のソースは site/assess/ にあります。現在、公開 Pages のデプロイは利用できません。復旧後は、申告されたコンテキストを記録して確認に利用しますが、リポジトリを調査したり、法的な判断を下したりすることはありません。
ローカルのコードベースを確認する	クイックスタートに従い、regula check . を実行してください。
Regula の導入前に評価する	10 分間の利用例をたどり、文書化された制限事項と検証の証拠をお読みください。
チームで繰り返し実行できるチェックを追加する	CI/CD の例を使用し、ブロッキングチェックにする前に終了コードのポリシーを確認してください。
人間のレビュアー向けの資料を準備する	レビュアーが記入できる証拠のひな形を生成し、コンテキストに関する項目を記入して検証してください。

クイックスタート

pipx install git+https://github.com/kuzivaai/getregula.git@main

PyPI での配布は現在利用できません。上記のコマンドは、更新され続ける公開ソースをインストールします。再現可能な利用のため、レビュー済みのコミットハッシュを指定してください。検証済みのステータスと代替手段については、docs/installation.md をご覧ください。

AI Act が適用されるかどうかわかりませんか？ コードは不要です：

regula assess               # record declared context for human review
regula assess --save-facts  # and write the answers where `regula check` reads them

スキャンでは、必要だがコードからは取得できない事実が示されます。それらを入力すると、判定が変わります：

regula check . --list-facts                     # every fact id the model defines
regula check . --fact is_ai_system=yes \
               --fact jurisdiction_in_scope=yes # declare them for one run

申告した事実は Regula のものではなく、お客様のものです。それぞれの事実は、誰が申告したか、どのコマンドを通じて申告したか、どの質問への回答か、申告日時とともに .regula/facts.json に保存され、スキャンでは判定とあわせてその出所が表示されます。unknown は回答の一つであり、no として扱われることはありません。申告した事実によって、判定が insufficient_information から適用の可能性を示す状態に変わることはありますが、リスク階層、コンプライアンススコア、準備状況の割合、工数の見積もりが生成されることはありません。

コードをスキャンしますか？

regula check .              # 423 tier patterns, 8 language families; runtime varies
regula check . --jurisdictions eu,korea,colorado  # selected reference mappings

レビューパックが必要ですか？

regula evidence-pack --project .   # reviewer-completable evidence scaffold
regula conform --sign --timestamp  # integrity metadata (requires regula[signing])

生成されたファイルは人間によるレビューのための入力であり、監査意見、認証、コンプライアンスの証明ではありません。

動作を確認したいだけですか？（クローンしたリポジトリが必要です：examples/ は pip パッケージに含まれていません）

git clone https://github.com/kuzivaai/getregula && cd getregula
regula demo                 # scan a bundled example project

インストールの詳細

推奨するインストール方法は pipx です。Regula をシステムの Python から分離でき、Ubuntu 22.04 以降、Debian 12 以降、Fedora、Arch、Homebrew Python で externally-managed-environment エラーを回避できます。

pipx がまだインストールされていない場合は、最初に一度だけインストールしてください：

プラットフォーム	pipx のインストール
macOS	brew install pipx && pipx ensurepath
Debian / Ubuntu	sudo apt install pipx && pipx ensurepath
Fedora	sudo dnf install pipx && pipx ensurepath
Arch	sudo pacman -S python-pipx && pipx ensurepath
Windows	python -m pip install --user pipx && python -m pipx ensurepath

すでに uv を使用していますか？ uvx --from git+https://github.com/kuzivaai/getregula.git@main regula を実行すると、永続的なインストールを行わずに公開ソースを実行できます。または、uv tool install git+https://github.com/kuzivaai/getregula.git@main でインストールしてください。

venv または conda env の中で実行していますか？ pip install git+https://github.com/kuzivaai/getregula.git@main を使用してください。PEP 668 の制限は、管理対象のシステム Python に適用されるもので、アクティブ化された仮想環境には適用されません。

トラブルシューティング（externally-managed-environment、インストール後に command not found: regula が表示される場合、シェルごとの PATH 設定）については、docs/installation.md をご覧ください。

既知の高リスク用フィクスチャで試す：

regula check examples/cv-screening-app --scope all

Regula のデフォルトのスコープ（production）ではサンプルディレクトリがスキップされるため、--scope all フラグが必要です。このフィクスチャには、附属書 III のカテゴリー 4 検出器を試すための、雇用関連コードのインジケーターが意図的に含まれています。検出されたラベルは検出器による観測結果であり、法的判断ではありません。

禁止行為、高リスク、透明性、リスク指標の上昇なしの各シナリオをカバーする、実行可能な参考プロジェクトについては examples/ をご覧ください。または、examples/cv-screening-app/ で、インストール、スキャン、計画、ギャップ分析、適合、検証、レッドチームツールへの引き継ぎを含む、10 分間の評価手順全体を試すこともできます。

初めて利用する方向けの詳しい手順（ポリシーの調整、CI への統合、ベースライン設定）については、docs/QUICKSTART.md をご覧ください。ドキュメント全体は、種類（チュートリアル／ハウツー／リファレンス／解説）別に docs/README.md にまとめられています。

CI/CD

# .github/workflows/regula.yaml
name: AI Governance Check
on: [push, pull_request]
jobs:
  regula:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: kuzivaai/getregula@v1
        with:
          path: '.'
          upload-sarif: 'true'
          fail-on-prohibited: 'true'

Regula が示す内容

EU AI Act では、4 つのリスク階層が定められています。Regula はコードパターンをそれぞれに対応付けます。

階層	対応	意味
禁止される可能性あり（第 5 条）	ブロック指標	列挙された行為に関連するコードパターンを報告し、文脈に応じた迅速なレビューを促します。
高リスクの可能性あり（第 6 条および附属書 III）	警告＋レビューマップ	該当する可能性のある用途カテゴリーを報告し、レビュー担当者が法的分類を確認した場合に関連する可能性のある規定を示します。
透明性義務の可能性あり（第 50 条）	透明性指標	チャットボット、合成コンテンツ、および関連する実装上のシグナルを報告します。適用される項および例外についてはレビューが必要です。
リスク指標の上昇なし	ログのみ	スキャナーが設定済みのリスク指標の上昇を検出しなかったことを意味します。最小リスクであることや、法的義務がないことを示すものではありません。

各検出結果には、該当する条文への参照と、例外が適用される可能性のある場合についての説明が含まれます。Regula はパターンにフラグを付けますが、法的判断は行いません。

カバレッジには明示的な段階があります。 Regula は、EU AI Act、韓国の AI 基本法（法律第 20676 号）、およびコロラド州 SB 26-189 に対応する、エビデンスを条件とした質問票と意思決定モデルを備えています。また、13 のフレームワークにおける選択された管理策または規定への検出結果の対応付けと、日付入りの地域別トラッカーも別途提供しています。クロスウォークやトラッカーは、実行可能な適用可能性の判断やコンプライアンス評価ではありません。現在の機能マトリクスと主張の範囲については、製品のカバレッジとユーザージャーニーをご覧ください。regula check の --jurisdictions を使用すると、選択された参照マッピングを絞り込めます。このオプションでは uk、brazil、nist、iso も指定できますが、適用可能性の判断は行いません。実装済みの 3 つの意思決定支援設定を利用するには、regula assess で --jurisdiction eu、korea、または colorado を指定してください。

開発者ガイドのソース： Python | JavaScript | 医療 | 採用 | 第 5 条 | 第 9 条 | 第 14 条 | 第 50 条

主なコマンド

コマンド	実行内容
regula	現在のディレクトリをスキャンし、指標の概要と次のステップを表示します
regula check .	ファイルごとの検出結果を含む詳細なリスクスキャンを行います
regula comply	EU AI Act の義務に関する証拠と未解決の事実を確認します。--article 50 を指定すると、申告された適用可能性の事実と静的な実装シグナルを分けて表示します
regula gap --project .	第9条から第15条に照らしてコンプライアンスのギャップを評価します
regula plan --project .	ギャップ評価の結果に基づき、優先順位付きの是正計画を作成します
regula fix --project .	検出結果に対するコンプライアンス修正のひな形を生成します
regula evidence-pack --project .	レビュアーが記入できる、完全性メタデータ付きの証拠ひな形を作成します
regula conform --project .	第43条の適合性評価用証拠パックを作成します
regula dpv --project .	リスク指標を、DPV-AIAct JSON-LD（DPVCG EU-AIAct 語彙に準拠）としてエクスポートし、RDF/GRC ツールで利用できるようにします
regula check --ci .	CI モードで実行します。WARN または BLOCK の検出結果がある場合は終了コード 1 を返し、SARIF を出力します
regula assess	適用可能性とリスクのレビューに向けた、申告コンテキストに関する構造化アンケートを表示します
regula demo	同梱のサンプルプロジェクトをスキャンします。コミット不要で試用できます
regula api-server	Web ダッシュボード付きの REST API（localhost:8487）を起動します
regula conform --organisational	第9条／第17条／第27条／第72条に関するガバナンスの自己評価を行います
regula questionnaire	コンテキストに基づくリスク評価アンケートを表示します（REST API 経由でも利用できます）
regula exempt	第6条第3項の高リスク適用除外に関する決定ツリーを表示します
regula oversight .	第14条の人間による監督を分析します（ファイル間のフローを追跡します）
regula guardrails .	第15条のガードレール実装の網羅状況を検出します
regula owasp-agentic	エージェント型アプリケーション向け OWASP Top 10 の評価を行います
regula monitor	ローカルに記録されたエージェント／ツールのイベントを分析し、第12条の記録保持に関する選択したシグナルを確認します。実行中のシステムを自動的に監視するものではありません
regula gdpr	GDPR との相互参照スキャンを行います（重点チェック14項目、AI Act／GDPR の注目領域4項目）
regula bias	CrowS-Pairs によるバイアス評価（文ペア1,508組）を行います。オプションで BBQ ベンチマークも利用できます。デジタル・オムニバスのバイアステストに関する保護措置（第4a条、COM(2025)836）に準拠しています
regula mcp-server	MCP サーバー（JSON-RPC stdio）を起動し、Claude Code、Cursor、その他の MCP クライアント向けに3つのツール regula_check、regula_classify、regula_gap を公開します
regula install <integration>	pre-commit フレームワークまたは Git フックの直接統合をセットアップします

Regula には合計62個のコマンドがあります。全一覧は regula --help-all を実行するか、docs/cli-reference.md を参照してください。

REST API と Web ダッシュボード

GRC との統合や、ターミナルを使用しないユーザー向けです。

python3 scripts/api_server.py --port 8487
# Open http://localhost:8487/v1/dashboard

エンドポイントは7つです：/health、/v1/check、/v1/classify、/v1/gap、/v1/questionnaire、/v1/questionnaire/evaluate、/v1/dashboard。すべて CLI と同じ JSON エンベロープを返します。認証機能はありません。リモートアクセスする場合は、リバースプロキシの背後で実行してください。

対象ユーザー

• コンテキストおよび法務レビューに先立ち、調査対象となるソースコード上のシグナルの初期リストを必要とする開発者とメンテナー。
• 観察結果、申告された事実、未解決の質問、情報源を明確に区別して確認する必要があるガバナンスおよび保証レビュー担当者。
• 再現可能なテスト、完了データ、既知の失敗モードを必要とし、代表的な独自サンプルを使って Regula をブロッキングなしでテストしたい評価者と導入者。
• Regula の成果物を入力情報として利用する場合がある適格なコンテキストレビュー担当者。Regula は、法律、適合性、セキュリティ、アクセシビリティ、または専門分野に関する判断を行いません。

詳細なタスク、失敗時の経路、必要なインターフェースの状態については、 製品の対応範囲とユーザージャーニーで定義しています。

Regula とは何か（また、何ではないか）

Regula は次のようなものです：

• 静的コード解析とガバナンスに関する質問票を組み合わせ、観察事項と申告された事実を、3 つの法域（EU AI Act、South Korea AI Basic Act、Colorado SB 26-189）における潜在的な義務に対応付ける、開発時のエビデンス収集およびトリアージツールです
• ガバナンスレビュー用の ESLint のようなシフトレフト型コード指標スキャナーです。ターミナルまたは CI/CD パイプラインで実行できます
• コードパターンでは確認できない組織の義務（第 9、17、27、72 条）を評価する、質問票ベースの評価ツールです
• 3 つの法域を対象としたパターンベースのリスク指標であり、法令遵守証明書ではありません
• コンプライアンス意識向上の出発点であり、ゴールではありません

Regula は次のようなものではありません：

• ランタイム監視システムではありません（実行中のシステムではなく、ソースコードを分析します）
• 法令遵守証明書ではありません（検出結果は指標であり、法的判断ではありません）
• Credo AI や Holistic AI などのエンタープライズ GRC プラットフォームの代替ではありません（これらを補完します）
• 本番環境向けの公平性テストプラットフォームではありません（regula bias は出発点としてローカルモデルにベンチマークプローブを実行しますが、ランタイムの公平性監視に取って代わるものではありません）
• 法的助言ではありません（コンプライアンスに関する判断は、資格を持つ弁護士に相談してください）

Regula は、実装済みの法域と参照フレームワークを対象に、開発チームが AI ガバナンスに関する疑問を早期に見つけられるよう支援します。コンプライアンスに必要な組織的、手続き的、分野固有、法的な取り組みに取って代わるものではありません。Regula の対象範囲外となる内容の詳細については、docs/what-regula-does-not-do.md をご覧ください。また、Regula 自身のモデルカード（想定用途、トレーニングデータ、評価、既知の失敗モード）については、docs/MODEL_CARD.md をご覧ください。

バイアス評価：方法論と倫理

regula bias は、EU AI Act 第 10 条のデータガバナンス文書化におけるエビデンスとして、ローカルでホストされた言語モデル（Ollama。llama3.2／mistral／qwen の各バリアントに対応）に対して、2 つの社会的バイアスベンチマークを実行します。

ベンチマーク	論文	方法	測定対象
CrowS-Pairs	Nangia et al., 2020	ステレオタイプ的な文と反ステレオタイプ的な文のペア間の対数確率差	マスクド／因果言語モデルの出力における内在的バイアス
BBQ	Parrish et al., 2022	曖昧な文脈を含むプロンプトを用いた質問応答	下流の QA 挙動に表れるバイアス

どちらも、小規模サンプルの信頼性を示す Wilson 信頼区間と、分布の推定値を示すブートストラップ信頼区間を含みます。方法論の詳細は、scripts/bias_eval.py と docs/benchmarks/PRECISION_RECALL_2026_04.md に記載されています。

倫理声明。 CrowS-Pairs と BBQ のステレオタイプペアは、管理された条件下でのモデル挙動を科学的に評価する目的に限り使用されます。Regula は、ターミナル出力やレポートに個々のステレオタイプペアを表示しません。表示するのは集計スコア、信頼区間、ベンチマーク単位の判定のみです。ペアは各データセット独自のライセンス（CrowS-Pairs は CC BY-SA 4.0）のもとで配布されており、Regula が再配布または改変することはありません。ステレオタイプペアに含まれる意見は、メンテナー、Regula の貢献者、またはツールを実行するユーザーの見解を反映するものではありません。これらの意見は評価手段として含まれているものであり、支持を表明するものではありません。regula bias は、バイアス文書化のための開発時の出発点であり、本番環境向けの公平性モニターではありません。上記の「Regula とは何か（また、何ではないか）」をご覧ください。

重要な制限事項

Regula が行うのはパターンベースのリスク提示であり、法的なリスク分類ではありません。

• EU AI Act はコードのパターンではなく、意図された目的と導入状況に基づいてリスクを分類します（第 6 条）。Regula の検出結果は、人によるレビューが必要なことを示すものです。
• 誤検出は発生します。 現時点では、実環境での適合率を独立して評価した推定値はありません。開発用コーパスは単一のレビュー担当者による記録であり、以前のランダムコーパスの結果は、測定対象のサブセットと固定されたソーススナップショットが保存されていないため、クリーンなチェックアウトから再導出できません。計算内容、制限事項、および置き換えられた測定結果は、日付付きの調査記録として benchmarks/README.md で引き続き確認できます。これらは、現在の検出器の精度を示す証拠ではありません。
• TypeScript の検出結果は参考情報です。 現時点での実環境における適合率は測定されていません。日付付きの 6 件の開発用データでは、6 件すべてが誤検出でした。これは注意すべき兆候であり、信頼できる割合ではありません。
• 見逃しは発生します。 データベースに登録されていない新しいリスクパターンは検出されません。
• 第 5 条の禁止事項には、人による判断が必要な条件や例外があります。
• 監査証跡は自己証明型です（ローカルで検証できますが、外部による証明はありません）。
• これは法的助言や DPO によるレビューの代わりにはなりません。

検証済みの数値

項目	数
CLI コマンド	62
リスク検出パターン（正規表現）	423
スキャン対象の言語ファミリー	8（Python、JS、TS、Java、Go、Rust、C/C++、Jupyter）
参照情報が選定されているフレームワーク識別子	13
テスト（pytest --collect-only）	2,936
必須の本番用依存関係	0

再現用コマンド、バージョンを限定したベンチマーク、既知の例外、セキュリティ対策、および監査証跡の設計については、docs/TRUST.md を参照してください。バージョン番号が保証する内容、対象となる公開 API、および非推奨化ポリシーについては、docs/VERSIONING.md を参照してください。

プライバシーとデータの取り扱い

Regula のコアスキャンはお使いのマシン上で実行されます。デフォルトのスキャン中に、コード、検出結果、メタデータが送信されることはありません。アカウントシステムや API キーはなく、デフォルトではテレメトリもありません（クラッシュレポートには、regula telemetry enable と REGULA_SENTRY_DSN を使ってご自身で設定するエンドポイントの両方が必要です。公開ビルドにはいずれも含まれておらず、DO_NOT_TRACK が設定されている場合は抑止されます）。このツールはソースファイルを読み取り、ローカルで解析し、ローカルのファイルシステムに出力を書き込みます。ネットワークを使用する明示的な操作には、RFC 3161 タイムスタンプの付与、フィードまたは更新の確認、およびご自身で設定したインテグレーションが含まれます。セキュリティ対策の全容については、SECURITY.md を参照してください。

コントリビューション

バグ報告やプルリクエストを歓迎します。

• PR を作成する前に pytest tests/ -q を実行してください。
• パターンの追加先は scripts/risk_patterns.py です。各パターンには対応するテストを用意してください。
• Regula が意図的に行うのは、法的な分類ではなくリスクの提示です。開発者向けツールでは、誤検出は見逃しよりも信頼を損なうため、新しいパターンは保守的に追加してください。
• コントリビューター向けガイドの全容は CONTRIBUTING.md、バージョン履歴は CHANGELOG.md を参照してください。

著作者について

現在、Regula のメンテナーは 1 名です。コミットに共同著作者が記載されている場合、その表記は関与したツールや協力者を記録したものです。マージされたすべての変更をレビューし、受け入れる責任は引き続きメンテナーが負います。バス係数に関する制限事項については、GOVERNANCE.md を参照してください。

ライセンス

エンジンと CLI： Apache License 2.0 または European Union Public Licence v. 1.2：任意で選択できます。用途に合ったものを選んでください。

• Apache 2.0 には明示的な特許許諾が含まれているため、企業での採用、商用再配布、特許の明確さが重要なあらゆる用途に適しています。
• EUPL-1.2 は EU 機関や公共部門の調達で明示的に認められており、ソフトウェアに対して強いコピーレフト性を持ち、下流プロジェクト向けの正式な互換性付録（GPL v2/v3、AGPL v3、OSL、EPL、CeCILL、MPL 2.0、LGPL、CC BY-SA 3.0）があります。欧州の行政機関と連携する場合、EUPL が必須または推奨されるライセンスであることがよくあります。

いずれのライセンスも、あらゆる用途で選択できます。どちらを選んだかを明記する必要はありませんが、両方のライセンスで帰属表示（著作権表示と NOTICE ファイルの保持）が必要です。

リスクパターンおよび規制データ： Detection Rule License (DRL) 1.1。パターンは自由に使用、変更、再配布できます。パターンを再配布する場合、または製品で使用する場合は、帰属表示が必要です。ツールがこれらのパターンから一致結果を生成する場合、その出力で出典を明記する必要があります。

パッケージ全体の SPDX 式は (Apache-2.0 OR EUPL-1.2) AND LicenseRef-DRL-1.1 です。