Rejstřík UI

pegnitz.city otevřeně uvádí, kde je umělá inteligence (UI) používána v dokumentovaných funkcích. Tento veřejný rejstřík UI je náš aktuální sebehodnocení a podporuje transparentnost podle čl. 50 — Art. 50 nařízení EU o UI (EU AI Act); není právní certifikací ani nezávislým auditem. U každé níže popsané funkce jmenujeme účel, datový základ, model, lidský dohled a protokolování. Kde je funkce zadržena před veřejností nebo kde důkaz ještě chybí, říkáme to napřímo. Klasifikace se přezkoumává při každé podstatné změně funkce.

Provozovatel a odpovědnost

Klasifikace rizika

Klasifikace rizika (EU AI Act). Podle našeho aktuálního, nezávazného sebehodnocení řadíme zde popsané funkce převážně mezi funkce s omezeným rizikem a povinnostmi transparentnosti. Zveřejněné klíčové funkce vytvářejí tipy, souhrny, plánovací návrhy nebo syntetickou řeč; nerozhodují o přístupu k zásadním veřejným službám a nečiní žádné rozhodnutí s právními účinky vůči jednotlivým osobám. Kontrolo zdrojů, redakční schvalování, bezpečnostní zastavení a zveřejňování se u každé funkce liší, a proto jsou níže popsány jednotlivě. Bezpečnostní kontrola mentora klasifikuje signály nebezpečí jen pro aktuální tah a přitom neukládá žádný text v čistém tvaru; protože takové signály mohou dotknout zvláštních kategorií podle Art. 9 GDPR, zůstává dokumentována odděleně. Rejstřík podporuje cíl transparentnosti čl. 50 — Art. 50, ale nenahrazuje závěrečné právní ani správní posouzení. Zakázané praktiky jako sociální skóring nebo vzdálená biometrická identifikace nejsou součástí dokumentovaného rozsahu vydání.

Funkce UI na této platformě

Překlad a kontrola veřejného katalogu rozhraní v době sestavení

Účel: Grok, Codex, GLM 5.3 a Ox Alpha Free smějí překládat a jazykově kontrolovat pevné texty rozhraní napsané týmem, než se vydá nový jazyk. Při zobrazení stránky k tomu neprobíhá žádné volání modelu.

Data a meze: Odchozí zakázka se skládá znovu z uzavřeného seznamu povolených položek: německé texty katalogu z repozitáře, glosář, pokyny k jazykovému registru a názvy nevyřešených ICU zástupných symbolů. Žádná jména soukromých osob, kontaktní údaje, příspěvky obyvatel, sny, vzpomínky mentora, data relací, výpisy databáze ani protokoly. Před každým externím voláním prověří celou dávku brána, která selhává uzavřeně; jediný nález zadrží celou dávku na zařízení.

Modely: Výhradně už schválené dveře předplatného roviny A Grok (xAI), Codex (OpenAI), GLM 5.3 (Z.AI) a Ox Alpha Free (brána OpenCode Zen, Anomaly Innovations, Inc., USA; nepojmenovaný stealth subprocesor; podle poskytovatele hosting v USA, nulová retence a žádný trénink — žádné DPA v našich dokumentech, stejná třída poctivé mezery jako Z.AI; nikdy „EU“ ani „adekvátnost“). Schválen je přesně jeden identifikátor modelu (x-preview-f-free); každý jiný bezplatný model Zen podle poskytovatele trénuje nebo protokoluje a je vyloučen. Neznámý poskytovatel nebo neznámá třída dat se odmítá. Inference pro obyvatele, mentora, sny, děti a krize zůstává výhradně EU-lokální na vlastní infrastruktuře Ollama.

Lidská kontrola: Modely smějí překládat a kontrolovat, ale ne schvalovat. Externí kontrolní průchod končí ve stavu „zkontrolováno AI, čeká na člověka“. Stav „schváleno“ smí nastavit teprve zaznamenané lidské rozhodnutí; vydání jazyka zůstává odděleným lidským a boardovým krokem.

Záložní pravidlo: Opakovaný nález ochranné brány, porušení původu katalogu, nový poskytovatel nebo nová třída dat ukončí externí povolení pro dotčené texty. Pak opět platí: EU-lokálně, nebo žádný běh.

Předplánování snu s mentorem na prvním místě („Tvůj sen“)

Účel: Když popíšeš sen pro Pegnitz, nejprve ti soukromý mentor pomáhá jej zaostřit. Po nejvýše třech krocích můžeš předplánovaný sen uzamknout; teprve poté kontrolovaná projekce jde do recenze, výzkumu a možných operací.

Data a zdroje: Tvůj volně zadaný text vize (omezený na 2000 znaků), případně přání k upřesnění a dosavadní plán; jen pro přihlášené uživatele. NOVÉ od 15.08.2026: před plánováním ti město tvůj sen vyhledá ve SVÉM ověřeném vědění — text tvého snu slouží jako vyhledávací dotaz proti už zveřejněné projekci vědění (tatáž funkce, kterou používá vědomostní odpověď města), a nalezené uzly jsou modelu předány jako fakta. Toto vyhledávání běží zcela UVNITŘ PROCESU na EU-lokálním počítači: čtení souboru, čistě výpočetní řazení a lokální vektory Xenova — žádné síťové volání, žádná externí služba, žádný přenos tvého snu poskytovateli. Vyloučeny jsou část vlastního popisu zdrojového kódu grafu, profily týmu a sny jiných lidí. Když město nic nenajde nebo je příliš pomalé, v promptu výslovně stojí, že nic nebylo vyhledáno — prázdný blok nikdy není vydáván za průzkum. Dále rámcové podmínky malého franckého městečka (~13.600 obyvatel) dané v promptu. Žádné externí databáze osobních údajů.

Model (se zemí hostingu): EU-lokální, vlastní inference na vlastním hardwaru společnosti XBANQ® GmbH — gemma4:31b-mlx na Mac Studiu v Pegnitz (Německo), dosažitelná přes soukromý, šifrovaný tunel; druhý EU-lokální endpoint (Hetzner, Norimberk, Německo) slouží jen jako záložní HOST. POCTIVĚ, a zpřísněno od 15.08.2026: už ŽÁDNÉ nahrazování modelu — tvůj sen plánuje model, který si pro toto město prověřilo, nebo není plánován vůbec a my ti to řekneme. Nezletilým s platným souhlasem zákonných zástupců je místo toho pevně nastaven prověřený dětský model (rovněž EU-lokální); poskytovatel mimo EU je na této cestě tvrdě blokován (fail-closed, žádné GLM/US-záloha pro obsah obyvatel). Odpověď streamuje přes SSE.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — vytváří nezávazný plánovací návrh, žádné rozhodnutí s právními účinky; žádné hodnocení přístupu k veřejným službám.

Lidská kontrola: Člověk u kormidla, a od 15.08.2026 doslova: navržený plán můžeš PŘEPSAT SÁM — tvé změněné kroky se ukládají jako vlastní vrstva vedle návrhu modelu, a podoba, kterou jsi vytvořil, je podoba, která pokračuje dál. Plán je zpočátku viditelný jen pro tebe; zveřejnění jako uzel proběhne teprve po redakčním schválení (moderation:'pending'), a i tvůj vlastní text přitom projde stejným čištěním PII jako každé jiné veřejné pole. Své příspěvky můžeš kdykoli nechat smazat.

Protokolování: Odeslané příspěvky (text vize, vytvořený plán, tvá vlastní podoba plánu, ID uživatele, okamžik) se ukládají podle účtu; živý běh není veden jako veřejný protokol. Ke každému běhu se zapíše provozní řádek bez osob (událost, pokus, model, doba) — nikdy tvůj sen, nikdy odpověď, nikdy identifikátor účtu. Omezování četnosti na uživatele.

Fronta plánu snu a e-mail o hotovosti („Tvůj sen“)

Účel: Od 24.08.2026 běží první návrh („preplan“) přes JEDNU trvalou frontu: žádná zakázka se neztratí, když se proces restartuje, a na účet město pracuje přesně na jedné zakázce — druhému stisku tlačítka se poctivě řekne, že plánování už probíhá. Místo čekacího timeoutu v zakázce doslova stojí: čekat nemusíš — dáme ti vědět, jakmile bude tvůj návrh hotový. Přesně k tomu slouží e-mail o hotovosti: říká jen, že tvůj návrh čeká v chráněném účtu. Další typy zakázek (upřesnění, starý asistent, adminská plocha) jsou pořadě převáděny na tutéž frontu; do té doby je dveře odmítají s poctivým upozorněním, místo aby potají pracovaly kolem modelu.

Data a zdroje: Tvůj surový sen (12–2000 znaků) leží výhradně ve vlastní schraňovací řádce: zapisuje ji jen serverová služba, číst ji smí jen tvůj účet, a sloupec se samotným surovým snem je viditelný jen pro serverovou službu. Po dokončení je mazán — nejpozději 24 hodin poté čisticí běh vynutí zbytek. Notifikační fronta neobsahuje žádný obsah. Možný e-mail říká jen, že tvůj plán leží připravený v chráněném účtu; název, první krok a text snu se neposílají. Automatické plánování začíná, až je tvůj e-mail potvrzen a tvůj účet schválen.

Model: Samotné vytváření plánu je nezměněné výše popsanou EU-lokální, vlastní inferencí (gemma4:31b-mlx; dětská cesta pevně na prověřeném dětském modelu, žádný poskytovatel mimo EU). Nové u fronty: přístup k jedinému EU-lokálnímu modelu je záměrně přišpendlen přesně na jeden souběžný běh — nikdo není přednostně posunut, nikdo vytlačen. A fronta se pro nezletilé sama zavírá: jen výslovná odpověď dospělého na bráně věku spustí model pro dospělé; každé chybějící nebo neurčené věk se počítá jako dítě a dostane dětský model (fail-closed). Pro samotný e-mail NENÍ volán žádný AI model — je to pevná, pravidly daná šablona na vlastní infrastruktuře v Německu.

Třída rizika: Vytváření plánu nezměněně: omezené riziko / povinnost transparentnosti (Art. 50) — nezávazný plánovací návrh, žádné rozhodnutí s právními účinky. E-mail není UI ve smyslu EU AI Act (dodání založené na pravidlech). Podle ochrany údajů stojí na čl. 6 odst. 1 písm. b) — Art. 6, odst. 1, písm. b) GDPR (plnění funkce „Tvůj sen → plán“, kterou jsi si vyžádal): je dodáním objednaného výsledku, nikoli reklama a nikoli newsletter — a kdykoli vypnutelný ve tvém účtu, navíc s jedním kliknutím odhlásitelný odkazem.

Lidská kontrola: Zakázku dáváš se svým snem; návrh zůstává nejdřív viditelný jen pro tebe a zveřejnění jako uzel proběhne teprve po redakčním schválení (moderation:'pending'). Po dokončení první krok převezme tvůj kouč: pevný, pravidly daný pozdrav postavený z tvého plánu tě přivítá — žádný model ho neimprovizuje a vzniká dřív, než jakákoli pošta vůbec vstoupí do fronty; když se předání nepovede, žádná pošta se neposílá. Zakázka přes adminsou plochu už pro odeslané sny je vyhrazena přihlášeným adminům.

Protokolování: Provozní řádky o frontě jsou bez osob: událost, pokus, model, doba — nikdy tvůj sen, nikdy odpověď, nikdy identifikátor účtu. K e-mailu se vede soukromá řádka dodání se stavem a důvodem (například: ve frontě, nebo přeskočena, protože odhlášeno); řádka platí jako odeslaná teprve tehdy, když poskytovatel služby skutečně potvrdil odeslání.

Strukturování vědění městské inteligence (datová pipeline)

Účel: S podporou UI zkoumá, strukturuje a kurátorsky spravuje veřejně ověřitelná fakta o institucích, místech, organizacích a úřadech v Pegnitz a zařazuje je do inteligence vědění (klastry, uzly, vztahy).

Data a zdroje: Veřejně dostupné zdroje (webové stránky, registry, úřední údaje). Skutková tvrzení mají být spojena s ověřitelným odkazem na zdroj; mezery nejsou vydávány za ověřené. Žádné osobní údaje soukromých osob – veřejní činitelé jen ve své úřední roli.

Model: Headless roj: opencode-GLM a Codex jako vykonavatelé, řízení a plánovaní Claude (Opus) jako plánovačem; sestavování probíhá v době sestavení, ne při každém zobrazení stránky.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — strukturuje veřejné věcné informace; žádné rozhodování o osobách, žádné profilování.

Lidský dohled: Povinnost zdroje; obsahy určené k zveřejnění procházejí popsaným zdrojovým a schvalovacím procesem. Příslušná plocha nebo tento rejstřík uvádějí dokumentovanou podporu UI.

Protokolování: Protokolováno v agent_runs / verification_results (interní, přístupné jen na straně serveru – žádný veřejný kanál).

UI ověřovací stupeň (porovnávání zdrojů)

Účel: Kontroluje proti uvedeným živým zdrojům hodnoty vázané na zdroje, předané ověřovacímu běhu. Odchylné hodnoty, nedosažitelné zdroje, prázdné povinné pole nebo nevyjasněná práva vedou k zamítnutí a musí být zpracována před schválením.

Data a zdroje: Strukturované uzly/tvrzení z pipeline a příslušné zdrojové URL.

Model: Claude (Opus) přes Claude Code CLI (přihlášení předplatným, žádný API klíč) jako ověřovatel.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — kvalitní brána zajišťující věrnost faktů; nečiní žádné rozhodnutí o osobách.

Lidský dohled: Ověřovací běh podporuje lidskou kontrolu: hodnota tam zamítnutá nesmí opustit tuto schvalovací cestu jako úspěšná.

Protokolování: Každé zamítnutí s důvodem a případně zdrojovým URL v verification_results (interní, neveřejné).

Syntéza klastrů a uzlů (texty inteligence v inteligenci)

Účel: Vytváří souhrnné analytické a doporučující texty („intelligence“/syntéza), které v pohledu klastrů a uzlů inteligence vědění vysvětlují jednu oblast života.

Data a zdroje: Už ověřené, strukturované uzly a vztahy grafu. Texty vznikají v době sestavení a ukládají se do grafu; při zobrazení ploha počítá jen z nahraného grafu, bez nového volání modelu.

Model: Headless roj (opencode-GLM / Codex) v době sestavení.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — popisná syntéza veřejných věcí; žádné rozhodování o osobách.

Lidský dohled: Pro veřejné schválení je předpokládána redakční kontrola; tento rejstřík uvádí vytváření syntézy s podporou UI.

Protokolování: Vytváření v rámci běhů pipeline (agent_runs, interní).

Zobecňování PII ve volných textech UI (scrub-pii)

Účel: Zobecňuje ve volných textech UI (syntéza, analýzy, doporučení) jménem jmenované soukromé či majitelsky vedené malé provozovny, takže ve veřejných textech neobjevují žádné identifikovatelné fyzické osoby.

Data a zdroje: UI vygenerované volné texty ze syntézy. Veřejní činitelé ve své úřední roli zůstávají (oprávněné podle čl. 6 odst. 1 písm. f) — Art. 6, odst. 1, písm. f) GDPR).

Model: Deterministická funkce pravidel/regulárních výrazů – ŽÁDNÁ UI/žádný jazykový model. Vedeno tu z důvodu transparentnosti, protože dodatečně zpracovává výstupy UI.

Třída rizika: Žádná UI ve smyslu EU AI Act (pravidlová); opatření minimalizace údajů GDPR — čistě deterministické nahrazování textu; slouží ochraně údajů, nečiní žádné rozhodnutí.

Lidský dohled: Seznam pravidel je redakčně spravován a při každé regeneraci rozšiřován.

Protokolování: Žádné vlastní protokolování; součást exportu pipeline.

„Zeptej se města“ — vědomostní odpověď (grounded RAG)

Účel: Položíš otázku na město a dostaneš krátkou odpověď vázanou na skutečné zdroje. Město nejdřív čistě lexikálně prohledá své vlastní vědění (ověřené uzly grafu), ukáže ti nalezené skutečné uzly jako kartičky a z nich vyformuluje stručné shrnutí. Když nenajde nic nosného, řekne to poctivě („Město o tom ještě nic neví“) — úplně bez volání modelu.

Data a zdroje: Tvá volně zadaná otázka (omezená na krátkou délku) a VÝLUČNĚ už ověřené, veřejně zdrojované uzly inteligence vědění (web/.artifacts/graph.json) — žádné externí databáze, žádný přístup k internetu během odpovědi. Model dostává jen dříve získané úryvky uzlů plus tvou otázku a smí citovat JEN tyto uzly; každé jiné uvedení zdroje je na straně serveru zahazováno (whitelist zdrojů). Otázka se obsahově neukládá.

Model (se zemí hostingu): EU-lokální, vlastní inference na vlastním hardwaru — gemma4:31b-mlx na Mac Studiu v Pegnitz (Německo), dosažitelná přes soukromý, šifrovaný tunel; druhý EU-lokální endpoint (Hetzner, Norimberk, Německo) je jen záložní HOST, ne náhradní MODEL. Fail-closed (žádná GLM/US-záloha pro obsah obyvatel), s vypnutými nástroji (žádný přístup k souborům ani síti); odpověď streamuje přes SSE. Odpověď je krátce cachována v operační paměti (na instanci), aby se na opakované shodné otázky odpovídalo bez nového volání modelu.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — odpovídá na věcné otázky z prověřeného veřejného vědění; nečiní žádné rozhodnutí o osobách, žádné profilování, žádné právní účinky.

Lidský dohled: Ukotvení je dáno už návrhem: model vidí jen už prověřené uzly a smí citovat jen ty — vymyšlený zdroj whitelistem neprojde. Zobrazené kartičky zdrojů stojí samy za sebe; když shrnutí padne, zůstávají jim poctivou odpovědí. Odpovědi UI jsou jako takové rozpoznatelné.

Protokolování: Žádné obsahové uložení otázky. Omezování četnosti na anonymizovanou (hashovanou) IP — surová IP se nikdy neukládá ani neprotokoluje.

Umístění podniku (analýza webu / dossier) — v přípravě

Stav (upřímně): Veřejné zadání webu a jeho občanské API jsou v Core V1 zadrženy. Stávající interní cesty kontroly a mazání zůstávají; obyvatelé momentálně nemohou analýzu spustit. Veřejné aktivace následuje až po vlastním bezpečnostním, datově-ochranném a prohlížečovém důkazu.

Účel: Jakmile je aktivní, zadáš webovou adresu svého podniku a potvrdíš, že jej provozuješ nebo k tomu jsi oprávněn. Město načte veřejně dosažitelný web a vytvoří z něj první bezplatné umístění: stručné zařazení prezentace plus konkrétní, důkazy podložená doporučení. Výsledek vzniká jako uzel se stavem moderation:'pending' a objevuje se veřejně až po redakčním schválení.

Data a zdroje: Výhradně veřejně čitelné obsahy webu, který uvedeš (název, popis, služby, nadpisy, veřejné kontaktní a sociální údaje, strukturovaná data, úryvek textu). Scraper kontroluje cílovou adresu proti interním/lokálním adresám (ochrana SSRF) a respektuje robots.txt. Přečtený text jsou DATA k analýze, nikdy instrukce modelu (ochrana proti prompt injection). Žádné osobní údaje soukromých osob; veřejní činitelé jen ve své úřední roli.

Model: Claude (Opus) přes Claude Code CLI (přihlášení předplatným, žádný API klíč), volaný jako serverový proces. Není-li CLI dostupné, vrací se poctivá kostra důkazů postavená výlučně z rozpoznaných mezer — nikdy vymyšlené tvrzení.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — vytváří nezávaznou analýzu a doporučení pro podnik; žádné automatizované rozhodnutí s právními účinky o osobách, žádné hodnocení bonity/přístupu, žádné profilování.

Lidský dohled: Model analyzuje JEN z předložených důkazů a jmenuje mezery místo hádání. Vytvořený uzel je moderation:'pending' a stává se veřejným až po redakčním schválení; analýzu smí spustit jen přihlášení uživatelé potvrzující oprávnění. Svůj příspěvek můžeš kdykoli nechat smazat (GDPR Art. 17).

Protokolování: Vytvořený (čekající) uzel se ukládá do přijímací schránky dossier; živý běh není veden jako veřejný protokol. Omezování četnosti na uživatele.

Osobní agent mentor („tvůj agent“)

Stav (upřímně): Tato V1 je vydána potvrzeným dospělým: popíšeš svůj sen, zvolíš postoj (mentor, sparingpartner nebo „tvůj CEO“) a je ti založen osobní, na straně klienta šifrovaný záznam agenta. Nezletilí a osoby s neurčeným věkem v této V1 odpověď modelu nedostávají. Chráněná konverzace je napojena jako funkce účtu: čistý text se zpracovává v operační paměti jen pro jeden odpovědní tah, na serveru se neukládá a poté se znovu šifruje na straně klienta. Můžeš vést několik uložených konverzací: každý chat má název, který zadáváš svobodně, a i tento název je ukládán šifrovaně na straně klienta. Starší konverzace můžeš archivovat; zůstávají šifrovaně zachovány, dokud je nesmažeš.

Účel: Soukromý, osobní agent občanky nebo občana (mentor, sparingpartner nebo „tvůj CEO“). Má tě doprovázet při tvém vlastním snu – jako protějšek pro koučování, sparing a uskutečňování. On za tebe nic nerozhoduje; rozhoduješ, vlastníš a podepisuješ ty.

Data a zdroje: Výhradně tvé vlastní, tebou zadané obsahy (profil, sen, průběh konverzace, název chatu). OBSAHY leží na straně klienta šifrovaně jako AEAD šifrotext (stejně tak zprávy i názvy chatů); klíč je odvozen z fráze, kterou držíš ty. Provozovatel tyto obsahy číst nemůže. POCTIVĚ a úplně: na chat se navíc vede několik OBSAHU PROSTÝCH správních údajů nešifrovaně, aby seznam chatů fungoval — počet zpráv, okamžik poslední zprávy a to, zda je chat připíchnutý nebo archivovaný. Tato metadata neobsahují žádný obsah konverzace a žádný název. Pro jeden odpovědní tah může být čistý text prchavě zpracován v prostředí na straně serveru; na serveru se neukládá. NOVÉ od 15.08.2026: před odpovědí mentor vyhledá tvou poslední zprávu v prověřeném vědění města — přesně tutéž funkcí jako předplánování snu, zcela uvnitř procesu na EU-lokálním počítači (čtení souboru, výpočetní řazení, lokální vektory), bez síťového volání a bez přenosu tvé zprávy nějakému poskytovateli. Vyloučeny jsou část vlastního popisu zdrojového kódu grafu, profily týmu a sny jiných lidí; když se vyhledávání nepotká se svým krátkým časovým okénkem, v promptu výslovně stojí, že nic nebylo vyhledáno. Žádné externí profilování, žádné sledování, žádné předávání reklamním či profilujícím službám.

Model: Soukromá inference mentora pro dospělé běží výhradně EU-lokálně a vlastně s pro tuto V1 prověřeným modelem gemma4:e4b na Mac Studiu provozovatele v Pegnitz (Německo), dosažitelná přes soukromý, šifrovaný tunel. Pro tohoto mentora neexistuje záložní uzel ani náhradní model: když je Mac nedosažitelný, přetížený, nebo když odpověď trvá déle než 25 sekund, objeví se omezená odpověď o nedostupnosti. Každý běh vrací přesně jednu bufferovanou JSON odpověď, nepoužívá nástroje, nemění soubory a neprotokoluje obsahy zpráv. Klient si poté uloží svůj tah a odpověď společně, šifrovaně.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — osobní koučovací/sparingový nástroj bez automatizovaného rozhodnutí s právními nebo srovnatelně závažnými účinky; žádné profilování, žádné hodnocení přístupu k veřejným službám.

Lidský dohled: Člověk u kormidla: agent navrhuje a doprovází; občanka nebo občan rozhoduje a výsledek vlastní. Aktuální V1 nezletilým a osobám s neurčeným věkem volání modelu odepírá, i když už je souhlas uložen. Pozdější dětská verze potřebuje vlastní evaluaci modelu, vlastní ochranu výstupu a schválení ochranou dětí. Rozpoznání krize běží deterministicky před každou inferencí a ještě jednou na straně serveru přes všechny tahy konverzace: při signálech sebepoškozování, zneužívání nebo ohrožení se volání modelu zastaví, nevytváří se žádná odpověď a objevují se skutečné cesty pomoci. pegnitz.city není tísňová služba; v akutní nouzi se obracíš přímo na skutečnou pomoc: linka důvěry 0800 111 0 111 nebo 0800 111 0 222 (zdarma, anonymně, nonstop), linka proti zármutku 116 111 (zdarma, anonymně, po–so 14:00–20:00), hasiči a záchranná služba 112 nebo policie 110 (obě zdarma, nonstop).

Jediné dveře od tvého mentora k týmu (nové od 15.08.2026): Tvůj mentor teď umí dvě věci — a jen dvě. ZAPRVÉ PTÁT SE: odpovídá na otázku, co město s tvým snem vlastně udělalo, výhradně z TVÝCH VLASTNÍCH řádků, které si můžeš sám přečíst ve svém účtu; věta je poskládaná z počítaných řádků, žádný model ji neformuluje, a když nic není, říká přesně to. ZADRUHŽE ŽÁDAT: můžeš podat přání týmu — ukládá se jako NÁVRH, který bez tvého výslovného schválení nikomu není ukazován a nevyvolává žádnou práci týmu. Co tyto dveře opustí, je úzce omezené: pseudonymní zkratka tvého snu (odvozená hashová hodnota, nikdy identifikátor tvého účtu) a už vyčištěná veřejná krátká verze, k tomu text tvé žádosti, předtím vyčištěný od kontaktních údajů A poté ještě jednou prověřený, zda nezbylo něco osobního. Zbyde-li něco, žádost NEjde ven a je ti to řečeno. Kdo má svůj sen anonymně uzamčen, takovou zkratku nemá — pak nejde ven vůbec nic, a ptát se funguje přesto. Sám mentor do toho nedostává žádný nástroj: inference má i nadále naprosto žádný přístup k nástrojům.

Protokolování: Žádné obsahové protokolování provozovatelem – uložené obsahy jsou šifrované a pro provozovatele nečitelné; živá inference neprotokoluje obsahy zpráv. Archivovat vs. mazat: archivace jen skryje chat z aktivního seznamu, šifrovaná historie zůstává. Právo na výmaz (GDPR Art. 17): až smazání tvých klíčů a šifrotextů učiní obsahy nenávratně ztracenými – to funguje nezměněně i pro archivované chaty.

Připomínky mentora na tvé vlastní další kroky — rozesílání e-mailů zadrženo

Stav (upřímně): Připomínky jsou standardně VYPNUTÉ a vznikají, až když si je sám zapneš. V aplikaci je vidíš ve svém účtu. Rozesílání E-MAILEM zůstává zadrženo — trojnásobně zamčené: zaprvé je rozesílání v provozní konfiguraci vypnuté a doména odesílatele není schválená; zadruhé krok potvrzení (double opt-in e-mailem) ještě není postaven — souhlas tak vůbec nemůže být potvrzen a tím se stát rozesílatelným; zatřetí kontrola před každým rozesláním vyžaduje potvrzený, aktuální souhlas a bez něj spadá uzavřeně. Od 17.08.2026 je tento souhlas podle Art. 7 GDPR v databázi ukladatelný — verzovaný, shodný po slovech, s odděleným odvoláním, které kdykoli působí ve tvém nastavení a převažuje nad každým dřívějším potvrzením. Úložiště tedy existuje; ale bez postaveného potvrzovacího kroku zůstává každý souhlas ve stavu „nepotvrzeno“, a přesně na tom se láme každý pokus o rozeslání. Dokud to tak je, neodchází žádný připomínkový e-mail. Aktivaci zde vyhlásíme, teprve když skutečně proběhne.

Účel: Připomenout ti JEDEN krok, který sis sám předsevzal — ne táhnout tě zpět do aplikace. Žádný krok, žádná připomínka: mlčení máme radši než vyrobenou příležitost.

Data a zdroje: Tvé vlastní nastavení (zapnuto/vypnuto, hodiny klidu, časové pásmo), název tvé vlastní otevřené mentorské úlohy a — až v okamžiku skutečného rozeslání — tvá potvrzená e-mailová adresa účtu. Fronta sama neukládá ani tvou e-mailovou adresu, ani hotový vykreslený soukromý e-mail, ani tvůj surový sen. Žádné externí zdroje dat, žádné profilování, žádná reklama.

Model (se zemí hostingu): Pro samotnou připomínku NENÍ volán žádný AI model: výběr i text jsou pevná, pravidly daná šablona běžící na vlastní infrastruktuře v Německu. Jmenovaný krok pochází z tvého vlastního, dříve EU-lokálně vytvořeného plánu mentora. Z transparentnosti tento bod přesto stojí tady, protože doručuje výstup UI. Kdyby došlo k rozeslání, bylo by doručovatelem e-mailový poskytovatel (Resend, EU/USA, DPF certifikovaný, s DPA) — tento bod je zde vyhlášen dřív, než se stane aktivním, ne poté.

Třída rizika: Žádná UI ve smyslu EU AI Act (pravidlové doručení). Z hlediska ochrany údajů přímá komunikace na základě tvého souhlasu (čl. 6 odst. 1 písm. a) — Art. 6, odst. 1, písm. a), Art. 7 GDPR).

Lidská kontrola: Rozhoduješ trojnásobně: připomínky jsou vypnuté, dokud si je nezapneš; e-mail navíc vyžaduje vlastní, výslovně pro tento účel daný souhlas v režimu double opt-in, oddělený od souhlasu se newsletterem; a můžeš jej kdykoli odděleně odvolat — přes odkaz na odhlášení jedním kliknutím nebo ve svém nastavení. Chybějící, odvolaný i nepotvrzený důkaz vedou všechny ke stejnému výsledku: nerozesílá se.

Protokolování: Ke každému pokusu o doručení se vede soukromá řádka se stavem a důvodem (například: ve frontě, nebo přeskočeno, protože souhlas chybí), aby nevznikalo dvojité připomínání. Řádka platí jako odeslaná teprve tehdy, když poskytovatel služby skutečně potvrdil doručení — čekající připomínka není nikdy vykazována jako odeslaná. Odhlášení, bounce a stížnosti jsou vedeny jako soukromé blokovací údaje.

Hlas týmu (živě mluvené pracovní aktualizace agentů)

Stav (upřímně) — identita mluvčího: Jméno, které u mluvené řádky čteš a slyšíš, je vlastní údaj příslušného běhu agenta. Platforma u každé řádky eviduje, zda taková identita mohla být technicky doložena — a u řádek přehrávaných veřejně tento příznak dnes stojí na „nedoloženo“. Řekneme ti tedy, JAKÉ JMÉNO hlášení podalo — ne to, že tato identita je prokázána. Když nedoložená řádka nárokuje vedoucí roli (např. CEO nebo ochrana dětí), je v pohledu týmu výslovně označena jako nedoložená; u všech ostatních rolí se takový odkaz dosud nezobrazuje. Strojově prověřitelný důkaz mluvčího je v přípravě; jakmile skutečně ponese veřejné řádky, bude to zde uvedeno.

Účel: Na domovské stránce a v pohledu na tým můžeš zapnout hlasy týmu: skutečný pracovní takt agenta (začátek/dokončení úkolu) se může ozvat jako krátká, svobodně formulovaná mluvená stavová zpráva — pod jakým jménem byla zpráva podána, na čem se pracuje, proč to městu pomáhá a kdo přebírá další. Ne každý takt se ozve: řádky, které neprojdou níže popsaným zajištěním, zůstávají němé. Psaný kanál zůstává německý; mluvená řádka je anglicky.

Data a zdroje: VÝLUČNĚ interní provozní fakta uložená v repozitáři: napsaná identita agenta (jméno, role, charakter), skutečné pracovní hlášení týmu a v boardu registrovaná fakta příslušné operace. Žádná občanská data, žádné osobní údaje — pracovní hlášení obsahující e-mailovou adresu nebo telefonní číslo nevytváří ŽÁDNOU mluvenou řádku (fail-closed).

Model: Mluvenou řádku píše sama agentní relace, která ji vykonává — žádný model ji neskládá (u řádky je doloženo model = NULL a speechAuthor = 'agent'). Tato relace běží u poskytovatele, u kterého běží příslušná práce; pro kódovací cesty roviny A je to mimo EU (např. Z.AI/Čína, Anthropic/USA, OpenAI/USA). Do těchto promptů nevstupují žádná občanská ani osobní data — odchozí přenos je PII-prosty kódovací prompt (už registrovaný jako rovina A), řádka hlasu je výstup, který se vrací do EU. Samotný hlasový výstup dělají vlastní TTS enginy (Piper/Qwen) na vlastní infrastruktuře.

Zajištění (grounding, fail-closed): Každá složená řádka prochází deterministickým kontrolórem: odmítavé fráze, nedoložená čísla, vymyšlené osoby nebo autority (např. nikdy nedané boardové OK), chybějící kódy operací a nedoložená tvrzení o úspěchu nebo schválení vedou k zahazení řádky — takt pak zůstává němý v psaném kanálu. Pracovní hlášení je modelu podáváno strukturálně jako DATA, nikdy jako instrukce (ochrana proti prompt injection).

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — syntetický hlas o vlastní práci agentského týmu; žádné rozhodnutí o osobách, žádné profilování. Hlasový výstup je v ploše označen jako UI (přepínač „hlasy UI zap/vyp“) a je aktivní, jen když si ho sám zapneš.

Protokolování: Každá mluvená řádka vyrůstá z veřejně viditelné řádky v živém kanálu pohledu na tým (tabulka warroom_live_activity; starší kanál agent_activity už tyto řádky nenese) — to, co je řečeno, je také čitelné a dohledatelné. U každé řádky je navíc interně evidováno, zda identita mluvčího mohla být technicky doložena; tento příznak je základem výše uvedeného poctivého omezení.

Ziggy-Kosmos — průvodce učením pro děti (veřejná ukázková stránka)

Stav (upřímně): Veřejně dosažitelná je ukázková stránka s průvodci a funkcí předčítání — pevné, redakčně spravované texty, které vysvětlují plánovaný systém učení. Samotný systém učení (účet, cvičení, mentorské rozhovory, kontrola kreseb) VEŘEJNĚ vydán není: je to řízený pilot za přihlášením a vlastními schváleními. Než ho děti mohou používat, vyžaduje se vlastní prověření vědění na vhodnost věku (JMStV), schválení ochrany dětí a závazná evaluace dětského modelu — do té doby tato část zůstává zadržena.

Účel: Stránka představuje Ziggy-Kosmos: soukromého průvodce učením, který dětem nabízí cvičení podle bavorského LehrplanPLUS, doprovází je sokratovsky (UI nikdy prostě nedává řešení) a na přání učitele vytváří 3D scény k učebním tématům. Na samotné veřejné stránce neprobíhá žádné učení — jen vysvětluje.

Data a zdroje: Na veřejné stránce platforma nezpracovává ŽÁDNÁ občanská data: funkce předčítání vyslovuje výhradně pevné texty snímků z uzavřeného katalogu, které si můžeš vybrat snímek po snímku — volný text není přijímán a k hlasu se nikdy nedostane. K obraně proti zneužití slouží jen anonymizovaná (hashovaná) IP adresa pro omezování četnosti. (Neveřejný) systém učení zpracovává dětské pokroky a rozhovory výhradně se souhlasem zákonných zástupců (Art. 8 GDPR), šifrovaně a EU-lokálně — tato část není aktivní.

Model (se zemí hostingu): Předčítání je syntetický hlas: vlastní Piper hlasový výstup (německý hlas) na vlastním hardwaru společnosti XBANQ® GmbH v Německu — žádná externí služba, žádný přenos do třetích zemí. Systém učení (neveřejný) počítá s vlastními, EU-lokálními modely na Ollama (mentor: gemma4; kontrola kreseb: qwen3-vl) — pro dětské cesty pevně ukotvené bez záložního modelu (fail-closed).

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — syntetický hlas a vysvětlující prezentace; žádné rozhodnutí o osobách. Systém učení je klasifikován jako omezené riziko pod závaznou podmínkou, že studijní výsledky zůstávají soukromé a nikdy nejsou použity jako oficiální školní hodnocení; situace vysokého rizika (oficiální hodnocení nebo přístup) by zablokovala každý start.

Lidský dohled: Veřejná stránka sestává z pevných, redakčně spravovaných obsahů. V systému učení platí: učitel, zákonní zástupci a dítě řídí; UI nehodnotí oficiálně, nic nerozhoduje a nenahrazuje žádnou školu. pegnitz.city je a zůstává nikoli oficiální nabídkou města Pegnitz.

Protokolování: Žádné obsahové ukládání na veřejné stránce; omezování četnosti na anonymizovanou (hashovanou) IP — surová IP se nikdy neukládá. Systém učení protokoluje interně, vázané na účet, a není veřejně aktivní.

Městská mediatéka: UI analýza médií (obrázek, zvuk, hledání) — v přípravě

Stav (upřímně): Veřejné nahrávání, veřejné hledání a veřejné zobrazení médií jsou ve V1 zadržena. Stávající důkazy vlastnictví a odvolání i oddělené cesty recenzenta, admina a analýzy zůstávají. EU-lokální UI analýza pracuje fail-closed: bez dosažitelného lokálního modelu nevzniká žádná automatická analýza, signál osob zůstává „neznámý“ a neexistuje žádné automatické zveřejnění. Veřejnou aktivaci zde vyhlásíme až po jejím vlastním schvalovacím důkazu.

Účel: Jakmile je aktivní, UI podporuje lidskou kontrolu nahraných médií: obrázková UI popíše a otaguje médium a odhadne, zda jsou vidět osoby nebo domnělí nezletilí (předřazení ochrany mládeže); zvukové stopy jsou přepisovány lokálně; pro hledání médií se počítají lokální vektory.

Data a zdroje: Výhradně média, která nahraješ, a tvé vlastní údaje (název, kategorie, zařazení osob). Žádné externí databáze, žádné porovnávání s cizími osobními evidencemi, žádné biometrické rozpoznávání.

Model: EU-lokální, vlastní inference na vlastním hardwaru v Německu — obrázková UI: výhradně přišpendlená, důkazem schopnosti prověřená obrázková UI (OLLAMA_KIDS_MODEL, aktuálně gemma4:e4b na Mac Studiu v Pegnitz (Německo)); dospělácká nebo generická přepsání vidění jsou záměrně ignorována, bez pinu neběží žádná analýza (fail-closed). Přepis whisper.cpp, hledací vektory Xenova multilingual-e5-small; žádný přenos do třetí země.

Třída rizika: Podle našeho aktuálního sebehodnocení: omezené riziko / povinnost transparentnosti (Art. 50) — přípravný popis a předřazení; žádné automatizované rozhodnutí s právními účinky o osobách. Předřazení nezletilých slouží ochraně mládeže a může dotknout zvláštních kategorií (Art. 9 GDPR); nic nerozhoduje, ale každý pochybný případ klade před člověka.

Lidský dohled: Člověk u kormidla a fail-closed: nic se nestane viditelným ani použitým, dokud to člověk neschválil. Odchýlí-li údaj nahrávající osoby od signálu UI, nebo není-li UI analýza dostupná, nutně kontroluje člověk. Média s rozpoznatelnými nezletilými zůstávají bez dokumentovaného souhlasu jejich zákonných zástupců uzamčena.

Protokolování: Výsledky analýzy (popis, přepis, signál osob, model) se ukládají na médium interně (media_vault_analysis, přístupné jen na straně serveru přes row-level security). Při odvolání nebo smazání se odstraňuje i analýza, přepis a hledací vektor.

Kein Training mit Stadtdaten — Attestierung je Modell

Für jedes Modell, das diese Instanz nutzen kann, ist unten attestiert, warum seine Ausgaben nicht in das Training oder Fine-Tuning allgemeiner Modelle fliessen: vertraglich zugesichert und nachgewiesen im Auftragsverarbeitungsvertrag, oder technisch ausgeschlossen, weil das Modell selbst betrieben wird und keine Verbindung zu einem Anbieter besteht. Der Stand der Prüfung ist je Eintrag datiert.

Lidská kontrola a protokolování

Lidská kontrola a protokolování se liší podle schvalovací cesty. V datové pipeline se kontrolují běhu předané, na zdroje vázané hodnoty; tam zamítnutá hodnota musí být před schválením zpracována. Vize obyvatel se ukládají jako origin:'citizen', moderation:'pending' a objevují se ve veřejné inteligenci vědění až po výslovném redakčním schválení. Dokumentované klíčové plochy uvádějí svou podporu UI u výsledku nebo v tomto rejstříku. Běhy pipeline se protokolují interně v agent_runs a verification_results, mimo jiné se stavem, výsledkem kontroly, důvodem zamítnutí a případně zdrojovým URL. Tyto protokoly nejsou veřejný kanál v reálném čase; veřejný živý auditní prohlížeč dnes neexistuje. Povinnost zdroje zůstává závazným kvalitativním nárokem, ne tvrzením, že každý historický uzel už je beze zbytku doložen. Média s nevyjasněnými právy nejsou veřejně vydávána.

V přípravě

• Veřejně nahlížitelný auditní/protokolový prohlížeč: protokoly (agent_runs, verification_results) už existují, ale jsou dnes přístupné jen na straně serveru (service_role). Veřejně nahlížitelná auditní sekce ještě není zrealizována – jakmile přibude, bude zde transparentně uvedena.
• Redakční schvalovací workflow pro vize obyvatel: příspěvky už jsou drženy jako moderation:'pending'; schvalovací proces je zrealizován jako princip, pohodlné moderátorské rozhraní je v přípravě.
• Městská mediatéka – UI analýza médií: veřejný příjem a veřejné hledání zůstávají ve V1 zavřené. Interní analytické a kontrolní cesty se veřejně aktivují až po vlastním schvalovacím důkazu.
• Strojově prověřitelný důkaz mluvčího pro hlas týmu: dokud nenese veřejně přehrávané řádky, zobrazované jméno agenta je vlastní údaj příslušného běhu, ne důkaz. Stav stojí poctivě nahoře v sekci „Hlas týmu“ a bude zde změněn, jakmile důkaz skutečně zabere.
• Připomínkové e-maily mentora: cesta rozeslání je postavena a prověřena, ale zadržena. Souhlas podle Art. 7 GDPR je od 17.08.2026 ukladatelný a odděleně odvolatelný; krok potvrzení e-mailem (double opt-in) je stále chybějící část a bez něj kontrola každé rozeslání odepírá. Tento odstavec změníme, teprve až bude potvrzovací krok postaven a první rozeslání skutečně schváleno.
• Další funkce UI jsou zde doplňovány, jakmile jsou skutečně vydány; zadržené funkce zůstávají do té doby výslovně označeny jako „v přípravě“.