Rejestr SI

pegnitz.city ujawnia, gdzie sztuczna inteligencja (SI) jest stosowana w udokumentowanych funkcjach. Ten publiczny rejestr SI to nasza bieżąca samoocena i wspiera przejrzystość zgodnie z Art. 50 unijnego rozporządzenia o sztucznej inteligencji (EU AI Act); nie jest ani certyfikacją prawną, ani niezależnym audytem. Dla każdej funkcji opisanej poniżej podajemy cel, bazę danych, model, ludzki nadzór i rejestrowanie. Gdzie funkcja jest wstrzymana od publikacji lub dowód jest jeszcze otwarty, wyrażamy to wprost. Klasyfikacja jest ponownie badana przy każdej istotnej zmianie funkcji.

Operator i odpowiedzialność

Klasyfikacja ryzyka

Klasyfikacja ryzyka (EU AI Act). Zgodnie z naszą bieżącą, niewiążącą samooceną klasyfikujemy opisane tu funkcje przeważnie jako funkcje o ograniczonym ryzyku z obowiązkami przejrzystości. Udostępnione funkcje rdzenne generują podpowiedzi, streszczenia, propozycje planowania lub mowę syntetyczną; nie decydują o dostępie do zasadniczych usług publicznych i nie podejmują żadnej decyzji o skutku prawnym wobec pojedynczych osób. Sprawdzanie źródeł, redakcyjne zatwierdzanie, blokady bezpieczeństwa i ujawnianie różnią się w zależności od funkcji i dlatego są opisane poniżej pojedynczo. Kontrola bezpieczeństwa mentora klasyfikuje sygnały zagrożenia tylko dla bieżącej tury i nie zapisuje przy tym żadnego tekstu jawnego; ponieważ takie sygnały mogą dotykać kategorii szczególnych w rozumieniu Art. 9 RODO, pozostaje udokumentowana osobno. Rejestr wspiera cel przejrzystości Art. 50, ale nie zastępuje ostatecznej oceny prawnej ani urzędowej. Zakazane praktyki, takie jak scoring społeczny lub zdalna identyfikacja biometryczna, nie należą do udokumentowanego zakresu udostępnień.

Funkcje SI na tej platformie

Tłumaczenie i weryfikacja publicznego katalogu interfejsu na etapie budowania

Cel: Grok, Codex, GLM 5.3 i Ox Alpha Free mogą tłumaczyć i językowo weryfikować stałe teksty interfejsu napisane przez załogę, zanim udostępniony zostanie nowy język. Przy wyświetlaniu strony nie ma miejsca żadne wywołanie modelu.

Dane i granice: Zlecenie wychodzące jest budowane od nowa z zamkniętej listy dozwolonych: niemieckie teksty katalogu z repozytorium, glosariusz, wskazówki rejestru językowego i nazwy nierozwiązanych zmiennych ICU. Żadnych nazwisk osób prywatnych, danych kontaktowych, wkładów mieszkańców, marzeń, wspomnień mentora, danych sesji, wyciągów z bazy ani logów. Przed każdym wywołaniem zewnętrznym bramka fail-closed sprawdza cały pakiet; jedno trafienie zatrzymuje cały pakiet na urządzeniu.

Modele: Wyłącznie już dopuszczone kanały abonamentowe Plane A: Grok (xAI), Codex (OpenAI), GLM 5.3 (Z.AI) i Ox Alpha Free (brama OpenCode Zen, Anomaly Innovations, Inc., USA; nienazwany podprocesor w trybie stealth; według dostawcy hosting w USA, zero retencji i brak treningu — brak DPA w naszej dokumentacji, ta sama klasa uczciwej luki co Z.AI; nigdy „UE” ani „adekwatność”). Dopuszczony jest dokładnie jeden identyfikator modelu (x-preview-f-free); każdy inny darmowy model Zen według dostawcy trenuje lub loguje i jest wykluczony. Nieznany dostawca lub nieznana klasa danych jest odrzucana. Wnioskowanie dotyczące mieszkańców, mentora, marzeń, dzieci i sytuacji kryzysowych pozostaje wyłącznie lokalne w UE, na własnej infrastrukturze Ollama.

Kontrola ludzka: Modele mogą tłumaczyć i weryfikować, ale nie zatwierdzać. Zewnętrzny przebieg weryfikacji kończy się stanem „sprawdzone przez SI, czeka na człowieka”. Dopiero zapisana decyzja człowieka może ustawić status „zatwierdzone”; udostępnienie języka pozostaje osobnym krokiem człowieka i zarządu.

Reguła awaryjna: Powtórne trafienie bramki ochronnej, naruszenie pochodzenia katalogu, nowy dostawca lub nowa klasa danych kończą zewnętrzne zezwolenie dla objętych tekstów. Wtedy znów obowiązuje: lokalnie w UE albo wcale.

Wstępne planowanie marzenia z mentorem na pierwszym miejscu („Twój sen”)

Cel: Gdy opisujesz marzenie dla Pegnitz, najpierw prywatny mentor pomaga Ci je wyostrzyć. Po najwyżej trzech krokach możesz zablokować wstępnie zaplanowany sen; dopiero potem sprawdzona projekcja wchodzi w recenzję, badania i możliwe operacje.

Dane i źródła: Twój swobodnie wpisany tekst wizji (ograniczony do 2000 znaków), opcjonalnie życzenie doprecyzowania i dotychczasowy plan; tylko dla zalogowanych użytkowników. NOWOŚĆ od 15.08.2026: przed planowaniem miasto sprawdza Twój sen we WŁASNEJ zweryfikowanej wiedzy — tekst Twojego marzenia służy jako zapytanie w już opublikowanej projekcji wiedzy (ta sama funkcja, której używa odpowiedź wiedzy miasta), a znalezione węzły są przekazywane modelowi jako fakty. To sprawdzenie przebiega w całości W RAMACH PROCESU na lokalnej w UE maszynie: odczyt pliku, czysto obliczeniowe rankowanie i lokalne wektory Xenova — żadnego wywołania sieci, żadnej usługi zewnętrznej, żadnego przekazania Twojego marzenia dostawcy. Wyłączone są część samoopisu kodu źródłowego grafu, profile załogi i marzenia innych osób. Gdy miasto nic nie znajdzie albo jest zbyt wolne, w prompcie wprost stoi, że niczego nie sprawdzono — pusty blok nigdy nie jest podawany jako research. Ponadto warunki ramowe małego frankońskiego miasta (~13 600 mieszkańców) podane w prompcie. Żadnych zewnętrznych baz danych osobowych.

Model (z krajem hostingu): Lokalna w UE, samodzielnie hostowana inferencja na własnym sprzęcie XBANQ® GmbH — gemma4:31b-mlx na Mac Studio w Pegnitz (Niemcy), osiągalna przez prywatny, szyfrowany tunel; drugi lokalny w UE punkt (Hetzner, Norymberga, Niemcy) służy tylko jako awaryjny HOST. UCZCIWIE, doprecyzowane od 15.08.2026: nie ma już ŻADNEGO zastępstwa modelu — Twoim marzeniem zajmuje się model, który to miasto dla tego celu sprawdziło, albo nie jest planowane i mówimy Ci o tym. Dla nieletnich z ważną zgodą opiekunów prawnych zamiast tego sztywno ustawiany jest sprawdzony model dla dzieci (również lokalny w UE); dostawca spoza UE jest na tej ścieżce twardo zablokowany (fail-closed, żadnego GLM/USA-fallbacku dla treści mieszkańców). Odpowiedź jest streamowana przez SSE.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — generuje niewiążącą propozycję planowania, żadnej decyzji o skutku prawnym; żadnej oceny dostępu do usług publicznych.

Kontrola ludzka: Człowiek przy sterze, i od 15.08.2026 dosłownie: możesz NADPISAĆ proponowany plan SAM — Twoje zmienione kroki są zapisywane jako własna warstwa obok propozycji modelu, a wersja, którą ukształtowałeś, jest wersją, która idzie dalej. Plan jest na początku widoczny tylko dla Ciebie; publikacja jako węzeł następuje dopiero po redakcyjnym zatwierdzeniu (moderation:'pending'), a także własny, przez Ciebie wpisany tekst przechodzi tę samą czystkę PII co każde inne publiczne pole. Możesz w każdej chwili zlecić usunięcie swojego wkładu.

Rejestrowanie: Zgłoszone wkłady (tekst wizji, wygenerowany plan, Twoja własna wersja planu, ID użytkownika, moment) są zapisywane per konto; przebieg na żywo nie jest prowadzony jako publiczny protokół. Dla każdego przebiegu zapisywana jest wolna od osób linia operacyjna (zdarzenie, próba, model, czas trwania) — nigdy Twoje marzenie, nigdy odpowiedź, nigdy identyfikator konta. Ograniczenie częstości per użytkownik.

Kolejka planu marzenia i e-mail gotowości („Twój sen”)

Cel: Od 24.08.2026 pierwszy szkic („preplan”) biegnie przez JEDNĄ trwałą kolejkę: żadne zlecenie nie ginie, gdy proces się restartuje, a per konto miasto pracuje nad dokładnie jednym zleceniem — drugie naciśnięcie przycisku dostaje uczciwą informację, że planowanie już trwa. Zamiast limitu czasu oczekiwania w zleceniu stoi dosłownie: nie musisz czekać — powiadomimy Cię, gdy tylko Twój szkic będzie gotowy. Właśnie po to jest e-mail gotowości: mówi tylko, że Twój szkic czeka w chronionym koncie. Dalsze typy zleceń (doprecyzowanie, stary asystent, panel admina) są po kolei przenoszone na tę samą kolejkę; do tego czasu drzwi odmawiają im uczciwym komunikatem zamiast po cichu obchodzić model.

Dane i źródła: Twój surowy sen (12–2000 znaków) leży wyłącznie we własnym wierszu przechowującym: zapisywanym tylko przez usługę serwerową, czytelnym tylko dla Twojego konta, a kolumna z samym surowym snem jest widoczna tylko dla usługi serwerowej. Po zakończeniu jest usuwany — najpóźniej 24 godziny później porządkowanie wymusza resztę. Kolejka powiadomień nie zawiera żadnej treści. Ewentualny e-mail mówi tylko, że Twój plan czeka gotowy w chronionym koncie; tytuł, pierwszy krok i tekst marzenia nie są dołączane. Automatyczne planowanie zaczyna się dopiero, gdy Twój e-mail jest potwierdzony, a konto zatwierdzone.

Model: Samo tworzenie planu pozostaje niezmienione: opisana wyżej lokalna w UE, samodzielnie hostowana inferencja (gemma4:31b-mlx; ścieżka dzieci sztywno na sprawdzonym modelu dla dzieci, żaden dostawca spoza UE). Nowe w kolejce: dostęp do jedynego lokalnego w UE modelu jest świadomie przypięty do dokładnie jednego równoległego przebiegu — nikt nie jest przepychany do przodu, nikogo nie wypycha. A kolejka zamyka się sama dla nieletnich: tylko jednoznaczna odpowiedź dorosłego w bramce wieku uruchamia model dla dorosłych; każdy brak wieku lub wiek nieokreślony liczy się jako dziecko i dostaje model dla dzieci (fail-closed). Dla samego e-maila NIE jest wywoływany żaden model SI — to stały, oparty na regułach szablon na własnej infrastrukturze w Niemczech.

Klasa ryzyka: Tworzenie planu bez zmian: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — niewiążąca propozycja planowania, żadna decyzja o skutku prawnym. E-mail nie jest SI w rozumieniu EU AI Act (dostawa oparta na regułach). Na gruncie ochrony danych opiera się na Art. 6 ust. 1 lit. b) RODO (wykonanie zamówionej przez Ciebie funkcji „Twój sen → plan”): to dostawa zamówionego rezultatu, nie reklama i nie newsletter — i w każdej chwili wyłączalna w Twoim koncie, dodatkowo z linkiem do wypisania się jednym kliknięciem.

Kontrola ludzka: Zlecasz razem ze swoim marzeniem; szkic zostaje najpierw widoczny tylko dla Ciebie, a publikacja jako węzeł następuje dopiero po redakcyjnym zatwierdzeniu (moderation:'pending'). Po zakończeniu pierwszy krok przejmuje Twój trener: stałe, oparte na regułach powitanie zbudowane z Twojego planu wita Cię — żaden model go nie improwizuje, i powstaje, zanim w ogóle jakikolwiek e-mail wejdzie do kolejki; gdy przekazanie się nie uda, żadna poczta nie jest wysyłana. Zlecenie przez panel admina dla już zgłoszonych marzeń jest zastrzeżone dla zalogowanych administratorów.

Rejestrowanie: Linie operacyjne o kolejce są wolne od osób: zdarzenie, próba, model, czas trwania — nigdy Twoje marzenie, nigdy odpowiedź, nigdy identyfikator konta. Dla e-maila prowadzona jest prywatna linia dostawy ze statusem i powodem (np.: w kolejce, albo pominięta, bo wypisano); linia liczy się jako wysłana dopiero wtedy, gdy dostawca usługi faktycznie potwierdził wysyłkę.

Strukturyzacja wiedzy miejskiej inteligencji (potok danych)

Cel: Z wsparciem SI bada, porządkuje i kuruje publicznie weryfikowalne fakty o instytucjach, miejscach, organizacjach i urzędach w Pegnitz i włącza je do inteligencji wiedzy (klastry, węzły, relacje).

Dane i źródła: Publicznie dostępne źródła (strony internetowe, rejestry, dane urzędowe). Stwierdzenia faktyczne mają być powiązane ze weryfikowalnym odnośnikiem źródłowym; luki nie są podawane jako zweryfikowane. Żadnych danych osobowych osób prywatnych — funkcjonariusze publiczni tylko w swojej roli urzędowej.

Model: Rój headless: opencode-GLM i Codex jako wykonawcy, sterowani i planowani przez Claude (Opus) jako planistę; budowanie odbywa się na etapie budowania, nie przy każdym wyświetleniu strony.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — porządkuje publiczne informacje faktyczne; żadnej decyzji o osobach, żadnego profilowania.

Nadzór ludzki: Obowiązek źródeł; treści przeznaczone do publikacji przechodzą opisany proces źródłowy i zatwierdzający. Odpowiadająca powierzchnia albo ten rejestr wskazują udokumentowane wsparcie SI.

Rejestrowanie: Rejestrowane w agent_runs / verification_results (wewnętrzne, dostępne tylko po stronie serwera — żaden publiczny kanał).

Poziom weryfikacji SI (porównanie źródeł)

Cel: Sprawdza przekazane przebiegowi weryfikacji wartości związane ze źródłami względem ich podanych źródeł na żywo. Odbiegające wartości, nieosiągalne źródła, puste pola obowiązkowe albo nieuregulowane prawa prowadzą do odrzucenia i muszą być opracowane przed zatwierdzeniem.

Dane i źródła: Ustrukturyzowane węzły/stwierdzenia z potoku wraz z przypisanymi URL-ami źródeł.

Model: Claude (Opus) przez CLI Claude Code (logowanie abonamentowe, bez klucza API) jako weryfikator.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — brama jakości zabezpieczająca wierność faktom; nie podejmuje decyzji o osobach.

Nadzór ludzki: Przebieg weryfikacji wspiera kontrolę ludzką: wartość tam odrzucona nie może opuścić tej ścieżki zatwierdzania jako zaliczona.

Rejestrowanie: Każde odrzucenie z powodem i ewentualnym URL-em źródła w verification_results (wewnętrzne, niepubliczne).

Synteza klastrów i węzłów (teksty inteligencji w inteligencji)

Cel: Generuje streszczające teksty analiz i rekomendacji („intelligence”/synteza), które w widoku klastrów i węzłów inteligencji wiedzy tłumaczą jeden obszar życia.

Dane i źródła: Już zweryfikowane, ustrukturyzowane węzły i relacje grafu. Teksty powstają na etapie budowania i są zapisywane w grafie; przy wyświetlaniu powierzchnia liczy tylko z załadowanego grafu, bez ponownego wywołania modelu.

Model: Rój headless (opencode-GLM / Codex) na etapie budowania.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — opisowa synteza spraw publicznych; żadna decyzja o osobach.

Nadzór ludzki: Dla publicznego udostępnienia przewidziana jest redakcyjna weryfikacja; ten rejestr wskazuje wspierane przez SI powstawanie syntezy.

Rejestrowanie: Powstawanie w ramach przebiegów potoku (agent_runs, wewnętrzne).

Uogólnianie PII w tekstach swobodnych SI (scrub-pii)

Cel: Uogólnia w tekstach swobodnych SI (synteza, analizy, rekomendacje) z nazwy wymienione prywatne lub właścicielskie małe firmy, tak aby w tekstach publicznych nie pojawiały się żadne identyfikowalne osoby fizyczne.

Dane i źródła: Wygenerowane przez SI teksty swobodne z syntezy. Funkcjonariusze publiczni w swojej roli urzędowej pozostają (dopuszczalne zgodnie z Art. 6 ust. 1 lit. f) RODO).

Model: Deterministyczna funkcja reguł/wyrażeń regularnych — ŻADNEJ SI/żadnego modelu językowego. Przywołana tu dla przejrzystości, ponieważ przetwarza dalej wyjścia SI.

Klasa ryzyka: Żadnej SI w rozumieniu EU AI Act (oparte na regułach); środek minimalizacji danych RODO — czysto deterministyczna zamiana tekstu; służy ochronie danych, nie podejmuje decyzji.

Nadzór ludzki: Lista reguł jest redakcyjnie pielęgnowana i rozszerzana przy każdej regeneracji.

Rejestrowanie: Brak własnego rejestrowania; część eksportu potoku.

„Zapytaj miasto” — odpowiedź wiedzy (ugruntowany RAG)

Cel: Zadajesz pytanie o miasto i dostajesz krótką odpowiedź związaną z prawdziwymi źródłami. Miasto przeszukuje najpierw czysto leksykalnie własną wiedzę (zweryfikowane węzły grafu), pokazuje Ci znalezione prawdziwe węzły jako karty i formułuje z nich zwięzłe streszczenie. Gdy nie znajdzie nic pewnego, mówi to uczciwie („Miasto jeszcze o tym nie wie”) — całkowicie bez wywołania modelu.

Dane i źródła: Twoje swobodnie wpisane pytanie (ograniczone do krótkiej długości) i WYŁĄCZNIE już zweryfikowane, publicznie źródłowe węzły inteligencji wiedzy (web/.artifacts/graph.json) — żadnych zewnętrznych baz danych, żadnego dostępu do internetu podczas odpowiedzi. Model otrzymuje tylko wcześniej pobrane fragmenty węzłów plus Twoje pytanie i może cytować TYLKO te węzły; każde inne podanie źródła jest odrzucane po stronie serwera (biała lista źródeł). Pytanie nie jest przechowywane treściowo.

Model (z krajem hostingu): Lokalna w UE, samodzielnie hostowana inferencja na własnym sprzęcie — gemma4:31b-mlx na Mac Studio w Pegnitz (Niemcy), osiągalna przez prywatny, szyfrowany tunel; drugi lokalny w UE punkt (Hetzner, Norymberga, Niemcy) jest tylko awaryjnym HOSTEM, nie modelem zastępczym. Fail-closed (żadnego GLM/USA-fallbacku dla treści mieszkańców), z wyłączonymi narzędziami (bez dostępu do plików i sieci); odpowiedź jest streamowana przez SSE. Odpowiedź jest krótko buforowana w pamięci roboczej (per instancja), by odpowiadać na powtórzone identyczne pytania bez ponownego wywołania modelu.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — odpowiada na pytania faktograficzne ze sprawdzonej wiedzy publicznej; nie podejmuje decyzji o osobach, żadnego profilowania, żadnego skutku prawnego.

Nadzór ludzki: Ugruntowanie z konstrukcji: model widzi tylko już sprawdzone węzły i może cytować tylko je — zmyślone źródło nie przejdzie białej listy. Wyświetlane karty źródeł stoją same dla siebie; gdy streszczenie padnie, one pozostają uczciwą odpowiedzią. Odpowiedzi SI są rozpoznawalne jako takie.

Rejestrowanie: Brak treściowego zapisu pytania. Ograniczenie częstości per zanonimizowany (zhashowany) IP — surowy IP nigdy nie jest zapisywany ani logowany.

Lokalizacja firmy (analiza strony / dossier) — w przygotowaniu

Status (uczciwie): Publiczne zgłoszenie strony internetowej i jej API dla mieszkańców są wstrzymane w Core V1. Istniejące wewnętrzne ścieżki sprawdzania i usuwania pozostają; obywatele i obywatelki nie mogą obecnie uruchomić analizy. Publiczna aktywacja nastąpi dopiero po własnym dowodzie bezpieczeństwa, ochrony danych i przeglądarki.

Cel: Po aktywacji podajesz adres internetowy swojej firmy i potwierdzasz, że ją prowadzisz lub jesteś do tego uprawniony. Miasto odczytuje publicznie osiągalną stronę i tworzy z niej pierwszą darmową lokalizację: zwięzłą ocenę obecności plus konkretne, oparte na dowodach rekomendacje. Rezultat powstaje jako węzeł ze statusem moderation:'pending' i pojawia się publicznie dopiero po redakcyjnym zatwierdzeniu.

Dane i źródła: Wyłącznie publicznie odczytywalne treści wskazanej przez Ciebie strony (nazwa, opis, usługi, nagłówki, publiczne dane kontaktowe i social media, dane strukturalne, fragment tekstu). Scraper sprawdza adres docelowy względem adresów wewnętrznych/lokalnych (ochrona SSRF) i respektuje robots.txt. Wczytany tekst to DANE do analizy, nigdy instrukcja dla modelu (ochrona przed prompt injection). Żadnych danych osobowych osób prywatnych; funkcjonariusze publiczni tylko w swojej roli urzędowej.

Model: Claude (Opus) przez CLI Claude Code (logowanie abonamentowe, bez klucza API), wywoływany jako proces serwerowy. Gdy CLI jest niedostępne, zwracana jest uczciwa szkieletowa ocena dowodów zbudowana wyłącznie z rozpoznanych luk — nigdy zmyślone twierdzenie.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — generuje niewiążącą analizę i rekomendacje dla firmy; żadnej zautomatyzowanej decyzji o skutku prawnym wobec osób, żadnej oceny wiarygodności/dostępu, żadnego profilowania.

Nadzór ludzki: Model analizuje TYLKO z przedłożonych dowodów i nazywa luki zamiast zgadywać. Wygenerowany węzeł jest moderation:'pending' i staje się publiczny dopiero po redakcyjnym zatwierdzeniu; tylko zalogowani użytkownicy potwierdzający uprawnienie mogą uruchomić analizę. Możesz w każdej chwili zlecić usunięcie wkładu (RODO Art. 17).

Rejestrowanie: Wygenerowany (oczekujący) węzeł jest zapisywany w skrzynce dossier; przebieg na żywo nie jest prowadzony jako publiczny protokół. Ograniczenie częstości per użytkownik.

Osobisty agent mentor („Twój agent”)

Status (uczciwie): Ta wersja V1 jest udostępniona potwierdzonym dorosłym: opisujesz swoje marzenie, wybierasz postawę (mentor, partner sparingowy albo „Twój CEO”), i jest dla Ciebie zakładany osobisty, szyfrowany po stronie klienta zapis agenta. Nieletni i osoby o nieokreślonym wieku nie otrzymują w tej V1 odpowiedzi modelu. Chroniona rozmowa jest podpięta jako funkcja konta: tekst jawny jest przetwarzany w pamięci roboczej tylko dla pojedynczej tury odpowiedzi, nie zapisywany po stronie serwera i po tym ponownie szyfrowany po stronie klienta. Możesz prowadzić kilka zapisanych rozmów: każdy czat ma tytuł, który nadajesz swobodnie, i także ten tytuł jest przechowywany zaszyfrowany po stronie klienta. Starsze rozmowy możesz archiwizować; pozostają zachowane zaszyfrowane, dopóki ich nie usuniesz.

Cel: Prywatny, osobisty agent obywatelki lub obywatela (mentor, partner sparingowy albo „Twój CEO”). Ma Ci towarzyszyć przy Twoim własnym marzeniu – jako partner coachingowy, sparingowy i wdrożeniowy. On niczego za Ciebie nie decyduje; Ty decydujesz, posiadasz i podpisujesz.

Dane i źródła: Wyłącznie Twoje własne, przez Ciebie wprowadzone treści (profil, marzenie, przebieg rozmowy, tytuł czatu). TREŚCI leżą po stronie klienta zaszyfrowane jako szyfrogram AEAD (równocześnie wiadomości i tytuły czatów); klucz jest wyprowadzany z trzymanej przez Ciebie frazy hasła. Operator nie może tych treści odczytać. UCZCIWIE i w pełni: per czat dodatkowo prowadzone jest kilka POZBAWIONYCH TREŚCI danych administracyjnych bez szyfrowania, żeby lista czatów działała — liczba wiadomości, moment ostatniej wiadomości oraz to, czy czat jest przypięty czy zarchiwizowany. Te metadane nie zawierają żadnej treści rozmowy i żadnego tytułu. Dla pojedynczej tury odpowiedzi tekst jawny może być ulotnie przetworzony w środowisku po stronie serwera; nie jest tam zapisywany. NOWOŚĆ od 15.08.2026: przed odpowiedzią mentor sprawdza Twoją ostatnią wiadomość w sprawdzonej wiedzy miasta — dokładnie tą samą funkcją co wstępne planowanie marzenia, w całości w procesie na lokalnej w UE maszynie (odczyt pliku, obliczeniowe rankowanie, lokalne wektory), bez wywołania sieci i bez przekazania Twojej wiadomości jakiemukolwiek dostawcy. Wyłączone są część samoopisu kodu źródłowego grafu, profile załogi i marzenia innych osób; gdy sprawdzenie nie zmieści się w swoim krótkim oknie czasowym, w prompcie wprost stoi, że niczego nie sprawdzono. Żadnego zewnętrznego profilowania, żadnego trackingu, żadnego przekazywania usługom reklamowym lub profilującym.

Model: Prywatna inferencja mentora dla dorosłych biegnie wyłącznie lokalnie w UE i samodzielnie hostowana na sprawdzonym dla tej V1 modelu gemma4:e4b na Mac Studio operatora w Pegnitz (Niemcy), osiągalna przez prywatny, szyfrowany tunel. Nie ma dla tego mentora węzła awaryjnego ani modelu zastępczego: gdy Mac jest nieosiągalny, przeciążony albo odpowiedź trwa dłużej niż 25 sekund, pojawia się ograniczona odpowiedź o niedostępności. Każdy przebieg zwraca dokładnie jedną buforowaną odpowiedź JSON, nie używa narzędzi, nie zmienia plików i nie loguje treści wiadomości. Klient zapisuje potem własną turę i odpowiedź wspólnie, zaszyfrowane.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — osobiste narzędzie coachingowo-sparingowe bez zautomatyzowanej decyzji o skutku prawnym lub porównywalnie istotnym; żadnego profilowania, żadnej oceny dostępu do usług publicznych.

Nadzór ludzki: Człowiek przy sterze: agent ma proponować i towarzyszyć; obywatelka lub obywatel decyduje i posiada rezultat. Obecna V1 odmawia nieletnim i osobom o nieokreślonym wieku wywołania modelu także wtedy, gdy zgoda jest już złożona. Późniejsza wersja dla dzieci wymaga własnej ewaluacji modelu, własnej ochrony wyjścia i zgody ochrony dzieci. Rozpoznawanie kryzysu działa deterministycznie przed każdą inferencją i jeszcze raz po stronie serwera na wszystkich turach rozmowy: przy sygnałach samookaleczenia, przemocy lub zagrożenia wywołanie modelu się zatrzymuje, nie powstaje żadna odpowiedź i pojawiają się prawdziwe ścieżki pomocy. pegnitz.city nie jest służbą ratunkową; w ostrej potrzebie zwracasz się bezpośrednio do prawdziwej pomocy: telefon zaufania 0800 111 0 111 albo 0800 111 0 222 (bezpłatny, anonimowy, całą dobę), numer przeciwko przykrościom 116 111 (bezpłatny, anonimowy, pon–sob 14:00–20:00), straż pożarna i pogotowie 112 albo policja 110 (oba bezpłatne, całą dobę).

Jedyne przejście od Twojego mentora do załogi (nowe od 15.08.2026): Twój mentor potrafi teraz dwie rzeczy — i tylko dwie. PO PIERWSZE PYTAĆ: odpowiada na pytanie, co miasto właściwie zrobiło z Twoim marzeniem, wyłącznie z TWOICH WŁASNYCH linijek, które możesz samodzielnie odczytać w swoim koncie; zdanie jest składane z policzonych linijek, żaden model go nie formułuje, a gdy nie ma nic, mówi dokładnie to. PO DRUGIE PROSIĆ: możesz złożyć życzenie do załogi — jest zapisywane jako PROPOZYCJA, która bez Twojej wyraźnej zgody nie jest nikomu pokazywana i nie wywołuje żadnej pracy załogi. To, co wychodzi tym przejściem, jest wąsko ograniczone: pseudonimowy skrót Twojego marzenia (wyprowadzona wartość skrótu, nigdy identyfikator Twojego konta) i już oczyszczona publiczna krótka wersja, do tego Twój tekst prośby, uprzednio oczyszczony z danych kontaktowych I potem jeszcze raz sprawdzony, czy nie zostało coś osobistego. Gdy coś zostaje, prośba NIE wychodzi i dostajesz taką informację. Kto zablokował swoje marzenie anonimowo, nie ma takiego skrótu — wtedy nie wychodzi w ogóle nic, a pytanie działa mimo to. Sam mentor nie dostaje do tego żadnego narzędzia: inferencja nadal nie ma żadnego dostępu do narzędzi.

Rejestrowanie: Brak treściowego rejestrowania przez operatora – zapisane treści są zaszyfrowane i nieczytelne dla operatora; inferencja na żywo nie loguje treści wiadomości. Archiwizacja vs. usunięcie: archiwizacja tylko ukrywa czat z aktywnej listy, zaszyfrowana historia pozostaje. Prawo do usunięcia (RODO Art. 17): dopiero usunięcie Twoich kluczy i szyfrogramów czyni treści nieodzyskiwalnymi – działa to bez zmian także dla czatów zarchiwizowanych.

Przypomnienia mentora o Twoich własnych następnych krokach — wysyłka e-maili wstrzymana

Status (uczciwie): Przypomnienia są standardowo WYŁĄCZONE i powstają dopiero, gdy sam je włączysz. W aplikacji widzisz je w swoim koncie. Wysyłka E-MAIL pozostaje wstrzymana — potrójnie zablokowana: po pierwsze, wysyłka jest wyłączona w konfiguracji operacyjnej, a domena nadawcy nie jest dopuszczona; po drugie, krok potwierdzenia (double opt-in przez e-mail) nie jest jeszcze zbudowany — zgoda nie może więc w ogóle zostać potwierdzona i w ten sposób stać się wysyłalna; po trzecie, kontrola przed każdą wysyłką wymaga potwierdzonej, aktualnej zgody i bez niej zamyka się odmową. Od 17.08.2026 ta zgoda zgodnie z Art. 7 RODO jest zapisywalna w bazie danych — wersjonowana, co do słowa identyczna, z odrębnym odwołaniem, które działa w każdej chwili w Twoich ustawieniach i przeważa nad każdym wcześniejszym potwierdzeniem. Miejsce przechowywania istnieje więc; ale bez zbudowanego kroku potwierdzenia każda zgoda pozostaje w stanie „niepotwierdzona”, i dokładnie na tym wykłada się każda próba wysyłki. Dopóki tak jest, żadny e-mail z przypomnieniem nie wychodzi. Aktywację wskażemy tu dopiero wtedy, gdy naprawdę nastąpi.

Cel: Przypomnieć Ci o JEDNYM kroku, który sam sobie postanowiłeś — nie wciągać Cię z powrotem do aplikacji. Żadnego kroku, żadnego przypomnienia: wolimy ciszę niż wytworzoną okazję.

Dane i źródła: Twoje własne ustawienia (wł./wył., godziny ciszy, strefa czasowa), tytuł Twojego własnego otwartego zadania mentora i — dopiero w momencie prawdziwej wysyłki — Twój potwierdzony adres e-mail konta. Sama kolejka nie zapisuje ani Twojego adresu e-mail, ani gotowej wyrenderowanej prywatnej wiadomości, ani Twojego surowego marzenia. Żadnych zewnętrznych źródeł danych, żadnego profilowania, żadnej reklamy.

Model (z krajem hostingu): Dla samego przypomnienia NIE jest wywoływany żaden model SI: wybór i tekst to stały, oparty na regułach szablon działający na własnej infrastrukturze w Niemczech. Przywołany krok pochodzi z Twojego własnego, uprzednio wygenerowanego lokalnie w UE planu mentora. Z przejrzystości ten punkt i tak tu stoi, ponieważ dostarcza wyjście SI. Gdyby doszło do wysyłki, usługą dostawy byłby dostawca poczty (Resend, UE/USA, certyfikowany DPF, z DPA) — ten punkt jest wskazywany tu, zanim stanie się aktywny, nie potem.

Klasa ryzyka: Żadnej SI w rozumieniu EU AI Act (dostawa oparta na regułach). Na gruncie ochrony danych komunikacja bezpośrednia na podstawie Twojej zgody (Art. 6 ust. 1 lit. a), Art. 7 RODO).

Kontrola ludzka: Decydujesz trzykrotnie: przypomnienia są wyłączone, dopóki ich nie włączysz; e-mail wymaga dodatkowo własnej, wyraźnie na ten cel udzielonej zgody w trybie double opt-in, oddzielonej od zgody na newsletter; i możesz ją w każdej chwili odrębnie odwołać — przez link do wypisania jednym kliknięciem albo w ustawieniach. Brakujący, odwołany i niepotwierdzony dowód prowadzą wszystkie do tego samego wyniku: nie jest wysyłane.

Rejestrowanie: Dla każdej próby dostawy prowadzona jest prywatna linia ze statusem i powodem (np.: w kolejce, albo pominięta, bo brak zgody), żeby nie powstawało podwójne przypomnienie. Linia liczy się jako wysłana dopiero wtedy, gdy dostawca usługi faktycznie potwierdził wysyłkę — czekające przypomnienie nigdy nie jest wskazywane jako wysłane. Wypisania, bounce i skargi są prowadzone jako prywatne dane blokujące.

Głos załogi (mówione na żywo komunikaty o pracy agentów)

Status (uczciwie) — tożsamość mówiącego: Nazwa, którą czytasz i słyszysz przy mówionej linii, to samodeklaracja odpowiedniego przebiegu agenta. Platforma odnotowuje przy każdej linii, czy tę tożsamość udało się technicznie udowodnić — a przy liniach odtwarzanych publicznie ta cecha stoi obecnie na „nieudowodniona”. Mówimy Ci więc, JAKA NAZWA złożyła komunikat — nie to, że ta tożsamość jest dowiedziona. Gdy nieudowodniona linia rości sobie rolę kierowniczą (np. CEO albo ochrona dzieci), jest w widoku załogi wyraźnie oznaczona jako nieudowodniona; przy wszystkich pozostałych rolach taki wpis dotąd się nie pojawia. Sprawdzalny maszynowo dowód mówcy jest w przygotowaniu; gdy tylko naprawdę poniesie publiczne linie, zostanie to tu wskazane.

Cel: Na stronie startowej i w widoku załogi możesz włączyć głosy załogi: prawdziwy takt pracy agenta (początek/zakończenie zadania) może stać się słyszalny jako krótki, swobodnie sformułowany mówiony komunikat o statusie — pod jaką nazwą komunikat został złożony, nad czym się pracuje, czemu to służy miastu i kto przejmuje następne. Nie każdy takt staje się słyszalny: linie, które nie przechodzą opisanego niżej zabezpieczenia, pozostają nieme. Pisany kanał pozostaje niemiecki; mówiona linia jest angielska.

Dane i źródła: WYŁĄCZNIE wewnętrzne fakty operacyjne złożone w repozytorium: napisana tożsamość agenta (imię, rola, charakter), rzeczywisty komunikat o pracy załogi i zarejestrowane w boardzie fakty odpowiedniej operacji. Żadnych danych mieszkańców, żadnych danych osobowych — komunikat o pracy zawierający adres e-mail albo numer telefonu nie wytwarza ŻADNEJ mówionej linii (fail-closed).

Model: Mówioną linię pisze sama sesja agenta, która ją wykonuje — żaden model jej nie komponuje (per linia udokumentowane jest model = NULL i speechAuthor = 'agent'). Ta sesja biegnie u dostawcy, u którego biegnie dana praca; dla ścieżek kodowania Plane A jest to poza UE (np. Z.AI/Chiny, Anthropic/USA, OpenAI/USA). Do tych promptów nie wchodzą żadne dane mieszkańców ani osobowe — wychodzący transfer to wolny od PII prompt kodowania (już zarejestrowany jako Plane A), linia głosowa to wyjście, które wpływa z powrotem do UE. Sama synteza mowy odbywa się na samodzielnie hostowanych silnikach TTS (Piper/Qwen) na własnej infrastrukturze.

Zabezpieczenie (grounding, fail-closed): Każda złożona linia przechodzi przez deterministyczny sprawdzacz: frazy odmowy, nieudowodnione liczby, zmyślone osoby lub autorytety (np. nigdy nie dane OK boardu), brakujące kody operacji i nieudowodnione twierdzenia o sukcesie albo zatwierdzeniu prowadzą do odrzucenia linii — takt pozostaje wtedy niemy w pisanym kanale. Komunikat o pracy jest przekazywany modelowi strukturalnie jako DANE, nigdy jako instrukcja (ochrona przed prompt injection).

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — syntetyczny głos o własnej pracy załogi agentów; żadnej decyzji o osobach, żadnego profilowania. Synteza mowy jest w powierzchni oznaczona jako SI (przełącznik „głosy SI wł./wył.”) i jest aktywna tylko, gdy sam ją włączysz.

Rejestrowanie: Każda mówiona linia wyrasta z publicznie widocznej linii w kanale na żywo widoku załogi (tabela warroom_live_activity; starszy kanał agent_activity nie niesie już tych linii) — to, co zostało powiedziane, jest też czytelne i weryfikowalne. Przy każdej linii dodatkowo odnotowywane jest wewnętrznie, czy tożsamość mówcy udało się technicznie udowodnić; ta cecha jest podstawą wskazanej wyżej uczciwej ograniczoności.

Ziggy-Kosmos — towarzysz uczenia się dla dzieci (publiczna strona pokazowa)

Status (uczciwie): Publicznie osiągalna jest strona pokazowa z przewodnikami i funkcją czytania na głos — stałe, redakcyjnie pielęgnowane teksty, które wyjaśniają planowany system uczenia. Sam system uczenia (konto, ćwiczenia, rozmowy z mentorem, sprawdzanie rysunków) NIE jest publicznie udostępniony: to prowadzony pilot za logowaniem i własnymi zgodami. Zanim dzieci będą mogły go używać, wymagane są własne zbadanie wiedzy pod kątem odpowiedności wiekowej (JMStV), zgoda ochrony dzieci i wiążąca ewaluacja modelu dla dzieci — do tego czasu ta część pozostaje wstrzymana.

Cel: Strona przedstawia Ziggy-Kosmos: prywatnego towarzysza uczenia, który oferuje dzieciom ćwiczenia według bawarskiego LehrplanPLUS, towarzyszy im sokratejsko (SI nigdy po prostu nie podaje rozwiązania) i na życzenie nauczyciela generuje sceny 3D do tematów uczenia. Na samej publicznej stronie nie odbywa się żadne uczenie — ona tylko wyjaśnia.

Dane i źródła: Na publicznej stronie platforma nie przetwarza ŻADNYCH danych mieszkańców: funkcja czytania na głos wypowiada wyłącznie stałe teksty slajdów z zamkniętego katalogu, który możesz wybierać slajd po slajdzie — dowolny tekst nie jest przyjmowany i nigdy nie może dotrzeć do głosu. Do obrony przed nadużyciami służy wyłącznie zanonimizowany (zhashowany) adres IP do ograniczenia częstości. (Niepubliczny) system uczenia przetwarza postępy i rozmowy dzieci wyłącznie za zgodą opiekunów prawnych (Art. 8 RODO), zaszyfrowane i lokalnie w UE — ta część nie jest aktywna.

Model (z krajem hostingu): Czytanie na głos to głos syntetyczny: samodzielnie hostowana synteza mowy Piper (niemiecki głos) na własnym sprzęcie XBANQ® GmbH w Niemczech — żadnej usługi zewnętrznej, żadnego transferu do państw trzecich. System uczenia (niepubliczny) liczy na samodzielnie hostowanych, lokalnych w UE modelach na Ollama (mentor: gemma4; sprawdzanie rysunków: qwen3-vl) — sztywno zakotwiczony dla ścieżek dzieci bez modelu awaryjnego (fail-closed).

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — głos syntetyczny i wyjaśniające przedstawienie; żadnej decyzji o osobach. System uczenia jest klasyfikowany jako ograniczone ryzyko pod wiążącym warunkiem, że postępy w uczeniu pozostają prywatne i nigdy nie są używane jako oficjalna ocena szkolna; sytuacja wysokiego ryzyka (oficjalna ocena albo dostęp) zablokowałaby każdy start.

Nadzór ludzki: Publiczna strona składa się ze stałych, redakcyjnie pielęgnowanych treści. W systemie uczenia obowiązuje: nauczyciel, opiekunowie prawni i dziecko sterują; SI nie ocenia oficjalnie, niczego nie decyduje i nie zastępuje żadnej szkoły. pegnitz.city jest i pozostaje nieoficjalną ofertą miasta Pegnitz.

Rejestrowanie: Brak zapisu treści na publicznej stronie; ograniczenie częstości per zanonimizowany (zhashowany) IP — surowy IP nigdy nie jest zapisywany. System uczenia loguje wewnętrznie, związane z kontem, i nie jest publicznie aktywny.

Mediateka miejska: analiza mediów przez SI (obraz, dźwięk, wyszukiwanie) — w przygotowaniu

Status (uczciwie): Publiczne wgrywanie, publiczne wyszukiwanie i publiczny widok mediów są wstrzymane w V1. Istniejące dowody własności i odwołania oraz osobne ścieżki recenzenta, administratora i analizy pozostają. Lokalna w UE analiza SI pracuje fail-closed: bez osiągalnego lokalnego modelu nie powstaje żadna automatyczna analiza, sygnał osób pozostaje „nieznany” i nie ma żadnej automatycznej publikacji. Publiczną aktywację wskażemy tu dopiero po jej własnym dowodzie udostępnienia.

Cel: Po aktywacji SI wspiera ludzką recenzję wgranych mediów: SI obrazu opisuje i otagowuje medium i szacuje, czy widoczne są osoby lub domniemani nieletni (wstępne sortowanie ochrony młodzieży); ścieżki dźwiękowe są transkrybowane lokalnie; do wyszukiwania mediów liczone są lokalne wektory.

Dane i źródła: Wyłącznie wgrywane przez Ciebie media i Twoje własne dane (tytuł, kategoria, klasyfikacja osób). Żadnych zewnętrznych baz danych, żadnego porównywania z obcymi zbiorami osób, żadnej biometrycznej identyfikacji.

Model: Lokalna w UE, samodzielnie hostowana inferencja na własnym sprzęcie w Niemczech — SI obrazu: wyłącznie przypięta, potwierdzona dowodem zdolności SI obrazu (OLLAMA_KIDS_MODEL, aktualnie gemma4:e4b na Mac Studio w Pegnitz (Niemcy)); nadpisania wizji dla dorosłych lub generyczne są świadomie ignorowane, bez pina nie biegnie żadna analiza (fail-closed). Transkrypcja whisper.cpp, wektory wyszukiwania Xenova multilingual-e5-small; żadnego transferu do państwa trzeciego.

Klasa ryzyka: Zgodnie z naszą bieżącą samooceną: ograniczone ryzyko / obowiązek przejrzystości (Art. 50) — przygotowujący opis i wstępne sortowanie; żadnej zautomatyzowanej decyzji o skutku prawnym wobec osób. Wstępne sortowanie nieletnich służy ochronie młodzieży i może dotykać kategorii szczególnych (Art. 9 RODO); ono niczego nie decyduje, lecz każdy wątpliwy przypadek kładzie przed człowiekiem.

Nadzór ludzki: Człowiek przy sterze i fail-closed: nic nie staje się widoczne ani użyte, zanim człowiek tego nie zatwierdził. Gdy wskazanie wgrywającej osoby odstępuje od sygnału SI albo analiza SI jest niedostępna, koniecznie sprawdza człowiek. Media z rozpoznawalnymi nieletnimi pozostają zablokowane bez udokumentowanej zgody ich opiekunów prawnych.

Rejestrowanie: Wyniki analizy (opis, transkrypcja, sygnał osób, model) są zapisywane per medium wewnętrznie (media_vault_analysis, dostępne tylko po stronie serwera przez row-level security). Przy odwołaniu albo usunięciu analiza, transkrypcja i wektor wyszukiwania są usuwane razem z nimi.

Kein Training mit Stadtdaten — Attestierung je Modell

Für jedes Modell, das diese Instanz nutzen kann, ist unten attestiert, warum seine Ausgaben nicht in das Training oder Fine-Tuning allgemeiner Modelle fliessen: vertraglich zugesichert und nachgewiesen im Auftragsverarbeitungsvertrag, oder technisch ausgeschlossen, weil das Modell selbst betrieben wird und keine Verbindung zu einem Anbieter besteht. Der Stand der Prüfung ist je Eintrag datiert.

Kontrola ludzka i rejestrowanie

Kontrola ludzka i rejestrowanie różnią się per ścieżka udostępnienia. W potoku danych sprawdzane są przekazane przebiegowi wartości związane ze źródłami; wartość tam odrzucona musi być opracowana przed zatwierdzeniem. Wizje mieszkańców są zapisywane jako origin:'citizen', moderation:'pending' i pojawiają się w publicznej inteligencji wiedzy dopiero po wyraźnym redakcyjnym udostępnieniu. Udokumentowane rdzenne powierzchnie wskazują swoje wsparcie SI przy wyniku albo w tym rejestrze. Przebiegi potoku są rejestrowane wewnętrznie w agent_runs i verification_results, między innymi ze statusem, wynikiem kontroli, powodem odrzucenia i ewentualnie URL-em źródła. Te protokoły nie są publicznym kanałem na żywo; publiczny podgląd audytu na żywo obecnie nie istnieje. Obowiązek źródeł pozostaje wiążącym wymogiem jakości, nie twierdzeniem, że każdy historyczny węzeł jest już w pełni udokumentowany. Media o nieuregulowanych prawach nie są udostępniane publicznie.

W przygotowaniu

• Publicznie przeglądalny widok audytu/protokołów: protokoły (agent_runs, verification_results) już istnieją, ale są obecnie dostępne tylko po stronie serwera (service_role). Publicznie przeglądalna strefa audytu nie jest jeszcze zrealizowana – gdy się pojawi, zostanie tu przejrzyście wskazana.
• Redakcyjny przebieg udostępniania wizji mieszkańców: wkłady są już trzymane jako moderation:'pending'; proces udostępniania jest zrealizowany jako zasada, wygodny frontend moderacji jest w przygotowaniu.
• Mediateka miejska – analiza mediów przez SI: publiczne przyjmowanie i publiczne wyszukiwanie pozostają w V1 zamknięte. Wewnętrzne ścieżki analizy i recenzji są publicznie aktywowane dopiero po własnym dowodzie udostępnienia.
• Sprawdzalny maszynowo dowód mówcy dla głosu załogi: dopóki nie niesie publicznie odtwarzanych linii, wyświetlana nazwa agenta jest samodeklaracją odpowiedniego przebiegu, a nie dowodem. Stan stoi uczciwie na górze sekcji „Głos załogi” i zostanie tu zmieniony, gdy tylko dowód naprawdę zadziała.
• E-maile z przypomnieniami mentora: droga wysyłki jest zbudowana i sprawdzona, ale wstrzymana. Zgoda zgodnie z Art. 7 RODO jest od 17.08.2026 zapisywalna i odrębnie odwoływalna; krokiem potwierdzenia przez e-mail (double opt-in) jest wciąż brakujący element i bez niego kontrola odmawia każdej wysyłki. Zmienimy ten akapit dopiero wtedy, gdy krok potwierdzenia będzie zbudowany, a pierwsza wysyłka rzeczywiście zatwierdzona.
• Dalsze funkcje SI są tu uzupełniane, gdy tylko faktycznie zostaną udostępnione; wstrzymane funkcje pozostają do tego czasu wyraźnie oznaczone jako „w przygotowaniu”.