Реєстр ШІ

pegnitz.city відкрито показує, де штучний інтелект (ШІ) застосовується в задокументованих функціях. Цей публічний реєстр ШІ — наша поточна самооцінка, і він підтримує прозорість відповідно до ст. 50 Європейського регламенту про ШІ (EU AI Act); він не є ані юридичною сертифікацією, ані незалежним аудитом. Для кожної функції, описаної нижче, ми називаємо мету, базу даних, модель, людський нагляд і журналювання. Де функцію стримано від публіки або доказ ще відкритий, ми це вказуємо. Класифікацію переглядають заново при кожній суттєвій зміні функції.

Оператор і відповідальність

Класифікація ризику

Класифікація ризику (EU AI Act). Згідно з нашою поточною, необов'язковою самооцінкою ми класифікуємо описані тут функції переважно як функції обмеженого ризику з обов'язками прозорості. Опубліковані ключові функції створюють підказки, резюме, пропозиції планування або синтетичну мову; вони не вирішують про доступ до суттєвих публічних послуг і не приймають жодного рішення з правовим наслідком щодо окремих осіб. Перевірка джерел, редакційне затвердження, безпекові зупинки та розкриття відрізняються за функціями і тому описані нижче окремо. Безпекова перевірка ментора класифікує сигнали небезпеки лише для поточного ходу і при цьому не зберігає жодного відкритого тексту; оскільки такі сигнали можуть торкатися особливих категорій за ст. 9 GDPR, вона лишається задокументованою окремо. Реєстр підтримує мету прозорості ст. 50, але не замінює остаточної правової чи відомчої оцінки. Заборонені практики, як-от соціальне оцінювання або віддалена біометрична ідентифікація, не входять до задокументованого обсягу публікації.

Функції ШІ на цій платформі

Переклад і перевірка публічного каталогу інтерфейсу під час збірки

Мета: Grok, Codex, GLM 5.3 та Ox Alpha Free можуть перекладати й мовно перевіряти сталі тексти інтерфейсу, написані командою, перед випуском нової мови. Під час показу сторінки виклику моделі не відбувається.

Дані та межі: Вихідне завдання збирається наново із закритого переліку дозволеного: німецькі тексти каталогу з репозиторію, глосарій, вказівки щодо мовного регістру та назви нерозв'язаних заповнювачів ICU. Жодних імен приватних осіб, контактних даних, внесків мешканців, мрій, спогадів ментора, даних сесій, витягів із бази чи журналів. Перед кожним зовнішнім викликом брама з відмовою за замовчуванням перевіряє весь пакет; одне влучання лишає весь пакет на пристрої.

Моделі: Виключно вже допущені абонентські канали Plane A: Grok (xAI), Codex (OpenAI), GLM 5.3 (Z.AI) та Ox Alpha Free (шлюз OpenCode Zen, Anomaly Innovations, Inc., США; безіменний прихований субобробник; за постачальником — хостинг у США, нульове збереження і без тренування — без DPA в наших документах, той самий клас чесної прогалини, що й Z.AI; ніколи «ЄС» і не «адекватність»). Допущено рівно один ідентифікатор моделі (x-preview-f-free); будь-яка інша безкоштовна модель Zen, за постачальником, тренується або записує журнали і виключена. Невідомий постачальник або невідомий клас даних відхиляється. Висновування щодо мешканців, ментора, мрій, дітей і кризових ситуацій лишається виключно локальним у ЄС на власній інфраструктурі Ollama.

Людський контроль: Моделі можуть перекладати й перевіряти, але не схвалювати. Зовнішня перевірка завершується станом «перевірено ШІ, чекає на людину». Лише записане рішення людини може встановити статус «схвалено»; випуск мови лишається окремим кроком людини і ради.

Правило відкату: Повторне влучання захисної брами, порушення походження каталогу, новий постачальник чи новий клас даних припиняють зовнішній дозвіл для відповідних текстів. Тоді знову діє: локально в ЄС або жодного запуску.

Попереднє планування мрії з ментором на першому місці («твоя мрія»)

Мета: Коли ти описуєш мрію для Pegnitz, спершу приватний ментор допомагає тобі її загострити. Щонайбільше після трьох кроків ти можеш закріпити попередньо сплановану мрію; лише після цього перевірена проєкція йде в рецензію, дослідження і можливі дії.

Дані та джерела: Твій вільно введений текст бачення (обмежений до 2000 символів), за бажанням побажання уточнення і поточний план; лише для зареєстрованих користувачів. НОВЕ від 15.08.2026: перед плануванням місто шукає твою мрію у ВЛАСНОМУ перевіреному знанні — текст твоєї мрії слугує пошуковим запитом до вже опублікованої проєкції знання (та сама функція, яку використовує відповідь із знання міста), а знайдені вузли передаються моделі як факти. Цей пошук працює повністю В ПРОЦЕСІ на локальній в ЄС машині: читання файлу, чисто обчислювальне ранжування і локальні вектори Xenova — жодного мережевого виклику, жодної зовнішньої служби, жодної передачі твоєї мрії будь-якому постачальнику. Виключені частина самоопису вихідного коду графу, профілі команди і мрії інших людей. Якщо місто нічого не знаходить або є надто повільним, у промпті прямо стоїть, що нічого не шукали — порожній блок ніколи не видається за дослідження. Додатково рамкові умови малого франконського містечка (~13 600 мешканців), задані в промпті. Жодних зовнішніх баз персональних даних.

Модель (з країною хостингу): Локальна в ЄС, самохостована інференція на власному обладнанні XBANQ® GmbH — gemma4:31b-mlx на Mac Studio в Pegnitz (Німеччина), досяжна через приватний, шифрований тунель; друга локальна в ЄС точка (Hetzner, Нюрнберг, Німеччина) служить лише запасним ХОСТОМ. ЧЕСНО, і уточнено з 15.08.2026: більше НЕМАЄ підміни моделі — твою мрію планує та модель, яку це місто для неї перевірило, або вона не планується взагалі, і ми кажемо тобі це. Неповнолітнім із чинною згодою законних представників натомість жорстко ставиться перевірена дитяча модель (також локальна в ЄС); постачальник поза ЄС на цьому шляху жорстко заблокований (fail-closed, без GLM/США-запаски для матеріалів мешканців). Відповідь транслюється потоком через SSE.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — створює необов'язкову пропозицію планування, без рішення з правовим наслідком; без оцінки доступу до публічних послуг.

Людський контроль: Людина за кермом, і з 15.08.2026 буквально: запропонований план ти можеш ПЕРЕПИСАТИ САМ — твої змінені кроки зберігаються як окремий шар поруч із пропозицією моделі, і версія, яку сформував ти, є версією, яка йде далі. План спершу видимий лише тобі; публікація як вузол відбувається лише після редакційного затвердження (moderation:'pending'), і навіть твій власний текст проходить ту саму очистку PII, що й кожне інше публічне поле. Свій внесок ти можеш у будь-який момент наказати видалити.

Журналювання: Надіслані внески (текст бачення, створений план, твоя власна версія плану, ID користувача, момент) зберігаються за обліковим записом; живий запуск не ведеться як публічний протокол. Для кожного запуску пишеться операційний рядок без осіб (подія, спроба, модель, тривалість) — ніколи твоя мрія, ніколи відповідь, ніколи ідентифікатор облікового запису. Обмеження частоти на користувача.

Черга плану мрії та лист готовності («твоя мрія»)

Мета: З 24.08.2026 перший чернетковий план («preplan») іде через ОДНУ тривалу чергу: жодне завдання не губиться, коли процес перезапускається, і на обліковий запис місто працює рівно над одним завданням — друге натискання кнопки чесно отримує відповідь, що планування вже триває. Замість таймауту очікування в завданні буквально стоїть: чекати не треба — ми повідомимо тебе, щойно твоя чернетка буде готова. Лист готовності саме для цього існує: він каже лише, що твоя чернетка чекає в захищеному обліковому записі. Решта типів завдань (уточнення, старий асистент, адмін-панель) переводяться на ту саму чергу одне за одним; доти двері відмовляють їм із чесним повідомленням, замість потайки працювати повз модель.

Дані та джерела: Твоя сира мрія (12–2000 символів) живе виключно у власному збережному рядку: його пише лише серверна служба, читати може лише твій обліковий запис, а стовпець із самою сирою мрією видимий лише серверній службі. Після завершення його видаляють — щонайпізніше через 24 години цикл очистки домагається решти. Черга повідомлень не містить жодного змісту. Можливий лист каже лише, що твій план готовий у захищеному обліковому записі; назва, перший крок і текст мрії не надсилаються. Автоматичне планування починається лише тоді, коли твій лист підтверджено і твій обліковий запис схвалено.

Модель: Створення плану лишається без змін описаною вище локальною в ЄС, самохостованою інференцією (gemma4:31b-mlx; дитячий шлях жорстко на перевіреній дитячій моделі, без постачальника поза ЄС). Нове в черзі: доступ до єдиної локальної в ЄС моделі свідомо прибитий рівно до одного одночасного запуску — ніхто не просувається вперед, нікого не витісняють. І черга сама зачиняється для неповнолітніх: лише виразна відповідь дорослого на брамі віку запускає дорослу модель; кожен відсутній або невизначений вік рахується як дитина і отримує дитячу модель (fail-closed). Для самого листа ЖОДНА модель ШІ не викликається — це стала, побудована на правилах шаблон на власній інфраструктурі в Німеччині.

Клас ризику: Створення плану без змін: обмежений ризик / обов'язок прозорості (ст. 50) — необов'язкова пропозиція планування, без рішення з правовим наслідком. Лист не є ШІ у значенні EU AI Act (доставка на основі правил). У праві захисту даних він спирається на ст. 6 ч. 1 п. b) GDPR (виконання замовленої тобою функції «твоя мрія → план»): це доставка замовленого результату, не реклама і не розсилка — і її можна будь-коли вимкнути в обліковому записі, додатково з посиланням одклік-відписки в один клік.

Людський контроль: Ти даєш завдання разом зі своєю мрією; чернетка спершу лишається видимою лише тобі, а публікація як вузол відбувається лише після редакційного затвердження (moderation:'pending'). Після завершення перший крок бере твій коуч: стала, побудована на правилах привітання, складена з твого плану, вітає тебе — жодна модель її не імпровізує, і воно створюється, перш ніж якийсь лист узагалі потрапить у чергу; якщо передача не вдасться, жодного листа не надсилають. Завдання через адмін-панель для вже надісланих мрій зарезервоване для зареєстрованих адміністраторів.

Журналювання: Операційні рядки про чергу без осіб: подія, спроба, модель, тривалість — ніколи твоя мрія, ніколи відповідь, ніколи ідентифікатор облікового запису. Для листа ведеться приватний рядок доставки зі статусом і причиною (наприклад: у черзі, або пропущено, бо відписано); рядок вважається надісланим лише тоді, коли постачальник послуг фактично підтвердив надсилання.

Структурування знання міської інтелектуції (конвеєр даних)

Мета: З підтримкою ШІ досліджує, структурує і курирує публічно перевірювані факти про установи, місця, організації та відомства в Pegnitz і впорядковує їх у знання-інтелект (кластери, вузли, зв'язки).

Дані та джерела: Публічно доступні джерела (веб-сторінки, реєстри, відомчі дані). Фактичні твердження мають бути пов'язані з перевірюваним посиланням на джерело; прогалини не видаються за перевірені. Жодних персональних даних приватних осіб – публічні посадовці лише в своїй службовій ролі.

Модель: Безголовий рій: opencode-GLM і Codex як виконавці, керовані й плановані Claude (Opus) як планувальником; побудова відбувається під час збірки, а не при кожному перегляді сторінки.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — структурує публічну фактичну інформацію; без рішень про осіб, без профілювання.

Людський нагляд: Обов'язок джерела; змісти, призначені для публікації, проходять описаний процес джерела й затвердження. Відповідна поверхня або цей реєстр вказують задокументовану підтримку ШІ.

Журналювання: Журналюється в agent_runs / verification_results (внутрішнє, доступне лише на стороні сервера — без публічного потоку).

Рівень верифікації ШІ (зіставлення джерел)

Мета: Перевіряє передані запуску верифікації значення, прив'язані до джерел, проти їхніх зазначених живих джерел. Значення, що розходяться, недосяжні джерела, порожні обов'язкові поля чи неврегульовані права ведуть до відхилення і мають бути опрацьовані перед затвердженням.

Дані та джерела: Структуровані вузли/твердження з конвеєра та відповідні URL-адреси джерел.

Модель: Claude (Opus) через CLI Claude Code (вхід за передплатою, без API-ключа) як верифікатор.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — якісна брама, що забезпечує вірність фактам; не приймає рішень про осіб.

Людський нагляд: Запуск верифікації підтримує людський контроль: відхилене там значення не може залишити цей шлях затвердження як пройдене.

Журналювання: Кожне відхилення з причиною і, за потреби, URL-адресою джерела у verification_results (внутрішнє, непублічне).

Синтез кластерів і вузлів (тексти інтелекту в інтелекті)

Мета: Створює підсумові аналітичні та рекомендаційні тексти («intelligence»/синтез), які у перегляді кластерів і вузлів знання-інтелекту пояснюють одну сферу життя.

Дані та джерела: Уже перевірені, структуровані вузли і зв'язки графу. Тексти створюються під час збірки і зберігаються в графі; при показі поверхня обчислює лише із завантаженого графу, без нового виклику моделі.

Модель: Безголовий рій (opencode-GLM / Codex) під час збірки.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — описовий синтез публічних питань; без рішень про осіб.

Людський нагляд: Для публічного затвердження передбачена редакційна перевірка; цей реєстр вказує створення синтезу з підтримкою ШІ.

Журналювання: Створення в межах запусків конвеєра (agent_runs, внутрішнє).

Узагальнення PII у вільних текстах ШІ (scrub-pii)

Мета: Узагальнює у вільних текстах ШІ (синтез, аналізи, рекомендації) названі іменами приватні або власник-керовані малі підприємства, так щоб у публічних текстах не з'являлися ідентифіковані фізичні особи.

Дані та джерела: Створені ШІ вільні тексти із синтезу. Публічні посадовці у своїй службовій ролі зберігаються (правомірно за ст. 6 ч. 1 п. f) GDPR).

Модель: Детерміністична функція правил/регулярних виразів – ЖОДНОГО ШІ/жодної мовної моделі. Наведена тут заради прозорості, бо вона допрацьовує виходи ШІ.

Клас ризику: Жодного ШІ у значенні EU AI Act (на основі правил); захід мінімізації даних GDPR — чисто детерміністична заміна тексту; служить захисту даних, не приймає рішень.

Людський нагляд: Перелік правил ведеться редакційно і розширюється з кожною регенерацією.

Журналювання: Без окремого журналювання; частина експорту конвеєра.

«Запитай місто» — відповідь із знання (заземлений RAG)

Мета: Ти ставиш питання про місто і отримуєш коротку відповідь, прив'язану до справжніх джерел. Місто спершу чисто лексично шукає у власному знанні (перевірені вузли графу), показує тобі знайдені справжні вузли як картки і з них формулює стисле підсумування. Якщо воно не знаходить нічого суттєвого, воно каже це чесно («Місто про це ще нічого не знає») — зовсім без виклику моделі.

Дані та джерела: Твоє вільно введене питання (обмежене до короткої довжини) і ВИКЛЮЧНО вже перевірені, публічно джерельні вузли знання-інтелекту (web/.artifacts/graph.json) — жодних зовнішніх баз даних, жодного доступу до інтернету під час відповіді. Модель отримує лише попередньо отримані уривки вузлів плюс твоє питання і може цитувати ЛИШЕ ці вузли; будь-яке інше зазначення джерела відкидається на стороні сервера (білий список джерел). Питання не зберігається за змістом.

Модель (з країною хостингу): Локальна в ЄС, самохостована інференція на власному обладнанні — gemma4:31b-mlx на Mac Studio в Pegnitz (Німеччина), досяжна через приватний, шифрований тунель; друга локальна в ЄС точка (Hetzner, Нюрнберг, Німеччина) — лише запасний ХОСТ, не замісна МОДЕЛЬ. Fail-closed (без GLM/США-запаски для матеріалів мешканців), з вимкненими інструментами (без доступу до файлів і мережі); відповідь транслюється потоком через SSE. Відповідь коротко кешується в операційній пам'яті (на інстанцію), щоб відповідати на повторені однакові питання без нового виклику моделі.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — відповідає на фактичні питання з перевіреного публічного знання; не приймає рішень про осіб, без профілювання, без правових наслідків.

Людський нагляд: Заземлення за задумом: модель бачить лише вже перевірені вузли і може цитувати лише їх — вигадане джерело не пройде білий список. Показані картки джерел стоять самі за себе; якщо підсумування зникає, саме вони лишаються чесною відповіддю. Відповіді ШІ розпізнавані як такі.

Журналювання: Жодного збереження змісту питання. Обмеження частоти на анонімізовану (хешовану) IP — сиру IP ніколи не зберігають і не журналюють.

Позиціювання підприємства (аналіз сайту / досьє) — у підготовці

Статус (чесно): Публічне введення сайту та його API для мешканців стримано в Core V1. Наявні внутрішні шляхи перевірки і видалення зберігаються; громадяни й громадянки наразі не можуть запустити аналіз. Публічна активація відбудеться лише після власного доказу безпеки, захисту даних і браузера.

Мета: Щойно активується, ти вказуєш веб-адресу свого підприємства і підтверджуєш, що керуєш ним або маєш на це право. Місто зчитує публічно доступний сайт і створює з нього перше безкоштовне позиціювання: стислу оцінку присутності плюс конкретні, підкріплені доказами рекомендації. Результат виникає як вузол зі статусом moderation:'pending' і з'являється публічно лише після редакційного затвердження.

Дані та джерела: Виключно публічно доступні змісти вказаного тобою сайту (назва, опис, послуги, заголовки, публічні контактні і соціальні дані, структуровані дані, уривок тексту). Скрейпер перевіряє цільову адресу проти внутрішніх/локальних адрес (захист SSRF) і поважає robots.txt. Зчитаний текст — це ДАНІ для аналізу, ніколи не інструкція моделі (захист від prompt-ін'єкції). Жодних персональних даних приватних осіб; публічні посадовці лише в своїй службовій ролі.

Модель: Claude (Opus) через CLI Claude Code (вхід за передплатою, без API-ключа), викликаний як серверний процес. Якщо CLI недоступний, повертається чесний каркас доказів, побудований виключно з розпізнаних прогалин — ніколи вигадане твердження.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — створює необов'язковий аналіз і рекомендації для підприємства; без автоматизованого рішення з правовим наслідком щодо осіб, без оцінки кредитоспроможності/доступу, без профілювання.

Людський нагляд: Модель аналізує ЛИШЕ з поданих доказів і називає прогалини, замість гадати. Створений вузол — moderation:'pending' і стає публічним лише після редакційного затвердження; запустити аналіз можуть лише зареєстровані користувачі, які підтверджують повноваження. Свій внесок ти можеш будь-коли наказати видалити (GDPR ст. 17).

Журналювання: Створений (очікуючий) вузол зберігається у скриньці досьє; живий запуск не ведеться як публічний протокол. Обмеження частоти на користувача.

Особистий агент-ментор («твій агент»)

Статус (чесно): Ця версія V1 випущена для підтверджених дорослих: ти описуєш свою мрію, обираєш ставлення (ментор, спаринг-партнер або «твій CEO»), і для тебе створюється особистий, шифрований на боці клієнта запис агента. Неповнолітні й особи з невизначеним віком у цій V1 не отримують відповіді моделі. Захищена розмова підключена як функція облікового запису: відкритий текст обробляється в операційній пам'яті лише для одного ходу відповіді, не зберігається на сервері і після цього знову шифрується на боці клієнта. Ти можеш вести кілька збережених розмов: кожна розмова має назву, яку даєш вільно, і ця назва також зберігається шифрованою на боці клієнта. Старіші розмови можна архівувати; вони лишаються збереженими шифровано, поки ти їх не видалиш.

Мета: Приватний, особистий агент громадянки чи громадянина (ментор, спаринг-партнер або «твій CEO»). Він має супроводжувати тебе у твоїй власній мрії – як партнер по коучингу, спарингу і втіленню. Він нічого не вирішує за тебе; вирішуєш, володієш і підписуєш ти.

Дані та джерела: Виключно твої власні, введені тобою змісти (профіль, мрія, перебіг розмови, назва чату). ЗМІСТИ лежать на боці клієнта шифровано як AEAD-шифротекст (однаково повідомлення і назви чатів); ключ виводиться з парольної фрази, яку тримаєш ти. Оператор не може прочитати ці змісти. ЧЕСНО і повно: на чат додатково ведеться кілька ПОЗБАВЛЕНИХ ЗМІСТУ адміністративних відомостей без шифрування, щоб список чатів працював — кількість повідомлень, момент останнього повідомлення і те, чи чат прикріплений чи архівований. Ці метадані не містять жодного змісту розмови і жодної назви. Для одного ходу відповіді відкритий текст може ефемерно оброблятися в середовищі на боці сервера; на сервері він не зберігається. НОВЕ від 15.08.2026: перед відповіддю ментор шукає твій останній меседж у перевіреному знанні міста — точно тією ж функцією, що й попереднє планування мрії, повністю в процесі на локальній в ЄС машині (читання файлу, обчислювальне ранжування, локальні вектори), без мережевого виклику і без передачі твого повідомлення будь-якому постачальнику. Виключені частина самоопису вихідного коду графу, профілі команди і мрії інших людей; якщо пошук не вкладається у своє коротке часове вікно, у промпті прямо стоїть, що нічого не шукали. Жодного зовнішнього профілювання, жодного трекінгу, жодної передачі рекламним або профілювальним службам.

Модель: Приватна інференція ментора для дорослих працює виключно локально в ЄС і самохостовано на перевіреній для цієї V1 моделі gemma4:e4b на Mac Studio оператора в Pegnitz (Німеччина), досяжній через приватний, шифрований тунель. Для цього ментора немає запасного вузла і замісної моделі: якщо Mac недосяжний, перевантажений або відповідь триває довше ніж 25 секунд, з'являється обмежена відповідь про недоступність. Кожен запуск повертає рівно одну буферовану JSON-відповідь, не використовує інструментів, не змінює файлів і не журналює змістів повідомлень. Клієнт зберігає потім свій хід і відповідь разом, шифровано.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — особистий коучингово-спаринговий інструмент без автоматизованого рішення з правовим або порівнянно суттєвим наслідком; без профілювання, без оцінки доступу до публічних послуг.

Людський нагляд: Людина за кермом: агент пропонує і супроводжує; громадянка чи громадянин вирішує і володіє результатом. Поточна V1 відмовляє неповнолітнім і особам з невизначеним віком у виклику моделі навіть тоді, коли згода вже збережена. Пізніша дитяча версія потребує власної оцінки моделі, власного захисту виходу і визнання захисту дітей. Розпізнавання кризи працює детерміністично перед кожною інференцією і ще раз на боці сервера по всіх ходах розмови: при сигналах самошкодження, насильства або небезпеки виклик моделі зупиняється, жодна відповідь не створюється і з'являються справжні шляхи допомоги. pegnitz.city не є службою екстреної допомоги; у гострій потребі ти звертаєшся безпосередньо по справжню допомогу: телефон довіри 0800 111 0 111 або 0800 111 0 222 (безкоштовно, анонімно, цілодобово), номер проти смутку 116 111 (безкоштовно, анонімно, пн–сб 14:00–20:00), пожежна служба і швидка 112 або поліція 110 (обидві безкоштовні, цілодобово).

Єдиний прохід від твого ментора до команди (нове від 15.08.2026): Твій ментор тепер уміє дві речі — і лише дві. ПО ПЕРШЕ ПИТАТИ: він відповідає на питання, що місто власне зробило з твоєю мрією, виключно з ТВОЇХ ВЛАСНИХ рядків, які ти можеш сам перечитати у своєму обліковому записі; речення складається з полічених рядків, жодна модель його не формулює, а якщо нічого нема, він каже саме це. ПО ДРУГЕ ПРОСИТИ: ти можеш подати побажання команді — воно зберігається як ПРОПОЗИЦІЯ, яку без твого виразного схвалення нікому не показують і яка не запускає жодної роботи команди. Те, що залишає ці двері, вузько обмежене: псевдонімний ярлик твоєї мрії (похідне хеш-значення, ніколи не ідентифікатор твого облікового запису) і уже очищена публічна коротка версія, плюс текст твого запиту, перед тим очищений від контактних даних І потім ще раз перевірений, чи не лишилося чогось особистого. Якщо лишається, запит НЕ виходить і тобі це кажуть. Хто замкнув свою мрію анонімно, такого ярлика не має — тоді взагалі нічого не виходить, а питання працює попри це. Сам ментор не отримує для цього жодного інструмента в руки: інференція, як і раніше, не має жодного доступу до інструментів.

Журналювання: Жодного журналювання змістів оператором – збережені змісти шифровані і нечитані для оператора; жива інференція не журналює змістів повідомлень. Архівація проти видалення: архівація лише ховає чат зі списку активних, шифрована історія лишається. Право на видалення (GDPR ст. 17): лише видалення твоїх ключів і шифротекстів робить змісти безповоротно втраченими – це працює без змін і для архівованих чатів.

Нагадування ментора про твої власні наступні кроки — надсилання листів стримано

Статус (чесно): Нагадування стандартно ВИМКНЕНІ і виникають лише тоді, коли ти їх сам увімкнеш. У застосунку ти бачиш їх у своєму обліковому записі. Надсилання ЛИСТОМ лишається стриманим — тричі замкненим: по-перше, надсилання вимкнено в операційній конфігурації і домен відправника не допущено; по-друге, крок підтвердження (подвійна згода листом) ще не побудований — згода тому взагалі не може бути підтверджена і, отже, стати надсильною; по-третє, перевірка перед кожним надсиланням вимагає підтвердженої, чинної згоди і без неї відмовляє. З 17.08.2026 цю згоду за ст. 7 GDPR можна зберігати в базі даних — версіоновану, дослівно однакову, з окремим відкликанням, яке будь-коли діє у твоїх налаштуваннях і переважає кожне попереднє підтвердження. Місце збереження отже існує; але без побудованого кроку підтвердження кожна згода лишається у стані «не підтверджена», і саме на цьому ламається кожна спроба надіслати. Поки це так, жоден лист-нагадування не виходить. Активацію ми вкажемо тут лише тоді, коли вона справді станеться.

Мета: Нагадати тобі про ОДИН крок, який ти сам собі поставив — не тягнути тебе назад у застосунок. Нема кроку — нема нагадування: мовчання нам миліше за виготовлений привід.

Дані та джерела: Твої власні налаштування (увімк/вимк, години тиші, часовий пояс), назва твоєї власної відкритої задачі ментора і — лише в момент справжнього надсилання — твоя підтверджена адреса облікового запису. Сама черга не зберігає ні твоєї адреси, ні готового відрендереного приватного листа, ні твоєї сиру мрію. Жодних зовнішніх джерел даних, жодного профілювання, жодної реклами.

Модель (з країною хостингу): Для самого нагадування ЖОДНА модель ШІ не викликається: вибір і текст — сталий, побудований на правилах шаблон, що працює на власній інфраструктурі в Німеччині. Названий крок походить з твого власного, перед тим локально в ЄС створеного плану ментора. Заради прозорості цей пункт усе одно стоїть тут, бо він доставляє вихід ШІ. Якби дійшло до надсилання, службою доставки був би постачальник пошти (Resend, ЄС/США, сертифікований DPF, з DPA) — цей пункт вказано тут, перш ніж він стане активним, а не після.

Клас ризику: Жодного ШІ у значенні EU AI Act (доставка на основі правил). У праві захисту даних — пряме спілкування на підставі твоєї згоди (ст. 6 ч. 1 п. a), ст. 7 GDPR).

Людський контроль: Ти вирішуєш тричі: нагадування вимкнені, поки ти їх не увімкнеш; лист додатково вимагає окремої, виразно на цю мету даної згоди в режимі подвійної згоди, відокремленої від згоди на розсилку; і ти можеш її будь-коли окремо відкликати — через посилання одклік-відписки в один клік або в налаштуваннях. Відсутній, відкликаний і непідтверджений доказ ведуть усі до того самого результату: не надсилається.

Журналювання: На кожну спробу доставки ведеться приватний рядок зі статусом і причиною (наприклад: у черзі, або пропущено, бо згоди нема), щоб не виникало подвійне нагадування. Рядок вважається надісланим лише тоді, коли постачальник послуг фактично підтвердив доставку — нагадування, що чекає, ніколи не показується як надіслане. Відписки, bounce і скарги ведуться як приватні блокувальні дані.

Голос команди (живі звучні робочі оновлення агентів)

Статус (чесно) — особа мовця: Ім'я, яке ти читаєш і чуєш у звучному рядку, — це самозвіт відповідного запуску агента. Платформа фіксує для кожного рядка, чи можна було цю ідентичність технічно підтвердити — і в рядках, що відтворюються публічно, ця ознака зараз стоїть на «не підтверджено». Ми кажемо тобі, ЯКЕ ІМ'Я подало повідомлення — не те, що ця ідентичність доведена. Якщо непідтверджений рядок претендує на керівну роль (напр. CEO або захист дітей), його у перегляді команди явно позначено як непідтверджений; для всіх інших ролей такого позначення досі нема. Перевірюваний машиною доказ мовця готують; щойно він справді нестиме публічні рядки, це буде вказано тут.

Мета: На домашній сторінці і в перегляді команди ти можеш увімкнути голоси команди: справжній робочий такт агента (початок/завершення задачі) може прозвучати як коротке, вільно сформульоване звучне статусне повідомлення — під яким ім'ям подано повідомлення, над чим працюють, чому це допомагає місту і хто бере наступним. Не кожен такт звучить: рядки, що не проходять описаний нижче захист, лишаються німих. Письмовий потік лишається німецьким; звучний рядок — англійською.

Дані та джерела: ВИКЛЮЧНО внутрішні експлуатаційні факти, покладені в репозиторій: написана ідентичність агента (ім'я, роль, характер), справжній робочий звіт команди і зареєстровані в раді факти відповідної дії. Жодних даних мешканців, жодних персональних даних — робочий звіт, що містить адресу електронної пошти або номер телефону, не створює ЖОДНОГО звучного рядка (fail-closed).

Модель: Звучний рядок пише сама агентна сесія, яка його виконує — жодна модель його не компонує (на рядок зафіксовано model = NULL і speechAuthor = 'agent'). Ця сесія працює у постачальника, у якого працює відповідна праця; для кодингових ліній Plane A це поза ЄС (напр. Z.AI/Китай, Anthropic/США, OpenAI/США). У ці промпти не потрапляють жодні дані мешканців і жодні персональні дані — вихідна передача — це промпт кодування без PII (вже зареєстрований як Plane A), рядок голосу — це вихід, що повертається в ЄС. Сам синтез мови відбувається на самохостованих TTS-рушіях (Piper/Qwen) на власній інфраструктурі.

Захист (grounding, fail-closed): Кожен складений рядок проходить детерміністичну перевірку: фрази відмови, непідтверджені числа, вигадані особи або авторитети (напр. ніколи не дане «добро» ради), відсутні коди дій і непідтверджені твердження про успіх або схвалення ведуть до відкидання рядка — такт тоді лишається німим у письмовому потоці. Робочий звіт передається моделі структурно як ДАНІ, ніколи як інструкція (захист від prompt-ін'єкції).

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — синтетичне озвучення власної праці агентної команди; без рішень про осіб, без профілювання. Мовний вихід позначено як ШІ у поверхні (перемикач «голоси ШІ увімк/вимк») і активний лише тоді, коли ти його сам увімкнеш.

Журналювання: Кожен звучний рядок походить із публічно видимого рядка у живому потоці перегляду команди (таблиця warroom_live_activity; старіший потік agent_activity вже не несе цих рядків) — те, що звучить, також читається і простежується. Для кожного рядка додатково внутрішньо фіксується, чи особу мовця можна було технічно підтвердити; ця ознака — основа чесного обмеження, вказаного вище.

Ziggy-Космос — супутник навчання для дітей (публічна показова сторінка)

Статус (чесно): Публічно доступна показова сторінка з екскурсіями і функцією читання вголос — сталі, редакційно ведені тексти, що пояснюють плановану систему навчання. Сама система навчання (обліковий запис, вправи, розмови з ментором, перевірка малюнків) НЕ відкрита публічно: це керований пілот за реєстрацією і власними визнаннями. Перш ніж діти зможуть нею користуватися, вимагаються власна перевірка знання на відповідність віку (JMStV), визнання захисту дітей і обов'язкова оцінка дитячої моделі — до того часу ця частина лишається стриманою.

Мета: Сторінка представляє Ziggy-Космос: приватного супутника навчання, що пропонує дітям вправи за баварським LehrplanPLUS, супроводжує їх сократично (ШІ ніколи просто не дає розв'язку) і на прохання вчителя створює 3D-сцени до навчальних тем. На самій публічній сторінці навчання не відбувається — вона лише пояснює.

Дані та джерела: На публічній сторінці платформа не обробляє ЖОДНИХ даних мешканців: функція читання вголос озвучує виключно сталі тексти слайдів із закритого каталогу, які ти можеш вибирати слайд за слайдом — вільний текст не приймається і ніколи не може досягти голосу. Для оборони від зловживань служить лише анонімізована (хешована) IP-адреса для обмеження частоти. (Непублічна) система навчання обробляє прогреси і розмови дітей виключно зі згодою їхніх законних представників (ст. 8 GDPR), шифровано і локально в ЄС — ця частина не активна.

Модель (з країною хостингу): Читання вголос — це синтетичний голос: самохостований Piper-синтез мови (німецький голос) на власному обладнанні XBANQ® GmbH у Німеччині — жодної зовнішньої служби, жодної передачі до третіх країн. Система навчання (непублічна) обчислює на самохостованих, локальних в ЄС моделях на Ollama (ментор: gemma4; перевірка малюнків: qwen3-vl) — жорстко закріплена для дитячих шляхів без замісної моделі (fail-closed).

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — синтетичний голос і пояснювальна презентація; без рішень про осіб. Систему навчання класифіковано як обмежений ризик за обов'язкової умови, що навчальні результати лишається приватними і ніколи не використовуються як офіційна шкільна оцінка; ситуація високого ризику (офіційна оцінка або доступ) заблокувала б кожен запуск.

Людський нагляд: Публічна сторінка складається зі сталих, редакційно ведених змістів. У системі навчання діє: вчитель, законні представники і дитина керують; ШІ не оцінює офіційно, нічого не вирішує і не замінює жодної школи. pegnitz.city є і лишається не офіційною пропозицією міста Pegnitz.

Журналювання: Жодного збереження змістів на публічній сторінці; обмеження частоти на анонімізовану (хешовану) IP — сиру IP ніколи не зберігають. Система навчання журналює внутрішньо, прив'язано до облікового запису, і не активна публічно.

Міська медіатека: аналіз медіа ШІ (зображення, звук, пошук) — у підготовці

Статус (чесно): Публічне завантаження, публічний пошук і публічний показ медіа стримано у V1. Наявні підтвердження власності і відкликання, а також окремі шляхи рецензента, адміністратора й аналізу зберігаються. Локальний в ЄС аналіз ШІ працює fail-closed: без досяжної локальної моделі не виникає жодного автоматичного аналізу, сигнал осіб лишається «невідомий» і нема жодної автоматичної публікації. Публічну активацію ми вкажемо тут лише після її власного доказу визнання.

Мета: Щойно активується, ШІ підтримує людську перевірку завантажених медіа: ШІ зображень описує і тегує медіум та оцінює, чи видні особи або ймовірні неповнолітні (попереднє сортування захисту молоді); звукові доріжки транскрибуються локально; для пошуку медіа обчислюються локальні вектори.

Дані та джерела: Виключно завантажені тобою медіа і твої власні дані (назва, категорія, класифікація осіб). Жодних зовнішніх баз даних, жодного зіставлення з чужими масивами осіб, жодного біометричного розпізнавання.

Модель: Локальна в ЄС, самохостова інференція на власному обладнанні в Німеччині — ШІ зображень: виключно пришпилена, підтверджена доказом спроможності ШІ зображень (OLLAMA_KIDS_MODEL, зараз gemma4:e4b на Mac Studio в Pegnitz (Німеччина)); дорослі або загальні перевизначення зору свідомо ігноруються, без піна жоден аналіз не працює (fail-closed). Транскрипція whisper.cpp, пошукові вектори Xenova multilingual-e5-small; жодної передачі до третіх країн.

Клас ризику: Згідно з нашою поточною самооцінкою: обмежений ризик / обов'язок прозорості (ст. 50) — підготовчий опис і попереднє сортування; без автоматизованого рішення з правовим наслідком щодо осіб. Попереднє сортування неповнолітніх служить захисту молоді і може торкатися особливих категорій (ст. 9 GDPR); воно нічого не вирішує, а кожен сумнівний випадок кладе перед людиною.

Людський нагляд: Людина за кермом і fail-closed: ніщо не стає видимим або використаним, перш ніж людина це схвалила. Якщо вказівка особи, що завантажує, розходиться з сигналом ШІ, або аналіз ШІ недоступний, обов'язково перевіряє людина. Медіа з розпізнаваними неповнолітніми лишаються замкненими без задокументованої згоди їхніх законних представників.

Журналювання: Результати аналізу (опис, транскрипт, сигнал осіб, модель) зберігаються на кожен медіум внутрішньо (media_vault_analysis, доступні лише на боці сервера через row-level security). При відкликанні або видаленні аналіз, транскрипт і пошуковий вектор видаляються разом із ними.

Kein Training mit Stadtdaten — Attestierung je Modell

Für jedes Modell, das diese Instanz nutzen kann, ist unten attestiert, warum seine Ausgaben nicht in das Training oder Fine-Tuning allgemeiner Modelle fliessen: vertraglich zugesichert und nachgewiesen im Auftragsverarbeitungsvertrag, oder technisch ausgeschlossen, weil das Modell selbst betrieben wird und keine Verbindung zu einem Anbieter besteht. Der Stand der Prüfung ist je Eintrag datiert.

Людський контроль і журналювання

Людський контроль і журналювання відрізняються за шляхом визнання. У конвеєрі даних перевіряються передані запускові значення, прив'язані до джерел; відхилене там значення має бути опрацьоване перед схваленням. Видіння мешканців зберігаються як origin:'citizen', moderation:'pending' і з'являються у публічному знанні-інтелекті лише після виразного редакційного визнання. Задокументовані ключові поверхні вказують свою підтримку ШІ на результаті або в цьому реєстрі. Запуски конвеєра журналюються внутрішньо в agent_runs і verification_results, між іншим зі статусом, результатом перевірки, причиною відхилення і, за потреби, URL-адресою джерела. Ці протоколи — не публічний потік у реальному часі; публічного живого переглядача аудиту наразі не існує. Обов'язок джерел лишається обов'язковою вимогою якості, а не твердженням, що кожен історичний вузол уже без прогалин підтверджений. Медіа з неврегульованими правами публічно не визнаються.

У підготовці

• Публічно доступний переглядач аудиту/протоколів: протоколи (agent_runs, verification_results) уже існують, але наразі доступні лише на боці сервера (service_role). Публічно доступна секція аудиту ще не реалізована – щойно з'явиться, вона буде тут прозоро вказана.
• Редакційний процес визнання для видінь мешканців: внески вже тримаються як moderation:'pending'; процес визнання реалізований як принцип, зручний інтерфейс модерації готують.
• Міська медіатека – аналіз медіа ШІ: публічний прийом і публічний пошук лишаються закритими у V1. Внутрішні шляхи аналізу і перевірки публічно активуються лише після власного доказу визнання.
• Перевірюваний машиною доказ мовця для голосу команди: поки він не несе публічно відтворюваних рядків, показане ім'я агента — це самозвіт відповідного запуску, а не доказ. Стан чесно стоїть угорі в розділі «Голос команди» і буде змінений тут, щойно доказ справді запрацює.
• Листи-нагадування ментора: шлях надсилання побудований і перевірений, але стриманий. Згоду за ст. 7 GDPR з 17.08.2026 можна зберігати і окремо відкликати; крок підтвердження листом (подвійна згода) — усе ще бракуюча частина, і без нього перевірка відмовляє кожному надсиланню. Ми змінимо цей абзац лише тоді, коли крок підтвердження буде побудований, а перше надсилання справді схвалене.
• Подальші функції ШІ додаються тут, щойно вони справді визнані; стримані функції лишаються доти виразно позначеними як «у підготовці».