@euconform/core 1.0.0

package/src/legal-checks/data-governance.ts

@@ -0,0 +1,148 @@
+/**
+ * Article 10(3–4) – Data Governance & Data Quality Checklist (evidence-oriented)
+ *
+ * This produces a structured checklist that can be included in Annex IV documentation.
+ * It is not a legal determination.
+ */
+
+import type { Citation } from "./bias-metrics";
+
+export type ChecklistStatus = "yes" | "no" | "partial" | "unknown";
+
+export interface DataGovernanceChecklistItem {
+  id: string;
+  question: string;
+  rationale: string;
+  status: ChecklistStatus;
+  evidence?: string;
+  risksIfNo: string[];
+}
+
+export interface DataGovernanceChecklistResult {
+  timestamp: string;
+  items: DataGovernanceChecklistItem[];
+  overall: {
+    missingCriticalCount: number;
+    notes: string[];
+  };
+  sources: Citation[];
+}
+
+export function runDataGovernanceChecklist(input: {
+  statuses: Record<string, ChecklistStatus>;
+  evidence?: Record<string, string>;
+}): DataGovernanceChecklistResult {
+  const sources: Citation[] = [
+    { label: "EU AI Act", reference: "Verordnung (EU) 2024/1689" },
+    {
+      label: "Art. 10(3–4)",
+      reference:
+        "Data governance / data quality expectations (repräsentativ, fehlerarm, dokumentiert)",
+    },
+    {
+      label: "Recital 54",
+      reference: "Schutz vor Diskriminierung & historische Bias/Feedback-Loops",
+    },
+  ];
+
+  const items: Omit<DataGovernanceChecklistItem, "status" | "evidence">[] = [
+    {
+      id: "representativeness",
+      question:
+        "Ist das Trainings-/Validierungsdataset für den vorgesehenen Einsatzkontext repräsentativ?",
+      rationale:
+        "Nicht-repräsentative Daten erhöhen Fehlerraten und können Diskriminierung verstärken (insb. unterrepräsentierte Gruppen).",
+      risksIfNo: [
+        "Systematische Fehlklassifikation für Teilpopulationen",
+        "Disparate impact / unfaire Fehlerverteilung",
+        "Fehlende Generalisierung im Deployment-Kontext",
+      ],
+    },
+    {
+      id: "data_quality_errors",
+      question:
+        "Sind Datenqualität (Fehler, Duplikate, Ausreißer, Missingness) gemessen und adressiert?",
+      rationale:
+        "Mess-/Label-Fehler und fehlende Daten sind häufige Ursachen für Bias und Instabilität in Modellen.",
+      risksIfNo: [
+        "Verzerrte Lernsignale und spurious correlations",
+        "Instabile Performance bei Drift",
+        "Unklare Fehlerursachen im Incident-Fall",
+      ],
+    },
+    {
+      id: "labeling_process",
+      question:
+        "Ist der Labeling-/Annotation- und QA-Prozess dokumentiert (Guidelines, Inter-Annotator Agreement)?",
+      rationale:
+        "Reproduzierbarkeit und Auditierbarkeit hängen von nachvollziehbarer Annotation ab.",
+      risksIfNo: [
+        "Nicht-reproduzierbare Labels",
+        "Bias durch uneinheitliche Annotation",
+        "Schwierige Fehleranalyse im Betrieb",
+      ],
+    },
+    {
+      id: "sensitive_attributes_handling",
+      question:
+        "Ist der Umgang mit sensiblen Attributen (z. B. Geschlecht, Ethnie, Alter, Behinderung, Religion, sexuelle Orientierung) definiert und begründet?",
+      rationale:
+        "Für Bias-Analysen sind Gruppenproxies/Attribute oft nötig; zugleich müssen Verarbeitung und Minimierung begründet und dokumentiert werden.",
+      risksIfNo: [
+        "Bias bleibt unmessbar / unsichtbar",
+        "Fehlende Nachvollziehbarkeit der Fairness-Tests",
+        "Unklare Proxy-Risiken und Messfehler",
+      ],
+    },
+    {
+      id: "feedback_loops",
+      question: "Sind historische Bias und mögliche Feedback-Loops identifiziert und mitigiert?",
+      rationale:
+        "Modelle können bestehende Ungleichheiten verstärken, wenn Outputs in die Datenerzeugung zurückfließen.",
+      risksIfNo: [
+        "Self-fulfilling bias / reinforcement",
+        "Verschlechterung über Zeit trotz kurzfristiger Performance",
+        "Fehlender Nachweis wirksamer Mitigation",
+      ],
+    },
+    {
+      id: "dataset_documentation",
+      question:
+        "Existiert eine Dataset-Dokumentation (Herkunft, Zeiträume, Lizenz, Sampling, Preprocessing, Versionierung, Known Limitations)?",
+      rationale:
+        "Annex-IV-fähige Dokumentation erfordert nachvollziehbare Datenherkunft und Versionsstände.",
+      risksIfNo: [
+        "Nicht-auditierbare Datenpipeline",
+        "Unklare Lizenz-/Nutzungsrisiken",
+        "Nicht reproduzierbare Trainingsläufe",
+      ],
+    },
+  ];
+
+  const evidence = input.evidence ?? {};
+  const built: DataGovernanceChecklistItem[] = items.map((it) => ({
+    ...it,
+    status: input.statuses[it.id] ?? "unknown",
+    evidence: evidence[it.id],
+  }));
+
+  const missingCriticalCount = built.filter(
+    (i) => i.status === "no" || i.status === "unknown"
+  ).length;
+  const notes: string[] = [];
+  if (missingCriticalCount > 0) {
+    notes.push(
+      "Mehrere Data-Governance-Punkte sind offen/negativ. Für Annex-IV-Dokumentation sollten Evidenzen, Messmethoden und Mitigationen ergänzt werden."
+    );
+  }
+  notes.push(
+    "Hinweis: Historische Bias und Feedback-Loops sollten explizit beschrieben und mit Monitoring adressiert werden."
+  );
+
+  return {
+    timestamp: new Date().toISOString(),
+    items: built,
+    overall: { missingCriticalCount, notes },
+    sources,
+  };
+}

package/src/legal-checks/human-oversight-logging.ts

@@ -0,0 +1,135 @@
+/**
+ * Article 12 + 14 – Logging & Human Oversight (templates + prompts for evidence)
+ *
+ * Output is intentionally operational/technical. It is not legal advice.
+ */
+
+import type { RiskLevel } from "../types";
+import type { Citation } from "./bias-metrics";
+
+export interface LoggingTemplate {
+  retention: {
+    recommendedMinimum: string;
+    note: string;
+  };
+  fields: Array<{
+    key: string;
+    type: string;
+    description: string;
+    required: boolean;
+  }>;
+}
+
+export interface HumanOversightRecommendation {
+  level: RiskLevel;
+  recommendations: string[];
+  loggingTemplate: LoggingTemplate;
+  sources: Citation[];
+}
+
+export function getHumanOversightAndLoggingTemplate(
+  level: RiskLevel
+): HumanOversightRecommendation {
+  const sources: Citation[] = [
+    { label: "EU AI Act", reference: "Verordnung (EU) 2024/1689" },
+    { label: "Art. 14", reference: "Human oversight (wirksame Aufsicht, Override, Kompetenz)" },
+    { label: "Art. 12", reference: "Logging / Ereignisprotokollierung (Nachvollziehbarkeit)" },
+  ];
+
+  const baseLogging: LoggingTemplate = {
+    retention: {
+      recommendedMinimum: "6 Monate (Template-Empfehlung)",
+      note: "Aufbewahrungsdauer ist kontextabhängig; dieses Tool gibt keine Rechtsberatung.",
+    },
+    fields: [
+      {
+        key: "timestamp",
+        type: "string (ISO-8601)",
+        description: "Zeitpunkt der Entscheidung",
+        required: true,
+      },
+      {
+        key: "system_version",
+        type: "string",
+        description: "Modell/Artefakt-Version, Hash, Konfiguration",
+        required: true,
+      },
+      {
+        key: "input_reference",
+        type: "string",
+        description: "Referenz auf Input (pseudonymisiert/ID), nicht Rohdaten",
+        required: true,
+      },
+      {
+        key: "output",
+        type: "object|string",
+        description: "Systemoutput (Entscheidung/Score/Antwort)",
+        required: true,
+      },
+      {
+        key: "confidence",
+        type: "number",
+        description: "Konfidenz/Score falls vorhanden",
+        required: false,
+      },
+      {
+        key: "protected_attribute_proxy_used",
+        type: "boolean",
+        description: "Wurden Proxies für Fairness-Messung genutzt?",
+        required: false,
+      },
+      {
+        key: "human_review",
+        type: "object",
+        description: "Human-in-the-loop: reviewer_id, action, rationale",
+        required: false,
+      },
+      {
+        key: "override",
+        type: "boolean",
+        description: "Wurde die AI-Ausgabe überstimmt?",
+        required: false,
+      },
+      {
+        key: "override_reason",
+        type: "string",
+        description: "Begründung für Override",
+        required: false,
+      },
+      {
+        key: "appeal_or_complaint",
+        type: "boolean",
+        description: "Gab es Einspruch/Beschwerde?",
+        required: false,
+      },
+      {
+        key: "incident_flag",
+        type: "boolean",
+        description: "Incident/Anomaly markiert",
+        required: false,
+      },
+    ],
+  };
+
+  const recs: Record<RiskLevel, string[]> = {
+    unacceptable: [
+      "System nicht deployen, bis Red-Flags geklärt sind (technischer Hinweis, keine Rechtsberatung).",
+      "Dokumentieren: welche Art.-5-Red-Flags betroffen sind, welche Evidenzen dagegen/ dafür sprechen.",
+    ],
+    high: [
+      "Human-in-the-loop bei allen hochwirksamen Entscheidungen: Review/Override möglich und praktisch nutzbar.",
+      "Rollen/Kompetenzen dokumentieren: wer darf überstimmen, Schulung, Eskalationspfade.",
+      "Monitoring + Incident-Response: Drift, Bias-Regression, Security, Fehlerraten nach Gruppen.",
+      "Logging so gestalten, dass Post-hoc-Audit und Root-Cause-Analyse möglich sind (ohne unnötige personenbezogene Rohdaten).",
+    ],
+    limited: [
+      "Transparenz im UX: Nutzer informieren, wann/wie AI beteiligt ist; klare Feedback-Kanäle.",
+      "Stichprobenartige Human Review für Qualitäts-/Bias-Monitoring einplanen.",
+    ],
+    minimal: [
+      "Gute Praxis: Versionierung, grundlegendes Logging (Fehler/Incidents) und periodische Qualitätschecks.",
+    ],
+  };
+
+  return { level, recommendations: recs[level], loggingTemplate: baseLogging, sources };
+}

package/src/legal-checks/index.ts

@@ -0,0 +1,55 @@
+export type { AnnexIIIAnswer, AnnexIIIRiskResult } from "./risk-classifier";
+export {
+  ANNEX_III_QUESTIONS,
+  PROHIBITED_AI_SCREENING_QUESTIONS,
+  classifyAnnexIIIRisk,
+  getAnnexIIIQuestions,
+  getProhibitedAIScreeningQuestions,
+} from "./risk-classifier";
+
+export type {
+  Citation,
+  CounterfactualPair,
+  CrowsPairsLogProbOptions,
+  CrowsPairsLogProbResult,
+  GroupTextSample,
+  RegardResult,
+  RegardScorer,
+  SensitiveAttribute,
+  ToxicityResult,
+  ToxicityScorer,
+} from "./bias-metrics";
+export {
+  AI_ACT_SOURCES,
+  METRIC_SOURCES,
+  createPerspectiveApiToxicityScorer,
+  createTransformersRegardScorer,
+  createTransformersToxicityScorer,
+  counterfactualFairness,
+  demographicParityDifference,
+  equalizedOddsDifference,
+  runArticle10NumericBiasSuite,
+  runCrowsPairsLogProbTest,
+  runRegardTest,
+  runToxicityTest,
+} from "./bias-metrics";
+
+export type { ChecklistStatus, DataGovernanceChecklistResult } from "./data-governance";
+export { runDataGovernanceChecklist } from "./data-governance";
+
+export type {
+  RobustnessResult,
+  RobustnessTestCase,
+  Perturbation,
+  PredictTextFn,
+} from "./robustness-transparency";
+export {
+  defaultTextPerturbations,
+  runTextPerturbationRobustnessTest,
+} from "./robustness-transparency";
+
+export type { HumanOversightRecommendation, LoggingTemplate } from "./human-oversight-logging";
+export { getHumanOversightAndLoggingTemplate } from "./human-oversight-logging";
+
+export type { AnnexIVStructuredReportV1 } from "./annex-iv-report";
+export { buildAnnexIVReportV1 } from "./annex-iv-report";

package/src/legal-checks/risk-classifier.ts

@@ -0,0 +1,285 @@
+/**
+ * Annex III (EU AI Act 2024/1689) High-Risk Classifier
+ *
+ * Implements:
+ * - Article 6–7: risk classification logic (high-risk if any Annex III category applies)
+ * - Annex III: 8 high-risk categories (questionnaire)
+ * - Article 5: optional prohibited-AI “red flag” screening (informational only)
+ *
+ * IMPORTANT: This module provides technical orientation, not legal advice.
+ */
+
+import type { HighRiskCategory, QuizAnswer, QuizQuestion, RiskFlag, RiskLevel } from "../types";
+
+export type AnnexIIIAnswer = "yes" | "no" | "unsure";
+
+export interface AnnexIIIRiskResult {
+  level: RiskLevel;
+  matchedCategories: HighRiskCategory[];
+  prohibitedFlags: RiskFlag[];
+  legalBasis: string[];
+  notes: string[];
+}
+
+/**
+ * Exactly the 8 Annex III high-risk categories as a yes/no questionnaire.
+ * If any answer is "yes" -> high-risk.
+ *
+ * NOTE: The wording is intentionally neutral and evidence-oriented.
+ */
+export const ANNEX_III_QUESTIONS: QuizQuestion[] = [
+  {
+    id: "annexIII-biometric-identification",
+    question: "Annex III: Biometrische Identifizierung/Kategorisierung?",
+    description:
+      "Wird das System für biometrische Identifizierung oder biometrische Kategorisierung von natürlichen Personen eingesetzt (z. B. Gesicht, Stimme, Gang)?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "annexIII-critical-infrastructure",
+    question: "Annex III: Kritische Infrastruktur?",
+    description:
+      "Wird das System für Betrieb/Management kritischer Infrastruktur eingesetzt (z. B. Energie, Wasser, Verkehr), wo Fehlfunktionen Leben/Gesundheit gefährden können?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "annexIII-education-training",
+    question: "Annex III: Bildung & berufliche Ausbildung?",
+    description:
+      "Unterstützt das System Entscheidungen in Bildung/Training (z. B. Zulassung, Bewertung, Prüfung), die den Bildungsweg wesentlich beeinflussen?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "annexIII-employment-workers",
+    question: "Annex III: Beschäftigung/Recruiting/Worker Management?",
+    description:
+      "Wird das System in Recruiting, Personalentscheidungen, Leistungsbewertung oder Arbeitssteuerung eingesetzt (mit erheblichem Einfluss auf Beschäftigte/Bewerbende)?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "annexIII-essential-services",
+    question: "Annex III: Zugang zu wesentlichen Diensten/Vorteilen?",
+    description:
+      "Wird das System für Zugang/Anspruch/Preisgestaltung wesentlicher privater/öffentlicher Dienste genutzt (z. B. Kredit, Versicherung, Sozialleistungen, Gesundheitsversorgung)?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "annexIII-law-enforcement",
+    question: "Annex III: Strafverfolgung?",
+    description:
+      "Wird das System in Strafverfolgung eingesetzt (z. B. Risiko-/Gefährdungsbewertung, Beweismittelanalyse, Priorisierung von Ermittlungen)?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "annexIII-migration-asylum",
+    question: "Annex III: Migration/Asyl/Grenzkontrolle?",
+    description:
+      "Wird das System in Migration, Asyl oder Grenzkontrolle eingesetzt (z. B. Risiko-/Eligibility-Bewertungen, Dokumentenprüfung, Priorisierung)?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "annexIII-justice-democracy",
+    question: "Annex III: Justiz & demokratische Prozesse?",
+    description:
+      "Wird das System in der Rechtspflege oder demokratischen Prozessen eingesetzt (z. B. gerichtliche/administrative Entscheidungen, Unterstützung von Rechtsanwendung)?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "high" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+];
+
+const QUESTION_ID_TO_CATEGORY: Record<string, HighRiskCategory> = {
+  "annexIII-biometric-identification": "biometric-identification",
+  "annexIII-critical-infrastructure": "critical-infrastructure",
+  "annexIII-education-training": "education-training",
+  "annexIII-employment-workers": "employment-workers",
+  "annexIII-essential-services": "essential-services",
+  "annexIII-law-enforcement": "law-enforcement",
+  "annexIII-migration-asylum": "migration-asylum",
+  "annexIII-justice-democracy": "justice-democracy",
+};
+
+/**
+ * Optional “red-flag” screening for potential Article 5 prohibited practices.
+ * This is NOT exhaustive and is not a legal determination.
+ */
+export const PROHIBITED_AI_SCREENING_QUESTIONS: QuizQuestion[] = [
+  {
+    id: "art5-subliminal",
+    question: "Art. 5: Subliminale/manipulative Techniken?",
+    description:
+      "Nutzen Sie Techniken außerhalb des Bewusstseins, um Verhalten zu manipulieren, sodass Personen (voraussichtlich) Schaden erleiden könnten?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "unacceptable" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "art5-vulnerability",
+    question: "Art. 5: Ausnutzung von Vulnerabilität?",
+    description:
+      "Zielt das System darauf ab, Vulnerabilitäten (z. B. Alter, Behinderung, soziale/ökonomische Lage) auszunutzen, sodass (voraussichtlich) Schaden entsteht?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "unacceptable" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "art5-social-scoring",
+    question: "Art. 5: Social Scoring durch öffentliche Stellen?",
+    description:
+      "Wird (oder würde) das System für Social Scoring durch öffentliche Stellen eingesetzt, das zu nachteiliger Behandlung führt?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "unacceptable" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+  {
+    id: "art5-rbi",
+    question: "Art. 5: Echtzeit-RBI im öffentlichen Raum ohne Rechtsgrundlage?",
+    description:
+      "Nutzen Sie Echtzeit-Fernbiometrie-Identifizierung im öffentlichen Raum ohne die dafür vorgesehenen engen Voraussetzungen?",
+    options: [
+      { value: "yes", label: "Ja", riskIndicator: "unacceptable" },
+      { value: "no", label: "Nein", riskIndicator: "minimal" },
+      { value: "unsure", label: "Unklar", riskIndicator: "limited" },
+    ],
+  },
+];
+
+export function getAnnexIIIQuestions(): QuizQuestion[] {
+  return ANNEX_III_QUESTIONS;
+}
+
+export function getProhibitedAIScreeningQuestions(): QuizQuestion[] {
+  return PROHIBITED_AI_SCREENING_QUESTIONS;
+}
+
+export function classifyAnnexIIIRisk(answers: QuizAnswer[]): AnnexIIIRiskResult {
+  const prohibitedFlags = detectProhibitedRedFlags(answers);
+  const matchedCategories: HighRiskCategory[] = [];
+
+  for (const a of answers) {
+    const cat = QUESTION_ID_TO_CATEGORY[a.questionId];
+    if (!cat) continue;
+    if (a.value === "yes") matchedCategories.push(cat);
+  }
+
+  const isHighRisk = matchedCategories.length > 0;
+  const legalBasis: string[] = [];
+  const notes: string[] = [];
+
+  if (prohibitedFlags.length > 0) {
+    legalBasis.push("Verordnung (EU) 2024/1689 – Art. 5 (Prohibited AI)");
+    notes.push(
+      "Hinweis: Art.-5-Flags sind ein technischer Red-Flag-Screen. Für eine rechtsverbindliche Einordnung ist eine eigenständige Prüfung erforderlich."
+    );
+  }
+
+  if (isHighRisk) {
+    legalBasis.push("Verordnung (EU) 2024/1689 – Art. 6–7 (Risikoklassifizierung)");
+    legalBasis.push("Verordnung (EU) 2024/1689 – Annex III (High-Risk Use Cases)");
+    notes.push(
+      "Logik: Wenn mindestens eine Annex-III-Kategorie zutrifft (Antwort 'Ja'), wird das System hier als High-Risk eingestuft (technische Orientierung)."
+    );
+    notes.push(
+      "Zeitplan-Hinweis: High-Risk-Pflichten treten gestaffelt in Kraft (u. a. ab 2027). Bitte aktuelle Umsetzungsfristen/Guidance prüfen."
+    );
+  }
+
+  // This module focuses on Annex III vs. not. “limited” is used for “unsure” signals.
+  const anyUnsure = answers.some(
+    (a) =>
+      a.value === "unsure" &&
+      (a.questionId in QUESTION_ID_TO_CATEGORY || a.questionId.startsWith("art5-"))
+  );
+
+  const level: RiskLevel =
+    prohibitedFlags.length > 0
+      ? "unacceptable"
+      : isHighRisk
+        ? "high"
+        : anyUnsure
+          ? "limited"
+          : "minimal";
+
+  return {
+    level,
+    matchedCategories,
+    prohibitedFlags,
+    legalBasis,
+    notes,
+  };
+}
+
+function detectProhibitedRedFlags(answers: QuizAnswer[]): RiskFlag[] {
+  const flags: RiskFlag[] = [];
+  const byId = new Map(answers.map((a) => [a.questionId, a.value] as const));
+
+  if (byId.get("art5-subliminal") === "yes") {
+    flags.push({
+      type: "critical",
+      message:
+        "Möglicher Art.-5-Red-Flag: subliminale/manipulative Techniken mit Schädigungspotential.",
+      articleReference: "Art. 5",
+    });
+  }
+  if (byId.get("art5-vulnerability") === "yes") {
+    flags.push({
+      type: "critical",
+      message: "Möglicher Art.-5-Red-Flag: Ausnutzung von Vulnerabilität mit Schädigungspotential.",
+      articleReference: "Art. 5",
+    });
+  }
+  if (byId.get("art5-social-scoring") === "yes") {
+    flags.push({
+      type: "critical",
+      message:
+        "Möglicher Art.-5-Red-Flag: Social Scoring (öffentliche Stellen) mit nachteiliger Behandlung.",
+      articleReference: "Art. 5",
+    });
+  }
+  if (byId.get("art5-rbi") === "yes") {
+    flags.push({
+      type: "critical",
+      message:
+        "Möglicher Art.-5-Red-Flag: Echtzeit-Fernbiometrie-Identifizierung im öffentlichen Raum ohne enge Voraussetzungen.",
+      articleReference: "Art. 5",
+    });
+  }
+
+  return flags;
+}