01 / Open Ruleset
Normkontor 3A
Technischer Pluginname: 3A COD3X
Aligned. Autonomous. Auditable. Zwei Skills halten Agentenarbeit am ursprünglichen Problem, am kleinsten nativen Owner und an nachweisbarer Verifikation.
Repository prüfen ↗Normkontor · FYN Labs · Deutschland & EU
Kontrollierte KI-Arbeit. Nachweisbar.
Regelwerke, unabhängige Prüfpfade und Ausbildung für Teams, die agentische Softwareentwicklung in regulierten Umfeldern verantwortbar einführen wollen.
- Reuse before create
- Human Gates bleiben bestehen
- Claims folgen Evidenz
3A Rulesetöffentlicher Quellenkandidat
RolloutPilot auf Anfrage
AcademyPilot auf Anfrage
Review Runtimein Entwicklung
Die eigentliche Einführungsfrage
Ein Agenten-Zugang ist noch kein Betriebsmodell.
01Welche Aufgaben und Daten dürfen in welchen Lauf?
02Wer prüft ein Ergebnis unabhängig vom erzeugenden Agenten?
03Welche Evidenz trägt eine Entscheidung — und wer darf sie treffen?
Ein Portfolio, klare Wahrheitsklassen
Offen. Umsetzbar. Getrennt.
Open Source, Pilotleistung und geplante Software werden nicht vermischt. Das macht Prüfung, Beschaffung und Skalierung belastbarer.
02 / Einführung
Normkontor Rollout
Ein Team · ein Workflow · sechs Wochen
Scope, Konfiguration, Arbeitsmodell, Training, begleiteter Betrieb und eine belegbare Scale-, Revise- oder Stop-Entscheidung.
Pilotstruktur ansehen ↓03 / Ausbildung
Normkontor Academy
Executive · Practitioner · Assurance Lead
Praxis für Agenten-Setup, Stage 0.5/0.65, CAO, Eval Gates, Review-Zange, Human Gates und Evidenzführung.
Tracks ansehen ↓04 / Software
Normkontor Review
Geplanter MCP/API-Prüfarm
Customer-controlled Review für materielle Entscheidungen: gefrorener Gegenstand, blinde Modellarme, Datenpolitik und belastbares Evidence Receipt.
Zielarchitektur prüfen ↓Normkontor 3A
Erst kleiner denken. Dann sauber bauen.
Aligned am ursprünglichen Problem. Autonomous innerhalb echter Autorität. Auditable durch einen kleinen vollständigen Pfad und reale Checks.
Need
Muss dieses Verhalten oder Artefakt überhaupt existieren?
Reuse
Gibt es bereits einen klaren Owner, der repariert oder erweitert werden kann?
Native
Kann Framework, Runtime, Agent, Plattform oder Konfiguration es schon?
Available
Reicht Standardbibliothek oder eine bereits installierte Abhängigkeit?
Reduce
Löst Löschen, Konfigurieren oder eine gezielte Änderung das Problem?
Vet
Schließt ein gepflegtes Upstream die belegte Lücke mit weniger Ownership?
Create
Sonst: kleinster vollständiger neuer Pfad, sauber verdrahtet und geprüft.
Wenn Scope, Produktionscode, Owner, Zustand oder Reparaturschleifen wachsen: vor der nächsten Erweiterung stoppen, Meta-Ursache prüfen und den kleineren nativen Owner suchen.
Normkontor Review · in Entwicklung
Eine zweite Meinung, die als zweite Meinung belegbar ist.
Der MCP-Endpunkt wäre nur die Tür. Blindheit, Modelltrennung, Datenpolitik, Qualifikation und vollständige Receipts machen daraus erst einen belastbaren Prüfarm.
01Codex · Agent · IDE · CIfrozen subject + authority boundary
02Customer Policy Gatewayidentity · scope · minimize · scrub · route
ABlind Armqualified family one
BBlind Armqualified family two
03Evidence Receiptidentity · findings · disagreement · gaps
HGHuman & CI Gatedecision remains outside the model
Pflicht bei klassifizierten materiellen Gates
- gleicher Hash und gefrorener Gegenstand für beide Arme;
- zwei zusätzliche blinde, author-independent Reviewer;
- drei aufgelöste Modellfamilien und Entwickler inklusive Primary;
- datierte, entscheidungsspezifische Qualifikation;
- kein stiller Fallback, kein gemitteltes Urteil;
- Receipt mit Einzelbefunden, Widersprüchen und Restlücken.
Die Open-Source-Doctrine beschreibt diesen Vertrag. Sie provisioniert keine Modelle, führt keine Prüfarme aus und behauptet keinen Assurance-PASS.
Governance & Daten
Regionalität und Scrubbing werden bewiesen, nicht etikettiert.
Frankfurt als Service-Standort beweist keine Frankfurt-Inferenz. Providerroute, Datenklasse, Fallback, Retention und Zugriff müssen je Modell und Vertrag nachvollziehbar sein.
Allowlist
Teams, Repositories, Pfade, Zwecke, Datenklassen, Tools und Aktionen.
Minimize
Diff oder Symbolpaket vor unbeschränktem Repository-Kontext.
Detect
Secrets, PII, Gesundheits-, Schaden-, Beschäftigten- und Zahlungsdaten.
Block or redact
Blockieren, wenn Schwärzung Bedeutung oder Sicherheitsfakten zerstört.
Route proof
Provider, Modell, Profil, Region, Retention und Fallback im Receipt.
Human control
Keine individuelle Leistungsmessung; Merge und Release bleiben bei Ownern.
Designed to support GDPR-, DORA- and EU-AI-Act-aware deployment work. Keine Rechtsberatung, Zertifizierung oder regulatorische Freigabe. Scrubbing reduziert Risiko; es ersetzt keine DPIA.
Normkontor Academy
Vom sicheren Anwenden zum internen Multiplikator.
Rollenbasierte Praxis statt Teilnahme-Badge. Eine Kompetenzbescheinigung bindet Person, Szenario, Regelwerk, Policy, Rubrik, Datum und Restlücken.
Executive & Governance
Engineering Leadership · Risk · Produkt
Betriebsmodell, Risikoklassen, Human Gates, Claims und Entscheidungshoheit.
Practitioner
Entwickler · Reviewer · Plattformteams
Agenten-Setup, native Tools, 3A Ladder, Tests, Receipts und sichere Eskalation.
Trainer & Assurance Lead
Multiplikatoren · Audit · Enablement
Train-the-Trainer, CAO, Eval Design, blinde Prüfarme und praktische Prüfung.
Einstiegsformat auf Anfrage
Sechs Wochen bis zu einer belegbaren Entscheidung.
Kein konzernweiter Big Bang: ein Team, ein Workflow, eine Nachweisfrage und vorab benannte Stop-Kriterien.
Rahmen
Team, Workflow, Datenklassen, Nachweisfrage und Stop-Kriterien.
Konfiguration
Agent, Repository-Regeln, Berechtigungen, native Tools und Evidenzpfad.
Enablement
Rollenbasierte Praxis am freigegebenen Arbeitsablauf.
Pilotbetrieb
Begleitete Anwendung mit Ausnahme-, Incident- und Supportlog.
Evaluation
Qualität, Arbeitsqualität, Reibung, Risiko, Kosten und offene Evidenz.
Entscheidung
Scale, Revise oder Stop plus priorisierter 90-Tage-Plan.
Mögliche Outputs
Pilot Charter, Arbeitsmodell, Trainingsevidenz, Risikoregister, Eval-Katalog und 90-Tage-Plan.
Open Source · MIT
3A COD3X im Normkontor Marketplace.
Ein Plugin, zwei kanonische Skills, null Runtime. Deaktiviere den alten AAA-Code-Marketplace, bevor du den Nachfolger aktivierst, damit nicht zwei implizite Doctrine-Owner konkurrieren.
Codex
codex plugin marketplace add FYN-Labs/normkontorcodex plugin add 3a-cod3x@normkontorClaude Code
Quellcode und Grenzen prüfen ↗claude plugin marketplace add FYN-Labs/normkontorclaude plugin install 3a-cod3x@normkontorClaim Discipline
Was Normkontor bewusst nicht behauptet.
- keine GDPR-, DORA-, AI-Act-, BaFin- oder Security-Zertifizierung;
- keine aktuelle customer-hosted oder managed Review Runtime;
- keine Garantie für Frankfurt-only oder EU-only Inferenz;
- keine gemessene Produktivitäts- oder Qualitätssteigerung;
- keinen benannten Kunden, Versicherer oder Produktionsrollout;
- keine offizielle oder unterstützte OpenAI-, Anthropic- oder Hermes-Integration.
Nächster kleiner Schritt
Ist ein Pilot charterfähig?
In einem ersten Gespräch klären wir fünf Punkte: Workflow, Team, Datenklasse, Nachweisfrage und Stop-Kriterium.