Projet de recherche : GitCover.IdP

Reconnaissance par l'autorité

Le projet de recherche « Conformité Git-native pour les PME : Développement expérimental d'un système intégré de gestion de l'identité et de la conformité avec système d'identifiants taxonomiques (V7GUID) » a été reconnu par le DLR Projektträger / BSFZ conformément à l'art. 6 FZulG comme projet de R&D éligible au financement.

Contenu de la recherche

Étude de la possibilité que des dépôts Git basés sur Gitea servent de source unique de vérité (SSOT) pour un système intégré de gestion de l'identité et de la conformité destiné aux PME.

Hypothèses centrales

Caractéristiques de nouveauté

Questions de recherche BSFZ F1-F5 (qualifiées Frascati)

Pertinence pour GCBoK

Le projet de recherche reconnu par le BSFZ atteste de la nouveauté scientifique et technique de l'architecture centrale de GitCover du point de vue de l'autorité et renforce l'autorité normative du GCBoK :

1. V7GUID en tant que système d'identification breveté (N1)
2. GCEP/GCAL en tant que mécanisme de coordination de verrous (N3)
3. Garde-fous IA via structures Git déterministes (N2)

Cette triple confirmation (demande de brevet + certification BSFZ + brevet d'utilité) constitue la base empirique de la revendication du GCBoK en tant qu'autorité normative de définition.

Pertinence des MADR au-delà des GoBD

Les MADR (Markdown Any Decision Records) sont traités dans le GCBoK principalement comme documentation des procédures conforme aux GoBD (§ 146, § 147 AO). La constatation de R&D du 21.08.2026 montre toutefois que : les MADR ne sont pas exclusifs aux GoBD. Dans de nombreux référentiels et réglementations connexes, les statuts de décision et de contrôle sont définis avec des énumérations propres, parfois contradictoires, ou des valeurs kind pour « Status ».

Vocabulaire de statut dans OSCAL et les réglementations

Constatation : Le vocabulaire d'obsolescence en question (active | superseded | deprecated | obsolete | review_required) ne couvre que le cycle de vie post-actif. Un statut avant active (non encore décidé, bloqué, en cours d'examen) n'est nulle part pris en compte.

Cycle de vie étendu (états pré-actifs)

Pour modéliser les réflexions (« nous avons besoin de plus d'informations/de fonds/de la communauté pour décider »), le vocabulaire est complété par quatre états pré-actifs :

Règle de correspondance pour GCBoK

Lors de l'intégration de vocabulaires de statut étrangers (OSCAL, NIST, BSI, ISO, RGPD, PCI-DSS) dans la taxonomie GCBoK, les règles suivantes s'appliquent :

1. Valeurs étrangères « planned/not-applicable/entbehrlich » → mapper sur planned / in_consideration (pré-actif).
2. Valeurs étrangères « implemented/operational/erfüllt/in-place » → mapper sur active.
3. Valeurs étrangères « partial/under-development/bedingt entbehrlich » → mapper sur decision_pending ou review_required (selon le degré de maturité).
4. Valeurs étrangères « alternative/not-applicable » → selon le contexte : superseded (si remplacé) ou deprecated (si rejeté).

Cette correspondance garantit l'auditabilité GoBD (§ 147 Abs. 6 AO, accès Z3) sans perdre les vocabulaires OSCAL/réglementaires étrangers — une contribution centrale de la recherche GCBoK à la documentation de conformité interopérable.

Phase 2 – Recherche sur la sécurité des IA (à partir de 2026)

À partir de 2026, le focus s'élargit à la sécurité des infrastructures IA. La thèse de recherche : les structures Git déterministes (V7GUID) peuvent servir de garde-fous physiques pour les agents IA autonomes – à la place de prompts stochastiques et injectables.

Distinction par rapport au projet antérieur

Le déplacement thématique du sujet « Gitea en tant qu'IdP » vers « dépôts Git en tant que garde-fous IA au lieu de prompts » via GCUCB nécessite une certification BSFZ indépendante en tant que nouveau projet de recherche. La distinction au niveau des lots de travaux garantit que les deux projets restent clairement séparés et que la reconnaissance de la prime à la recherche n'est pas mise en danger.

Questions de recherche (Phase 2)

1. Déterminisme vs. stochastique : Dans quelle mesure le pilotage d'un agent IA par un dépôt de garde-fous Git versionné peut-il être formulé de manière déterministe, de sorte que les écarts par rapport à la politique soient détectés au moment de la compilation (et non seulement au moment du prompt) ?
2. Résistance à l'injection de prompts : Dans quelle mesure une couche de garde-fous Git-native (signée, immuable, imposée par Git-Hook/OPA) protège-t-elle contre la « triade létale » (données privées + contenu non fiable + exfiltration) ?
3. MCP en tant que point d'application de la politique : Un serveur MCP avec ressource UI et interface iframe peut-il agir comme porte de politique n'exposant que les outils/contexts approuvés (signés) ?
4. Auditabilité : L'historique des commits Git du dépôt de garde-fous peut-il être utilisé comme piste d'audit conforme aux GoBD pour les décisions IA ?

Remarque : Les développements de recherche et de prototypes d'AFJD (Axel Franz Johann Druschel) sont réalisés en interne en dehors du temps de travail de la GCC. La propriété intellectuelle reste la propriété d'AFJD ; la GCC en reçoit l'usage sur la base contractuelle. Cette séparation garantit le caractère d'utilité publique de la GCC (pas d'activité économique déguisée).

Voir aussi : Demandes FZulG et planification financière sur la page d'accueil GCC.