1. 先盘点，再评估
每一行应包含稳定的 systemId、系统名称、责任方，以及角色、欧盟暴露、交互、内容和控制事实。工具只评估用户提供的清单，不能发现影子 AI 或漏报系统。
2. 每个系统保留独立路径
提供者与部署者路径按系统分别计算。结果分成实施、验证、复核与监测通道，但不会把这些通道变成风险排名。
3. 人类可见披露与技术标记分轨处理
矩阵把可感知披露和机器可读标记保留为两条实施路径，不把任何一项说成另一项的自动替代。
4. 缺失证据直接进入工作队列
决策记录、无障碍复核、检测测试、投放市场日期与披露控制分别显示为已提供、缺失或待复核，不隐藏在百分比里。
5. 校验和只检查一致性，不验证身份
JSON 封装使用 SHA-256 检测快照字节变化。它不是数字签名，不验证导出者身份，也不能证明声明真实。
6. 基线比较只报告变化，不虚构原因
历史快照可按稳定 systemId 显示新增、移除或变更的系统。差异结果不会声称由谁修改、为何修改或合规是否改善。
7. Evidence Package 支持可验证交接
ZIP 使用 BagIt 1.0 目录约定、SHA-256 清单和 PROV-JSONLD。审阅副本替换标识；内部副本只有在用户明确选择后才保留名称。
8. 本地验包不是数字签名
另一台浏览器可以在不上传 ZIP 的情况下检查覆盖与哈希。结果只证明包内自洽，不证明导出者身份、合规或抵抗蓄意重打包。
常见问题
H/M Blindspot · hogarmas.net
组合地图能认证 Article 50 合规吗？
不能。它只是针对用户提供清单的决策辅助，不检查生产控制、最终法律范围或清单完整性。
系统名称和责任人会上传吗？
不会。清单只在当前标签页处理；固定汇总指标不包含正文、名称、答案、文件名、校验和或分析结果。
可以比较两个版本的清单吗？
可以。先导出带校验和的快照，之后将其作为基线载入。有效比较依赖稳定的 systemId。
USD 490 Portfolio Sprint 包含什么？
最多 25 个用户提供的系统、一次 90 分钟远程会议、一份 Evidence Package 和五个工作日内交付的责任人行动备忘录。法律审查、认证、税费和技术实施不包含在内，除非另行约定。