
# Етичен модул за проверка на пристрастия при AI‑генерирани отговори на въпросници за сигурност

**Резюме**  
Приемането на големи езикови модели (LLM) за отговаряне на въпросници за сигурност се ускори драматично през последните две години. Въпреки че скоростта и обхватът се подобриха, скритият риск от систематично пристрастие — културно, регулаторно или оперативно — остава в голяма степен нерешен. **Етичният модул за проверка на пристрастия (EBAE)** на Procurize запълва тази празнина, като вгражда автономен, основан на данни слой за откриване и смекчаване на пристрастия във всеки AI‑генериран отговор. Тази статия обяснява техническата архитектура, работния процес за управление и измеримите бизнес ползи от EBAE, позиционирайки го като крачка към достоверна автоматизация на съответствието.

---

## 1. Защо пристрастията са важни в автоматизацията на въпросници за сигурност  

Въпросниците за сигурност са основните „вратари“ за оценка на риска от доставчици. Техните отговори влияят върху:

* **Договорни преговори** – пристрастният език може невярно да предвземе определени юрисдикции.  
* **Регулаторно съответствие** – систематичното изключване на регионално‑специфични контроли може да доведе до глоби.  
* **Доверието на клиентите** – възприетата несправедливост подкопава увереността, особено за глобални SaaS доставчици.

Когато LLM се обучава върху наследени данни от одити, той наследява исторически модели — някои от които отразяват остарели политики, регионални правни нюанси или корпоративна култура. Без специализирана функция за одит тези модели остават невидими, което води до:

| Вид пристрастие | Пример |
|-----------------|--------|
| **Регулаторно пристрастие** | Претоварване на контроли, ориентирани към САЩ, и недооценка на изисквания, специфични за [GDPR](https://gdpr.eu/). |
| **Отраслово пристрастие** | Предпочитане на облачни контроли дори когато доставчикът използва локален хардуер. |
| **Пристрастие към толерантност към риска** | Систематично понижено оценяване на високорискови ситуации, защото предишните отговори са били по‑оптимистични. |

EBAE е проектиран да открива и коригира тези изкривявания, преди отговорът да достигне до клиента или одитора.

---

## 2. Преглед на архитектурата  

EBAE се разполага между **LLM Engine за генериране** и **Слоят за публикуване на отговори**. Състои се от три плътно свързани модула:

```mermaid
graph LR
    A["Входящ въпрос"] --> B["LLM Engine"]
    B --> C["Слой за откриване на пристрастия"]
    C --> D["Смекчаване & Преоценка"]
    D --> E["Табло за обяснимост"]
    E --> F["Публикуване на отговор"]
```

### 2.1 Слой за откриване на пристрастия  

Откривателният слой използва хибрид от **проверки за статистическа паритет** и **семантични аудити за сходство**:

| Метод | Цел |
|-------|-----|
| **Статистически паритет** | Сравняване на разпределенията на отговорите по география, индустрия и риск, за откриване на отклонения. |
| **Вградена справедливост** | Проекция на текста в многомерно пространство чрез sentence‑transformer, след което се изчислява косинусово сходство с „корпус‑анкър“ за справедливост, подготвен от експерти по съответствие. |
| **Крос‑референция с регулаторен лексикон** | Автоматично сканиране за липсващи термини специфични за юрисдикции (напр. „Data Protection Impact Assessment“ за ЕС, „CCPA“ за Калифорния). |

Когато се открие потенциално пристрастие, модулът връща **BiasScore** (0 – 1) заедно с **BiasTag** (например `REGULATORY_EU`, `INDUSTRY_ONPREM`).

### 2.2 Смекчаване & Преоценка  

Системата за смекчаване извършва:

1. **Разширяване на подсказката** – оригиналният въпрос се подава отново с ограничения, ориентирани към избягване на пристрастия (напр. „Включете GDPR‑специфични контроли“).  
2. **Енсамбъл от отговори** – генерира се набор от кандидат-отговори, всеки претеглен с обратната стойност на BiasScore.  
3. **Политика‑управлявана преоценка** – последният отговор се съчетава с **Политика за смекчаване на пристрастия**, съхранена в графа на знанието на Procurize.

### 2.3 Табло за обяснимост  

Служителите по съответствие могат да разгледат доклад за всякакъв отговор, виждайки:

* **Таймлайн на BiasScore** (как се е променил след смекчаването).  
* **Откъси от доказателства**, които са задействали маркера.  
* **Обяснение на политиката** (напр. „Изискване за местоположение на данните в ЕС съгласно GDPR чл. 25“).  

Таблото е отзивчен UI, построен върху Vue.js, като базовият модел за данни следва спецификацията **OpenAPI 3.1** за лесна интеграция.

---

## 3. Интеграция с текущите работни процеси на Procurize  

EBAE се доставя като **микросервиз**, съвместим с вътрешната **събитийно‑движена архитектура** на Procurize. Следната последователност показва как се обработва типичен отговор на въпросник:

```goat
event.QuestionReceived -> LLM.GenerateAnswer -> EBAE.DetectBias -> 
if BiasScore > 0.3 then EBAE.Mitigate -> event.AnswerReady -> UI.Publish
else event.AnswerReady -> UI.Publish
```

* **Източник на събитие:** Входящи въпроси от **Questionnaire Hub** на платформата.  
* **Краен получател:** **Answer Publication Service**, който съхранява окончателната версия в неизменяемия одиторски регистър (подкрепен от блокчейн).  

Тъй като услугата е безсъстояние, тя може да се мащабира хоризонтално зад **Kubernetes** Ingress, осигурявайки подсекундна латентност дори в пикови одитни цикли.

---

## 4. Модел за управление  

### 4.1 Роли и отговорности  

| Роля | Отговорност |
|------|-------------|
| **Служител по съответствие** | Дефинира Политиката за смекчаване на пристрастия, преглежда маркираните отговори и одобрява смекчени версии. |
| **Data Scientist** | Курира корпуса за справедливост, актуализира моделите за откриване и следи за отклонения в модела. |
| **Product Owner** | Приоритизира нови функции (например нови регулаторни лексикони), съчетавайки ги с пазарното търсене. |
| **Security Engineer** | Гарантира криптиране на данните в трансит и покой, провежда редовни пенетрационни тестове на микросервиза. |

### 4.2 Одиторски следователен път  

Всеки етап — суров LLM изход, метрики за пристрастие, действия за смекчаване и окончателен отговор — създава **непроменим журнал**, съхранен в канал на **Hyperledger Fabric**. Това отговаря на изискванията на **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** и **[ISO 27001](https://www.iso.org/standard/27001)**.

---

## 5. Бизнес въздействие  

#### 5.1 Количествени резултати (пилот Q1‑Q3 2025)  

| Показател | Преди EBAE | След EBAE | Δ |
|-----------|------------|-----------|---|
| Средно време за отговор (сек) | 18 | 21 (смекчаването добавя ~3 сек) | +17 % |
| Брой инциденти с пристрастия (на 1000 отговора) | 12 | 2 | ↓ 83 % |
| Оценка на удовлетвореност от одиторите (1‑5) | 3.7 | 4.5 | ↑ 0.8 |
| Оценка на правни рискове (в USD) | $450 k | $85 k | ↓ 81 % |

Умереното увеличение на латентността се компенсира от драматичното намаляване на риска от несъответствие и видимото повишаване на доверието.

#### 5.2 Качествени ползи  

* **Регулаторна гъвкавост** – нови изисквания за юрисдикции могат да се добавят към лексикона за минути, незабавно влияейки на всички бъдещи отговори.  
* **Репутация на марката** – публичните изявления за “безпристрастен AI за съответствие” резонират силно с клиентите, които ценят защитата на личните данни.  
* **Запазване на таланти** – екипите по съответствие съобщават за намалено ръчно натоварване и по‑висока удовлетвореност, което намалява текучеството.

---

## 6. Бъдещи подобрения  

1. **Непрекъснат учебен цикъл** – интегриране на обратната връзка от одиторите (приети/отхвърлени отговори) за динамично дообучаване на корпуса за справедливост.  
2. **Федерален одит на пристрастия между доставчици** – сътрудничество с партньорски платформи чрез **Secure Multi‑Party Computation**, за обогатяване на откриването без споделяне на чувствителни данни.  
3. **Многоезично откриване на пристрастия** – разширяване на лексикона и вградените модели за вграждане към 12 допълнителни езика, критично за глобални SaaS предприятия.

---

## 7. Как да започнете с EBAE  

1. **Активирайте услугата** в администраторския конзол на Procurize → *AI Services* → *Bias Auditing*.  
2. **Качете вашата политика за пристрастия** във формат JSON (шаблонът е достъпен в документацията).  
3. **Изпълнете пилот** върху подбран набор от 50 въпроса; прегледайте резултатите в таблото.  
4. **Преминете към продукция** след като степента на фалшиви позитиви падне под 5 %.

Всички стъпки са автоматизирани чрез **Procurize CLI**:

```bash
prz bias enable --policy ./bias_policy.json
prz questionnaire run --sample 50 --output bias_report.json
prz audit ledger view --id 0x1a2b3c
```

---