
# Adaptivní AI banka otázek revolučně mění tvorbu bezpečnostních dotazníků

Podniky dnes zápasí s neustále rostoucí horou bezpečnostních dotazníků — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), C‑5 a desítky na míru šitých hodnocení dodavatelů. Každá nová regulace, uvedení produktu nebo změna interní politiky může učinit dříve platnou otázku zastaralou, přesto týmy stráví hodiny ručním kurátorstvím, verzováním a aktualizací těchto dotazníků.  

**Co kdyby se samotný dotazník dokázal automaticky vyvíjet?**  

V tomto článku zkoumáme **generativní‑AI napájenou Adaptivní banku otázek (AQB)**, která se učí z regulačních kanálů, předchozích odpovědí a zpětné vazby analytiků a neustále syntetizuje, hodnotí a vyřazuje položky dotazníků. AQB se tak stává živým znalostním aktivem, které napájí platformy typu Procurize a dělá z každého bezpečnostního dotazníku čerstvě vytvořený, naprosto shodný s požadavky konverzaci.

---

## 1. Proč je dynamická banka otázek důležitá

| Problém | Tradiční řešení | Řešení umožněné AI |
|------------|----------------|---------------------|
| **Regulační drift** – nové klauzule se objevují čtvrtletně | Manuální audit standardů, aktualizace v tabulkách | Ingestování regulačních kanálů v reálném čase, automatické generování otázek |
| **Duplicitní úsilí** – různé týmy vytvářejí podobné otázky | Centrální repo s vágním tagováním | Shlukování sémantické podobnosti + automatické sloučení |
| **Zastaralé pokrytí** – staré otázky již neodpovídají kontrolám | Periodické revizní cykly (často chybějící) | Kontinuální skórování důvěry a spouštěče vyřazení |
| **Tření s dodavateli** – příliš obecné otázky vyvolávají zpětnou vazbu | Ručně laděné úpravy na míru dodavateli | Personalizace otázek podle persona pomocí promptů LLM |

AQB řeší tyto problémy tím, že tvorbu otázek převádí na **AI‑první, datově řízený workflow** místo periodické údržby.

---

## 2. Základní architektura adaptivní banky otázek

```mermaid
graph TD
    A["Systém přísunu regulací"] --> B["Normalizér regulací"]
    B --> C["Vrstva sémantické extrakce"]
    D["Historický korpus dotazníků"] --> C
    E["Generátor promptů pro LLM"] --> F["Modul syntézy otázek"]
    C --> F
    F --> G["Engine pro hodnocení otázek"]
    G --> H["Úložiště adaptivního řazení"]
    I["Zpětná vazba uživatelů"] --> G
    J["Mapa ontologie"] --> H
    H --> K["API pro integraci s Procurize"]
```

*All node labels are wrapped in double quotes as required by the Mermaid specification.*

**Vysvětlení komponent**

1. **Systém přísunu regulací** – získává aktualizace od oficiálních orgánů (např. **[NIST CSF](https://www.nist.gov/cyberframework)**, EU **[GDPR](https://gdpr.eu/)**, **[ISO 27001](https://www.iso.org/standard/27001)**, průmyslové konsorcia) pomocí RSS, API nebo web‑scrapingu.  
2. **Normalizér regulací** – převádí heterogenní formáty (PDF, HTML, XML) do jednotné JSON schématu.  
3. **Vrstva sémantické extrakce** – aplikuje rozpoznávání pojmenovaných entit (NER) a extrakci vztahů k identifikaci kontrol, povinností a rizikových faktorů.  
4. **Historický korpus dotazníků** – existující banka zodpovězených otázek, anotovaná verzí, výsledkem a sentimentem dodavatele.  
5. **Generátor promptů pro LLM** – vytváří few‑shot prompt, který instruuje velký jazykový model (např. Claude‑3, GPT‑4o) k vytvoření nových otázek v souladu s detekovanými povinnostmi.  
6. **Modul syntézy otázek** – přijímá surový výstup LLM, provádí post‑processing (kontrola gramatiky, validace právních termínů) a ukládá kandidátní otázky.  
7. **Engine pro hodnocení otázek** – hodnotí každý kandidát podle **relevance**, **novosti**, **jasnosti** a **rizikového dopadu** pomocí hybridu pravidlových heuristik a natrénovaného rankingového modelu.  
8. **Úložiště adaptivního řazení** – uchovává top‑k otázek podle regulační domény, obnovované denně.  
9. **Zpětná vazba uživatelů** – zachycuje přijetí recenzenta, edit distance a kvalitu odpovědí k doladění scoring modelu.  
10. **Mapa ontologie** – mapuje generované otázky na interní taxonomie kontrol (např. **[NIST CSF](https://www.nist.gov/cyberframework)**, COSO) pro následné mapování.  
11. **API pro integraci s Procurize** – vystavuje AQB jako službu, která může automaticky vyplňovat formuláře dotazníků, navrhovat doplňující dotazy nebo upozorňovat týmy na chybějící pokrytí.

---

## 3. Od kanálu k otázce: generační pipeline

### 3.1 Ingestování regulačních změn
- **Frekvence:** Kontinuální (push pomocí webhooku, pokud je dostupný, pull každých 6 hodin jinak).  
- **Transformace:** OCR pro naskenované PDF → extrakce textu → jazykově neutrální tokenizace.  
- **Normalizace:** Mapování na kanonický objekt **„Povinnost“** s poli `section_id`, `action_type`, `target_asset`, `deadline`.

### 3.2 Prompt Engineering pro LLM
Používáme **šablonový prompt**, který balancuje kontrolu a kreativitu:

```
You are a compliance architect drafting a security questionnaire item.
Given the following regulatory obligation, produce a concise question (≤ 150 characters) that:
1. Directly tests the obligation.
2. Uses plain language suitable for technical and non‑technical respondents.
3. Includes an optional “evidence type” hint (e.g., policy, screenshot, audit log).

Obligation: "<obligation_text>"
```

Few‑shot příklady ukazují styl, tón a nápovědu k důkazům, čímž se model odklání od právnické terminologie a zachovává přesnost.

### 3.3 Post‑processing kontroly
- **Legal Term Guardrail:** Slovník zakazuje nepovolené termíny (např. „shall“) a navrhuje alternativy.  
- **Filtr duplikací:** Na základě kosinové podobnosti embeddingu (> 0.85) se navrhne sloučení.  
- **Readability Score:** Flesch‑Kincaid < 12 pro širší přístupnost.

### 3.4 Scoring a řazení
**Gradient‑boosted decision tree** model počítá kompozitní skóre:

```
Score = 0.4·Relevance + 0.3·Clarity + 0.2·Novelty - 0.1·Complexity
```

Tréninková data tvoří historické otázky označené bezpečnostními analytiky (vysoká, střední, nízká). Model je retrénován týdně s novou zpětnou vazbou.

---

## 4. Personalizace otázek pro různé persona

Různí stakeholderi (CTO, DevOps Engineer, Legal Counsel) potřebují odlišné formulace. AQB využívá **persona embeddings** k modulaci výstupu LLM:

- **Technická persona:** zdůrazňuje implementační detaily, žádá odkazy na artefakty (např. logy CI/CD pipeline).  
- **Executive persona:** zaměřuje se na governance, politické prohlášení a metriky rizik.  
- **Legal persona:** požaduje smluvní klauzule, auditní zprávy a certifikace.

Jednoduchý **soft‑prompt** obsahující popis persony se připojí před hlavní prompt, což vede k otázce, která „přirozeně“ odpovídá cílovému respondentovi.

---

## 5. Praktické přínosy

| Metrika | Před AQB (Manuálně) | Po AQB (18 měs.) |
|--------|---------------------|-------------------|
| Průměrná doba vyplnění dotazníku | 12 hodin na dodavatele | 2 hodiny na dodavatele |
| Pokrytí otázek (kompletnost) | 78  % (měřeno mapováním na kontroly) | 96  % |
| Počet duplicitních otázek | 34  na dotazník | 3  na dotazník |
| Spokojenost analytiků (NPS) | 32 | 68 |
| Incidenty regulačního driftu | 7  ročně | 1  ročně |

*Čísla jsou převzata z případové studie SaaS platformy napříč 300 dodavateli ve třech odvětvích.*

---

## 6. Implementace AQB ve vaší organizaci

1. **Import dat** – exportujte existující repozitář dotazníků (CSV, JSON nebo přes Procurize API). Zahrňte historii verzí a odkazy na důkazy.  
2. **Předplatné regulačních kanálů** – zaregistrujte se alespoň k třem hlavním zdrojům (např. **[NIST CSF](https://www.nist.gov/cyberframework)**, **[ISO 27001](https://www.iso.org/standard/27001)**, EU **[GDPR](https://gdpr.eu/)**), aby bylo zajištěno šířké spektrum.  
3. **Volba modelu** – vyberte hostovaný LLM s enterprise SLA. Pro on‑premise řešení zvažte open‑source model (LLaMA‑2‑70B) doladěný na compliance text.  
4. **Integrace zpětné vazby** – nasadíte lehké UI widgety do editoru dotazníků, které umožní recenzentům **Přijmout**, **Upravit** nebo **Odmítnout** AI návrhy. Události jsou zachyceny pro kontinuální učení.  
5. **Governance** – založte **Steering Board pro správu banky otázek** složený z představitelů compliance, bezpečnosti a produktového týmu. Rada přezkoumává vyřazení vysoce dopadových otázek a schvaluje nové mapování regulací čtvrtletně.

---

## 7. Budoucí směry

- **Cross‑Regulatory Fusion:** Vytvoření **knowledge‑graph overlay**, který mapuje ekvivalentní povinnosti napříč standardy, umožňující jedné generované otázce pokrýt více rámců.  
- **Multilingual Expansion:** Spojení AQB s **neuronálními překladovými modely** pro vydání otázek ve 12 + jazycích, přizpůsobených lokálním compliance specifikům.  
- **Predictive Regulation Radar:** Časová řada model, který předpovídá nadcházející regulační trendy, a tím podněcuje AQB k **předběžnému** generování otázek pro budoucí klauzule.

---

## See Also

---