# AI Orchestrovaný znalostní graf pro automatizaci dotazníků v reálném čase

**Abstrakt** – Moderní poskytovatelé SaaS čelí neustálému proudu bezpečnostních dotazníků, auditů souladu a hodnocení rizik dodavatelů. Manuální zpracování vede ke zpožděním, chybám a nákladným opravám. Řešením nové generace je **AI‑orchestrovaný znalostní graf**, který spojuje dokumenty politik, artefakty důkazů a kontextová riziková data do jediné, dotazovatelné struktury. V kombinaci s Retrieval‑Augmented Generation (RAG) a událostmi řízenou orkestrací graf poskytuje okamžité, přesné a auditovatelné odpovědi – čímž tradiční reaktivní proces mění na proaktivní motor souladu.

---

## 1. Proč tradiční automatizace nedostačuje

| Bod bolesti | Tradiční přístup | Skrytý náklad |
|------------|----------------------|-------------|
| **Fragmentovaná data** | Roztroušené PDF, tabulky, nástroje pro ticketing | Duplikovaná práce, chybějící důkazy |
| **Statické šablony** | Předvyplněné dokumenty Word, které je nutné ručně upravovat | Zastaralé odpovědi, nízká agilita |
| **Záměna verzí** | Různé verze politik napříč týmy | Riziko nesouladu s regulacemi |
| **Chybějící auditní stopa** | Ad‑hoc kopírování‑vkládání, žádný původ | Obtížné prokázat správnost |

Dokonce i sofistikované workflow nástroje selhávají, protože zacházejí s každým dotazníkem jako s izolovaným formulářem místo **sémantického dotazu** nad sjednocenou znalostní bází.

---

## 2. Základní architektura AI Orchestrovaného znalostního grafu

```mermaid
graph TD
    A["Policy Repository"] -->|Ingests| B["Semantic Parser"]
    B --> C["Knowledge Graph Store"]
    D["Evidence Vault"] -->|Metadata extraction| C
    E["Vendor Profile Service"] -->|Context enrichment| C
    F["Event Bus"] -->|Triggers updates| C
    C --> G["RAG Engine"]
    G --> H["Answer Generation API"]
    H --> I["Questionnaire UI"]
    I --> J["Audit Log Service"]
```

*Obrázek 1 – Vstupně‑úrovňový tok dat pro odpověď na dotazník v reálném čase.*

### 2.1 Vrstva ingestování

* **Policy Repository** – Centrální úložiště pro [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), a interní politické dokumenty. Dokumenty jsou parsovány pomocí LLM‑napájených sémantických extraktorů, které převádějí klauzule na úrovni odstavců na trojice grafu (subjekt, predikát, objekt).
* **Evidence Vault** – Ukládá auditní logy, snímky konfigurací a třetí strany potvrzení. Lehká OCR‑LLM pipeline extrahuje klíčové atributy (např. “encryption‑at‑rest enabled”) a přidává metadata o původu.
* **Vendor Profile Service** – Normalizuje data specifická pro dodavatele, jako je rezidence dat, SLA a skóre rizika. Každý profil se stává uzlem spojeným s relevantními klauzulemi politik.

### 2.2 Úložiště znalostního grafu

**Vlastnostní graf** (např. Neo4j nebo Amazon Neptune) hostí entity:

| Entita | Klíčové vlastnosti |
|--------|---------------------|
| PolicyClause | id, title, control, version, effectiveDate |
| EvidenceItem | id, type, source, timestamp, confidence |
| Vendor | id, name, region, riskScore |
| Regulation | id, name, jurisdiction, latestUpdate |

Hrany zachycují vztahy:

* `ENFORCES` – PolicyClause → Control  
* `SUPPORTED_BY` – PolicyClause → EvidenceItem  
* `APPLIES_TO` → Vendor  
* `REGULATED_BY` → Regulation  

### 2.3 Orkestrace a Event Bus

**Událostmi řízená mikroservisní vrstva** (Kafka nebo Pulsar) šíří změny:

* **PolicyUpdate** – Spouští přeindexování souvisejících důkazů.  
* **EvidenceAdded** – Aktivuje validační workflow, který ohodnocuje důvěryhodnost.  
* **VendorRiskChange** – Upravit váhu odpovědí u otázek citlivých na riziko.

Orkestrátor (postavený na Temporal.io nebo Cadence) garantuje zpracování **exactly‑once**, což umožňuje grafu zůstat **vždy aktuální**.

### 2.4 Retrieval‑Augmented Generation (RAG)

Když uživatel odešle otázku dotazníku, systém:

1. **Sémantické vyhledávání** – Načte nejrelevantnější podgraf pomocí vektorových embeddingů (FAISS + OpenAI embeddings).  
2. **Kontextový prompt** – Vytvoří prompt, který zahrnuje klauzule politik, propojené důkazy a specifika dodavatele.  
3. **Generování LLM** – Zavolá jemně doladěný LLM (např. Claude‑3 nebo GPT‑4o) k vytvoření stručné odpovědi.  
4. **Post‑processing** – Ověří konzistenci odpovědi, přidá citace (ID uzlů grafu) a uloží výsledek do **Audit Log Service**.

---

## 3. Tok odpovědi v reálném čase – krok za krokem

1. **Uživatelský dotaz** – “Šifrujete data v klidu pro zákazníky z EU?”  
2. **Klasifikace záměru** – NLP model identifikuje záměr jako *Šifrování dat v klidu*.  
3. **Vyhledání v grafu** – Najde `PolicyClause` “Encryption‑At‑Rest” spojený s `EvidenceItem` “AWS KMS configuration snapshot (2025‑09‑30)”.  
4. **Kontekst dodavatele** – Zkontroluje atribut regionu dodavatele; EU vlajka spouští dodatečný důkaz (např. GDPR‑kompatibilní DPA).  
5. **Sestavení promptu**:  
   ```
   Provide a concise answer for the following question.
   Question: Do you encrypt data at rest for EU customers?
   Policy: "Encryption‑At‑Rest" (control: C1.1, version: 3.2)
   Evidence: "AWS KMS snapshot" (date: 2025‑09‑30, confidence: 0.98)
   Vendor: "Acme SaaS EU" (region: EU, riskScore: 0.12)
   ```  
6. **Generování LLM** – Vrátí: “Yes. All production data for EU customers is encrypted at rest using AWS KMS with rotating CMKs. Evidence: AWS KMS snapshot (2025‑09‑30).”  
7. **Auditní stopa** – Uloží odpověď s ID uzlů, časovým razítkem a kryptografickým hash‑em pro ochranu před manipulací.  
8. **Dodání** – Odpověď se okamžitě zobrazí v UI dotazníku, připravena k revizi a schválení.

Celý cyklus běží **pod 2 sekundy** i při vysokém souběžném zatížení.

---

## 4. Přínosy oproti konvenčním řešením

| Metrika | Tradiční pracovní postup | AI Orchestrovaný graf |
|--------|--------------------------|-----------------------|
| **Doba odezvy** | 30 min – 4 hod (lidské zpracování) | ≤ 2 s (automatizované) |
| **Pokrytí důkazy** | 60 % požadovaných artefaktů | 95 %+ (automaticky propojeno) |
| **Auditovatelnost** | Manuální logy, náchylné k mezerám | Nezničitelné hash‑spojené stopy |
| **Škálovatelnost** | Lineární s velikostí týmu | Téměř lineární s výpočetní kapacitou |
| **Přizpůsobivost** | Vyžaduje ruční revizi šablon | Automatické aktualizace přes event bus |

---

## 5. Implementace grafu ve vaší organizaci

### 5.1 Kontrolní seznam přípravy dat

1. **Shromáždit** všechny PDF, markdown a interní kontrolní dokumenty.  
2. **Normalizovat** konvence pojmenování důkazů (např. `evidence_<type>_<date>.json`).  
3. **Mapovat** atributy dodavatelů do jednotného schématu (region, kritičnost atd.).  
4. **Otagovat** každý dokument příslušnou jurisdikcí regulace.

### 5.2 Doporučený technologický stack

| Vrstva | Doporučený nástroj |
|-------|--------------------|
| Ingestování | Apache Tika + LangChain loaders |
| Sémantický parser | OpenAI `gpt‑4o‑mini` s few‑shot promptama |
| Úložiště grafu | Neo4j Aura (cloud) nebo Amazon Neptune |
| Event Bus | Confluent Kafka |
| Orkestrace | Temporal.io |
| RAG | LangChain + OpenAI embeddings |
| Front‑end UI | React + Ant Design, napojený na Procurize API |
| Auditing | HashiCorp Vault pro správu podpisových klíčů |

### 5.3 Praktiky řízení

* **Revize změn** – Každá aktualizace politiky nebo důkazu projde dvou‑osobním schválením před publikací do grafu.  
* **Prahová hodnota důvěry** – Důkazní položky pod 0,85 jsou označeny ke manuální kontrole.  
* **Retention policy** – Všechny snímky grafu uchovávat min. 7 let pro splnění auditních požadavků.

---

## 6. Případová studie: Snížení doby odezvy o 80 %

**Společnost**: FinTechCo (střední SaaS pro platby)  
**Problém**: Průměrná doba odpovědi na dotazník 48 hodin, časté zmeškání termínů.  
**Řešení**: Nasazení AI‑orchestrovaného znalostního grafu podle výše popsaného stacku. Integrovali existující úložiště politik (150 dokumentů) a vault důkazů (3 TB logů).  

**Výsledky (3‑měsíční pilot)**  

| KPI | Před | Po |
|-----|------|----|
| Průměrná doba odpovědi | 48 hod | 5 min |
| Pokrytí důkazů | 58 % | 97 % |
| Úplnost audit‑logu | 72 % | 100 % |
| Počet FTE potřebných pro dotazníky | 4 FTE | 1 FTE |

Pilot také odhalil 12 zastaralých klauzulí politik, což vedlo k dalším úsporám ≈ 250 tis. USD v potenciálních pokutách.

---

## 7. Budoucí vylepšení

1. **Zero‑Knowledge Proofs** – Vložit kryptografické důkazy integrity důkazů bez odhalení surových dat.  
2. **Federované znalostní grafy** – Umožnit spolupráci mezi více společnostmi při zachování suverenity dat.  
3. **Explainable AI overlay** – Automaticky generovat strom odůvodnění pro každou odpověď, zvyšující důvěru revizora.  
4. **Dynamické předpovídání regulací** – Napojit se na připravované legislativní návrhy a předem upravovat kontrolní mechanismy.

---

## 8. Jak začít ještě dnes

1. **Klónovat referenční implementaci** – `git clone https://github.com/procurize/knowledge‑graph‑orchestrator`.  
2. **Spustit Docker compose** – nasadí Neo4j, Kafka, Temporal a Flask RAG API.  
3. **Nahrát první politiku** – pomocí CLI `pgctl import-policy ./policies/iso27001.pdf`.  
4. **Odeslat testovací otázku** – přes Swagger UI na `http://localhost:8000/docs`.

Za méně než hodinu budete mít živý, dotazovatelný graf připravený odpovídat na reálné bezpečnostní dotazníky.

---

## 9. Závěr

**AI‑orchestrovaný znalostní graf v reálném čase** mění soulad s předpisy z úzkého úzkého úzkého úzkého úzkého úzkého doplatku v strategickou výhodu. Sjednocením politik, důkazů a kontextu dodavatele a využitím událostmi řízené orkestrace spolu s RAG mohou organizace poskytovat okamžité, auditovatelné odpovědi i na nejnáročnější bezpečnostní dotazníky. Výsledkem je rychlejší uzavírání obchodů, snížené riziko nesouladu a škálovatelný základ pro budoucí AI‑řízené iniciativy v oblasti správy.

---

## Viz také
- [Retrieval‑Augmented Generation for Compliance](https://arxiv.org/abs/2302.12345)  
- [Temporal.io Orchestration Patterns](https://docs.temporal.io/docs)