
# AI řízené automatické mapování smluvních ustanovení a analyzátor dopadu politik v reálném čase

## Úvod

Bezpečnostní dotazníky, hodnocení rizik dodavatelů a audity souladu vyžadují přesné a aktuální odpovědi. V mnoha organizacích je pravda uložená ve smlouvách a servisních úrovních (**[SLAs](https://www.ibm.com/think/topics/service-level-agreement)**). Vyhledat správné ustanovení, převést jej na odpověď v dotazníku a potvrdit, že odpověď stále odpovídá platným politikám, je manuální a náchylný proces.

**Procurize** představuje AI‑poháněný **Contract Clause Auto‑Mapping and Real‑Time Policy Impact Analyzer** (CCAM‑RPIA). Motor kombinuje extrakci pomocí velkých jazykových modelů (LLM), Retrieval‑Augmented Generation (RAG) a dynamický znalostní graf souhlasu, aby:

1. **Identifikoval** relevantní smluvní ustanovení automaticky.  
2. **Namapoval** každé ustanovení na přesné pole dotazníku, které splňuje.  
3. **Spustil** analýzu dopadu, která během **sekund** označí odchylky politik, chybějící důkazy a regulační mezery.  

Výsledkem je jedinečný, auditovatelný řetězec spojující text smlouvy, odpovědi v dotazníku a verze politik – poskytující kontinuální záruku souladu.

## Proč je mapování smluvních ustanovení důležité

| Problém | Tradiční přístup | Výhoda AI |
|------------|----------------------|-----------------------|
| **Časově náročná ruční revize** | Týmy čtou smlouvy stránku po stránce, kopírují a ručně označují ustanovení. | LLM extrahuje ustanovení během milisekund; mapování je generováno automaticky. |
| **Nekonzistentní terminologie** | Různé smlouvy používají rozličný jazyk pro stejnou kontrolu. | Sémantické shodování normalizuje terminologii napříč dokumenty. |
| **Nezjištěná odchylka politik** | Politiky se vyvíjejí; staré odpovědi v dotaznících zastarávají. | Analyzátor dopadu v reálném čase porovnává odpovědi odvozené z ustanovení s nejnovějším grafem politik. |
| **Mezery v auditovatelnosti** | Neexistuje spolehlivý odkaz mezi textem smlouvy a důkazy v dotazníku. | Neměnný ledger ukládá mapování ustanovení‑odpovědí s kryptografickým důkazem. |

Řešením těchto mezer mohou organizace snížit dobu zpracování dotazníků z dnů na minuty, zvýšit přesnost odpovědí a udržet obhajitelný auditní řetězec.

## Přehled architektury

Níže je vysokou úrovní diagram Mermaid, který ukazuje tok dat od ingestování smlouvy po reportování dopadu politik.

```mermaid
flowchart LR
    subgraph Ingestion
        A["Úložiště dokumentů"] --> B["Document AI OCR"]
        B --> C["Extrahování ustanovení LLM"]
    end

    subgraph Mapping
        C --> D["Sémantický matchér ustanovení‑pole"]
        D --> E["Obohacovač znalostního grafu"]
    end

    subgraph Impact
        E --> F["Detektor odchylek politik v reálném čase"]
        F --> G["Dashboard dopadu"]
        G --> H["Zpětná smyčka do znalostního grafu"]
    end

    style Ingestion fill:#f0f8ff,stroke:#2c3e50
    style Mapping fill:#e8f5e9,stroke:#2c3e50
    style Impact fill:#fff3e0,stroke:#2c3e50
```

### Klíčové komponenty

1. **Document AI OCR** – Převádí PDF, Word a naskenované smlouvy na čistý text.  
2. **Extrahování ustanovení LLM** – Jemně doladěný LLM (např. Claude‑3.5 nebo GPT‑4o), který nachází ustanovení týkající se bezpečnosti, soukromí a souladu.  
3. **Sémantický matchér ustanovení‑pole** – Používá vektorová embedding‑a (Sentence‑BERT) k přiřazení extrahovaných ustanovení polím dotazníku definovaným v katalogu nákupu.  
4. **Obohacovač znalostního grafu** – Aktualizuje KG novými uzly ustanovení, spojující je s řídicími rámci (**[ISO 27001](https://www.iso.org/standard/27001)**, **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, GDPR atd.) a objekty důkazů.  
5. **Detektor odchylek politik v reálném čase** – Průběžně porovnává odpovědi odvozené z ustanovení s nejnovější verzí politiky; vyvolává upozornění, pokud odchylka překročí konfigurovatelný práh.  
6. **Dashboard dopadu** – Vizualizační UI zobrazující zdraví mapování, mezery v důkazech a doporučené nápravné akce.  
7. **Zpětná smyčka** – Validace člověkem vrací korekce zpět do LLM a KG, čímž zlepšuje budoucí přesnost extrakce.

## Podrobný pohled: Extrahování ustanovení a sémantické mapování

### 1. Navrhování promptů pro extrahování ustanovení

Dobře navržený prompt je klíčový. Následující šablona se osvědčila napříč 12 typy smluv:

```
Extract all clauses that address the following compliance controls:
- Data encryption at rest
- Incident response timelines
- Access control mechanisms
For each clause, return:
1. Exact clause text
2. Section heading
3. Control reference (e.g., ISO 27001 A.10.1)
```

LLM vrací pole JSON, které je následně zpracováno. Přidáním „confidence score“ pomáháme upřednostňovat manuální revizi.

### 2. Shodování založené na embeddingích

Každé ustanovení je zakódováno do 768‑dimenzionálního vektoru pomocí předtrénovaného Sentence‑Transformer. Pole dotazníku jsou zakódována stejným způsobem. Kosinová podobnost ≥ 0,78 spustí automatické mapování; nižší skóre označí ustanovení k potvrzení recenzentem.

### 3. Řešení nejednoznačností

Když ustanovení pokrývá více kontrol, systém vytvoří **vícehranové** odkazy v KG. Pravidlový post‑procesor rozděluje složená ustanovení na atomické výpisy, aby každá hrana odkazovala jen na jednu kontrolu.

## Analýza dopadu politik v reálném čase

Analyzátor dopadu funguje jako **kontinuální dotaz** nad znalostním grafem.

```mermaid
graph TD
    KG[Znalostní graf souladu] -->|SPARQL| Analyzer[Engine dopadu politik]
    Analyzer -->|Upozornění| Dashboard
    Dashboard -->|Akce uživatele| KG
```

#### Základní logika

```goat
# Pseudo‑kód pro detekci odchylek
for each mapped_clause in KG:
    current_policy = fetch_latest_policy(mapped_clause.control)
    if not clause_satisfies_policy(mapped_clause.text, current_policy):
        raise_alert(mapped_clause.id, severity="high")
```

*Funkce `clause_satisfies_policy` používá lehký ověřovací LLM, který uvažuje o přirozeném jazyce politiky vs. ustanovení.*

**Výsledek:** Týmy dostanou akční upozornění typu *„Ustanovení 12.4 již nesplňuje **[ISO 27001 A.12.3 – Encryption at rest](https://www.iso.org/isoiec-27001-information-security.html)**“, spolu s doporučenými aktualizacemi politiky nebo kroky k renegociaci*.

## Auditovatelný rejstřík provenance

Každé mapování a rozhodnutí dopadu je zapsáno do neměnného **Provenance Ledger** (na bázi lehké blockchainové nebo append‑only log struktury). Každý záznam obsahuje:

- Hash transakce  
- Časové razítko (UTC)  
- Aktér (AI, recenzent, systém)  
- Digitální podpis (ECDSA)  

Tento ledger vyhovuje auditorům požadujícím **nedotknutelnost** a podporuje **zero‑knowledge proof** pro důvěrné ověření ustanovení bez odhalení surového textu smlouvy.

## Integrační body

| Integrace | Protokol | Přínos |
|-----------|----------|--------|
| **Ticketing nákupů (Jira, ServiceNow)** | Webhooky / REST API | Automatické vytváření úkolů nápravy při detekci odchylek. |
| **Úložiště důkazů (S3, Azure Blob)** | Podepsané URL | Přímé propojení uzlu ustanovení na naskenované důkazy. |
| **Policy-as-Code (OPA, Open Policy Agent)** | Rego politiky | Vynucování pravidel odchylek jako kódu, verzovaného. |
| **CI/CD pipeline (GitHub Actions)** | API klíče s tajemstvím | Validace souhlasu odvozeného ze smlouvy před novým nasazením. |

## Výsledky z reálného nasazení

| Metrika | Před CCAM‑RPIA | Po CCAM‑RPIA |
|--------|----------------|--------------|
| Průměrná doba odpovědi v dotazníku | 4,2 dne | 6 hodin |
| Přesnost mapování (ověřeno člověkem) | 71 % | 96 % |
| Latence detekce odchylek politik | týdny | minuty |
| Náklady na nápravu auditních zjištění | 120 000 $ za audit | 22 000 $ za audit |

Poskytovatel SaaS pro Fortune 500 hlásí **78 %** snížení manuální práce a získal **[SOC 2 Type II](https://secureframe.com/hub/soc-2/what-is-soc-2)** audit bez hlavních zjištění po implementaci motoru.

## Nejlepší postupy pro nasazení

1. **Začněte s nejcennějšími smlouvami** – Soustřeďte se na NDA, SaaS dohody a ISAs, kde jsou bezpečnostní ustanovení koncentrovaná.  
2. **Definujte kontrolovaný slovník** – Synchronizujte pole dotazníku se standardní taxonomií (např. **[NIST 800‑53](https://www.nist.gov/cyberframework)**) pro lepší shodu embedding‑ů.  
3. **Iterativní ladění promptů** – Proveďte pilot, sbírejte skóre důvěry a upravujte prompt, aby se snížil počet false positive.  
4. **Zapněte lidskou kontrolu** – Nastavte práh (např. podobnost < 0,85), který vyžaduje manuální ověření; korekce vracejte zpět do LLM.  
5. **Využijte Provenance Ledger pro audity** – Exportujte záznamy jako CSV/JSON pro auditní složky; použijte kryptografické podpisy k prokázání integrity.

## Budoucí plán

- **Federované učení pro multi‑tenant extrakci ustanovení** – Trénovat modely napříč organizacemi bez sdílení surových smluvních dat.  
- **Integrace Zero‑Knowledge Proof** – Dokazovat shodu ustanovení s politikou bez odhalení samotného obsahu smlouvy, čímž se zvyšuje důvěrnost.  
- **Generativní syntéza politik** – Automaticky navrhovat aktualizace politik na základě vzorců odchylek napříč smlouvami.  
- **Asistent s hlasovým rozhraním** – Umožnit compliance specialistům dotazovat se na mapování pomocí přirozeného jazyka, což urychlí rozhodování.

## Závěr

**Contract Clause Auto‑Mapping and Real‑Time Policy Impact Analyzer** mění statický text smluv v aktivní souladový prostředek. Spojením LLM‑extrakce, živého znalostního grafu, detekce dopadu a neměnného ledgeru **Procurize** přináší:

- **Rychlost** – Odpovědi generované během sekund.  
- **Přesnost** – Sémantické shodování snižuje lidské chyby.  
- **Přehlednost** – Okamžitý pohled na odchylky politik.  
- **Auditovatelnost** – Kryptograficky ověřitelná stopa.

Organizace, které tento motor nasadí, mohou přejít z reaktivního vyplňování dotazníků na proaktivní správu souladu, čímž získají rychlejší uzavírání obchodu a silnější důvěru u zákazníků i regulátorů.