
# Kontekstová syntéza důkazů s AI pro dotazníky dodavatelů v reálném čase

Bezpečnostní a souladové dotazníky se staly úzkým místem v prodejním cyklu SaaS. Očekává se, že dodavatelé odpoví na desítky podrobných
otázek pokrývajících [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) a specifické průmyslové kontroly během hodin, nikoli dnů. Tradiční automatizační řešení často tahají statické úryvky z repozitáře dokumentů, takže týmy musí ručně skládat odpovědi, ověřovat jejich relevanci a doplňovat chybějící
kontext. Výsledkem je křehký proces, který stále vyžaduje značné lidské úsilí a je náchylný k chybám.

**Kontekstová syntéza důkazů (CES)** je AI‑poháněný workflow, který jde dál než jednoduché vyhledávání. Místo načtení jediného odstavce
**rozumí záměru otázky**, **shromažďuje sadu relevantních důkazů**, **přidává dynamický kontext** a **vytváří
jednu, auditovatelnou odpověď**. Klíčové komponenty jsou:

1. **Jednotný znalostní graf důkazů** – uzly představují politiky, auditní zjištění, třetí strany a externí hrozby;
   hrany zachycují vztahy jako „pokrývá“, „odvozeno‑z“ nebo „vyprší‑dne“.
2. **Retrieval‑Augmented Generation (RAG)** – velký jazykový model (LLM) rozšířený o rychlý vektorový obchod dotazuje graf na nejrelevantnější uzly důkazů.
3. **Vrstva kontextového uvažování** – lehký pravidlový engine, který přidává logiku specifickou pro soulad (např. „pokud je kontrola označena jako ‘probíhající’, přidej časový plán nápravy“).
4. **Tvůrce auditního záznamu** – každá vygenerovaná odpověď je automaticky propojena se základními uzly grafu, časovými razítky a verzemi, čímž vzniká odolná proti manipulaci stopa důkazů.

Výsledkem je **odpověď v reálném čase vytvořená AI**, kterou lze zkontrolovat, okomentovat nebo přímo publikovat do vendor portálu. Níže si projdeme architekturu, tok dat a praktické kroky implementace pro týmy, které chtějí CES začlenit do svého compliance stacku.

---

## 1. Proč tradiční vyhledávání selhává

| Problém | Tradiční přístup | Výhoda CES |
|------------|----------------------|---------------|
| **Statické úryvky** | Tahá pevnou klauzuli z PDF dokumentu. | Dynamicky kombinuje více klauzulí, aktualizací a externích dat. |
| **Ztráta kontextu** | Není si vědom nuance otázky (např. „incident response“ vs. „disaster recovery“). | LLM interpretuje záměr a vybírá důkazy odpovídající přesnému kontextu. |
| **Auditovatelnost** | Ruční kopírování‑vkládání nezanechává stopu. | Každá odpověď odkazuje na uzly grafu s verzovanými ID. |
| **Škálovatelnost** | Přidání nových politik vyžaduje přeindexování všech dokumentů. | Přidávání hran grafu je inkrementální; index RAG se aktualizuje automaticky. |

---

## 2. Hlavní komponenty CES

### 2.1 Znalostní graf důkazů

Graf je jediným zdrojem pravdy. Každý uzel ukládá:

* **Obsah** – čistý text nebo strukturovaná data (JSON, CSV).
* **Metadata** – zdrojový systém, datum vytvoření, rámec souladu, datum expirace.
* **Hash** – kriptografický otisk pro detekci manipulace.

Hrany vyjadřují logické vztahy:

```mermaid
graph TD
    "Policy: Access Control" -->|"covers"| "Control: AC‑1"
    "Audit Report: Q3‑2024" -->|"evidence‑for"| "Control: AC‑1"
    "Third‑Party Attestation" -->|"validates"| "Policy: Data Retention"
    "Threat Intel Feed" -->|"impacts"| "Control: Incident Response"
```

> **Poznámka**: Všechny štítky uzlů jsou uzavřeny v dvojitých uvozovkách, jak vyžaduje syntaxe Mermaid; žádné escapování není potřeba.

### 2.2 Retrieval‑Augmented Generation (RAG)

Když dorazí dotazník, systém provede:

1. **Extrahování záměru** – LLM rozebere otázku a vytvoří strukturovanou reprezentaci
   (např. `{framework: "SOC2", control: "CC6.1", domain: "Security Incident Management"}`).
2. **Vektorové vyhledávání** – záměr je embedován a použit k získání top‑k relevantních uzlů grafu z hustého vektorového úložiště (FAISS nebo Elastic Vector).
3. **Prompt s průchodem** – LLM obdrží vybrané úryvky důkazů plus prompt, který ho instruuje *syntetizovat* stručnou odpověď se zachováním citací.

### 2.3 Vrstva kontextového uvažování

Pravidlový engine sedí mezi vyhledáváním a generací:

```goat
rule "Include remediation timeline if control status is in‑progress"
when
    ControlStatus(status == "in‑progress")
then
    add_context("Current remediation ETA: {{eta}} days")
end
```

Engine může také vynucovat:

* **Kontrolu expirace** – vyloučí důkazy po datu platnosti.
* **Mapování regulací** – zajistí, že odpověď splňuje více rámců najednou.
* **Maskování soukromí** – před odesláním do LLM odstraní citlivá pole.

### 2.4 Tvůrce auditního záznamu

Každá odpověď je zabalena do **SLOŽENÉHO OBJETU**:

```json
{
  "answer_id": "ans-2025-10-22-001",
  "question_id": "q-12345",
  "generated_text": "...",
  "evidence_refs": [
    {"node_id": "policy-AC-1", "hash": "a5f3c6"},
    {"node_id": "audit-2024-Q3", "hash": "d9e2b8"}
  ],
  "timestamp": "2025-10-22T14:32:10Z",
  "llm_version": "gpt‑4‑turbo‑2024‑09‑12"
}
```

Tento JSON může být uložen v neměnném logu (WORM úložiště) a později zobrazen v dashboardu, kde auditorům poskytne přehled o tom, který konkrétní důkaz podporuje každé tvrzení.

---

## 3. End‑to‑End tok dat

```mermaid
sequenceDiagram
    participant User as Security Analyst
    participant UI as Procurize Dashboard
    participant CES as Contextual Evidence Synthesizer
    participant KG as Knowledge Graph
    participant LLM as Retrieval‑Augmented LLM
    participant Log as Audit Trail Store

    User->>UI: Upload new questionnaire (PDF/JSON)
    UI->>CES: Parse questions, create intent objects
    CES->>KG: Vector search for each intent
    KG-->>CES: Return top‑k evidence nodes
    CES->>LLM: Prompt with evidence + synthesis rules
    LLM-->>CES: Generated answer
    CES->>Log: Store answer with evidence refs
    Log-->>UI: Show answer with traceability links
    User->>UI: Review, comment, approve
    UI->>CES: Push approved answer to vendor portal
```

Diagram ukazuje, že **lidská kontrola** zůstává kritickým kontrolním bodem. Analytici mohou přidat komentáře nebo
přepsat AI‑generovaný text před finálním odesláním, čímž se zachovává rychlost i governance.

---

## 4. Blueprint implementace

### 4.1 Nastavení znalostního grafu

1. **Vyberte grafovou databázi** – Neo4j, JanusGraph nebo Amazon Neptune.  
2. **Načtěte existující aktiva** – politiky (Markdown, PDF), auditní zprávy (CSV/Excel), third‑party attestations (JSON) a
   threat‑intel feedy (STIX/TAXII).  
3. **Generujte embedování** – použijte model sentence‑transformer (`all-MiniLM-L6-v2`) pro textový obsah každého uzlu.  
4. **Vytvořte vektorový index** – uložte embedování v FAISS nebo Elastic Vector pro rychlé nearest‑neighbor dotazy.

### 4.2 Vybudování vrstvy Retrieval‑Augmented

* Nasadit LLM endpoint (OpenAI, Anthropic nebo self‑hosted Llama‑3) za soukromou API bránu.
* Zabalit LLM do **Prompt Template**, který obsahuje placeholdery:
  * `{{question}}`
  * `{{retrieved_evidence}}`
  * `{{compliance_rules}}`
* Použít LangChain nebo LlamaIndex k orchestraci smyčky retrieval‑generation.

### 4.3 Definice pravidel uvažování

Implementujte engine pomocí **Durable Rules**, **Drools** nebo lehké Python DSL. Ukázkový soubor pravidel:

```python
rules = [
    {
        "condition": lambda node: node["status"] == "expired",
        "action": lambda ctx: ctx["exclude"](node)
    },
    {
        "condition": lambda node: node["framework"] == "SOC2" and node["control"] == "CC6.1",
        "action": lambda ctx: ctx["add_context"]("Incident response plan last tested on {{last_test_date}}")
    }
]
```

### 4.4 Auditovatelné úložiště

* Ukládejte objekty odpovědí do **append‑only** S3 bucket s Object Lock aktivovaným nebo do blockchain‑backed ledgeru.
* Vytvořte **SHA‑256 hash** každé odpovědi pro důkaz integrity.

### 4.5 Integrace UI

* Rozšiřte dashboard Procurize o tlačítko **„AI‑Synthesize“** vedle každého řádku dotazníku.
* Zobrazte sbalovatelný pohled, který ukazuje:
  * Vygenerovanou odpověď.
  * Inline citace (např. `[Policy: Access Control]` odkazující na uzel grafu).
  * Verze štítku (`v1.3‑2025‑10‑22`).

### 4.6 Monitoring a neustálé zlepšování

| Metrika | Jak měřit |
|--------|------------|
| **Doba odezvy** | Celkový čas od přijetí otázky po vygenerování odpovědi. |
| **Pokrytí citacemi** | Procento vět v odpovědi, které jsou odkázány na alespoň jeden uzel grafu. |
| **Míra úprav člověkem** | Poměr AI‑generovaných odpovědí, které vyžadují zásah analytika. |
| **Sklon k odchylkám** | Počet odpovědí, které se staly neaktuálními kvůli expirovaným důkazům. |

Tyto metriky sbírejte v Prometheus, nastavte alarmy při překročení prahových hodnot a použijte data k automatickému ladění **pravidlového engine**.

---

## 5. Reálné výhody

1. **Zkrácení doby odezvy** – týmy hlásí **70‑80 %** snížení průměrné doby reakce (z 48 h na ~10 h).
2. **Vyšší přesnost** – odpovědi podložené citacemi snižují faktické chyby o **~95 %**.
3. **Audit‑ready dokumentace** – jedním kliknutím export auditního záznamu, který splňuje požadavky SOC 2 i ISO 27001.
4. **Škálovatelná opětovná použitelnost znalostí** – nové dotazníky automaticky využívají existující důkazy, čímž se předchází duplicitě práce.

Případová studie fintech společnosti ukázala, že po nasazení CES zvládla **čtyřnásobně** vyšší objem dotazníků bez nutnosti najímání dalších zaměstnanců.

---

## 6. Bezpečnostní a soukromí úvahy

* **Izolace dat** – vektorový obchod a LLM inference udržujte v VPC bez internetového výstupu.
* **Zero‑Trust přístup** – používejte krátkodobé IAM tokeny pro každou analytickou relaci.
* **Differenciální soukromí** – při využívání externích threat‑intel feedů aplikujte šum pro zabránění úniku interních politik.
* **Audit modelu** – logujte každý požadavek a odpověď LLM pro budoucí souladové revize.

---

## 7. Budoucí vylepšení

| Položka roadmapy | Popis |
|-------------------|-------|
| **Federovaná synchronizace grafu** | Sdílet vybrané uzly napříč partnerskými organizacemi při zachování datové suverenity. |
| **Overlay vysvětlitelné AI** | Vizualizovat cestu uvažování od otázky k odpovědi pomocí DAGu uzlů důkazů. |
| **Multijazyková podpora** | Rozšířit vyhledávání a generování na francouzštinu, němčinu a japonštinu pomocí vícejazyčných embedování. |
| **Samo‑léčící šablony** | Automaticky aktualizovat šablony dotazníků, když se změní podkladová politika. |

---

## 8. Check-list pro zahájení

1. **Zmapujte aktuální zdroje důkazů** – seznamte politiky, auditní zprávy, attestace a feedy.  
2. **Nasadte grafovou databázi** a importujte aktiva s metadaty.  
3. **Vytvořte embedování** a nastavte vektorové vyhledávání.  
4. **Nasadte LLM** s RAG wrapperem (LangChain nebo LlamaIndex).  
5. **Definujte pravidla souladů**, která zachycují specifické požadavky vaší organizace.  
6. **Integrujte s Procurize** – přidejte tlačítko „AI‑Synthesize“ a komponentu audit‑trail UI.  
7. **Spusťte pilot** na omezeném souboru dotazníků, měřte latenci, míru úprav a auditovatelnost.  
8. **Iterujte** – zdokonalujte pravidla, obohacujte graf a rozšiřujte na nové rámce.

Dodržením tohoto plánu proměníte časově náročný manuální proces na **kontinuální, AI‑augmentovaný engine souladu**, který roste spolu s vaším podnikáním.