
# Motor pro etické audity zaujatosti u AI‑generovaných odpovědí na bezpečnostní dotazníky

**Abstrakt**  
Adopce velkých jazykových modelů (LLM) pro odpovídání na bezpečnostní dotazníky se v posledních dvou letech dramaticky zrychlila. Zatímco rychlost a pokrytí se zlepšily, skrytý riziko systematické zaujatosti – ať už kulturní, regulatorní či operativní – zůstává do značné míry neřešené. **Motor pro etické audity zaujatosti (EBAE)** od Procurize vyplňuje tuto mezeru tím, že do každé AI‑generované odpovědi vkládá autonomní, datově řízenou vrstvu detekce a mitigace zaujatosti. Tento článek popisuje technickou architekturu, proces řízení a měřitelné obchodní výhody EBAE, čímž ho představuje jako základní kámen důvěryhodné automatizace souladu.

---

## 1. Proč je zaujatost důležitá v automatizaci bezpečnostních dotazníků  

Bezpečnostní dotazníky jsou hlavní kontrolní mechanismus při hodnocení rizik dodavatelů. Jejich odpovědi ovlivňují:

* **Smluvní jednání** – zaujatý jazyk může neúmyslně upřednostňovat určité jurisdikce.  
* **Regulatorní soulad** – systematické opomenutí specifických kontrol pro konkrétní region může vést k pokutám.  
* **Důvěru zákazníků** – vnímaná nespravedlnost podkopává důvěru, zejména u globálních poskytovatelů SaaS.

Když je LLM trénován na historických auditech, přebírá historické vzorce – některé z nich odrážejí zastaralé politiky, regionální právní nuance či firemní kulturu. Bez dedikované auditní funkce jsou tyto vzorce neviditelné a vedou k:

| Typ zaujatosti | Příklad |
|----------------|---------|
| **Regulační zaujatost** | Převaha kontrol orientovaných na USA a nedostatečné zastoupení požadavků specifických pro **GDPR**. |
| **Oborová zaujatost** | Upřednostňování cloud‑native kontrol i v situacích, kdy dodavatel používá on‑premise hardware. |
| **Zaujatost vůči toleranci rizika** | Systematické podhodnocování vysokých rizik, protože předchozí odpovědi byly optimističtější. |

EBAE je navržen tak, aby tyto deformace odhalil a opravil ještě před tím, než odpověď dorazí ke klientovi nebo auditorovi.

---

## 2. Architektonický přehled  

EBAE leží mezi **LLM Generation Engine** a **Answer Publication Layer**. Skládá se ze tří úzce propojených modulů:

```mermaid
graph LR
    A["Příjem otázky"] --> B["LLM Generation Engine"]
    B --> C["Vrstva detekce zaujatosti"]
    C --> D["Mitigace & Přehodnocení"]
    D --> E["Dashboard vysvětlitelnosti"]
    E --> F["Publikace odpovědi"]
```

### 2.1 Vrstva detekce zaujatosti  

Detekční vrstva využívá hybridu **Statistických parity kontrol** a **Auditů sémantické podobnosti**:

| Metoda | Účel |
|--------|------|
| **Statistická parita** | Porovnání rozdělení odpovědí napříč geografiemi, odvětvími a úrovněmi rizika pro identifikaci odlehlých hodnot. |
| **Embedding‑Based Fairness** | Projekce textu odpovědi do vysokodimenzionálního prostoru pomocí sentence‑transformeru a výpočet kosinové podobnosti k „kotvi“ spravedlnosti vytvořené experty na soulad. |
| **Křížové ověřování regulačního lexikonu** | Automatické skenování chybějících termínů specifických pro jurisdikce (např. “Data Protection Impact Assessment” pro EU, “CCPA” pro Kalifornii). |

Při detekci potenciální zaujatosti motor vrací **BiasScore** (0 – 1) spolu s **BiasTag** (např. `REGULATORY_EU`, `INDUSTRY_ONPREM`).

### 2.2 Mitigace & Přehodnocení  

Mitigační modul provádí:

1. **Rozšíření promptu** – původní otázka je znovu zadána s omezeními ohledně zaujatosti (např. „Zahrňte specifické GDPR kontroly“).  
2. **Ensemble odpovědí** – generuje několik kandidátních odpovědí, každá vážená inverzní hodnotou BiasScore.  
3. **Politikou řízené přehodnocení** – finální odpověď je sladěna s **Politikou mitigace zaujatosti**, uloženou v knowledge graphu Procurize.

### 2.3 Dashboard vysvětlitelnosti  

Compliance manažeři mohou rozkliknout libovolnou zprávu o zaujatosti a zobrazit:

* **Časovou osu BiasScore** (jak se skóre změnilo po mitigaci).  
* **Ukázky důkazů**, které spustily poplach.  
* **Odůvodnění politiky** (např. „Požadavek na datovou rezidenci v EU dle GDPR čl. 25“).  

Dashboard je responsive UI postavené na Vue.js, přičemž datový model sleduje specifikaci **OpenAPI 3.1** pro snadnou integraci.

---

## 3. Integrace s existujícími pracovními postupy Procurize  

EBAE je poskytován jako **micro‑service**, který splňuje interní **event‑driven architekturu** Procurize. Následující sekvence ukazuje, jak je typická odpověď na dotazník zpracována:

```goat
event.QuestionReceived -> LLM.GenerateAnswer -> EBAE.DetectBias -> 
if BiasScore > 0.3 then EBAE.Mitigate -> event.AnswerReady -> UI.Publish
else event.AnswerReady -> UI.Publish
```

* **Zdroj události:** Přicházející položky dotazníku z **Questionnaire Hub** platformy.  
* **Cíl:** **Answer Publication Service**, která finální verzi ukládá do neměnného auditního ledgeru (podporovaného blockchainem).  

Protože je služba bezstavu, může být horizontálně škálována za **Kubernetes Ingress**, což zajišťuje sub‑sekundovou latenci i během špičkových auditních cyklů.

---

## 4. Model řízení  

### 4.1 Role a odpovědnosti  

| Role | Odpovědnost |
|------|-------------|
| **Compliance Officer** | Definuje Politiku mitigace zaujatosti, přezkoumává označené odpovědi, schvaluje mitigované výstupy. |
| **Data Scientist** | Kurátorsky spravuje korpus „fairness anchor“, aktualizuje detekční modely, monitoruje drift modelu. |
| **Product Owner** | Upřednostňuje vývoj nových funkcí (např. nové regulační lexikony), sladí roadmapu s tržní poptávkou. |
| **Security Engineer** | Zajišťuje šifrování dat v pohybu i v klidu, provádí pravidelné penetrační testy micro‑service. |

### 4.2 Auditovatelný záznam  

Každý krok – surový výstup LLM, metriky detekce zaujatosti, mitigace a finální odpověď – vytváří **tamper‑evident log**, uložený v kanálu **Hyperledger Fabric**. To splňuje požadavky **SOC 2** i **ISO 27001**.

---

## 5. Obchodní dopad  

#### 5.1 Kvantitativní výsledky (pilot Q1‑Q3 2025)  

| Metrika | Před EBAE | Po EBAE | Δ |
|---------|-----------|---------|---|
| Průměrná doba odpovědi (s) | 18 | 21 (mitigace + ≈3 s) | +17 % |
| Počet incidentů zaujatosti (na 1000 odpovědí) | 12 | 2 | ↓ 83 % |
| Spokojenost auditorů (1‑5) | 3,7 | 4,5 | ↑ 0,8 |
| Odhadovaná nákladová expozice (právo) | 450 000 $ | 85 000 $ | ↓ 81 % |

Mírné prodloužení latence je převážně vykompenzováno výrazným snížením rizika nesouladu a zvýšením spokojenosti zainteresovaných stran.

#### 5.2 Kvalitativní přínosy  

* **Regulační agilita** – nové požadavky jurisdikcí lze přidat do lexikonu během minut, okamžitě ovlivní všechny budoucí odpovědi.  
* **Reputace značky** – veřejná komunikace o “bias‑free AI compliance” silně rezonuje u zákazníků citlivých na soukromí.  
* **Udržení talentu** – týmy souhlasu hlásí nižší manuální zátěž a vyšší spokojenost, což snižuje fluktuaci.

---

## 6. Budoucí vylepšení  

1. **Smyčka kontinuálního učení** – využití zpětné vazby auditorů (přijaty/odmítnuty odpovědi) k dynamickému doladění korpusu fairness anchor.  
2. **Federovaný audit zaujatosti napříč dodavateli** – spolupráce s partnerskými platformami pomocí **Secure Multi‑Party Computation** pro obohacení detekce bez odhalení proprietárních dat.  
3. **Vícejazyková detekce zaujatosti** – rozšíření lexikonu a embeddingových modelů o dalších 12 jazyků, nezbytné pro globální SaaS podniky.

---

## 7. Jak začít používat EBAE  

1. **Aktivujte službu** v administrativní konzoli Procurize → *AI Services* → *Bias Auditing*.  
2. **Nahrajte svou politiku zaujatosti ve formátu JSON** (šablona v dokumentaci).  
3. **Spusťte pilot** na sadě 50 položek dotazníku; prohlédněte výstup v dashboardu.  
4. **Přesuňte do produkce**, jakmile poměr falešně pozitivních detekcí klesne pod 5 %.

Všechny kroky lze automatizovat pomocí **Procurize CLI**:

```bash
prz bias enable --policy ./bias_policy.json
prz questionnaire run --sample 50 --output bias_report.json
prz audit ledger view --id 0x1a2b3c
```

---