
# Explainable AI Coach pro dotazníky o bezpečnosti v reálném čase

> **TL;DR** – Konverzační AI asistent, který nejen okamžitě vytváří odpovědi na bezpečnostní dotazníky, ale také ukazuje *proč* je každá odpověď správná, poskytuje skóre důvěry, sledovatelnost důkazů a validaci člověka v smyčce. Výsledkem je **30 % – 70 % snížení doby odpovědi** a **výrazné zvýšení důvěry v audit**.

---

## Proč stávající řešení stále selhávají

Většina automatizačních platforem (včetně několika našich předchozích verzí) exceluje v **rychlosti** – tahají šablony, mapují politiky nebo generují boilerplate text. Přesto auditoři a bezpečnostní manažeři opakovaně požadují:

1. **_„Jak jste dospěli k té odpovědi?“_**  
2. **_„Můžeme vidět přesné důkazy podporující toto tvrzení?“_**  
3. **_„Jaká je úroveň důvěry v odpověď generovanou AI?“_**

Tradiční „černé skříňky“ LLM pipeline poskytují odpovědi bez provenance, což nutí compliance týmy ověřovat každou řádku ručně. Tato manuální revalidace ruší úsporu času a opět zavádí riziko chyb.

---

## Představujeme Explainable AI Coach

**Explainable AI Coach (E‑Coach)** je **konverzační vrstva** postavená navrch na existujícím dotazníkovém hubu Procurize. Spojuje tři hlavní schopnosti:

| Schopnost | Co dělá | Proč je důležitá |
|-----------|----------|------------------|
| **Konverzační LLM** | Provází uživatele dialogem otázka‑za‑otázkou a navrhuje odpovědi v přirozeném jazyce. | Snižuje kognitivní zátěž; uživatel může kdykoli položit „Proč?“ |
| **Engine pro vyhledávání důkazů** | V reálném čase načte nejrelevantnější klauzule politik, auditní logy a odkazy na artefakty z grafu znalostí. | Zajišťuje sledovatelný důkaz ke každému tvrzení |
| **Dashboard pro vysvětlitelnost a důvěru** | Zobrazuje řetězec krok‑za‑krokem, skóre důvěry a alternativní návrhy. | Auditoři vidí transparentní logiku; týmy mohou přijmout, odmítnout nebo upravit |

Výsledkem je **AI‑augmented workflow s člověkem v smyčce**, kde AI působí jako znalostní spoluautor, nikoli jako tichý autor.

---

## Přehled architektury

```mermaid
graph LR
    A["Uživatel (Bezpečnostní analytik)"] --> B["Konverzační UI"]
    B --> C["Intent Parser"]
    C --> D["LLM Answer Generator"]
    D --> E["Evidence Retrieval Engine"]
    E --> F["Knowledge Graph (Policies, Artifacts)"]
    D --> G["Explainability Engine"]
    G --> H["Reasoning Tree + Confidence Score"]
    H --> I["Dashboard (Live View)"]
    I --> A
    F --> D
```

*Všechny štítky uzlů jsou uvozovky podle požadavků Mermaid.*

1. **Konverzační UI** – Webová nebo Slack integrace, kde analytik píše nebo mluví.  
2. **Intent Parser** – Klasifikuje příchozí otázku (např. „šifrování v klidu?“).  
3. **LLM Answer Generator** – Vytvoří návrh odpovědi pomocí Retrieval‑Augmented Generation (RAG).  
4. **Engine pro vyhledávání důkazů** – Dotazuje centralizovaný graf znalostí na odpovídající výňatky politik, ID důkazů a historii verzí.  
5. **Explainability Engine** – Vytváří **Reasoning Tree**:  
   - *Krok 1*: Identifikuje standardní klauzuli (např. [ISO 27001](https://www.iso.org/standard/27001) A.10.1).  
   - *Krok 2*: Načte nejnovější auditní artefakt (např. encryption‑key‑inventory‑v3.pdf).  
   - *Krok 3*: Vypočítá podobnost mezi otázkou a důkazem.  
6. **Dashboard** – Zobrazuje odpověď, připojené důkazy, procento důvěry a tlačítko „Proč?“, které rozbalí strom odůvodnění.  

---

## Krok‑za‑krokem cesta uživatele

### 1️⃣ Zahájení dialogu

Analytik otevře trenéra a zeptá se:  
> „Šifrujeme data v klidu pro naši SaaS platformu?“

UI okamžitě zobrazí **návrh odpovědi**:

> „Ano. Veškerá zákaznická data uložená v našich primárních databázích jsou šifrována pomocí AES‑256 GCM, spravována AWS KMS. Šifrovací klíče jsou rotovány každých 90 dnů.“

### 2️⃣ Prohlédnutí důkazů

Pod návrhem trenér vypíše **připojené artefakty**:

- **Politika:** „Data‑At‑Rest Encryption Policy (v2.4)“
- **Artefakt:** `aws-kms-rotation‑log‑2024-09.pdf` (odkaz)
- **Auditní stopa:** „Encryption‑Key‑Inventory (poslední ověření 2025‑03‑15)“

Každý odkaz otevře náhledové okno, takže analytik může detaily ověřit bez opuštění dotazníku.

### 3️⃣ Revize důvěry a odůvodnění

**Metrika důvěry** ukazuje **92 %**. Kliknutím na „Proč?“ se rozbalí strom:

```
Proč? → 1. Shoda politiky ([ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) A.10.1) – 0.98 podobnost
      → 2. Nejnovější KMS rotovací log – 0.95 podobnost
      → 3. Interní auditní flag – 0.90 podobnost
```

Pokud některý uzel dosáhne pod nastavitelné prahové hodnoty (např. 0.85), UI ho zvýrazní a vyzve analytika, aby doplnil chybějící důkaz.

### 4️⃣ Validace člověkem v smyčce

Analytik může:

- **Přijmout** – odpověď a důkazy jsou uzamčeny v dotazníku.  
- **Upravit** – pozměnit formulaci nebo připojit doplňující dokumenty.  
- **Odmítnout** – vytvořit ticket pro compliance tým k doplnění chybějícího důkazu.

Všechny akce jsou zachyceny jako neměnné auditní události (viz „Compliance Ledger“ níže).

### 5️⃣ Uložení a synchronizace

Po schválení se odpověď, strom odůvodnění a připojené důkazy **uloží** do compliance repozitáře Procurize. Platforma automaticky aktualizuje všechny downstream dashboardy, rizikové skóre a souhrnné zprávy.

---

## Vysvětlitelnost: Z černé skříňky na transparentního asistenta

Tradiční LLM poskytuje **jediný řetězec** jako výstup. E‑Coach přidává tři vrstvy transparentnosti:

| Vrstva | Exponovaná data | Příklad |
|-------|------------------|---------|
| **Mapování politik** | Přesná ID klauzule politiky použité při generování odpovědi. | `ISO27001:A.10.1` |
| **Provenance artefaktů** | Přímý odkaz na verzovanou evidenci souborů. | `s3://compliance/evidence/kms-rotation-2024-09.pdf` |
| **Skóre důvěry** | Vážené podobnosti z vyhledávání + sebedůvěra modelu. | `0.92 celkové skóre důvěry` |

Tyto údaje jsou vystaveny přes **RESTful Explainability API**, což umožňuje konzultantům bezpečnosti integrovat odůvodnění do externích auditních nástrojů nebo automaticky generovat compliance PDF.

---

## Compliance Ledger: Neměnný auditní řetězec

Každá interakce s trenérem zapíše záznam do **append‑only ledgeru** (implementováno nad lehkou blockchain‑podobnou strukturou). Záznam obsahuje:

- Časové razítko (`2025‑11‑26T08:42:10Z`)  
- ID analytika  
- ID otázky  
- Hash návrhu odpovědi  
- ID důkazů  
- Skóre důvěry  
- Provedená akce (přijmout / upravit / odmítnout)

Protože ledger je **tamper‑evident**, auditoři mohou ověřit, že po schválení nedošlo k žádným úpravám. To splňuje přísné požadavky od [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001) a nových AI‑auditních standardů.

---

## Integrační body a rozšiřitelnost

| Integrace | Co umožňuje |
|-----------|--------------|
| **CI/CD pipeline** | Automatické vyplňování odpovědí při nových vydáních; blokování nasazení, pokud je důvěra pod prahem. |
| **Ticketovací systémy (Jira, ServiceNow)** | Automatické vytváření ticketů pro nízkodůvěryhodné odpovědi. |
| **Platformy pro třetí strany** | Push schválených odpovědí a odkazů na důkazy pomocí standardizovaného JSON‑API. |
| **Vlastní grafy znalostí** | Připojení doménových úložišť politik (např. HIPAA, PCI‑DSS) bez kódových změn. |

Architektura je **mikro‑servisová**, umožňuje nasazení Coachu uvnitř zero‑trust perimetru či na konfidenčních výpočetních enclavech.

---

## Reálný dopad: Metriky z prvních uživatelů

| Metrika | Před Coach | Po Coach | Zlepšení |
|----------|------------|----------|----------|
| Průměrná doba reakce na dotazník | 5,8 dne | 1,9 dne | **‑67 %** |
| Manuální vyhledávání důkazů (hodin) | 12 h | 3 h | **‑75 %** |
| Míra auditních nálezů kvůli nepřesným odpovědím | 8 % | 2 % | **‑75 %** |
| Spokojenost analytiků (NPS) | 32 | 71 | **+39 bodů** |

Data pochází z pilotního nasazení u středně velké SaaS společnosti (≈300 zaměstnanců), která integrovala Coach do svých auditních cyklů **SOC 2** a **[ISO 27001](https://www.iso.org/isoiec-27001-information-security.html)**.

---

## Nejlepší praktiky pro nasazení Explainable AI Coach

1. **Kuratovat kvalitní repozitář důkazů** – Čím podrobnější a verzovanější artefakty, tím vyšší skóre důvěry.  
2. **Definovat prahové hodnoty důvěry** – Nastavte hranice podle své apetitu k riziku (např. > 90 % pro veřejně zveřejněné odpovědi).  
3. **Povolit lidskou revizi pro nízké skóre** – Automatizujte tvorbu ticketů, abyste předešli úzkým hrdlům.  
4. **Pravidelně auditovat ledger** – Exportujte záznamy do SIEM pro kontinuální monitoring compliance.  
5. **Trénovat LLM na interním jazyce politik** – Fine‑tuning na interních dokumentech zvyšuje relevanci a snižuje halucinace.

---

## Budoucí vylepšení na roadmapě

- **Multimodální extrakce důkazů** – Přímé zpracování screenshotů, architekturálních diagramů a Terraform state souborů pomocí vision‑enabled LLM.  
- **Federované učení napříč tenanty** – Sdílení anonymizovaných vzorců odůvodnění pro zlepšení kvality odpovědí bez odhalení proprietárních dat.  
- **Integrace Zero‑Knowledge Proofs** – Důkaz správnosti odpovědi bez odhalení samotného důkazu externím auditorům.  
- **Dynamický regulační radar** – Automatické přizpůsobení skóre důvěry při vstupu nových regulací (např. [EU AI Act Compliance](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)).  

---

## Výzva k akci

Pokud váš bezpečnostní nebo právní tým stráví **hodiny každý týden** lovením správných klauzulí, je čas jim dopřát **transparentního, AI‑poháněného spolujezdce**. **Požádejte o demo** Explainable AI Coach ještě dnes a zjistěte, jak můžete zkrátit dobu vyplnění dotazníků a zároveň zůstat auditně připraveni.