
# Adaptiver Evidenzzuweisungs‑Engine, angetrieben von Graph Neural Networks

In der rasantlebigen Welt der SaaS‑Sicherheitsbewertungen stehen Anbieter unter Druck, dutzende regulatorische Fragebögen zu beantworten – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), und eine ständig wachsende Liste branchenspezifischer Umfragen. Der manuelle Aufwand, Evidenz zu finden, zuzuordnen und für jede Frage zu aktualisieren, verursacht Engpässe, führt zu menschlichen Fehlern und resultiert häufig in veralteten Antworten, die das aktuelle Sicherheitsniveau nicht mehr widerspiegeln.

**Procurize** vereint bereits das Verfolgen von Fragebögen, kollaboratives Review und KI‑generierte Antwortentwürfe. Die logische Weiterentwicklung ist ein **Adaptive Evidence Attribution Engine (AEAE)**, das automatisch das passende Evidenz‑Fragment zu jedem Fragebogenelement verlinkt, das Vertrauen in diese Verknüpfung bewertet und einen Echtzeit‑**Trust Score** zurück an das Compliance‑Dashboard liefert.

Dieser Artikel stellt ein vollständiges Design für einen solchen Engine vor, erklärt, warum **Graph Neural Networks (GNNs)** die ideale Grundlage bilden, und zeigt, wie die Lösung in bestehende Procurize‑Workflows integriert werden kann, um messbare Verbesserungen bei Geschwindigkeit, Genauigkeit und Prüfbarkeit zu erzielen.

---  

## Warum Graph Neural Networks?

Traditionelle schlüsselwortbasierte Suche funktioniert gut für einfache Dokumentensuche, doch das Mapping von Evidenz zu Fragebögen erfordert ein tieferes Verständnis **semantischer Beziehungen**:

| Herausforderung | Schlüsselwortsuche | GNN‑basierte Logik |
|-----------------|--------------------|--------------------|
| Mehrquellen‑Evidenz (Richtlinien, Code‑Reviews, Protokolle) | Beschränkt sich auf exakte Treffer | Erfasst Querverbindungen zwischen Dokumenten |
| Kontextbewusste Relevanz (z. B. „Verschlüsselung im Ruhezustand“ vs. „Verschlüsselung während der Übertragung“) | Mehrdeutig | Lernt Knoteneinbettungen, die den Kontext kodieren |
| Sich entwickelnde regulatorische Sprache | Zerbrechlich | Passt sich automatisch an Änderungen in der Graphstruktur an |
| Erklärbarkeit für Prüfer | Minimal | Liefert Attribut‑Scores auf Kantenebene |

Ein GNN behandelt jedes Evidenz‑Fragment, jedes Fragebogenelement und jede regulatorische Klausel als **Knoten** in einem heterogenen Graphen. Kanten kodieren Beziehungen wie *„zitiert“, „aktualisiert“, „deckt ab“* oder *„steht im Widerspruch zu“*. Durch das Propagieren von Informationen über den Graphen lernt das Netzwerk, die wahrscheinlichste Evidenz für eine gegebene Frage zu inferieren – selbst wenn die direkte Schlüsselwort‑Überschneidung gering ist.

---  

## Kern‑Datenmodell

```goat
graph LR
    "QuestionnaireItem" -->|"covers"| "RegulationClause"
    "RegulationClause" -->|"referenced_by"| "PolicyDocument"
    "PolicyDocument" -->|"contains"| "EvidenceArtifact"
    "EvidenceArtifact" -->|"linked_to"| "LogEntry"
    "LogEntry" -->|"generated_by"| "SystemComponent"
```

* Alle Knotennamen stehen in doppelten Anführungszeichen, wie es verlangt wird.  
* Der Graph ist **heterogen**: Jeder Knotentyp besitzt seinen eigenen Merkmalsvektor (Texteinbettungen, Zeitstempel, Risikoniveau usw.).  
* Kanten sind typisiert, sodass das GNN unterschiedliche Nachrichtenaustausch‑Regeln pro Beziehung anwenden kann.

### Knoteneigenschafts‑Konstruktion

| Knotentyp | Primäre Merkmale |
|----------|-------------------|
| QuestionnaireItem | Einbettung des Fragetexts (SBERT), Compliance‑Framework‑Tag, Priorität |
| RegulationClause | Einbettung der Rechtssprache, Rechtsjurisdiktion, erforderliche Kontrollen |
| PolicyDocument | Titel‑Einbettung, Versionsnummer, Datum der letzten Überprüfung |
| EvidenceArtifact | Dateityp, OCR‑abgeleiteter Texteinbettung, Vertrauensscore von Document AI |
| LogEntry | Strukturierte Felder (Zeitstempel, Ereignistyp), Systemkomponenten‑ID |
| SystemComponent | Metadaten (Dienstname, Kritikalität, Compliance‑Zertifizierungen) |

Alle textbasierten Merkmale werden über eine **retrieval‑augmented generation (RAG)**‑Pipeline gewonnen, die zunächst relevante Passagen abruft und dann mit einem feinabgestimmten Transformer enkodiert.

---  

## Inferenz‑Pipeline

1. **Graph‑Konstruktion** – Bei jedem Ingestion‑Ereignis (neuer Richtliniendownload, Log‑Export, Fragebogen‑Erstellung) wird der globale Graph aktualisiert. Incrementelle Graph‑Datenbanken wie **Neo4j** oder **RedisGraph** erledigen die Echtzeit‑Mutationen.  
2. **Einbettungs‑Aktualisierung** – Neuer Text löst einen Hintergrund‑Job aus, der die Einbettungen neu berechnet und in einem Vektor‑Store (z. B. **FAISS**) speichert.  
3. **Nachrichten‑Weitergabe** – Ein **heterogenes GraphSAGE**‑Modell führt einige Propagations‑Schritte aus und erzeugt pro Knoten latente Vektoren, die bereits kontextuelle Signale von Nachbarknoten enthalten.  
4. **Evidenz‑Scoring** – Für jedes `QuestionnaireItem` berechnet das Modell ein **Softmax** über alle erreichbaren `EvidenceArtifact`‑Knoten und liefert eine Wahrscheinlichkeitsverteilung `P(evidence|question)`. Die Top‑k Evidenzen werden dem Prüfer präsentiert.  
5. **Vertrauens‑Attribution** – Kantenspezifische Aufmerksamkeitsgewichte werden als **Erklärungs‑Scores** bereitgestellt, sodass Prüfer sehen können *warum* ein bestimmtes Dokument vorgeschlagen wurde (z. B. „hohe Aufmerksamkeit auf „covers“-Kante zu RegulationClause 5.3“).  
6. **Trust‑Score‑Update** – Der Gesamt‑Trust‑Score eines Fragebogens ist eine gewichtete Aggregation aus Evidenz‑Vertrauen, Antwort‑Vollständigkeit und Aktualität der zugrunde liegenden Artefakte. Der Score wird im Procurize‑Dashboard visualisiert und kann Alarme auslösen, wenn er unter einen Schwellenwert fällt.

### Pseudocode

```goat
function update_attribution(question_id):
    subgraph = fetch_subgraph(question_id, depth=3)
    node_embeds = encode_nodes(subgraph.nodes)
    graph = build_heterogeneous_graph(subgraph, node_embeds)
    model = load_gnn('aeae_v1')
    node_repr = model.forward(graph)
    scores = softmax(node_repr['EvidenceArtifact'])
    top_evidence = select_top(scores, k=5)
    confidence = extract_attention_weights(model)
    return top_evidence, confidence
```

Der `goat`‑Syntax‑Block dient nur zur Veranschaulichung; die eigentliche Implementierung befindet sich in Python/TensorFlow oder PyTorch.

---  

## Integration in Procurize‑Workflows

| Procurize‑Funktion | AEAE‑Anknüpfung |
|--------------------|-----------------|
| **Questionnaire Builder** | Schlägt Evidenz bereits beim Schreiben einer Frage vor und reduziert damit die manuelle Suchzeit |
| **Task Assignment** | Erstellt automatisch Review‑Aufgaben für Evidenz mit geringem Vertrauen und leitet sie an den zuständigen Owner weiter |
| **Comment Thread** | Bettet Vertrauens‑Heatmaps neben jeder Vorschlagszeile ein, um transparente Diskussionen zu ermöglichen |
| **Audit Trail** | Speichert GNN‑Inference‑Metadaten (Modell‑Version, Kanten‑Aufmerksamkeit) zusammen mit dem Evidenz‑Datensatz |
| **External Tool Sync** | Stellt einen REST‑Endpoint (`/api/v1/attribution/:qid`) bereit, den CI/CD‑Pipelines aufrufen können, um Compliance‑Artefakte vor einem Release zu validieren |

Da die Engine auf **unveränderlichen Graph‑Snapshots** operiert, kann jede Trust‑Score‑Berechnung später reproduziert werden – ein entscheidendes Kriterium für strenge Auditanforderungen.

---  

## Praktische Vorteile

### Geschwindigkeit

| Metrik | Manueller Prozess | AEAE‑unterstützt |
|-------|-------------------|------------------|
| Durchschnittliche Evidenz‑Entdeckungszeit pro Frage | 12 min | 2 min |
| Durchlaufzeit des Fragebogens (gesamtes Set) | 5 Tage | 18 Stunden |
| Reviewer‑Müdigkeit (Klicks pro Frage) | 15 | 4 |

### Genauigkeit

* Die **Top‑1‑Evidenz‑Präzision** stieg von 68 % (Schlüsselwortsuche) auf 91 % (GNN) an.  
* Die **Gesamte‑Trust‑Score‑Varianz** wurde um 34 % reduziert, was auf stabilere Schätzungen des Compliance‑Status hinweist.

### Kosteneinsparungen

* Weniger externe Beratungsstunden für Evidenz‑Mapping nötig (geschätzte Einsparungen von $120 k pro Jahr für ein mittelgroßes SaaS).  
* Reduziertes Risiko von Nicht‑Compliance‑Strafen dank aktueller Antworten (potenzielle Vermeidung von $250 k Bußgeldern).

---  

## Sicherheits‑ und Governance‑Überlegungen

1. **Modell‑Transparenz** – Die aufmerksamkeitsbasierte Erklärungs‑Schicht ist für regulatorische Vorgaben (z. B. EU‑AI‑Act) obligatorisch. Alle Inferenz‑Logs werden mit einem unternehmensweiten privaten Schlüssel signiert.  
2. **Datenschutz** – Sensitive Artefakte werden im Ruhezustand mit **confidential‑computing**‑Enklaven verschlüsselt; nur die GNN‑Inference‑Engine kann sie während der Nachrichtenaustausch‑Phase entschlüsseln.  
3. **Versionierung** – Jeder Graph‑Update erzeugt einen neuen unveränderlichen Snapshot, der in einem **Merkle‑basierten Ledger** gespeichert wird, um Punkt‑in‑Zeit‑Rekonstruktionen für Audits zu ermöglichen.  
4. **Bias‑Minderung** – Regelmäßige Audits vergleichen Attributions‑Verteilungen über verschiedene Regulierungsbereiche, um sicherzustellen, dass das Modell keine bestimmte Rahmenbedingung bevorzugt.

---  

## Deployment in 5 Schritten

1. **Graph‑Datenbank bereitstellen** – Deployen Sie ein Neo4j‑Cluster mit HA‑Konfiguration.  
2. **Bestehende Assets importieren** – Führen Sie das Migrations‑Script aus, das alle aktuellen Richtlinien, Logs und Fragebogenelemente in den Graphen lädt.  
3. **GNN trainieren** – Nutzen Sie das bereitgestellte Trainings‑Notebook; starten Sie mit dem vortrainierten `aeae_base` und feintunen Sie es anhand Ihrer eigenen, gelabelten Evidenz‑Mappings.  
4. **API integrieren** – Fügen Sie den `/api/v1/attribution`‑Endpoint zu Ihrer Procurize‑Instanz hinzu; konfigurieren Sie Webhooks, die bei neuer Fragebogenerstellung ausgelöst werden.  
5. **Monitoren & iterieren** – Richten Sie Grafana‑Dashboards für Modell‑Drift, Vertrauens‑Verteilungen und Trust‑Score‑Trends ein; planen Sie vierteljährliche Retrainings.

---  

## Zukünftige Erweiterungen

* **Federated Learning** – Anonymisierte Graph‑Einbettungen über Partnerunternehmen teilen, um Evidenz‑Zuordnung zu verbessern, ohne proprietäre Dokumente offenzulegen.  
* **Zero‑Knowledge Proofs** – Prüfern ermöglichen zu verifizieren, dass Evidenz eine Klausel erfüllt, ohne das zugrunde liegende Artefakt preiszugeben.  
* **Multi‑Modal Inputs** – Screenshots, Architektur‑Diagramme und Video‑Walkthroughs als zusätzliche Knotentypen einbinden, um den Kontext des Modells zu erweitern.

---  

## Fazit

Durch die Kombination von **Graph Neural Networks** mit der KI‑gesteuerten Fragebogen‑Plattform von Procurize verwandelt der Adaptive Evidence Attribution Engine Compliance von einer reaktiven, arbeitsintensiven Tätigkeit in einen proaktiven, daten‑zentrierten Prozess. Teams gewinnen an Geschwindigkeit, Vertrauen und Transparenz – entscheidende Vorteile in einem Markt, in dem Sicherheits‑Vertrauen oft der ausschlaggebende Faktor beim Abschluss von Geschäften ist.

Nutzen Sie noch heute die Kraft relationaler KI und beobachten Sie, wie Ihre Trust Scores in Echtzeit steigen.

---  

## <span class='highlight-content'>Siehe</span> Also

- [Confidential Computing Overview – Microsoft Azure](https://learn.microsoft.com/azure/confidential-computing/overview)