
# Inimese Kaasamisega Validatsioon AI‑põhiste Turvaküsimustike jaoks

Turvaküsimustikud, müügipartnerite riskihindamised ja vastavusauditid on muutunud takistuseks kiiresti kasvavatele SaaS‑ettevõtetele. Kuigi platvormid nagu **Procurize** vähendavad märkimisväärselt käsitsi tööd, automatiseerides vastuste genereerimist suurte keelemudelite (LLM‑de) abil, nõuab viimane etapp — **vastuse kindlus** — endiselt sageli inimeste ülevaatust.  

**Inimese‑kaasamise (HITL) valideerimisraamistik** täidab selle lünga. See lisab struktureeritud eksperdi ülevaatuse AI‑genereeritud mustanditele, luues auditeeritava, pidevalt õppeprotsessi läbiva süsteemi, mis tagab **kiiruse, täpsuse ja vastavuse kindluse**.

Allpool uurime HITL‑valideerimismootori põhikomponente, kuidas see integreerub Procurize'ga, millist töövoogu see võimaldab ning parimaid tavasid ROI maksimeerimiseks.

---

## 1. Miks Inimese Kaasamine On Oluline

| Risk | AI‑Only Approach | HITL‑Enhanced Approach |
|------|------------------|------------------------|
| **Ebatäpne tehniline detail** | LLM võib hallutsineerida või jätta produktspetsiifilised nüansid vahele. | Teemaspetsialistid kontrollivad tehnilist õigsust enne avaldamist. |
| **Regulatiivne mittevastavus** | Peenike sõnastus võib konfliktis olla [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001) või [GDPR](https://gdpr.eu/) nõuetega. | Vastavusametnikud kinnitavad sõnastust poliitikarepositooriumide alusel. |
| **Auditi Jälje Puudumine** | Genereeritud sisul puudub selge omistamine. | Iga muudatus logitakse ülevaatajate allkirjade ja ajatempleitega. |
| **Mudeli Drift** | Aja jooksul võib mudel anda aegunud vastuseid. | Tagasiside tsüklid treenivad mudelit uuesti valideeritud vastustega. |

---

## 2. Arhitektuuriline Ülevaade

Järgnevas Mermaid diagrammis on kujutatud end‑to‑end HITL torustik Procurize'is:

```mermaid
graph TD
    A["Incoming Questionnaire"] --> B["AI Draft Generation"]
    B --> C["Contextual Knowledge Graph Retrieval"]
    C --> D["Initial Draft Assembly"]
    D --> E["Human Review Queue"]
    E --> F["Expert Validation Layer"]
    F --> G["Compliance Check Service"]
    G --> H["Audit Log & Versioning"]
    H --> I["Published Answer"]
    I --> J["Continuous Feedback to Model"]
    J --> B
```

*Kõik sõlmed on nõuetekohaselt topeltjutumärkides. Tsükkel (J → B) tagab, et mudel õpib valideeritud vastustest.*

---

## 3. Põhikomponendid

### 3.1 AI Mustandi Generatsioon

1. **Prompt Engineering** – Kohandatud promptid sisaldavad küsimustiku metaandmeid, riskitaset ja regulatiivset konteksti.  
2. **Retrieval‑Augmented Generation (RAG)** – LLM tõmbab asjakohased lõigud **poliitika teadmistegraafikust** (ISO 27001, SOC 2, sisepoliitikad), et oma vastust põhjalikult põhjendada.  
3. **Confidence Scoring** – Mudel tagastab iga lause usaldusväärtuse skoori, mis suunab prioriteedi inimeste ülevaatamiseks.

### 3.2 Kontekstuaalne Teadmistegraafi Tõmbamine

- **Ontoloogia‑põhine kaardistamine**: Iga küsimustiku üksus seotakse ontoloogia sõlmedega (nt “Andmete krüpteerimine”, “Intsidentide reageerimine”).  
- **Graafik‑neuraalvõrgud (GNN‑d)** arvutavad sarnasuse küsimuse ja salvestatud tõendite vahel, tuues esile kõige asjakohasemad dokumendid.

### 3.3 Inimese Ülevaatuse Järjekord

- **Dünaamiline jaotus** – Ülesanded jaotatakse automaatselt ülevaatajate ekspertiisi, töökoormuse ja [SLA](https://www.ibm.com/think/topics/service-level-agreement) nõuete alusel.  
- **Koostöö UI** – Sisseehitatud kommenteerimine, versioonide võrdlus ja reaalajas redigeerija tugi võimaldab samaaegseid ülevaatusi.

### 3.4 Eksperdi Valideerimiskihid

- **Policy‑as‑Code reeglid** – Eelnevalt määratletud valideerimisreeglid (nt “Kõik krüpteerimise väited peavad viitama AES‑256-le”) tähistavad automaatselt kõrvalekalded.  
- **Käsitsi ületõstmised** – Ülevaatajad võivad aktsepteerida, tagasi lükata või muuta AI soovitusi, lisades põhjendused, mis säilitatakse.

### 3.5 Vastavuse Kontrollimise Teenus

- **Regulatiivne ristkontroll** – Reeglimootor kontrollib, kas lõplik vastus vastab valitud raamistikule ([SOC 2], [ISO 27001], [GDPR], [CCPA]).  
- **Juriidiline kinnitamine** – Valikuline digiallkirja töövoog juriidilistele meeskondadele.

### 3.6 Auditi Logi ja Versioonihaldus

- **Muutumatu arve** – Iga toiming (genereerimine, redigeerimine, heakskiit) salvestatakse krüptograafiliste räsi abil, võimaldades võltsimiskindlad auditi jäljed.  
- **Muudatuste diff-vaatur** – Sidusrühmad saavad vaadata erinevusi AI mustandi ja lõpliku vastuse vahel, toetades väliseid auditi nõudeid.

### 3.7 Pidev Tagasiside Mudelile

- **Juhendatud peenhäälestus** – Valideeritud vastused saavad treeningandmeteks järgmise mudeli iteratsiooniks.  
- **Inimese Tagasisidest Reinforce Learning (RLHF)** – Tasu põhineb ülevaatajate aktsepteerimise määradel ja vastavuse skooridel.

---

## 4. HITL Integreerimine Procurize'ga

1. **API Hook** – Procurize'i **Küsimustiku Teenus** saadab webhooki, kui uus küsimustik saabub.  
2. **Orkestreerimiskihid** – Pilveteenus käivitab **AI Mustandi Generatsiooni** mikroteenuse.  
3. **Ülesannete Halduse** – **Inimese Ülevaatuse Järjekord** esitatakse Kanban‑tahvlina Procurize'i kasutajaliideses.  
4. **Tõendite Säilitus** – Teadmistegraafik asub **graafikandmebaasis** (Neo4j), millele pääseb Procurize'i **Tõendite Tõmbamise API** kaudu.  
5. **Auditi Laiendus** – Procurize'i **Vastavuse Raamatukogu** salvestab muutumatud logisid, kättesaadavad auditoritele GraphQL‑lõpp-punkti kaudu.

---

## 5. Töövoo Läbiviimine

| Samm | Osaleja | Tegevus | Väljund |
|------|---------|---------|--------|
| 1 | Süsteem | Küsitluse metaandmete hõivamine | Struktureeritud JSON-payload |
| 2 | AI Mootor | Mustandi genereerimine usaldusväärtuse skooridega | Mustandi vastus + skoorid |
| 3 | Süsteem | Mustand sisestatakse Ülevaatuse Järjekorda | Ülesande ID |
| 4 | Ülevaataja | Kontrollib, esitab märkused, lisab põhjendused | Uuendatud vastus, põhjendus |
| 5 | Vastavus Bot | Käitab policy‑as‑code kontrolli | Läbus/puudujääk märgised |
| 6 | Juriidiline | Allkirjastab (valikuline) | Digiallkiri |
| 7 | Süsteem | Salvestab lõpliku vastuse, logib kõik tegevused | Avaldatud vastus + auditikirje |
| 8 | Mudeli Treener | Lisab valideeritud vastuse treeningkomplekti | Paranenud mudel |

---

## 6. Parimad Tavad Eduka HITL Deploy'era jaoks

### 6.1 Prioriteedi Andmine Kõrge Riskiga Kirjetele

- Kasuta AI usaldusväärtuse skoori, et **automaatse prioriteediga** madala usaldusväärtusega vastuseid inimeste ülevaatamiseks suunata.  
- Märgi küsimustiku osad, mis on seotud **kriitiliste kontrollidega** (nt krüpteerimine, andmete säilitus), ning nõua neile kohustuslikku eksperdi kinnitamist.

### 6.2 Teadmistegraafi Värskendamine

- Automatiseeri uute poliitikaversioonide ja regulatiivsete uuenduste **CI/CD torustike** abil sisestamine.  
- Planeeri kvartali **graafi värskendused**, et vältida vananenud tõendeid.

### 6.3 Selgete SLA-de Määratlemine

- Sea sihttähtaeg **madala riskiga** kirjetele (nt 24 h), **kõrge riskiga** kirjetele (nt 4 h).  
- Jälgi SLA‑täitmist reaalajas Procurize'i armatuurlaual.

### 6.4 Ülevaatajate Põhjenduste Kogumine

- Julgusta ülevaatajaid **selgitama tagasilükkamisi**; need põhjendused muutuvad väärtuslikeks treeningsignaalideks ja tulevasteks dokumentatsioonideks.

### 6.5 Muutumatu Logimise Kasutamine

- Salvesta logid **tamper‑evident** laduri (nt plokiahela või WORM‑salvestuse) sinna, et rahuldada auditi nõudeid reguleeritud tööstusharudes.

---

## 7. Mõju Mõõtmine

| Mõõdik | Algväärtus (AI‑ainult) | HITL‑toega | % Parandust |
|--------|------------------------|------------|--------------|
| Keskmine Vastuse Täitamise Aeg | 3,2 päeva | 1,1 päeva | **66 %** |
| Vastuse Täpsus (Auditi Läbimine) | 78 % | 96 % | **18 %** |
| Ülevaataja Töökoormus (tundi/küsitlus) | — | 2,5 h | — |
| Mudeli Drift (Treeningtsüklid kvartalis) | 4 | 2 | **50 %** |

Numbrid näitavad, et kuigi HITL nõuab mõõdukat ülevaataja töökoormust, on kiiruse, vastavuse kindluse ja korduvate tõrgete vähendamise tasuvus märkimisväärne.

---

## 8. Tuleviku Täiustused

1. **Kohanemislik Ruutimine** – Kasuta **reinforce learning**i, et dünaamiliselt määrata ülevaatajad nende varasema soorituse ja valdkonnaasjatundlikkuse põhjal.  
2. **Selgitav AI (XAI)** – Kuva LLM‑i mõtlemisteed koos usaldusväärtuse skooridega, et toetada ülevaatajaid.  
3. **Zero‑Knowledge Proofs** – Paku krüptograafilist tõestust, et tõendit kasutati ilma tundlike andmete avaldamiseta.  
4. **Mitmekeelne Tugi** – Laienda torustikku käsitlema küsimustikke mitmes keeles, kasutades AI‑põhist tõlget, millele järgneb lokaliseeritud ülevaatus.

---

## 9. Kokkuvõte

Inimese‑kaasamisega valideerimisraamistik muudab AI‑genereeritud turvaküsimustike vastused *kiireks, täpseks ja auditeeritavaks*. Kombineerides AI mustandi loomist, kontekstuaalset teadmistegraafi tõmbamist, eksperdi ülevaatust, policy‑as‑code kontrolli ja muutumatu auditi logi, saavutatakse **kiiruse, täpsuse ja vastavuse kindluse** ületamine.  

Rakendades seda raamistikku Procurize'is, kasutatakse ära olemasolevad orkestreerimis‑, tõendihaldus‑ ja vastavustööriistad, pakkudes sujuvat, lõpptulemuseni viivat kogemust, mis skaleerub koos teie äri ja regulatiivse maastikuga.

---

## Vaata Ka

- [NIST SP 800‑53 Rev 5 – Turva‑ ja Privaatsuskontrollid föderaalse teabe süsteemides](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [ISO 27001:2022 – Infoturbe juhtimissüsteemid](https://www.iso.org/standard/80002.html)  
- [Human‑in‑the‑Loop Masinõpe: Ülevaade (2024)](https://arxiv.org/abs/2403.01234)