
# موتور حسابرسی تعصّب اخلاقی برای پاسخ‌های سؤالنامه امنیتی تولید شده توسط هوش مصنوعی

**چکیده**  
استفاده از مدل‌های بزرگ زبانی (LLM) برای پاسخ‌گویی به سؤالنامه‌های امنیتی در دو سال گذشته به‌طور چشمگیری شتاب گرفته است. در حالی که سرعت و پوشش بهبود یافته‌اند، خطر مخفی تعصّب سیستماتیک — چه فرهنگی، چه نظارتی یا عملیاتی — عمدتاً نادیده گرفته شده است. **موتور حسابرسی تعصّب اخلاقی (EBAE)** شرکت Procurize این خلا را پر می‌کند، به‌صورتی که لایه‌ای خودکار، مبتنی بر داده برای تشخیص و کاهش تعصّب در هر پاسخ تولید شده توسط هوش مصنوعی تعبیه می‌کند. این مقاله معماری فنی، جریان کاری حاکمیتی و مزایای تجاری قابل‌اندازه‌گیری EBAE را توضیح می‌دهد و آن را به‌عنوان یک ستون اصلی برای خودکارسازی مطمئن رعایت قوانین معرفی می‌کند.

---

## ۱. چرا تعصّب در خودکارسازی سؤالنامه‌های امنیتی مهم است  

سؤالنامه‌های امنیتی نگهبانان اصلی ارزیابی ریسک فروشندگان هستند. پاسخ‌های آنها بر موارد زیر تأثیر می‌گذارند:

* **مذاکره‌های قراردادی** – زبان متعصّب ممکن است ناخودآگاه به نفع حوزه‌های قضایی خاصی باشد.  
* **رعایت نظارتی** – حذف سیستماتیک کنترل‌های مخصوص به یک منطقه می‌تواند منجر به جریمه شود.  
* **اعتماد مشتری** – احساس ناعادلانه بودن، به‌ویژه برای ارائه‌دهندگان SaaS جهانی، اعتماد را کاهش می‌دهد.

هنگامی که یک LLM بر پایه داده‌های حسابرسی ارثی آموزش می‌بیند، الگوهای تاریخی — که برخی از آنها سیاست‌های کهنه، نکات قانونی منطقه‌ای یا حتی فرهنگ شرکتی را نشان می‌دهند — را به ارث می‌برد. بدون یک عملکرد حسابرسی اختصاصی، این الگوها نامرئی می‌مانند و منجر به:

| نوع تعصّب | مثال |
|-----------|------|
| **تعصّب نظارتی** | بیش از حد برجسته نشان دادن کنترل‌های متمرکز بر ایالات‌متحده و کم‌اهمیت کردن الزامات خاص GDPR. |
| **تعصّب صنعتی** | ترجیح کنترل‌های ابر‑محور حتی زمانی که فروشنده از سخت‌افزارهای داخلی استفاده می‌کند. |
| **تعصّب تحمل ریسک** | به‌صورت سیستماتیک کاهش وزن ریسک‌های با اثر بالا به دلیل پاسخ‌های قبلی که خوشبینانه‌تر بوده‌اند. |

EBAE برای شناسایی و تصحیح این انحرافات پیش از ارسال پاسخ به مشتری یا حسابرس طراحی شده است.

---

## ۲. نمای کلی معماری  

EBAE بین **موتور تولید LLM** و **لایه انتشار پاسخ** شرکت Procurize قرار می‌گیرد. این سرویس از سه ماژول به‌صورت محکم به‌هم‌پیوسته تشکیل شده است:

```mermaid
graph LR
    A["دریافت سؤال"] --> B["موتور تولید LLM"]
    B --> C["لایه تشخیص تعصّب"]
    C --> D["کاهــش و باز‑رتبه‌بندی"]
    D --> E["پانل توضیح‌پذیری"]
    E --> F["انتشار پاسخ"]
```

### ۲.۱ لایه تشخیص تعصّب  

این لایه ترکیبی از **بررسی‌های تساوی آماری** و **حسابرسی شباهت معنایی** را به‌کار می‌گیرد:

| روش | هدف |
|------|------|
| **تساوی آماری** | توزیع پاسخ‌ها را بر اساس جغرافیا، صنعت و سطح ریسک مقایسه کرده و outlierها را شناسایی می‌کند. |
| **انگیزه‑پذیری مبتنی بر Embedding** | متن پاسخ را با یک sentence‑transformer به فضای ابعادی بالا نگاشت می‌کند و سپس شباهت کسینوسی را نسبت به مجموعه مرجع «انصاف» محاسبه می‌کند؛ این مجموعه توسط کارشناسان رعایت قوانین تهیه شده است. |
| **مرجع واژگان نظارتی** | به‌طور خودکار به‌دنبال اصطلاحات خاص حوزه‑قضایی (مثلاً «ارزیابی اثرات حفاظت داده» برای اتحادیهٔ اروپا، «CCPA» برای کالیفرنیا) می‌گردد. |

هنگامی که تعصّبی احتمالی شناسایی شد، موتور **BiasScore** (۰ – ۱) همراه با **BiasTag** (مانند `REGULATORY_EU`، `INDUSTRY_ONPREM`) را برمی‌گرداند.

### ۲.۲ کاهــش و باز‑رتبه‌بندی  

ماژول کاهش شامل مراحل زیر است:

1. **افزودن پرامپت هوشمند** – سؤال اصلی با محدودیت‌های هوشمندانه‌ای که تعصّب را در نظر می‌گیرد (مثلاً «شامل کنترل‌های خاص GDPR باشد») دوباره پرامپت می‌شود.  
2. **انجام انسامبل پاسخ** – چندین پاسخ کاندید تولید می‌شود که هر کدام وزن وارون BiasScore دارد.  
3. **باز‑رتبه‌بندی مبتنی بر سیاست** – پاسخ نهایی با **سیاست کاهش تعصّب** ذخیره‌شده در گراف دانش Procurize هم‌سو می‌شود.

### ۲.۳ پنل توضیح‌پذیری  

مسئولین رعایت قوانین می‌توانند به هر گزارش تعصّبی دسترسی داشته باشند و مشاهده کنند:

* **خط زمانی BiasScore** (چگونگی تغییر مقدار پس از اعمال کاهــش).  
* **قطعه شواهد** که سبب فعال شدن پرچم شد.  
* **دلیل‌سازی سیاست** (مثلاً «الزامی بودن محل نگهداری داده‌های اتحادیهٔ اروپا بر پایه ماده ۲۵ GDPR»).  

این پنل به‌صورت UI واکنش‌گرا بر پایه Vue.js پیاده‌سازی شده؛ اما مدل داده زیرساختی از **OpenAPI 3.1** پیروی می‌کند تا یکپارچه‌سازی آسان باشد.

---

## ۳. ادغام با جریان‌های کاری موجود در Procurize  

EBAE به‌عنوان **یک میکروسرویس** ارائه می‌شود که با **معماری رویداد‑محور داخلی** Procurize سازگار است. توالی زیر نشان می‌دهد یک پاسخ سؤالنامه معمولی چگونه پردازش می‌شود:

```goat
event.QuestionReceived -> LLM.GenerateAnswer -> EBAE.DetectBias -> 
if BiasScore > 0.3 then EBAE.Mitigate -> event.AnswerReady -> UI.Publish
else event.AnswerReady -> UI.Publish
```

* **منبع رویداد:** موارد سؤالنامه ورودی از **پورتال سؤالنامه** پلتفرم.  
* **مصرف‌کننده:** **سرویس انتشار پاسخ** که نسخه نهایی را در دفترچه حسابرسی غیرقابل تغییر (پشتیبان‌پذیر توسط بلاک‌چین) ذخیره می‌کند.  

چون سرویس بدون حالت (stateless) است، می‌تواند به‌صورت افقی پشت یک **Ingress Kubernetes** مقیاس‌پذیر باشد و حتی در دوره‌های اوج درخواست، تاخیر زیر ثانیه‌ای را حفظ کند.

---

## ۴. مدل حاکمیتی  

### ۴.۱ نقش‌ها و مسئولیات  

| نقش | مسئولیت |
|------|----------|
| **مسئول رعایت قوانین** | تعریف سیاست کاهش تعصّب، بررسی پاسخ‌های علامت‌دار، تأیید نهایی پاسخ‌های کاهش‑یافته. |
| **دانشمند داده** | تهیه مجموعه مرجع انصاف، به‌روزرسانی مدل‌های تشخیص، نظارت بر انحراف مدل. |
| **مالک محصول** | اولویت‌بندی ارتقاء ویژگی‌ها (مثلاً افزودن واژگان نظارتی جدید) و همسویی نقشهٔ راه با نیازهای بازار. |
| **مهندسی امنیت** | اطمینان از رمزنگاری داده‌ها در انتقال و در حالت ایستاده، اجرای تست‌های نفوذ منظم بر میکروسرویس. |

### ۴.۲ ردپای حسابرسی قابل‑اثبات  

هر گام — خروجی خام LLM، معیارهای تشخیص تعصّب، اقدامات کاهــش و پاسخ نهایی — یک **لاگ تغییرپذیر** در یک **کانال Hyperledger Fabric** ذخیره می‌کند. این رویکرد الزامات شواهدی **SOC 2** و **ISO 27001** را برآورده می‌سازد.

---

## ۵. تأثیر تجاری  

#### ۵.۱ نتایج کمی (پایلوت Q1‑Q3 2025)  

| معیار | قبل از EBAE | پس از EBAE | تغییر |
|--------|-------------|------------|------|
| متوسط زمان پاسخ (ثانیه) | ۱۸ | ۲۱ (کاهش ≈ ۳ ثانیه) | +۱۷ ٪ |
| بلیط‌های حادثه تعصّب (به‌ازای ۱۰۰۰ پاسخ) | ۱۲ | ۲ | ↓ ۸۳ ٪ |
| امتیاز رضایت حسابرس (۱‑۵) | ۳.۷ | ۴.۵ | ↑ ۰.۸ |
| برآورد هزینه معرض قانونی | ۴۵۰ هزار دلار | ۸۵ هزار دلار | ↓ ۸۱ ٪ |

افزایش جزئی تاخیر، توسط کاهش چشمگیر ریسک رعایت قوانین و افزایش قابل‌توجه رضایت ذینفعان جبران می‌شود.

#### ۵.۲ مزایای کیفی  

* **چابکی نظارتی** – افزودن الزامات حوزه‌قضایی جدید به واژگان در عرض چند دقیقه می‌تواند بلافاصله بر تمام پاسخ‌های آینده تأثیر بگذارد.  
* **اعتبار برند** – بیانیه‌های عمومی درباره «هوش مصنوعی بدون تعصّب برای رعایت قوانین» در میان مشتریان حساس به حریم خصوصی واکنش مثبت می‌گیرد.  
* **حفظ نیروی کار** – تیم‌های رعایت قوانین بار کار دستی کمتری دارند و رضایت شغلی بالاتری گزارش می‌دهند، که منجر به کاهش نرخ turnover می‌شود.

---

## ۶. بهبودهای آینده  

1. **حلقه یادگیری مستمر** – بازخور حسابرسان (پاسخ‌های پذیرفته/رد شده) برای تنظیم پویا مجموعه مرجع انصاف استفاده می‌شود.  
2. **حسابرسی تعصّب فدرال بین فروشندگان** – همکاری با پلتفرم‌های شریک با استفاده از **محاسبهٔ چند جانبه امن** برای غنی‌سازی تشخیص تعصّب بدون افشای داده‌های مالکیتی.  
3. **تشخیص تعصّب چندزبانه** – گسترش واژگان و مدل‌های تعبیه‌شده به ۱۲ زبان اضافه برای مؤسسات SaaS جهانی.

---

## ۷. راه‌اندازی سریع EBAE  

1. **فعال‌سازی سرویس** در کنسول مدیریت Procurize → *AI Services* → *Bias Auditing*.  
2. **بارگذاری سیاست تعصّب** به‌صورت فایل JSON (قالب در مستندات موجود است).  
3. **اجرای پایلوت** بر روی ۵۰ مورد سؤالنامه منتخب؛ خروجی پنل توضیح‌پذیری را بررسی کنید.  
4. **انتقال به تولید** پس از اینکه نرخ خطای مثبت کاذب به زیر ۵ ٪ برسد.

تمام مراحل با **CLI Procurize** خودکار می‌شوند:

```bash
prz bias enable --policy ./bias_policy.json
prz questionnaire run --sample 50 --output bias_report.json
prz audit ledger view --id 0x1a2b3c
```

---