
# Mukautuva todistusaineiston tiivistysmoottori reaaliaikaisiin toimittajakyselyihin

Yritykset saavat nykyään viikossa kymmeniä turvallisuuskyselyitä — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, C5 ja kasvava joukko toimialakohtaisia kyselyitä. Hakijat yleensä liittävät vastauksensa verkkolomakkeeseen, lisäävät PDF‑tiedostoja, ja sitten viettävät tunteja tarkistaen, että jokainen todiste vastaa väitettyä kontrollia. Tämä manuaalinen työ aiheuttaa pullonkauloja, lisää epäjohdonmukaisuuksien riskiä ja nostaa liiketoiminnan kustannuksia.

**Procurize AI** on jo ratkaissut monia kipupisteitä tehtävien orkestroinnilla, yhteistyökommentoinnilla ja AI‑luoduilla vastausluonnoksilla. Seuraava haaste on **todisteiden käsittely**: miten esittää oikea artefakti — politiikka, auditointiraportti, konfiguraatiokuva — juuri siinä muodossa, jonka tarkastaja odottaa, samalla varmistamalla että todiste on tuore, relevantti ja auditointikelpoinen.

Tässä artikkelissa julistamme **Mukautuvan todistusaineiston tiivistysmoottorin (AESE)** — itseoptimoivan AI‑palvelun, joka:

1. **Tunnistaa** optimaalisimman todistusegmentin jokaiselle kyselykohteelle reaaliajassa.  
2. **Tiivistää** segmentin tiiviiksi, sääntölomakkeissa hyväksyttäväksi kertomukseksi.  
3. **Linkittää** tiivistelmän lähdedokumenttiin versiohallintaa käyttävään tietämyskarttaan.  
4. **Vahvistaa** tuloksen vaatimustenmukaisuuspolitiikkojen ja ulkoisten standardien mukaisesti RAG‑tehostetulla LLM:llä.  

Tuloksena on **yksi‑klikkinen** vaatimustenmukainen vastaus, jonka ihminen voi tarkistaa, hyväksyä tai ohittaa, ja järjestelmä tallentaa mutkattoman todistushistorian.

---

## Miksi perinteinen todisteiden hallinta ei riitä

| Rajoitus | Perinteinen lähestymistapa | AESE-etua |
|----------|----------------------------|-----------|
| **Manuaalinen haku** | Turvallisuusasiantuntijat selaavat SharePoint‑, Confluence‑ tai paikallislevyjä. | Automaattinen semanttinen haku hajautetussa tietovarastossa. |
| **Staattiset liitteet** | PDF‑tiedostoja tai kuvakaappauksia liitetään muuttumattomina. | Dynaaminen vain tarvittavien osien poiminta, mikä pienentää lähetyskoosta. |
| **Versiovääristymä** | Tiimit usein liittävät vanhentunutta todistetta. | Tietämyskartta‑solmun versionhallinta takaa viimeisimmän hyväksytyn artefaktin. |
| **Ei kontekstuaalista päättelyä** | Vastaukset kopioidaan suoraan, ilman sävyä. | LLM‑pohjainen kontekstuaalinen tiivistys sovittaa kielen kyselyn sävyyn. |
| **Auditoinnin aukkoja** | Ei jäljitettävyyttä vastauksesta lähteeseen. | Provenienssireunat kartassa luovat tarkistettavan auditointipolun. |

Nämä puutteet johtavat **30‑50 % pidempiin läpimenoaikoihin** ja suurempaan riskiin, että vaatimustenmukaisuus epäonnistuu. AESE kattaa kaikki nämä haasteet yhtenäisessä putkessa.

---

## AESE:n ydinarkkitehtuuri

Moottori koostuu kolmesta tiiviisti kytkeytyneestä kerroksesta:

1. **Semanttinen hakukerros** – käyttää hybridista RAG‑indeksiä (tiheät vektorit + BM25) ehdokkaiden todistefragmenttien noutamiseen.  
2. **Mukautuva tiivistyskerros** – hienosäädetty LLM, jonka prompt‑mallit mukautuvat kyselyn kontekstiin (toimiala, sääntely, riskitaso).  
3. **Provenienssikarttakerros** – ominaisuuskartta, joka tallentaa todiste‑solmut, vastaus‑solmut ja “derived‑from”‑reunat, rikastettuna versionhallinnalla ja kryptografisilla tiivisteillä.

Alla on Mermaid‑kaavio, joka havainnollistaa tiedonvirran kyselypyynnöstä valmiiseen vastaukseen.

```mermaid
graph TD
    A["Questionnaire Item"] --> B["Intent Extraction"]
    B --> C["Semantic Retrieval"]
    C --> D["Top‑K Fragments"]
    D --> E["Adaptive Prompt Builder"]
    E --> F["LLM Summarizer"]
    F --> G["Summarized Evidence"]
    G --> H["Provenance Graph Update"]
    H --> I["Answer Publication"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style I fill:#bbf,stroke:#333,stroke-width:2px
```

*Kaikki solmujen tekstit on ympäröity kaksoislainausmerkillä vaaditun mukaisesti.*

---

## Vaihe‑vaiheelta työnkulku

### 1. Intent‑tunnistus

Kun käyttäjä avaa kyselykentän, käyttöliittymä lähettää raakan kysymystekstin kevyelle intent‑mallille. Malli luokittelee pyynnön yhdeksi useista **todistekategorioista** (politiikka, auditointiraportti, konfiguraatio, lokipalaute, kolmannen osapuolen todistus).

### 2. Semanttinen hakukerros

Luokitettu intent käynnistää kyselyn hybridiseen RAG‑indeksiin:

- **Tiheät vektorit** tuotetaan enkooderilla, joka on hienosäädetty organisaation vaatimustenmukaisuuskorpukselle.  
- **BM25** tarjoaa leksikaalista vastaavuutta sääntelyn siteerauksille (esim. “ISO 27001 A.12.1”).

Moottori palauttaa **Top‑K** (oletus = 5) fragmenttia, joista jokainen on esitetty kevyenä metatietorekisterinä:

```json
{
  "doc_id": "policy‑2024‑access‑control",
  "section": "4.2 Role‑Based Access",
  "version": "v2.1",
  "hash": "a3f4c9…",
  "score": 0.92
}
```

### 3. Mukautuva prompt‑rakentaja

Järjestelmä kokoaa dynaamisen promptin, joka sisältää:

- Alkuperäisen kyselyn tekstin.  
- Valitut todistefragmentit (tiivistettynä luettelona).  
- Sääntelyn sävyohjeet (esim. “käytä passiivista ääntä, viittaa kohdan numerointiin”).  

Esimerkki prompt‑pätkästä:

```
You are a compliance specialist answering: "How does your organization enforce least‑privilege access?"
Relevant evidence:
- Section 4.2 of Access Control Policy (v2.1) – Role‑Based Access definitions.
- Audit Report Q3‑2024 – Findings on permission reviews.
Write a concise answer (≤ 150 words) that references the policy clause and includes a short justification.
```

### 4. LLM‑tiivistäjä

**Toimialakohtaisesti mukautettu LLM** (esim. 13 B‑malli, hienosäädetty 10 k historiallisen kysely‑todisteparin avulla) prosessoi promptin. Malli tuottaa tiivistelmän, joka:

- **Viittaa** tarkkaan todisteen lähteeseen (esim. “katso Access Control Policy §4.2”).  
- **Säilyttää** kielen yhdenmukaisena aikaisempien hyväksyttyjen vastausten kanssa (few‑shot‑esimerkit).  

Tyypillinen vastaus:

> “We enforce least‑privilege access through role‑based controls defined in Access Control Policy § 4.2. Permissions are reviewed quarterly, as documented in the Q3‑2024 Audit Report, which confirmed 100 % compliance with the defined roles.”

### 5. Provenienssikartan päivitys

Vastaus­solmu luodaan graafiin ominaisuuksilla:

- `answer_id`, `question_id`, `generated_at`, `model_version`.  
- Reunat `DERIVED_FROM`, jotka linkittävät kuhunkin lähdetodiste‑solmuun.  

Jokainen reuna tallentaa lähdefragmentin `hashin`, mikä takaa muokkaamattomuuden. Graafi säilytetään **Merklee‑puuhun perustavassa** tietokannassa, mahdollistaen manipuloinnin havaitsemisen ja kryptografisen tarkistuksen.

### 6. Vastausjulkaisu ja ihmistarkastus

Generoitu vastaus ilmestyy kysely‑UI:in ‘‘Evidence View’’ -painikkeella. Kun käyttäjä napsauttaa sitä, hän näkee linkitetyt fragmentit, niiden versiot ja **digitaaliset allekirjoitukset**. Tarkastajat voivat:

- **Hyväksyä** (luo muuttumattoman auditointitietueen).  
- **Muokata** (käynnistää uuden version vastaus­solmusta).  
- **Hylätä** (syöttää palautetta mallin Reinforcement‑Learning‑silmukkaan).

---

## Ihmispalautteesta oppiva vahvistusoppiminen (RLHF)

AESE käyttää kevyttä RLHF‑silmukkaa:

1. Kaapataan tarkastajien toimet (hyväksy/muokkaa/hylkää) sekä aikaleimat.  
2. Muokatut vastaukset muunnetaan **parilliseksi mieltymysdataksi** (alkuperäinen vs. muokattu vastaus).  
3. Säännöllisesti hienosäädetään LLM näiden mieltymysten perusteella käyttäen Proximal Policy Optimization (PPO) -algoritmia.  

Ajan myötä malli sisäistää organisaatiokohtaiset ilmaisut, jolloin manuaalisen puuttumisen tarve vähenee jopa **70 %**.

---

## Turva‑ ja vaatimustenmukaisuustakuut

| Huolenaihe | AESE:n lieventäminen |
|------------|-----------------------|
| **Tietovuoto** | Kaikki haku ja generointi tapahtuvat VPC:n sisällä. Mallin painot eivät koskaan poikkea suojatussa ympäristössä. |
| **Manipulointi‑todiste** | Kryptografiset tiivisteet tallennetaan muuttumattomiksi graafin reuniksi; muokkaus rikkoo allekirjoituksen. |
| **Sääntelyn noudattaminen** | Prompt‑mallit sisältävät sääntely‑kohtaiset siteerauksen ohjeet; mallia auditoidaan neljännesvuosittain. |
| **Yksityisyys** | Henkilötietoja pii‑suodatetaan indeksoinnin aikana käyttämällä differentiaalisen yksityisyyden suodatinta. |
| **Selitettävyys** | Vastaus sisältää “source trace” -osion, jonka voi viedä PDF‑auditologina. |

---

## Suorituskykymittarit

| Mittari | Perinteinen (manuaalinen) | AESE (pilotti) |
|----------|---------------------------|----------------|
| Keskimääräinen vastausaika per kohde | 12 min (haku + kirjoitus) | 45 s (automaattinen tiivistys) |
| Liitetiedoston koko | 2,3 MB (koko PDF) | 215 KB (vain poimittu osa) |
| Hyväksymisprosentti ensimmäisellä kierroksella | 58 % | 92 % |
| Auditointipolun täydellisyys | 71 % (puuttuvat versiotiedot) | 100 % (grafiikkaperusteinen) |

Nämä tulokset perustuvat kuuden kuukauden pilottiin keskikokoisessa SaaS‑yrityksessä, jossa käsiteltiin ~1 200 kyselykohdetta kuukaudessa.

---

## Integraatio Procurize‑alustaan

AESE on toteutettu **mikropalveluna**, jossa on REST‑rajapinta:

- `POST /summarize` – vastaanottaa `question_id`‑parametrin ja valinnaisen `context`.  
- `GET /graph/{answer_id}` – palauttaa provenance‑datan JSON‑LD‑muodossa.  
- `WEBHOOK /feedback` – vastaanottaa tarkastajien toimet RLHF‑käsittelyä varten.

Palvelu on **asennettavissa mihin tahansa olemassa olevaan työnkulkuihin** — olipa kyse sitten räätälöidystä tikettijärjestelmästä, CI/CD‑putkesta compliance‑tarkastuksia varten tai suoraan Procurize‑UI:sta kevyeen JavaScript‑SDK:han.

---

## Tulevaisuuden tiekartta

1. **Monimodaaliset todisteet** – sisällytetään kuvakaappauksia, arkkitehtuurikaavioita ja koodinpätkiä vision‑tehostetuilla LLM‑malleilla.  
2. **Poikkiorganisaation tietämyskarttafinanssi** – mahdollistetaan turvallinen todiste‑solmujen jakaminen kumppaneiden välillä säilyttäen provenance‑tiedot.  
3. **Zero‑Trust‑pääsypolitiikat** – otetaan käyttöön attribuuttipohjaiset säännöt graafikyselyille, jotta vain valtuutetut roolit näkevät arkaluonteiset fragmentit.  
4. **Sääntely‑ennuste‑moottori** – yhdistetään AESE:hen ennustava malli, joka ennakoi tulevia sääntelymuutoksia ja merkitsee mahdolliset todisteaukot.

---

## Yhteenveto

Mukautuva todistusaineiston tiivistysmoottori muuntaa **kivuliaan “etsi‑ja‑liitä”** -vaiheen sulavaksi, AI‑ohjatuksi kokemukseksi, joka tarjoaa:

- **Nopeutta** — reaaliaikaisia vastauksia ilman syvällistä sisällön laiminlyöntiä.  
- **Tarkkuutta** — kontekstuaalisesti tietoisuutta omaava tiivistys, joka on linjassa standardien kanssa.  
- **Auditointikelpoisuutta** — muuttumaton provenance jokaiselle vastaukselle.  

Yhdistämällä Retrieval‑Augmented Generationin, dynaamisen promptauksen ja versionoidun tietämyskartan, AESE nostaa vaatimustenmukaisuuden automaation tasoa. Organisaatiot, jotka ottavat tämän kyvykkyyden käyttöön, voivat odottaa nopeampaa sopimusten sulkemista, pienempää auditointiriskiä ja mitattavissa olevaa kilpailuetua yhä turvallisuuskeskittyvässä B2B‑markkinassa.