
# AI‑ohjattu tarkoitusperusteinen reititysmotori reaaliaikaiseen toimittajien kyselylomakkeiden yhteistyöhön

Toimittajien tietoturvakyselyt ovat muodostuneet pullonkaulaksi nopeasti kasvavissa SaaS‑yrityksissä. Jokainen uusi asiakaspyyntö käynnistää manuaalisen ketjun: tietoturva‑analyytikko hakee viimeisimmän käytännön, juridinen tarkastaja validoi sanamuodon, tuote­insinööri selventää teknisiä toteutuksia, ja lopullinen vastaus koottiin PDF‑tiedostona. Tämä hajautettu työnkulku aiheuttaa **pitkät läpimenoajat, epäyhtenäiset vastaukset ja audit‑riskit**.

Entä jos alusta itse ymmärtäisi *miksi* kysymys esitetään, *kuka* on parhaiten soveltuva vastaamaan siihen, ja *milloin* vastaus tarvitaan, ja reitittäisi pyynnön automaattisesti oikealle henkilölle — *reaaliajassa*? Tässä astuu kuvaan **AI‑ohjattu tarkoitusperusteinen reititysmotor (IBRE)**, Procurize‑AI‑alustan ydinkomponentti, joka yhdistää **tietograafi‑semantiikan**, **retrieval‑augmented generation (RAG)**‑tekniikan ja **jatkuvan palautteen** orkestroimaan yhteistyövastauksia koneen nopeudella.

> **Keskeiset havainnot**
> - Tarkoituksen tunnistus muuntaa raakakysymystekstin jäsennellyiksi liiketoimintatarkoituksiksi.
> - Dynaaminen tietograafi yhdistää tarkoitukset omistajiin, todistusaineistoon ja politiikkaversioihin.
> - Reaaliaikainen reititys hyödyntää LLM‑pohjaista luottamuspisteytystä ja kuormansa tasapainottamista.
> - Jatkuvat oppimis­silmukat hiovat tarkoituksia ja reitityskäytäntöjä auditoinnin jälkeen.

---

## 1. Tekstistä tarkoitukseen – semanttinen jäsentämiskerros

IBRE:n ensimmäinen askel on muuntaa vapaamuotoinen kysymys (esim. *“Salaatko levossa olevat tiedot?”*) **kanoniseen tarkoitukseen**, jonka järjestelmä voi käsitellä. Tämä toteutetaan kaksivaiheisella putkella:

1. **LLM‑pohjainen entiteettien tunnistus** – Kevyt LLM (esim. Llama‑3‑8B) poimii avaintermit: *salaus*, *levossa olevat tiedot*, *laajuus*, *vaatimustenmukaisuuden viitekehys*.
2. **Tarkoituksen luokittelu** – Poimitut entiteetit syötetään hienosäädetylle luokittelijalle (BERT‑pohjainen), joka kartoittaa ne **~250 tarkoituksen** taksonomiaan (esim. `EncryptDataAtRest`, `MultiFactorAuth`, `IncidentResponsePlan`).

Tuloksena oleva tarkoitus‑objekti sisältää:
- `intent_id`
- `confidence_score`
- `linked_policy_refs` (**[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, sisäiset politiikkatunnisteet)
- `required_evidence_types` (konfigurointitiedosto, audit‑loki, kolmannen‑puolen vahvistus)

**Miksi tarkoitus on tärkeä:**  
Tarkoitus toimii *vakiona* kyselyn sisällön ja sen jälkeisen työnkulun välillä. Vaikka sanamuoto muuttuisi (“Onko tietonne salattu tallennuksen aikana?” vs. “Käytättekö salausta levossa oleviin tietoihin?”) sama tarkoitus tunnistetaan, mikä varmistaa yhdenmukaisen reitityksen.

---

## 2. Tietograafi kontekstuaalisena selkärankana

**Ominaisuuksien graafitietokanta** (Neo4j tai Amazon Neptune) tallentaa suhteet:

- **Purpose** ↔ **Owner** (tietoturva‑insinöörit, juristit, tuote‑vastuut)
- **Purpose** ↔ **Evidence Artifacts** (politiikkadokumentit, konfiguraatiokuvakaappaukset)
- **Purpose** ↔ **Regulatory Frameworks** (**SOC 2**, **ISO 27001**, **[GDPR](https://gdpr.eu/)**)
- **Owner** ↔ **Workload & Availability** (nykyinen tehtäväjono, aikavyöhyke)

Jokainen solmun nimi on merkkijono lainausmerkeissä, mikä sopii myöhempiin Mermaid‑visualisointeihin.

```mermaid
graph LR
    "Purpose: EncryptDataAtRest" -->|"owned by"| "Owner: Security Engineer"
    "Purpose: EncryptDataAtRest" -->|"requires"| "Evidence: Encryption Policy"
    "Purpose: EncryptDataAtRest" -->|"complies with"| "Regulation: ISO 27001"
    "Owner: Security Engineer" -->|"available"| "Status: Online"
    "Owner: Security Engineer" -->|"workload"| "Tasks: 3"
```

Graafi on **dynaaminen** – jokaisen uuden kyselyn yhteydessä tarkoitussolmu joko yhdistetään olemassa olevaan solmuun tai luodaan lennossa. Omistajuus‑reunat lasketaan uudelleen **bipartite‑matching‑algoritmilla**, joka tasapainottaa asiantuntemuksen, nykyisen kuormituksen ja **[SLA](https://www.ibm.com/think/topics/service-level-agreement)**‑aikataulut.

---

## 3. Reaaliaikaisen reitityksen mekaniikka

Kun kysymysitemi saapuu:

1. **Tarkoituksen tunnistus** tuottaa tarkoituksen luottamuspisteytyksellä.
2. **Graafihaku** hakee kaikki potentiaaliset omistajat ja niihin liittyvät todistusaineistot.
3. **Pisteytysmoottori** arvioi:
   - **Asiantuntemuksen sopivuus** (`expertise_score`) – perustuu historialliseen vastauslaatuun.
   - **Saatavuus** (`availability_score`) – reaaliaikainen status Slack/Teams‑lähetyksistä.
   - **SLA‑kiireellisyys** (`urgency_score`) – johdetaan kyselyn määräajasta.
4. **Yhdistetty reitityspisteytys** = painotettu summa (konfiguroitavissa policy‑as‑code‑menetelmällä).

Omistaja, jonka pisteytys on suurin, saa **automaattisesti luodun tehtävän** Procurizessa, jossa on:

- Alkuperäinen kysymys,
- Havaittu tarkoitus,
- Linkit relevantteihin todistusaineistoihin,
- Ehdotetut vastauspätkät RAG‑generoinnista.

Jos luottamuspiste on alle määritellyn rajan (esim. 0,65), tehtävä ohjataan **ihmis‑vuorovaikutus‑katselujonoon**, jossa vaatimustenmukaisuuden johtaja tarkistaa tarkoituksen ennen jakamista.

### Esimerkkireitityspäätös

| Omistaja | Asiantuntemus (0‑1) | Saatavuus (0‑1) | Kiireellisyys (0‑1) | Yhdistetty |
|----------|---------------------|-----------------|--------------------|------------|
| Alice (Sec Eng) | 0.92 | 0.78 | 0.85 | **0.85** |
| Bob (Legal) | 0.68 | 0.95 | 0.85 | 0.79 |
| Carol (Prod) | 0.55 | 0.88 | 0.85 | 0.73 |

Alice saa tehtävän välittömästi, ja järjestelmä kirjaa reitityspäätöksen auditointia varten.

---

## 4. Jatkuvat oppimis‑silmukat

IBRE ei pysy staattisena. Kyselyn päätyttyä alusta kerää **post‑submission‑palautetta**:

- **Vastauksen tarkkuuskatsaus** – Auditoijat antavat pistemäärän vastauksen relevanssista.
- **Todistusaineiston aukkojen havaitseminen** – Jos viitattu aineisto on vanhentunutta, järjestelmä merkitsee politiikkasolmun.
- **Omistajan suorituskykymetriikat** – Onnistumisprosentti, keskimääräinen vasteaika, uudelleenosoitusten määrä.

Nämä signaalit syötetään kahteen oppimisputkeen:

1. **Tarkoituksen hienosäätö** – Virheelliset luokittelut käynnistävät puolivalvotun uudelleenkoulutuksen tarkoitusluokittelijalle.
2. **Reitityskäytännön optimointi** – Reinforcement Learning (RL) päivittää painotuksia asiantuntemukselle, saatavuudelle ja kiireellisyydelle maksimoidakseen SLA‑noudattamisen ja vastausten laadun.

Tuloksena on **itseoptimoitava moottori**, joka kehittyy jokaisen kyselyn sykkeen myötä.

---

## 5. Integraatioekosysteemi

IBRE on suunniteltu **mikropalveluksi**, joka liittää saumattomasti olemassa oleviin työkaluihin:

| Integraatio | Tarkoitus | Esimerkki |
|-------------|-----------|-----------|
| Slack / Microsoft Teams | Reaaliaikaiset ilmoitukset ja tehtävien hyväksyntä | `/procure assign @alice` |
| Jira / Asana | Tehtävänluonti monimutkaisia todistusaineistoja varten | Automaattinen *Evidence Collection* -tehtävä |
| Dokumentinhallinta (SharePoint, Confluence) | Hakee päivitetyt politiikkadokumentit | Hae uusin salauspolitiikka |
| CI/CD‑putket (GitHub Actions) | Käynnistää vaatimustenmukaisuustarkistuksia uusille julkaisuja | Suorita policy‑as‑code‑testi jokaisen buildin jälkeen |

Kaikki viestintä tapahtuu **mutuaalisen TLS‑yhteyden** ja **OAuth 2.0**‑protokollan avulla, jolloin arkaluontoiset kyselytiedot eivät koskaan poistu suojatun verkon piiristä.

---

## 6. Auditoitava loki & vaatimustenmukaisuusetu

Jokainen reitityspäätös tuottaa muuttumattoman lokimerkinnän:

```json
{
  "question_id": "Q-2025-437",
  "intent_id": "EncryptDataAtRest",
  "assigned_owner": "alice@example.com",
  "routing_score": 0.85,
  "timestamp": "2025-12-11T14:23:07Z",
  "evidence_links": [
    "policy://encryption/2025-09",
    "artifact://config/production/db"
  ],
  "confidence": 0.93
}
```

Tämän JSON‑tiedoston tallentaminen **append‑only‑kirjaan** (esim. Amazon QLDB tai lohkoketjupohjainen loki) täyttää **SOX**‑ ja **GDPR**‑vaatimukset jäljitettävyyden suhteen. Auditoijat voivat rekonstruoida tarkan perustelun jokaiselle vastaukselle, mikä vähentää merkittävästi *todistusaineiston‑pyyntö*‑sykliä **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** -auditoinnin aikana.

---

## 7. Reaalimaailman vaikutus – nopea tapaustutkimus

**Yritys:** FinTech‑SaaS ”SecurePay” (Series C, 200 työntekijää)  
**Ongelma:** Keskimääräinen kyselyn läpimenoaika – 14 vrkp, 30 % SLA‑rikkomuksia.  
**Käyttöönotto:** IBRE 200‑solmun tietograafi, integraatio Slackiin ja Jiraan.  
**Tulokset (90‑päivän pilotti):**

| Mittari | Ennen | Jälkeen |
|---------|-------|---------|
| Keskimääräinen vasteaika | 14 vrkp | 2,3 vrkp |
| SLA‑noudattaminen | 68 % | 97 % |
| Manuaalinen reititystyö (tuntia/viikko) | 12 h | 1,5 h |
| Audit‑löydöt todistusaineiston puutteista | 5 per audit | 0,8 per audit |

ROI laskettiin **6,2‑kertaiseksi** ensimmäisten kuuden kuukauden aikana, pääosin vähentyneen kaupan viipymisen ja audittikustannusten ansiosta.

---

## 8. Tulevaisuuden suuntaviivat

1. **Ristitoimittajien tarkoitus‑federointi** – Mahdollistaa useiden asiakkaiden jakaa tarkoitusmääritelmät säilyttäen datan eristyksen, hyödyntäen federoitua oppimista.
2. **Zero‑Trust‑varmistus** – Yhdistää homomorfisen salauksen tarkoitusreittiin, jotta luottamuksellinen kysymysdata pysyy salaisena itse reititysmoottorillekin.
3. **Ennustava SLA‑mallintaminen** – Aikasarja‑ennusteet ennakoivat kysely‑tulvan (esim. tuotteen lanseerauksen jälkeen) ja skaalaavat reitityskapasiteettia ennakkoon.

---

## 9. IBRE:n käyttöönotto

1. **Ota tarkoitusmoottori käyttöön** Procurizessa → Asetukset → AI‑moduulit.  
2. **Määrittele oma tarkoitus‑taksonomia** (tai tuo sisään oletus).  
3. **Linkitä omistajat** yhdistämällä käyttäjätilit tarkoitustunnisteisiin.  
4. **Yhdistä todistusaineistolähteet** (dokumenttivarasto, CI/CD‑artefaktit).  
5. **Suorita pilotoiva kysely** ja seuraa reititys‑kojelautaa.

Vaihe‑vaihe‑opas on saatavilla **Procurize‑ohjekeskuksessa** osiossa *AI‑Ohjattu reititys*.

---

## <span class='highlight-content'>Katso</span> Also
- [Zero‑Trust Architecture for AI‑Driven Automation – NIST SP 800‑207](https://csrc.nist.gov/publications/detail/sp/800-207/final)