  

# AI‑tehoahtoinen reaaliaikainen todistuksen sovittaminen monialaisiin sääntökyselyihin  

## Johdanto  

Turvallisuuskyselyt ovat käymässä pullonkaulana jokaisessa B2B‑SaaS‑kaupankäynnissä.  
Yksi potentiaalinen asiakas voi vaatia **10‑15 erilaista sääntökokonaisuutta**, joista jokainen pyytää päällekkäistä mutta hienovaraisesti erilaista näyttöä. Manuaalinen ristikytkentä johtaa:

* **Kaksoistyöhön** – tietoturva‑insinöörit kirjoittavat samaa politiikkakappaletta uudelleen jokaisessa kyselyssä.  
* **Epäyhtenäisiin vastauksiin** – pieni sanavalintamuutos voi vahingossa luoda sääntörikkomuksen.  
* **Auditointiriskiin** – ilman yhtenäistä totuudenlähdettä todistuksen alkuperä on vaikea todistaa.  

**Procurizen AI‑tehoahtoinen Reaaliaikainen Evidence Reconciliation Engine (ER‑Engine)** poistaa nämä kipupisteet. Syöttämällä kaikki sääntödokumentit yhtenäiseen Knowledge Graphiin ja hyödyntämällä Retrieval‑Augmented Generation (RAG) –tekniikkaa dynaamisen promptisuunnittelun avulla, ER‑Engine pystyy:

1. **Tunnistamaan vastaavan todistuksen** eri viitekehysten välillä millisekunneissa.  
2. **Vahvistamaan alkuperän** kryptografisen hajautuksen ja muuttumattoman auditointijalan avulla.  
3. **Ehdottamaan päivitetyn artefaktin** politiikan poikkeaman havaitsemisen perusteella.  

Tuloksena on yksi AI‑ohjattu vastaus, joka täyttää kaikki viitekehykset samanaikaisesti.  

---  

## Keskeiset haasteet, jotka se ratkaisee  

| Haaste | Perinteinen lähestymistapa | AI‑ohjattu sovittaminen |
|--------|----------------------------|--------------------------|
| **Todistusten monistuminen** | Kopioi‑liitä eri asiakirjoissa, manuaalinen uudelleenmuotoilu | Graafipohjainen entiteettien linkitys poistaa redundanssin |
| **Versioiden poikkeavuus** | Excel‑logit, manuaalinen diff | Reaaliaikainen politiikan muutostaradar päivittyy automaattisesti |
| **Sääntökartoitus** | Manuaalinen matriisi, virhealtis | Automaattinen ontologia‑kartoitus LLM‑lisätyllä päättelyllä |
| **Auditointijälki** | PDF‑arkistot, ei hajautustarkistusta | Muuttumaton kirjanpito Merkle‑todisteilla jokaiselle vastaukselle |
| **Skaalautuvuus** | Lineaarinen työmäärä per kysely | Neliöllinen vähennys: *n* kyselyä ↔ *≈ √n* uniikkia todistus‑solmua |  

---  

## Arkkitehtuurin yleiskatsaus  

ER‑Engine toimii Procurizen alustan sydämessä ja koostuu neljästä tiiviisti kytketystä kerroksesta:

1. **Ingestiokerros** – Tuo politiikat, kontrollit ja todistus‑tiedostot Git‑repoista, pilvitallennuksesta tai SaaS‑politiikkasäiliöistä.  
2. **Knowledge Graph -kerros** – Säilyttää entiteetit (kontrollit, artefaktit, sääntökohdat) solmuina, ja reunat kuvaavat *tyydyttää*, *perustuu‑* sekä *ristiriidassa‑*‑suhteita.  
3. **AI‑päättelykerros** – Yhdistää **haku‑moottorin** (vektori‑samankaltaisuus upotuksissa) **generointi‑moottorin** (ohjeistettu LLM) tuottaakseen raakavastaukset.  
4. **Compliance Ledger -kerros** – Kirjoittaa jokaisen generoidun vastauksen lisää‑vain‑kirjanpitoon (blockchain‑tyylinen) hajautuksella, aikaleimalla ja tekijän allekirjoituksella.  

Alla on korkean tason Mermaid‑kaavio, joka havainnollistaa tietovirtaa.  

```mermaid
graph TD
    A["Politiikka‑repo"] -->|Ingest| B["Dokumenttijäsennin"]
    B --> C["Entiteettien poimija"]
    C --> D["Knowledge Graph"]
    D --> E["Vektori‑varasto"]
    E --> F["RAG‑haku"]
    F --> G["LLM‑promptimoottori"]
    G --> H["Raskevastauksen luonnos"]
    H --> I["Todiste‑&‑hajautusgenerointi"]
    I --> J["Muuttumaton kirjanpito"]
    J --> K["Kysely‑UI"]
    K --> L["Toimittajan tarkastus"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#bbf,stroke:#333,stroke-width:2px
```  

*Kaikki solmunimikkeet on suljettu kaksoislainausmerkkeihin, kuten Mermaid‑syntaksi vaatii.*  

---  

## Vaihe‑kohtainen työkulku  

### 1. Todistusten ingestio & normalisointi  

* **Tiedostotyypit:** PDF, DOCX, Markdown, OpenAPI‑spesifikaatiot, Terraform‑moduulit.  
* **Käsittely:** OCR skannatuille PDF‑tiedostoille, NLP‑entiteettien poiminta (kontrolli‑ID:t, päivämäärät, omistajat).  
* **Normalisointi:** Muuntaa jokaisen artefaktin kanoniseen JSON‑LD‑tietueeseen, esim.:  

```json
{
  "@type": "Evidence",
  "id": "ev-2025-12-13-001",
  "title": "Data‑encryption‑at‑rest‑politiikka",
  "frameworks": ["ISO27001","SOC2"],
  "version": "v3.2",
  "hash": "sha256:9a7b..."
}
```  

### 2. Knowledge Graphin täyttö  

Solmuja luodaan **Sääntökohteille**, **Kontrolleille**, **Artefakteille** ja **Roolille**.  
Esimerkkireunat:  
* `Control "A.10.1"` **tyydyttää** `Regulation "ISO27001"`  
* `Artifact "ev-2025-12-13-001"` **toteuttaa** `Control "A.10.1"`  

Graafi tallennetaan **Neo4j‑instanssiin**, jossa on **Apache Lucene**‑täyte‑tekstihakemistoja nopeaa läpikäyntiä varten.  

### 3. Reaaliaikainen haku  

Kun kysely kysyy: *“Kuvaile datan lepotilassa oleva salausmekanismi.”* alusta:

1. Analysoi kysymys **semanttiseksi hauksi**.  
2. Hakee relevantit **Control‑ID:t** (esim. ISO 27001 A.10.1, SOC 2 CC6.1).  
3. Noutaa top‑k artefaktisolmut kosinisella **SBERT**‑upotusten kosini‑samankaltaisuudella.  

### 4. Prompt‑suunnittelu & generointi  

Dynaaminen **mallipohja** rakennetaan lennossa:  

```
Olet compliance‑analyytikko. Käytä seuraavia todistuksia (lisää viitteet ID:llä) antaaksesi kysymykseen tiiviin ja yritys‑turvallisuus‑katselijan sopivan vastauksen.
[Todistusten lista]
Kysymys: {{user_question}}
```  

**Ohjeistettu LLM** (esim. Claude‑3.5) palauttaa raakavastauksen, joka **uudelleenarvostetaan** viitteiden kattavuuden ja pituusrajoitusten perusteella.  

### 5. Alkuperä & ledger‑kirjaus  

* Vastaus yhdistetään kaikkiin viitattuihin todistuksiin **hajautuksilla**.  
* Rakennetaan **Merkle‑puu**, jonka juuri tallennetaan **Ethereum‑yhteensopivaan sivuketjuun** muuttumattomuutta varten.  
* UI näyttää **kryptografisen kuitin**, jonka auditointiryhmät voivat tarkistaa itsenäisesti.  

### 6. Yhteistyö‑tarkastus & julkaisu  

* Tiimit voivat **kommentoida rivikohtaisesti**, pyytää vaihtoehtoista todistusta tai käynnistää **RAG‑putken uudelleenkäynnistyksen**, jos politiikka päivittyy.  
* Hyväksynnän jälkeen vastaus **julkaistaan toimittajakysely‑moduulissa** ja kirjataan ledger‑ketjuun.  

---  

## Turvallisuus‑ & yksityisyys‑näkökohtia  

| Huolenaihe | Mitigointi |
|------------|------------|
| **Luottamuksellisen todistuksen paljastuminen** | Kaikki todistukset on salattu levossa AES‑256‑GCM:llä. Hakukutsu tapahtuu **Trusted Execution Environment (TEE)** -ympäristössä. |
| **Prompt‑injektiot** | Syötteen puhdistus ja eristetty LLM‑kontti rajoittavat järjestelmäkomentoja. |
| **Ledger‑väärennös** | Merkle‑todisteet ja säännöllinen ankkurointi julkiseen lohkoketjuun tekevät muutoksesta tilastollisesti mahdotonta. |
| **Monen vuokralaisen datavuoto** | **Federated Knowledge Graphs** erottelevat vuokralais‑aligraafit; ainoastaan jaetut sääntökäsitteet ovat yhteisiä. |
| **Sääntökohteiden datansaanti‑sijainti** | Käyttöönotettavissa missä tahansa pilvialueessa; graafi ja ledger kunnioittavat vuokralaisen datansaanti‑sijaintipolitiikkaa. |  

---  

## Toteutusohjeet yrityksille  

1. **Käynnistä pilotti yhdellä viitekehyksellä** – Aloita esimerkiksi **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** varmistaaksesi ingest‑putken toimivuus.  
2. **Kartoita olemassa olevat artefaktit** – Hyödynnä Procurizen massatuontiohjelmaa merkitsemään jokainen politiikkadokumentti viitekehyksen ID:llä (esim. ISO 27001, GDPR).  
3. **Määrittele hallintasäännöt** – Aseta roolipohjainen pääsy (esim. Turvallisuusinženööri voi hyväksyä, oikeudellinen osasto voi auditoida).  
4. **Integroi CI/CD‑pipelineen** – Liitä ER‑Engine GitOps‑putkeesi; jokainen politiikan muutos käynnistää automaattisen uudelleenindeksoinnin.  
5. **Kouluta LLM‑malli domain‑materiaalilla** – Lisää muutama kymmenes historiallinen kysely‑vastaus hienovaraisempaan tarkkuuteen.  
6. **Seuraa poikkeamaa** – Ota käyttöön **Policy Change Radar**; kun kontrollin sanamuoto muuttuu, järjestelmä liputtaa kaikki vaikuttavat vastaukset.  

---  

## Mitattavat liiketoimintahyödyt  

| Mittari | Ennen ER‑Engineä | Jälkeen ER‑Engineä |
|--------|------------------|--------------------|
| **Keskimääräinen vastausaika** | 45 min / kysymys | 12 min / kysymys |
| **Todistusten monistusprosentti** | 30 % artefakteista | < 5 % |
| **Auditointivirheprosentti** | 2,4 % per auditointi | 0,6 % |
| **Tiimin tyytyväisyys (NPS)** | 32 | 74 |
| **Aikataulu toimittajakumppanin kanssa** | 6 viikkoa | 2,5 viikkoa |

**2024‑tutkimus** fintech‑yksikössä raportoitiin **70 %**:n vähennys kyselyjen läpimenoajassa ja **30 %**:n leikkaus sääntökäyttäjien henkilöstökustannuksissa ER‑Enginen käyttöönoton jälkeen.  

---  

## Tulevaisuuden tiekartta  

* **Monimodaalinen todistuksen poiminta** – Sisällytä ruutukaappaukset, video‑käyttöoppaat ja infrastuktuuri‑koodi‑snippetit.  
* **Zero‑Knowledge‑todisteet** – Mahdollista toimittajien vahvistaa vastaukset ilman, että raakadataa paljastuu, suojaten kilpailuetua.  
* **Ennakoiva sääntöpäivitys‑syöte** – AI‑pohjainen syöte, joka ennustaa tulevia sääntömuutoksia ja ehdottaa politiikan päivityksiä ennakkoon.  
* **Itseparantavat mallipohjat** – Graafinen neuroverkko, joka kirjoittaa kyselymallipohjat automaattisesti uudelleen, kun vanha kontrolli poistetaan käytöstä.  

---  

## Johtopäätös  

**AI‑tehoahtoinen Reaaliaikainen Evidence Reconciliation Engine** muuttaa monialaisiin sääntökyselyihin liittyvän kaaoksen järjestelmälliseksi, auditoitavaksi ja nopeaksi työnkuluksi. Yhdistämällä todistukset Knowledge Graphiin, hyödyntämällä RAG‑pohjaista vastausten luontia ja kirjaamalla jokaisen vastauksen muuttumattomaan ledgeriin, Procurize antaa tietoturva‑ ja sääntötiimien keskittyä riskienhallintaan sen sijaan, että ne hukuttautuisivat toistuvaan paperityöhön. Sääntökirjaantumisen volyymin kasvaessa ja regulaatiot kiristyessä tällainen AI‑ensimmäinen sovittaminen nousee de‑facto -standardiksi luotettavalle, auditoitavalle kysely‑automaatiolle.