
# Keskusteleva AI‑valmentaja reaaliaikaiseen turvallisuuskyselyn vastaukseen

*Nopeassa SaaS‑maailmassa turvallisuuskyselyt voivat viivästyttää kauppoja viikkoja. Kuvittele, että tiimikaveri esittää yksinkertaisen kysymyksen – “Salaammeko levossa olevat tiedot?” – ja saa tarkan, politiikassa perustuvan vastauksen välittömästi, suoraan kyselyn käyttöliittymässä. Tämä on **Keskustelevan AI‑valmentajan** lupausten toteutuminen, joka on rakennettu Procurize‑alustalle.*

---  

## Miksi keskusteleva valmentaja on tärkeä  

| Kivun kohta | Perinteinen lähestymistapa | AI‑valmentajan vaikutus |
|-------------|----------------------------|------------------------|
| **Tietosiloja** | Vastaukset perustuvat muutaman tietoturva‑asiantuntijan muistiin. | Keskitettyä politiikkatietoa kysytään tarpeen mukaan. |
| **Vasteaikaviive** | Tiimit käyttävät tunteja todisteiden etsimiseen ja vastausten laatimiseen. | Lähes välittömät ehdotukset lyhentävät läpimenoaikaa päivistä minuuteiksi. |
| **Epäyhtenäinen kieli** | Erilaiset tekijät kirjoittavat vastauksia eri sävyissä. | Ohjatut kielimallit varmistavat brändin yhdenmukaisen sävyn. |
| **Sääntöjen poikkeama** | Politiikat kehittyvät, mutta kyselyvastaukset vanhentuvat. | Reaaliaikainen politiikkahaku varmistaa, että vastaukset heijastavat aina viimeisimpiä standardeja. |

Valmentaja tekee enemmän kuin vain näyttää asiakirjoja; se *keskustelee* käyttäjän kanssa, tarkentaa tarkoitusta ja räätälöi vastauksen tietylle sääntelykehykselle ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), jne.).

---  

## Ydinarkkitehtuuri  

Alla on korkean tason kuvaus Keskustelevan AI‑valmentajan pinosta. Kaavio käyttää **Mermaid**‑syntaksia, jonka Hugo renderöi siististi.

```mermaid
flowchart TD
    A["Käyttöliittymä (kyselylomake)"] --> B["Keskustelukerros (WebSocket / REST)"]
    B --> C["Promptin Orkestroija"]
    C --> D["Haku‑lisätty Generointimoottori"]
    D --> E["Politiikkatietokanta"]
    D --> F["Todistevarasto (Document AI -indeksi)"]
    C --> G["Kontekstuaalinen Vahvistusmoduuli"]
    G --> H["Auditointiloki & Selitettävyyskojelauta"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#bbf,stroke:#333,stroke-width:2px
    style C fill:#bfb,stroke:#333,stroke-width:2px
    style D fill:#ff9,stroke:#333,stroke-width:2px
    style E fill:#9ff,stroke:#333,stroke-width:2px
    style F fill:#9f9,stroke:#333,stroke-width:2px
    style G fill:#f99,stroke:#333,stroke-width:2px
    style H fill:#ccc,stroke:#333,stroke-width:2px
```

**Keskeiset komponentit**

1. **Keskustelukerros** – Perustaa matalan latenssin kanavan (WebSocket), jotta valmentaja voi vastata heti käyttäjän kirjoittaessa.  
2. **Promptin Orkestroija** – Luo ketjua pyyntöjä, jotka yhdistävät käyttäjän kyselyn, soveltuvan sääntelykappaleen ja mahdollisen aiemman kyselyn kontekstin.  
3. **Haku‑lisätty Generointimoottori** – Käyttää Retrieval‑Augmented Generation (RAG) -tekniikkaa haettaakseen olennaiset politiikkalohkot ja todisteet ja syöttää ne LLM:n kontekstiin.  
4. **Politiikkatietokanta** – Graafirakenteinen store, jossa politiikka‑as‑code, jokainen solmu edustaa kontrollia, sen versiota ja yhteyksiä viitekehyksiin.  
5. **Todistevarasto** – Document AI:n ohjaama, merkkaa PDF:t, kuvakaappaukset ja konfigurointitiedostot upotusvektoreilla nopeaa samankaltaisuushakua varten.  
6. **Kontekstuaalinen Vahvistusmoduuli** – Suorittaa sääntöpohjaiset tarkistukset (esim. “Mainitaanko vastauksessa salausalgoritmi?”) ja merkitsee puutteet ennen kuin käyttäjä lähettää.  
7. **Auditointiloki & Selitettävyyskojelauta** – Tallentaa jokaisen ehdotuksen, lähdedokumentit ja luottamusarvot compliance‑tarkastajille.  

---  

## Promptin ketjuttaminen toiminnassa  

Tyypillinen vuorovaikutus noudattaa kolmea loogista vaihetta:

1. **Intent Extraction** – *“Salaammeko levossa olevat tiedot PostgreSQL‑klustereissamme?”*  
   Prompt:  
   ```
   Tunnista kysytty tietoturvakontrolli ja kohde‑teknologiakokonaisuus.
   ```

2. **Policy Retrieval** – Orkestroija hakee [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) – ”Encryption in Transit and at Rest” – -kappaleen sekä sisäisen politiikan, joka koskee PostgreSQL:ää.  
   Prompt:  
   ```
   Tiivistä uusin politiikka levossa tapahtuvasta salauksesta PostgreSQL:lle, mainiten tarkka politiikka‑ID ja versio.
   ```

3. **Answer Generation** – LLM yhdistää politiikkatiivistelmän todisteeseen (esim. salaus‑at‑rest‑konfiguraatiotiedosto) ja luo tiiviin vastauksen.  
   Prompt:  
   ```
   Laadi kahden lauseen vastaus, joka vahvistaa salauksen levossa, viittaa politiikka‑ID:hen POL‑DB‑001 (v3.2) ja liittää todisteen #E1234.
   ```

Ketju varmistaa **jäljitettävyyden** (politiikka‑ID, todiste‑ID) ja **yhtenäisyyden** (sama sanamuoto useissa kysymyksissä).  

---  

## Politiikkatietokannan rakentaminen  

Käytännöllinen tapa järjestää politiikat on **Property Graph**. Alla on yksinkertaistettu Mermaid‑esitys graafisesta skeemasta.

```mermaid
graph LR
    P[Politiikkasolmu] -->|kattaa| C[Kontrollisolmu]
    C -->|karttaa| F[Kehoitettusolmu]
    P -->|on versio| V[Versiosolmu]
    P -->|vaatii| E[Todistetyyppi‑solmu]
    style P fill:#ffcc00,stroke:#333,stroke-width:2px
    style C fill:#66ccff,stroke:#333,stroke-width:2px
    style F fill:#99ff99,stroke:#333,stroke-width:2px
    style V fill:#ff9999,stroke:#333,stroke-width:2px
    style E fill:#ff66cc,stroke:#333,stroke-width:2px
```

* **Politiikkasolmu** – Säilyttää tekstipolitiikan, kirjoittajan ja viimeisen tarkistuspäivän.  
* **Kontrollisolmu** – Edustaa sääntelykontrollia (esim. “Encrypt Data at Rest”).  
* **Kehoitettusolmu** – Liittää kontrollit viitekehyksiin (SOC 2, ISO 27001, jne.).  
* **Versiosolmu** – Varmistaa, että valmentaja käyttää aina uusinta revision.  
* **Todistetyyppi‑solmu** – Määrittelee vaaditut todistekategoriat (konfiguraatio, sertifikaatti, testiraportti).

Tämän graafin täyttäminen on kertaluonteinen ponnistus. Jatkopäivitykset hoidetaan **policy‑as‑code CI‑pipeline** –n kautta, joka validoi graafin eheys ennen liittämistä.

---  

## Reaaliaikaiset validointisäännöt  

Vaikka LLM onkin tehokas, compliance‑tiimit tarvitsevat kovia takuita. **Kontekstuaalinen Vahvistusmoduuli** suorittaa jokaiselle luodulle vastaukselle seuraavan sääntöryhmän:

| Sääntö | Kuvaus | Esimerkkivirhe |
|--------|--------|----------------|
| **Todisteen läsnäolo** | Jokaisen väitteen tulee viitata vähintään yhteen todiste‑ID:hen. | “Salaamme tiedot levossa” → *Todisteviite puuttuu* |
| **Viitekehyksen yhdenmukaisuus** | Vastauksen täytyy mainita käsiteltävä viitekehys. | Vastaus ISO 27001:lle puuttuu “ISO 27001” -tagi |
| **Versioyhtenevyys** | Politiikka‑version viittauksen täytyy vastata viimeisintä hyväksyttyä versiota. | Viitataan POL‑DB‑001 v3.0:aan kun v3.2 on aktiivinen |
| **Pituusrajoitus** | Pidä lyhyenä (≤ 250 merkkiä) luettavuuden vuoksi. | Liian pitkä vastaus merkitty muokattavaksi |

Jos jokin sääntö epäonnistuu, valmentaja näyttää sisäisen varoituksen ja ehdottaa korjaavaa toimenpidettä, muuttaen vuorovaikutuksen *yhteistyöhön* sen sijaan, että se olisi pelkkä generaattori.

---  

## Toteutuksen vaiheet hankintatiimeille  

1. **Määritä tietokantagrafi**  
   * Vie olemassa olevat politiikat politiikkavarastosta (esim. Git‑Ops).  
   * Suorita mukana tuleva `policy-graph-loader`‑skripti täyttääksesi ne Neo4j‑tai Amazon Neptune -tietokantaan.  

2. **Indeksoi todistukset Document AI:lla**  
   * Käynnistä Document AI -putki (Google Cloud, Azure Form Recognizer).  
   * Tallenna upotukset vektoripohjaiseen tietokantaan (Pinecone, Weaviate).  

3. **Käytä RAG‑moottoria**  
   * Hyödynnä LLM‑isännöintipalvelua (OpenAI, Anthropic) räätälöidyllä prompt‑kirjastolla.  
   * Kiedo se LangChain‑tyyliseen orkestroijaan, joka kutsuu hakukerrosta.  

4. **Integroi keskustelukäyttöliittymä**  
   * Lisää chat‑widget Procurizen kyselysivulle.  
   * Kytke se turvallisen WebSocket‑yhteyden kautta Promptin Orkestroijaan.  

5. **Määritä validointisäännöt**  
   * Kirjoita JSON‑logiikka‑politiikat ja liitä ne Vahvistusmoduuliin.  

6. **Ota auditointi käyttöön**  
   * Ohjaa jokainen ehdotus muuttumattomaan auditointilokiin (append‑only S3‑bucket + CloudTrail).  
   * Tarjoa kojelauta compliance‑viranomaisille, jossa on luottamusarvot ja lähdedokumentit.  

7. **Pilotoi ja iteroi**  
   * Aloita yhdellä suurilla volyymilla toteutetulla kyselyllä (esim. SOC 2 Type II).  
   * Kerää käyttäjäpalautetta, hienosäädä prompt‑tekstitystä ja sääntörajoja.  

---  

## Menestyksen mittaaminen  

| KPI | Lähtötaso | Tavoite (6 kk) |
|-----|-----------|----------------|
| Keskimääräinen vastausaika | 15 min per kysymys | ≤ 45 sek |
| Virheprosentti (manuaaliset korjaukset) | 22 % | ≤ 5 % |
| Politiikkaversioiden poikkeamat | 8 per neljännes | 0 |
| Käyttäjätyytyväisyys (NPS) | 42 | ≥ 70 |

Näiden lukujen saavuttaminen osoittaa, että valmentaja tuottaa todellista operatiivista arvoa, eikä pelkästään kokeellista chatbot‑ratkaisua.

---  

## Tulevaisuuden parannukset  

1. **Monikielinen valmentaja** – Laajenna promptit tukemaan japania, saksaa ja espanjaa hyödyntäen monikielisiä LLM-malleja.  
2. **Federoitu oppiminen** – Salli useiden SaaS‑vuokralaisten parantaa valmentajaa ilman raakadatan jakamista, säilyttäen yksityisyyden.  
3. **Zero‑knowledge‑todisteiden integrointi** – Kun todisteet ovat erittäin luottamuksellisia, valmentaja voi tuottaa ZKP:n, joka todistaa yhteensopivuuden paljastamatta itse todistetta.  
4. **Proaktiivinen hälytysjärjestelmä** – Yhdistä valmentaja **Regulatory Change Radar** -komponenttiin, joka työntää ennakoivia politiikkapäivityksiä uusien säädösten ilmaantuessa.  

---  

## Yhteenveto  

Keskusteleva AI‑valmentaja muuntaa turhauttavan turvallisuuskyselyiden täyttämisen interaktiiviseksi, tiedonohjautuvaksi dialogiksi. Yhdistämällä politiikkatietokannan, Retrieval‑Augmented Generationin ja reaaliaikaisen validoinnin Procurize voi tarjota:

* **Nopeus** – Vastaukset sekunneissa, ei päivissä.  
* **Tarkkuus** – Jokainen vastaus perustuu viimeisimpään politiikkaan ja konkreettisiin todisteisiin.  
* **Auditointikelpoisuus** – Täydellinen jäljitettävyys sisäisille tarkastajille ja sääntelijöille.  

Yritykset, jotka ottavat käyttöön tämän ohjauskerroksen, nopeuttavat toimittajariskien arviointia ja juurruttavat organisaatioonsa jatkuvan compliance‑kulttuurin, jossa jokainen voi vastata turvallisuuskysymyksiin luottavaisin mielin.

---  

## Katso myös  

- [RAG‑putken rakentaminen compliance‑sovelluksiin (Medium)](https://medium.com/@example/building-a-rag-pipeline-for-compliance)