
# Ihminen silmukassa -validointi AI‑ohjautuville turvallisuuskyselylomakkeille

Turvallisuuskyselyt, toimittajariskien arvioinnit ja säädösten auditoinnit ovat muodostuneet pullonkaulaksi nopeasti kasvaville SaaS‑yrityksille. Vaikka **Procurize** kaltaiset alustat vähentävät merkittävästi manuaalista työtä automatisoimalla vastausten luomisen suurten kielimallien (LLM) avulla, viimeinen kilometri — **luottamus vastaukseen** — vaatii usein ihmisen tarkastusta.

**Ihminen silmukassa (HITL) -validointikehys** sulkee tämän aukon. Se lisää rakenteellisen asiantuntijakatselmuksen AI‑luotuihin luonnoksiin, luoden auditointikelpoisen, jatkuvasti oppivan järjestelmän, joka tarjoaa **nopeutta, tarkkuutta ja säädösten mukaista varmistusta**.

Alla tarkastelemme HITL‑validointimoottorin keskeisiä osia, sen integrointia Procurize‑alustaan, mahdollistamaa työnkulkua ja parhaita käytäntöjä ROI:n maksimoimiseksi.

---

## 1. Miksi Ihminen silmukassa on tärkeä

| Riski | Vain AI - lähestymistapa | HITL‑parannettu lähestymistapa |
|------|--------------------------|--------------------------------|
| **Väärä tekninen yksityiskohta** | LLM saattaa tuottaa harhaluuloja tai jättää tuotteeseen liittyvät tarkat tiedot väliin. | Aihealueen asiantuntijat varmistavat teknisen oikeellisuuden ennen julkaisua. |
| **Säädösten poikkeama** | Hienovarainen sanamuoto voi olla ristiriidassa [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001) tai [GDPR](https://gdpr.eu/) -vaatimusten kanssa. | Sääntöjen noudattamisen vastaavat tarkastajat hyväksyvät sanamuodot politiikkavarastoja vastaan. |
| **Auditointijäljen puute** | Ei selkeää tekijästä generoidulle sisällölle. | Kaikki muokkaukset kirjataan tarkastajien allekirjoituksilla ja aikaleimoilla. |
| **Mallin harha** | Ajan myötä malli voi tuottaa vanhentuneita vastauksia. | Palaute-kierto kouluttaa mallin uudelleen vahvistetuilla vastauksilla. |

---

## 2. Arkkitehtuurin yleiskuva

Seuraava Mermaid‑kaavio havainnollistaa koko HITL‑putken Procurize‑ympäristössä:

```mermaid
graph TD
    A["Saapuva kyselylomake"] --> B["AI‑luonnos"]
    B --> C["Kontekstuaalinen tietämysgrafiikan haku"]
    C --> D["Alustava luonnoksen kokoaminen"]
    D --> E["Ihmisen tarkistusjonossa"]
    E --> F["Asiantuntijavarmennuskerros"]
    F --> G["Säädösten tarkistuspalvelu"]
    G --> H["Auditointiloki & versiointi"]
    H --> I["Julkaistu vastaus"]
    I --> J["Jatkuva palaute mallille"]
    J --> B
```

*Kaikki solmut on suljettu kaksoislainausmerkkeihin, kuten vaaditaan. Looppi (J → B) varmistaa, että malli oppii vahvistetuista vastauksista.*

---

## 3. Keskeiset komponentit

### 3.1 AI‑luonnos

1. **Prompt‑suunnittelu** — Räätälöidyt kehotteet lisäävät kyselyn metadataa, riskitason ja säädösluonteisen kontekstin.  
2. **Retrieval‑Augmented Generation (RAG)** — LLM hakee asiaan liittyviä kohtia **politiikkatietämysgrafiikasta** (ISO 27001, SOC 2, sisäiset politiikat) vahvistaakseen vastauksensa.  
3. **Luottamusaste** — Malli palauttaa jokaiselle lauseelle luottamuspisteen, joka ohjaa ihmistarkistusten priorisointia.

### 3.2 Kontekstuaalinen tietämysgrafiikan haku

- **Ontologia‑pohjainen kartoitus**: Jokainen kysymys kohdistuu ontologian solmuihin (esim. “Data Encryption”, “Incident Response”).  
- **Graafiset neuroverkot (GNN)** laskevat samankaltaisuuden kysymyksen ja tallennetun todisteen välillä, nostaen esiin olennaisimmat asiakirjat.

### 3.3 Ihmisen tarkistusjono

- **Dynaaminen tehtävien jako** — Tehtävät kohdistetaan automaattisesti tarkastajan asiantuntemuksen, työkuorman ja [SLA‑vaatimusten](https://www.ibm.com/think/topics/service-level-agreement) mukaan.  
- **Yhteistyö‑käyttöliittymä** — Rivikommentointi, versiovertailu ja reaaliaikainen editori mahdollistavat samanaikaiset tarkistukset.

### 3.4 Asiantuntijavarmennuskerros

- **Policy‑as‑Code‑säännöt** — Ennalta määritellyt validointisäännöt (esim. “Kaikkien salauslauseiden on viitattava AES‑256”) flaggaavat poikkeamat automaattisesti.  
- **Manuaaliset ohitukset** — Tarkastajat voivat hyväksyä, hylätä tai muokata AI‑ehdotuksia ja tallentaa perustelut, jotka säilytetään.

### 3.5 Säädösten tarkistuspalvelu

- **Säädösten ristintarkastus** — Sääntömoottori varmistaa, että lopullinen vastaus noudattaa valittuja viitekehyksiä ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa)).  
- **Lakiallekirjoitus** — Valinnainen digitaalinen allekirjoitusvirta oikeustiimeille.

### 3.6 Auditointiloki & versiointi

- **Muutumaton rekisteri** — Jokainen toimenpide (luonti, muokkaus, hyväksyntä) tallennetaan kryptografisilla hajautuksilla, jolloin auditointijälki on manipulointisuojattu.  
- **Muutoksen diff‑katselu** — Sidosryhmät voivat tarkastella eroavaisuuksia AI‑luonnoksen ja lopullisen vastauksen välillä, tukien ulkoisia auditointipyyntöjä.

### 3.7 Jatkuva palaute mallille

- **Ohjattu hienosäätö** — Vahvistetut vastaukset toimivat seuraavan mallin koulutusdatana.  
- **Palaute‑oppiminen ihmisen antamasta palautteesta (RLHF)** — Palkinnot johdetaan tarkastajien hyväksymisasteista ja säädösten noudattamisesta.

---

## 4. HITL‑integrointi Procurize‑alustaan

1. **API‑koukku** — Procurizen **Questionnaire Service** lähettää webhookin uuden kyselyn saapuessa.  
2. **Orkestrointikerros** — Pilvifunktio käynnistää **AI‑luonnos**‑mikropalvelun.  
3. **Tehtävänhallinta** — **Ihmisen tarkistusjono** esitetään Procurizen käyttöliittymässä kanban‑tauluna.  
4. **Todistevarasto** — Tietämysgrafiikka sijaitsee **graafitietokannassa** (Neo4j) ja on saavutettavissa Procurizen **Evidence Retrieval API**:lla.  
5. **Auditointi‑laajennus** — Procurizen **Compliance Ledger** tallentaa muuttumattomat lokit ja tarjoaa ne GraphQL‑päätepisteen kautta auditoinnin tarpeisiin.

---

## 5. Työnkulun läpikäynti

| Vaihe | Toimija | Toiminto | Tulos |
|------|--------|----------|-------|
| 1 | Järjestelmä | Kaappaa kyselyn metadata | Jäsennelty JSON‑payload |
| 2 | AI‑moottori | Luo luonnos luottamusasteilla | Luonnos + pisteet |
| 3 | Järjestelmä | Lisää luonnos tarkistusjonoon | Tehtävä‑ID |
| 4 | Tarkastaja | Vahvistaa, korostaa ongelmia, lisää kommentteja | Päivitetty vastaus, perustelut |
| 5 | Compliance‑botti | Ajaa policy‑as‑code‑tarkistukset | Pass/Fail‑merkinnät |
| 6 | Lakimiesto | Allekirjoitus (valinnainen) | Digitaalinen allekirjoitus |
| 7 | Järjestelmä | Tallentaa lopullisen vastauksen, kirjaa kaikki toimet | Julkaistu vastaus + audit‑merkintä |
| 8 | Mallin kouluttaja | Sisällyttää vahvistetun vastauksen koulutusaineistoon | Parantunut malli |

---

## 6. Parhaat käytännöt onnistuneeseen HITL‑käyttöönottoon

### 6.1 Priorisoi korkean riskin kohteet

- Käytä AI‑luottamuspisteitä **automaattiseen priorisointiin** matalan luottamuksen vastauksille.  
- Merkitse aina kriittisiin kontrolliin (esim. salaus, tietojen säilytys) liittyvät kysymykset **pakolliseen asiantuntijavalidaatioon**.

### 6.2 Pidä tietämysgrafiikka ajan tasalla

- Automatisoi **uusien politiikka- ja säädöspäivitysten** tuonti CI/CD‑putkilla.  
- Suorita kvartaaleittain **grafiikan päivitys**, jotta vältyt vanhentuneelta evidenssilta.

### 6.3 Määrittele selkeät SLA:t

- Aseta tavoiteaikataulut (esim. **24 h alhaisen riskin**, **4 h korkean riskin** kohteille).  
- Seuraa SLA‑toteutumista reaaliaikaisesti Procurizen hallintapaneelissa.

### 6.4 Tallenna tarkastajien perustelut

- Kannusta tarkastajia **selittämään hylkäykset**; nämä perustelut toimivat arvokkaina koulutussignaaleina ja tulevan politiikkadokumentaation pohjana.

### 6.5 Hyödynnä muuttumattomia lokit

- Tallenna lokit **tamper‑evidenttiin kirjaan** (esim. lohkoketju‑pohjainen tai WORM‑tallennus) täyttääksesi auditointivaatimukset säädellyillä toimialoilla.

---

## 7. Vaikutusten mittaaminen

| Mittari | Perustaso (vain AI) | HITL‑käytössä | Parannus % |
|--------|---------------------|---------------|------------|
| Keskimääräinen vastausaika | 3,2 pv | 1,1 pv | **66 %** |
| Vastausten tarkkuus (audit‑passi) | 78 % | 96 % | **18 %** |
| Tarkastajien työmäärä (tuntia per kysely) | — | 2,5 h | — |
| Mallin harhautuminen (koulutuskierrokset/kvartaali) | 4 | 2 | **50 %** |

Luvut osoittavat, että vaikka HITL‑malliin sisältyy kohtuullinen tarkastajien panos, sen avustama nopeus, säädösten noudattaminen ja uudelleentyön väheneminen ovat merkittäviä.

---

## 8. Tulevaisuuden kehitys

1. **Adaptatiivinen reititys** — Hyödynnä **reinforcement learning**‑tekniikoita tarkastajien dynaamiseen allokointiin perustuen menneisiin suorituksiin ja erikoisosaamiseen.  
2. **Selitettävä AI (XAI)** — Tarjoa LLM‑perusteinen selityspolku luottamuspisteiden rinnalla, mikä helpottaa tarkastajien arviointia.  
3. **Zero‑Knowledge‑todistukset** — Tarjoa kryptografinen todistus siitä, että evidenssiä on hyödynnetty paljastamatta arkaluontoisia lähdeasiakirjoja.  
4. **Monikielituki** — Laajenna putki käsittelemään kyselyitä ei‑englanniksi käyttämällä AI‑pohjaista käännöstä, jota seuraa paikallinen tarkastus.

---

## 9. Johtopäätös

Ihminen silmukassa -validointikehys muuttaa AI‑luodut turvallisuuskyselyvastaukset *nopeista mutta epävarmoista* *nopeiksi, tarkiksi ja auditointikelpoisiksi*. Yhdistämällä AI‑luonnos, kontekstuaalinen tietämysgrafiikka, asiantuntijakatselmus, policy‑as‑code‑sääntöjen tarkistus sekä muuttumattoman auditointilokin, organisaatiot voivat **lyhentää läpimenoaikaa jopa kahdella kolmasosalla samalla kun vastausten luotettavuus nousee yli 95 %**.

Tämän kehyksen toteuttaminen Procurize‑ympäristössä hyödyntää jo olemassa olevia orkestrointi‑, evidenssi‑hallinta- ja säädösten tarkistustyökaluja, tarjoten saumattoman, kokonaisvaltaisen kokemusratkaisun, joka skaalautuu liiketoimintasi ja sääntelymaiseman mukana.

---

## Katso myös

- [NIST SP 800‑53 Rev 5 – Security and Privacy Controls for Federal Information Systems](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [ISO 27001:2022 – Information Security Management Systems](https://www.iso.org/standard/80002.html)  
- [Human‑in‑the‑Loop Machine Learning: A Survey (2024)](https://arxiv.org/abs/2403.01234)