
# Monimodaalinen tekoäly todisteiden poimiminen turvallisuuskyselyihin

Turvallisuuskyselyt ovat jokaisen B2B SaaS -kaupan portinvartijoita.  Toimittajilta pyydetään todistuksia – politiikkadokumentteja PDF-muodossa, arkkitehtuurikaavioita, koodinpätkiä, auditointilokeja ja jopa kojelaudan kuvakaappauksia.  Perinteisesti turvallisuus- ja vaatimustenmukaisuustiimit käyttävät **tunteja** selaamalla tietovarastoja, kopioimalla tiedostoja ja liittämällä ne manuaalisesti kyselykenttiin.  Tulos on pullonkaula, joka hidastaa myyntisyklejä, lisää inhimillisiä virheitä ja luo auditointikatkoksia.

**Procurize** on jo rakentanut tehokkaan yhtenäisen alustan kyselyjen hallintaan, tehtävien jakamiseen ja AI‑avusteiseen vastausten luomiseen.  Seuraava haaste on **automaattinen todistusten kerääminen**.  Hyödyntämällä **monimodaalista generatiivista tekoälyä** – malleja, jotka ymmärtävät tekstiä, kuvia, taulukoita ja koodia yhdessä putkessa – organisaatiot voivat välittömästi löytää oikean artefaktin mille tahansa kyselykohteelle formaattista riippumatta.

Tässä artikkelissa tarkastelemme:

1. Selittää, miksi yksimodaalinen lähestymistapa (puhdas tekstipohjainen LLM) ei riitä nykyaikaisiin vaatimustenmukaisuustehtäviin.  
2. Kuvata monimodaalisen todisteiden poimintamoottorin arkkitehtuuri, joka on rakennettu Procurizin päälle.  
3. Näyttää, miten järjestelmää koulutetaan, arvioidaan ja jatkuvasti parannetaan **Generatiivisen Moottorioptimoinnin (GEO)** tekniikoilla.  
4. Tarjota konkreettinen loppu‑lähtöesimerkki, turvallisuuskysymyksestä automaattisesti liitettyyn todistukseen.  
5. Käsitellä hallinto-, turvallisuus- ja auditointiin liittyviä huolia.  

> **Tärkeä oivallus:** Monimodaalinen tekoäly muuttaa todistusten hakemisen manuaalisesta rasituksesta toistettavaksi, auditointikelpoiseksi palveluksi, lyhentäen kyselyjen läpimenoaikaa jopa 80 % säilyttäen vaatimustenmukaisuuden tiukkuuden.

---

## 1. Tekstipohjaisten LLM-mallien rajoitukset kyselytyönkulkuihin

Suuri osa nykyisestä AI‑avusteisesta automaatiosta perustuu suuriin kielimalleihin (LLM), jotka loistavat **tekstin generoinnissa** ja **semanttihakussa**.  Ne voivat noutaa politiikkakappaleita, tiivistää auditointiraportteja ja jopa laatia kertomuksellisia vastauksia. Kuitenkin, vaatimustenmukaisuustodisteet harvoin ovat pelkkää tekstiä:

| Todisteen tyyppi | Tyypillinen formaatti | Vaikeus tekstipohjaiselle LLM:lle |
|------------------|-----------------------|-----------------------------------|
| **Arkkitehtuurikaaviot** | PNG, SVG, Visio | Vaatii visuaalista ymmärrystä |
| **Konfiguraatiotiedostot** | YAML, JSON, Terraform | Rakenne, mutta usein monitasoinen |
| **Koodinpätkät** | Java, Python, Bash | Tarvitsee syntaksitietävää poimintaa |
| **Kojelaudan kuvakaappaukset** | JPEG, PNG | Pitää lukea käyttöliittymäelementit, aikaleimat |
| **Taulukot PDF-auditointiraporteissa** | PDF, skannatut kuvat | OCR + taulukkojen jäsentäminen tarvitaan |

Kun kysymys kuuluu *“Tarjoa verkko­kaavio, joka havainnollistaa tietovirran tuotanto- ja varmuuskopioympäristöjesi välillä”*, pelkkä tekstimalli voi vastata vain kuvauksella; se ei pysty löytämään, varmistamaan tai upottamaan todellista kuvaa. Tämä puute pakottaa käyttäjät puuttumaan asiaan, mikä tuo takaisin manuaalisen työn, jonka pyrimme poistamaan.

## 2. Monimodaalisen todisteiden poimintamoottorin arkkitehtuuri

Alla on korkean tason kaavio ehdotetusta moottorista, integroitu Procurizin ydin­kysely‑hubiin.

```mermaid
graph TD
    A["Käyttäjä lähettää kysymyskohteen"] --> B["Kysymysluokittelupalvelu"]
    B --> C["Monimodaalinen hakujärjestelmä"]
    C --> D["Teksti‑vektoritoko (FAISS)"]
    C --> E["Kuva‑upotusvarasto (CLIP)"]
    C --> F["Koodi‑upotusvarasto (CodeBERT)"]
    D --> G["Semanttinen täsmäys (LLM)"]
    E --> G
    F --> G
    G --> H["Todisteiden ranking‑moottori"]
    H --> I["Vaatimustenmukaisuuden metatietojen rikastus"]
    I --> J["Automaattinen liittäminen Procurize‑tehtävään"]
    J --> K["Ihminen‑silmukassa (HITL) tarkistus"]
    K --> L["Audit‑lokimerkintä"]
```

### 2.1 Keskeiset komponentit

1. **Kysymysten luokittelupalvelu** – käyttää hienosäädettyä LLM:ää merkitsemään saapuvat kyselykohteet **todistetyypeillä** (esim. “verkko­kaavio”, “turvallisuuspolitiikan PDF”, “Terraform‑suunnitelma”).
2. **Monimodaalinen hakujärjestelmä** – ohjaa pyynnön sopiviin upotus‑varastoihin luokituksen perusteella.
3. **Upotus‑varastot**  
   - **Teksti‑varasto** – FAISS‑indeksi, joka on rakennettu kaikista politiikkadokumenteista, auditointiraporteista ja markdown‑tiedostoista.  
   - **Kuva‑varasto** – CLIP‑pohjaiset vektorit, jotka on luotu jokaisesta diagrammista, kuvakaappauksesta ja SVG:stä, jotka on tallennettu asiakirjavarastoon.  
   - **Koodi‑varasto** – CodeBERT‑upotukset kaikista lähdekooditiedostoista, CI/CD‑putken konfiguraatioista ja IaC‑mallipohjista.  
4. **Semanttinen täsmäyskerros** – risti­modaalinen transformeri yhdistää kyselyn upotuksen kunkin modaalisuuden vektoreihin, palauttaen järjestetyn listan ehdokkaista.
5. **Todisteiden ranking‑moottori** – käyttää **Generatiivisen Moottorioptimoinnin** heuristiikkaa: ajantasaisuus, versionhallinnan tila, vaatimustenmukaisuustunnisteiden relevanssi ja LLM:n luottamusaste.
6. **Vaatimustenmukaisuuden metatietojen rikastus** – liittää jokaiselle artefaktille SPDX‑lisenssit, auditointiaikaleimat ja tietosuojatunnisteet.
7. **Ihminen‑silmukassa (HITL) varmistus** – Procurizen käyttöliittymä näyttää top‑3‑ehdotukset; tarkastaja voi hyväksyä, korvata tai hylätä.
8. **Audit‑lokimerkintä** – jokainen automaattinen liite tallennetaan kryptografisella tiivisteellä, tarkastajan allekirjoituksella ja AI‑luottamusasteella, täyttäen SOX‑ ja [GDPR](https://gdpr.eu/)‑auditointireitit.

### 2.2 Datan syöttöputki

1. **Crawler** skannaa yrityksen tiedostojakoja, Git‑varastoja, pilvitallennusämpäriä.  
2. **Pre‑processor** suorittaa OCR:n skannattuihin PDF‑tiedostoihin (Tesseract), poimii taulukoita (Camelot) ja muuntaa Visio‑tiedostot SVG:ksi.  
3. **Embedder** tuottaa modaalisuus‑kohtaiset vektorit ja tallentaa ne metatietoineen (tiedostopolku, versio, omistaja).  
4. **Incremental Update** – muutostunnistava mikropalvelu (watchdog) upottaa uudestaan vain muokatut aineistot, pitäen vektorivarastot tuoreina lähes reaaliajassa.

## 3. Generatiivinen moottorioptimointi (GEO) todistusten hakemiseen

**GEO** on järjestelmällinen tapa virittää koko AI‑putkea – ei pelkästään kielimallia – jotta lopullinen KPI (kyselyjen läpimenoaika) paranee säilyttäen vaatimustenmukaisuuden laadun.

| GEO-vaihe | Tavoite | Keskeiset mittarit |
|-----------|---------|---------------------|
| **Data Quality** | Varmistaa, että upotukset heijastavat viimeisintä vaatimustenmukaisuustilannetta | % aineistoista, jotka on päivitetty < 24 h |
| **Prompt Engineering** | Luoda hakukehotteet, jotka ohjaavat mallin oikeaan modaalisuuteen | Hakukehotteen luottamusaste |
| **Model Calibration** | Sovittaa luottamusrajat tarkastajien hyväksymisprosenttien mukaan | Väärien positiivisten osuus < 5 % |
| **Feedback Loop** | Kerätä tarkastajien toiminta parantamaan luokittelua ja ranking‑mallia | Keskimääräinen hyväksymisaika (MTTA) |
| **Continuous Evaluation** | Ajoittaa yöaikaiset A/B‑testit historiallisten kysymysten validointijoukolla | Keskimääräisen vastausajan väheneminen |

### 3.1 Kehoteesimerkki monimodaaliseen hakuun

```text
[QUESTION] Tarjoa viimeisin [SOC 2] Type II -auditointiraportti, joka kattaa levossa olevan datan salauksen.

[CONTEXT] Hae PDF-dokumentti, jossa on relevantti auditointiosio. Palauta dokumentin ID, sivualue ja lyhyt ote.

[MODALITY] text
```

### 3.2 Adaptatiiviset rajat

Käyttäen **Bayesilaista optimointia**, järjestelmä säätää automaattisesti luottamusrajaa kullekin modaalisuudelle. Kun tarkastajat hyväksyvät johdonmukaisesti ehdotukset, joiden luottamus on yli 0,78 kaavioissa, raja nousee, vähentäen tarpeettomia tarkastuspyyntöjä. Vastaavasti, jos koodinpätket saavat paljon hylkäyksiä, raja laskee, jolloin ehdotetaan enemmän mahdollisia artefakteja.

## 4. Loppu‑lähtöesimerkki: Kysymyksestä automaattisesti liitettyyn todistukseen

### 4.1 Kysymys

> *“Liitä kaavio, joka näyttää asiakkaan tiedon kulun sisäänmenosta tallennukseen, mukaan lukien salauskohdat.”*

### 4.2 Vaiheittainen kulku

| Vaihe | Toiminto | Tulokset |
|------|----------|----------|
| 1 | Käyttäjä luo uuden kyselykohteen Procurize‑järjestelmässä. | Kohde‑ID `Q‑2025‑1123`. |
| 2 | Luokittelupalvelu merkitsee kyselyn `evidence_type: network diagram`. | Modaalisuus = **image**. |
| 3 | Hakujärjestelmä lähettää kyselyn CLIP‑kuvavarastoon. | Hakee 12 ehdokkaavektoria. |
| 4 | Semanttinen täsmäyskerros laskee kosinietäisyyden kyselyn upotuksen ja jokaisen vektorin välillä. | Parhaat 3 pistettä: 0,92, 0,88, 0,85. |
| 5 | Ranking‑moottori arvioi ajantasaisuuden (viimeksi muokattu 2 päivää sitten) ja vaatimustenmukaisuustunnisteet (sisältää ”encryption”). | Lopullinen ranking: Kaavio `arch‑data‑flow‑v3.svg`. |
| 6 | HITL‑käyttöliittymä esittää kaavion esikatselun, metatiedot (tekijä, versio, tiiviste). | Tarkastaja painaa **Approve**. |
| 7 | Järjestelmä liittää automaattisesti kaavion `Q‑2025‑1123`‑kyselyyn ja kirjaa auditointimerkinnän. | Audit‑lokissa AI‑luottamus 0,91, tarkastajan allekirjoitus, aikaleima. |
| 8 | Vastausgeneraattorimoduuli laatii kertovan tekstin, jossa viitataan kaavioon. | Valmis vastaus valmis vientiin. |

Kaikkien vaiheiden yhteenlaskettu aika on noin **45 sekuntia**, verrattuna tyypilliseen **15–20 minuuttiin** manuaaliseen hakemiseen.

## 5. Hallinto, turvallisuus ja auditointijälki

Automaattinen todistusten käsittely herättää oikeutettuja huolia:

- **Data Leakage** – Upotuspalveluiden on toimittava **zero‑trust VPC**‑ympäristössä tiukoilla IAM‑rooleilla. Upotuksia ei saa poistua yritysverkosta.  
- **Version Control** – Jokainen artefakti tallennetaan sen **Git‑commit‑tiivisteellä** (tai tallennusobjektin versiolla). Jos asiakirjaa päivitetään, moottori hylkää vanhat upotukset.  
- **Explainability** – Ranking‑moottori lokittaa samankaltaisuusasteet ja kehotusketjun, jolloin vaatimustenmukaisuustarkastajat voivat jäljittää *miksi* tietty tiedosto valittiin.  
- **Regulatory Alignment** – Liittämällä SPDX‑lisenssitunnisteet ja [GDPR](https://gdpr.eu/)‑käsittelykategoriat jokaiseen artefaktiin, ratkaisu täyttää todisteiden alkuperävaatimukset [ISO 27001](https://www.iso.org/standard/27001) liitteen A:lle.  
- **Retention Policies** – Automaattiset puhdistus‑työt poistavat upotukset dokumenteista, jotka ovat organisaation tietojen säilytysaikavälin ulkopuolella, varmistaen ettei vanhentunutta todistusaineistoa säily.

## 6. Tulevaisuuden suuntaukset

### 6.1 Monimodaalinen haku palveluna (RaaS)

Tarjoa hakujärjestelmä **GraphQL‑rajapinnan** kautta, jotta muut sisäiset työkalut (esim. CI/CD‑vaatimustenmukaisuustarkistukset) voivat pyytää todistuksia ilman täyttä kysely‑käyttöliittymää.

### 6.2 Reaaliaikainen säänneltyjen muutosradarin integrointi

Yhdistä monimodaalinen moottori Procurizen **Regulatory Change Radar**‑toimintoon. Kun uusi säädös havaitaan, automaattisesti luokitellaan uudelleen vaikuttavat kysymykset ja käynnistetään tuore todistushaku, jolloin ladatut artefaktit pysyvät noudattavina.

### 6.3 Federatiivinen oppiminen yritysten välillä

SaaS‑toimittajille, jotka palvelevat useita asiakkaita, voidaan lisätä **federatiivinen oppimiskerro**. Tämä jakaa anonymisoituja upotus‑päivityksiä, parantaen hakutarkkuutta paljastamatta omaisuustietoja.

## 7. Yhteenveto

Turvallisuuskyselyt pysyvät edelleen keskeisenä tekijänä toimittajariskien hallinnassa, mutta manuaalinen työ todistusten keräämiseksi ja liittämiseksi on nopeasti muuttumassa kestämättömäksi. Ottamalla käyttöön **monimodaalisen tekoälyn** – tekstin, kuvan ja koodin ymmärtämisen yhdistelmän – Procurize voi muuttaa todistusten poiminnan automatisoiduksi, auditointikelpoiseksi palveluksi. Hyödyntämällä **Generatiivista Moottorioptimointia** varmistetaan, että järjestelmä kehittyy jatkuvasti, yhdenmukaistaen AI‑luottamuksen ihmistarkastajien odotusten ja vaatimustenmukaisuuden vaatimusten kanssa.

Tuloksena on **merkittävä nopeutus** kyselyvastausaikoihin, vähentynyt inhimillinen virhe ja vahvempi auditointijälki — mahdollistaa turvallisuus-, oikeudellisten että myyntitiimien keskittyä strategiseen riskienhallintaan toistuvan asiakirjahaun sijaan.

## <span class='highlight-content'>Katso</span> myös

- [Monimodaalinen haku CLIP‑ ja FAISS‑tekniikalla – kohti skaalautuvaa yrityshakua](https://arxiv.org/abs/2103.00020)  
- [Generatiivinen Moottorioptimointi: Kehys jatkuvaan AI‑parantamiseen](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Zero‑Trust‑arkkitehtuuri AI‑voimautetuille vaatimustenmukaisuusalustoille](https://cloud.google.com/solutions/zero-trust-ai)  
- [ISO 27001 Liite A – Todisteiden hallinnan vaatimukset](https://www.iso.org/standard/73906.html)