
# Adaptivni sloj AI orkestracije za generiranje upitnika za dobavljače u stvarnom vremenu

Upitnici dobavljača — bilo da se radi o [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) potvrđivanju, [ISO 27001](https://www.iso.org/standard/27001) zahtjevima za dokazivanje ili prilagođenim procjenama sigurnosnih rizika — postali su usko grlo za brzo rastuće SaaS tvrtke. Timovi provode bezbroj sati kopirajući i lijepeći odlomke politika, tražeći “pravi” dokaz i ručno ažurirajući odgovore kako standardi evoluiraju. **Adaptivni sloj AI orkestracije (AAOL)** rješava ovaj problem pretvarajući statični repozitorij politika i dokaza u živu, samoooptimalizirajuću jedinicu koja može **razumjeti**, **usmjeravati**, **sintetizirati** i **audirati** odgovore na upitnike u stvarnom vremenu.

> **Ključno obećanje:** Odgovorite na bilo koji upitnik dobavljača u sekundi, zadržite nepromjenjivi audit trail i neprestano poboljšavajte kvalitetu odgovora kroz povratne petlje.

---

## Sadržaj
1. [Zašto tradicionalna automatizacija zaostaje](#zašto-tradicionalna-automatizacija-zaostaje)  
2. [Osnovne komponente AAOL‑a](#osnovne-komponente-aaol-a)  
   - Motor ekstrakcije namjere  
   - Graf znanja za dokaze  
   - Dinamičko usmjeravanje i orkestracija  
   - Audibilna generacija i traga‑povezanost  
3. [Kako AAOL funkcionira od kraja do kraja](#kako-aaol-funkcionira-od-kraja-do-kraja)  
4. [Mermaid dijagram toka orkestracije](#mermaid-dijagram)  
5. [Plan implementacije za SaaS timove](#plan-implementacije)  
6. [Performanse i ROI](#performanse-i-roi)  
7. [Najbolje prakse i sigurnosni aspekti](#najbolje-prakse)  
8. [Budući plan: od reaktivne do prediktivne usklađenosti](#budući-plan)  

---

## Zašto tradicionalna automatizacija zaostaje {#zašto-tradicionalna-automatizacija-zaostaje}

| Problem | Konvencionalni pristup | Ograničenje |
|---------|-----------------------|-------------|
| **Statični predlošci** | Pre‑ispunjeni Word/Google Docs | Zastarjeli; zahtijevaju ručna ažuriranja kad god se kontrola promijeni |
| **Mapiranje temeljeno na pravilima** | Regex ili pretraga po ključnim riječima | Loš odziv na dvosmislene formulacije; krhko pri pomaku regulatornog jezika |
| **Jednokratno dohvaćanje** | Pretraga dokaza | Bez kontekstualne svijesti, duplikati odgovora i neujednačeni format |
| **Nedostatak petlje učenja** | Ručne naknadne ispravke | Nema automatskog poboljšanja; znanje propada s vremenom |

Glavni problem je **gubitak konteksta** — sustav ne razumije semantičku namjeru iza pitanja upitnika, niti se prilagođava novim dokazima ili revizijama politika bez ljudske intervencije.

---

## Osnovne komponente AAOL‑a {#osnovne-komponente-aaol-a}

### 1. Motor ekstrakcije namjere
- **Tehnika:** Multi‑modalni transformer (npr. **RoBERTa‑XLM‑R**) fino podešen na kuriranoj korpusi stavki sigurnosnih upitnika.  
- **Izlazi:**  
  - *ID kontrole* (npr. `ISO27001:A.12.1`)  
  - *Kontekst rizika* (npr. “enkripcija podataka u prijenosu”)  
  - *Stil odgovora* (narativ, kontrolna lista ili matrica)

### 2. Graf znanja za dokaze
- **Struktura:** Čvorovi predstavljaju *klauzule politika*, *reference artefakata* (npr. izvještaj o penetracijskom testu) i *regulatorne citate*. Rubovi kodiraju odnose *“podupire”*, *“konfliktira s”* i *“derivirano iz”*.  
- **Pohrana:** Neo4j s ugrađenim verzioniranjem, omogućujući *upite kroz vrijeme* (koji dokaz je postojao na određenom datumu revizije).

### 3. Dinamičko usmjeravanje i orkestracija
- **Orkestrator:** Lagani **Argo‑Workflow** kontroler koji sastavlja mikro‑usluge prema signalima namjere.  
- **Odluke o usmjeravanju:**  
  - **Jednostavan odgovor** → Povuci izravno iz graf‑znanja.  
  - **Kompozitni odgovor** → Pokreni **Retrieval‑Augmented Generation (RAG)** gdje LLM prima dohvaćene odlomke dokaza kao kontekst.  
  - **Čovjek u petlji** → Ako je povjerenje < 85 %, proslijedi revizoru uz predloženi nacrt.

### 4. Audibilna generacija i traga‑povezanost
- **Policy‑as‑Code:** Odgovori se emitiraju kao **Signed JSON‑LD** objekti, ugradivši SHA‑256 hash izvornog dokaza i prompta modela.  
- **Neizmjenjivi log:** Svi događaji generacije streamaju se u *append‑only* **Kafka** temu, kasnije arhiviraju se u **AWS Glacier** za dugoročnu reviziju.

---

## Kako AAOL funkcionira od kraja do kraja {#kako-aaol-funkcionira-od-kraja-do-kraja}

1. **Uzimanje pitanja** – Dobavljač učita PDF/CSV upitnik; platforma ga parsira putem OCR‑a i pohranjuje svaku stavku kao *record pitanja*.  
2. **Detekcija namjere** – Motor ekstrakcije klasificira stavku, vraćajući skup *kandidatskih kontrola* i *score povjerenja*.  
3. **Upit graf‑znanja** – Uz ID‑ove kontrola, Cypher upit dohvaća najnovije čvorove dokaza, poštujući vremenske ograničenja.  
4. **RAG fuzija (ako je potrebno)** – Za narativne odgovore, RAG cijev spaja dohvaćene dokaze u prompt za generativni model (npr. **Claude‑3**). Model vraća nacrt odgovora.  
5. **Ocjenjivanje povjerenja** – Pomoćni klasifikator procjenjuje nacrt; rezultati ispod praga aktiviraju *zadatak revizije* koji se pojavljuje na ploči tima.  
6. **Potpisivanje i pohrana** – Finalni odgovor, zajedno s lančanim hash‑om dokaza, potpisuje se privatnim ključem organizacije i pohranjuje u *Answer Vault*.  
7. **Petlja povratne informacije** – Povratna informacija revizora (prihvaćeno/odbijeno, uređivanje) vraća se u petlju pojačnog učenja, ažurirajući i model namjere i RAG težine.

---

## Mermaid dijagram toka orkestracije {#mermaid-dijagram}

```mermaid
graph LR
    A["Vendor Questionnaire Upload"] --> B["Parse & Normalize"]
    B --> C["Intent Extraction Engine"]
    C -->|High Confidence| D["Graph Evidence Lookup"]
    C -->|Low Confidence| E["Route to Human Reviewer"]
    D --> F["RAG Generation (if narrative)"]
    F --> G["Confidence Scoring"]
    G -->|Pass| H["Sign & Store Answer"]
    G -->|Fail| E
    E --> H
    H --> I["Audit Log (Kafka)"]
```

*All node labels are wrapped in double quotes as required.*  

---

## Plan implementacije za SaaS timove {#plan-implementacije}

### Faza 1 – Temelj podataka
1. **Konsolidacija politika** – Izvezite sve sigurnosne politike, izvještaje testova i certifikate trećih strana u strukturirani JSON shemu.  
2. **Uvoz u graf** – Učitajte JSON u Neo4j koristeći *Policy‑to‑Graph* ETL skriptu.  
3. **Verzija** – Označite svaki čvor s `valid_from` / `valid_to` vremenskim oznakama.

### Faza 2 – Trening modela
- **Kreiranje skupa podataka:** Skupite javne sigurnosne upitnike (SOC 2, ISO 27001, CIS Controls) i anotirajte ih ID‑ovima kontrola.  
- **Fino podešavanje:** Koristite Hugging Face Trainer s *mixed‑precision* postavkama na AWS p4d instanci.  
- **Evaluacija:** Cilj > 90 % F1 na ekstrakciji namjere kroz tri regulatorna domena.

### Faza 3 – Postavka orkestracije
- Implementirajte **Argo‑Workflow** na Kubernetes klaster.  
- Konfigurirajte **Kafka** topice: `aaol-requests`, `aaol-responses`, `aaol-audit`.  
- Postavite **OPA** politike koje reguliraju tko može odobriti odgovore s niskim povjerenjem.

### Faza 4 – UI/UX integracija
- Ugradite **React** widget u postojeći dashboard koji prikazuje *preview odgovora u stvarnom vremenu*, indikator povjerenja i gumb *“Request Review”*.  
- Dodajte prekidač “*Generate with Explainability*” koji prikazuje dohvaćene čvorove grafa za svaki odgovor.

### Faza 5 – Monitoring i kontinuirano učenje
| Metrička | Cilj |
|----------|------|
| Prosječno vrijeme odgovora (MTTA) | < 30 sekundi |
| Stopa prihvaćenih automatskih odgovora | > 85 % |
| Latencija audit‑loga | < 5 sekundi |
| Detekcija drifta modela (kosinusna sličnost embeddinga) | < 0.02 % mjesečno |

- Koristite **Prometheus** alarme za regresiju ocjena povjerenja.  
- Zakazujte tjedni posao finog podešavanja koristeći nova označena revizorska povratna informacija.

---

## Performanse i ROI {#performanse-i-roi}

| Scenarij | Ručni proces | AAOL automatizirano |
|----------|--------------|----------------------|
| Prosječna veličina upitnika (30 stavki) | 4 sata (≈ 240 min) | 12 minuta |
| Potrošnja čovjek‑sati po stavci | 5 min | 0,8 min (samo revizija po potrebi) |
| Latencija dohvaćanja dokaza | 2 min po zahtjevu | < 500 ms |
| Auditable trail | Ručni Excel log (sklon greškama) | Neizmjenjivi signed JSON‑LD (kriptografski provjerljivo) |

**Primjer ROI:** Srednje‑velika SaaS tvrtka (≈ 150 upitnika godišnje) uštedjela je **≈ 600 radnih sati** compliance‑a, što se pretvara u **≈ 120 000 USD** smanjenje operativnih troškova, uz istovremeno skraćenje prodajnih ciklusa za prosječno 10 dana.

---

## Najbolje prakse i sigurnosni aspekti {#najbolje-prakse}
1. **Zero‑Trust integracija** – Nametnite međusobni TLS između orkestratora i graf‑znanja.  
2. **Diferencijalna privatnost** – Prilikom treniranja na revizorskim izmjenama, dodajte šum kako biste spriječili curenje osjetljivih odluka.  
3. **Uloga‑bazirani pristup (RBAC)** – Ograničite mogućnost *potpisivanja* na senior compliance oficire.  
4. **Periodični re‑validacijski zadaci** – Tjedni posao koji ponovno hash‑ira pohranjene artefakte i detektira manipulacije.  
5. **Objašnjivost** – Prikazujte tooltip “*Zašto ovaj odgovor?*” koji navodi podržavajuće čvorove grafa i prompt LLM‑a.

---

## Budući plan: od reaktivne do prediktivne usklađenosti {#budući-plan}
- **Prediktivno predviđanje regulatornih promjena** – Trenirajte model vremenskih serija na logovima promjena regulative (npr. [NIST CSF](https://www.nist.gov/cyberframework)) kako biste anticipirali nove stavke upitnika prije njihovog pojavljivanja.  
- **Federativni graf‑znanja** – Omogućite partnerima da doprinose anonimnim čvorovima dokaza, stvarajući *zajednički ekosustav usklađenosti* bez otkrivanja proprijetarnog sadržaja.  
- **Samopopravljajući predlošci** – Kombinirajte pojačano učenje s diffs verzija da automatski prepravljate predložak upitnika čim kontrola bude povučena iz uporabe.  
- **Generativna sinteza dokaza** – Upotrijebite diffusion modele za generiranje zamjenskih artefakata (npr. anonimizirani log‑snippeti) kad stvarni dokaz ne smije biti dijeljen zbog povjerljivosti.

---

### Zaključna misao
Adaptivni sloj AI orkestracije pretvara funkciju compliance‑a iz **reaktivnog uskog grla** u **strateškog akceleratora**. Ujedinjenjem ekstrakcije namjere, graf‑vođenog dohvaćanja dokaza i generacije svjesne povjerenja pod jedinstvenim, audit‑spremnim radnim tokom, SaaS poduzeća mogu konačno odgovarati na upitnike dobavljača brzinom modernog poslovanja, uz očuvanje rigorozne sigurnosne integriteta.