
# Adaptivna AI Bank Pitanja Revolucionira Izradu Sigurnosnih Upitnika

Poduzeća danas bore se s sve većom planinom sigurnosnih upitnika—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), C‑5 i desetine prilagođenih procjena dobavljača. Svaka nova regulacija, lansiranje proizvoda ili promjena interne politike može učiniti prethodno valjano pitanje zastarjelim, a timovi i dalje provode sate ručno kurirajući, kontrolirajući verzije i ažurirajući te upitnike.  

**Što ako bi sam upitnik mogao automatski evoluirati?**  

U ovom članku istražujemo **generativno‑AI pogonjen Adaptivni Bank Pitanja (AQB)** koji uči iz regulatornih feedova, prethodnih odgovora i povratnih informacija analitičara kako bi neprestano sintetizirao, rangirao i povlačio stavke upitnika. AQB postaje živi znanstveni resurs koji napaja platforme u stilu Procurize, čineći svaki sigurnosni upitnik svježe izrađenim, savršeno usklađenim razgovorom.

---

## 1. Zašto dinamička banka pitanja je važna

| Problem | Tradicionalno rješenje | AI‑rješenje |
|---------|------------------------|-------------|
| **Regulatorni drift** – novi odjeljci pojavljuju se tromjesečno | Ručni audit standarda, ažuriranje tablica | Usluškivanje regulatornih feedova u stvarnom vremenu, automatsko generiranje pitanja |
| **Duplicirani napor** – više timova ponovno stvara slična pitanja | Centralno spremište s nejasnim označavanjem | Klasteriranje semantičke sličnosti + automatsko spajanje |
| **Zastarjela pokrivenost** – naslijeđena pitanja više ne odgovaraju kontrolama | Periodični ciklusi revizije (često propušteni) | Kontinuirano ocjenjivanje povjerenja i okidači za povlačenje |
| **Trenutak s dobavljačem** – pretjerano generička pitanja uzrokuju preklapanja | Ručna prilagodba po dobavljaču | Prilagođavanje pitanja prema osobi kroz LLM upite |

AQB rješava ove probleme pretvarajući izradu pitanja u **AI‑prvo, podatkovno‑vođeno radno okruženje**, umjesto periodičnog održavanja.

---

## 2. Osnovna arhitektura Adaptivne banke pitanja

```mermaid
graph TD
    A["Regulatory Feed Engine"] --> B["Regulation Normalizer"]
    B --> C["Semantic Extraction Layer"]
    D["Historical Questionnaire Corpus"] --> C
    E["LLM Prompt Generator"] --> F["Question Synthesis Module"]
    C --> F
    F --> G["Question Scoring Engine"]
    G --> H["Adaptive Ranking Store"]
    I["User Feedback Loop"] --> G
    J["Ontology Mapper"] --> H
    H --> K["Procurize Integration API"]
```

*All node labels are wrapped in double quotes as required by the Mermaid specification.*

**Objašnjenje komponenti**

1. **Regulatory Feed Engine** – preuzima najnovije informacije od službenih tijela (npr. **[NIST CSF](https://www.nist.gov/cyberframework)**, EU **[GDPR](https://gdpr.eu/)** portal, **[ISO 27001](https://www.iso.org/standard/27001)**, industrijski konsorci) putem RSS‑a, API‑ja ili web‑scrapinga.  
2. **Regulation Normalizer** – pretvara heterogene formate (PDF, HTML, XML) u jedinstvenu JSON shemu.  
3. **Semantic Extraction Layer** – primjenjuje prepoznavanje imenovanih entiteta (NER) i ekstrakciju odnosa kako bi identificirao kontrole, obveze i faktore rizika.  
4. **Historical Questionnaire Corpus** – postojeća banka odgovorenih pitanja, anotirana s verzijom, ishodom i sentimentom dobavljača.  
5. **LLM Prompt Generator** – sastavlja few‑shot upite koji instruiraju veliki jezični model (npr. Claude‑3, GPT‑4o) da proizvede nova pitanja usklađena s otkrivenim obvezama.  
6. **Question Synthesis Module** – prima sirovi LLM‑izlaz, provodi post‑obradu (gramatičke provjere, validaciju pravnih termina) i pohranjuje kandidatska pitanja.  
7. **Question Scoring Engine** – ocjenjuje svaki kandidat po **relevantnosti**, **novosti**, **jasnoći** i **utjecaju na rizik** koristeći kombinaciju pravila i treniranog modela rangiranja.  
8. **Adaptive Ranking Store** – pohranjuje top‑k pitanja po regulatornom području, osvježeno dnevno.  
9. **User Feedback Loop** – bilježi prihvaćanje revizora, udaljenost uređivanja i kvalitetu odgovora kako bi fino podesio model ocjenjivanja.  
10. **Ontology Mapper** – povezuje generirana pitanja s internim taksonomijama kontrola (npr. **[NIST CSF](https://www.nist.gov/cyberframework)**, COSO) za downstream mapiranje.  
11. **Procurize Integration API** – izlaže AQB kao uslugu koja može automatski popunjavati obrasce upitnika, predlagati dodatna pitanja ili upozoravati timove na manjak pokrivenosti.

---

## 3. Od feed-a do pitanja: Cjevovod generiranja

### 3.1 Uzimanje regulatornih promjena
- **Frekvencija:** Kontinuirano (push putem webhook‑a kad je dostupan, pull svakih 6 sati inače).  
- **Transformacija:** OCR za skenirane PDF‑ove → ekstrakcija teksta → tokenizacija neovisna o jeziku.  
- **Normalizacija:** Mapiranje na kanonski objekt “Obveza” s poljima `section_id`, `action_type`, `target_asset`, `deadline`.

### 3.2 Inženjering upita za LLM
Koristimo **predložak‑bazirani upit** koji balansira kontrolu i kreativnost:

```
You are a compliance architect drafting a security questionnaire item.
Given the following regulatory obligation, produce a concise question (≤ 150 characters) that:
1. Directly tests the obligation.
2. Uses plain language suitable for technical and non‑technical respondents.
3. Includes an optional “evidence type” hint (e.g., policy, screenshot, audit log).

Obligation: "<obligation_text>"
```

Primjeri few‑shot demonstriraju stil, ton i vrstu dokaza, usmjeravajući model da izbjegne pravni žargon, a zadrži preciznost.

### 3.3 Provjere nakon obrade
- **Zaštita pravnih termina:** Rječnik filtrira nedopuštene izraze (npr. “shall” u pitanjima) i predlaže alternative.  
- **Filtar dupliciranja:** Usporedba ugrađenih vektora (cosine > 0.85) pokreće prijedlog spajanja.  
- **Ocjena čitljivosti:** Flesch‑Kincaid < 12 kako bi sadržaj bio pristupačan širokom auditoriju.

### 3.4 Ocjenjivanje i rangiranje
**Gradient‑boosted decision tree** model izračunava složenu ocjenu:

```
Score = 0.4·Relevance + 0.3·Clarity + 0.2·Novelty - 0.1·Complexity
```

Podaci za treniranje čine povijesna pitanja označena od strane sigurnosnih analitičara (visoka, srednja, niska). Model se ponovno trenira tjedno koristeći najnovije povratne informacije.

---

## 4. Personalizacija pitanja za osobnosti

Različiti dionici (npr. CTO, DevOps inženjer, pravni savjetnik) zahtijevaju drugačiji jezik. AQB koristi *osobnost‑ugrađene vektore* za moduliranje LLM‑izlaza:

- **Tehnička osobnost:** Naglašava detalje implementacije, traži poveznice na artefakte (npr. logove CI/CD pipelinea).  
- **Izvršna osobnost:** Fokusira se na upravljanje, izjave politika i metrike rizika.  
- **Pravna osobnost:** Traži ugovorne klauzule, revizijske izvještaje i certifikate usklađenosti.

Jednostavan **soft‑prompt** koji opisuje osobnost dodaje se ispred glavnog upita, rezultirajući pitanjem koje „osjeća“ da je namijenjeno određenom primatelju.

---

## 5. Stvarne prednosti

| Mjerilo | Prije AQB (ručno) | Nakon AQB (18 mj.) |
|---------|-------------------|--------------------|
| **Prosječno vrijeme ispunjavanja upitnika** | 12 sati po dobavljaču | 2 sata po dobavljaču |
| **Potpunost pokrivenosti pitanja** | 78 % (mjereno mapiranjem kontrola) | 96 % |
| **Broj dupliciranih pitanja** | 34  po upitniku | 3  po upitniku |
| **NPS zadovoljstva analitičara** | 32 | 68 |
| **Incidencije regulatornog drifta** | 7  godišnje | 1  godišnje |

*Podaci su iz studije slučaja SaaS‑platforme koja pokriva 300 dobavljača u tri industrijske vertikale.*

---

## 6. Implementacija AQB-a u vašoj organizaciji

1. **Upoznavanje podataka** – Izvezite postojeću banku upitnika (CSV, JSON ili putem Procurize API‑ja). Uključite povijest verzija i poveznice na dokaze.  
2. **Pretplata na regulatorne feedove** – Registrirajte se za najmanje tri glavna feeda (npr. **[NIST CSF](https://www.nist.gov/cyberframework)**, **[ISO 27001](https://www.iso.org/standard/27001)**, EU **[GDPR](https://gdpr.eu/)**) kako biste osigurali širok spektar.  
3. **Odabir modela** – Odaberite hostani LLM s poduzećnim SLA‑om. Za on‑premise potrebe razmotrite otvoreni model (LLaMA‑2‑70B) dodatno fino podešen na tekstove usklađenosti.  
4. **Integracija povratnih informacija** – Implementirajte lagani UI widget unutar uređivača upitnika koji revizorima omogućuje **Prihvati**, **Uredi** ili **Odbaci** AI‑generirane prijedloge. Zabilježite te događaje za kontinuirano učenje.  
5. **Upravljanje** – Osnujte **Upravni odbor za održavanje banke pitanja** sastavljen od predstavnika usklađenosti, sigurnosti i proizvoda. Odbor pregledava ključna povlačenja i odobrava nove regulatorne mape na tromjesečnoj osnovi.

---

## 7. Budući smjerovi

- **Fuzija regulatora:** Korištenje **graf‑znanja** za mapiranje ekvivalentnih obveza kroz više standarda, omogućujući jedinstveno generirano pitanje da zadovoljava više okvira.  
- **Višejezična ekspanzija:** Uparivanje AQB‑a s **neuronalnim slojem strojnog prevođenja** kako bi se pitanja ispravljala na 12 + jezika, uz poštivanje lokalnih nijansi usklađenosti.  
- **Prediktivni regulatorni radar:** Model vremenskih serija koji prognozira nadolazeće regulatorne trendove, potičući AQB da *preventivno* generira pitanja za još neizrečene klauzule.

---

## Pogledajte također

---