
# AI‑potpuna adaptivna sinteza politika za automatsko ispunjavanje upitnika u stvarnom vremenu

## Uvod

Sigurnosni upitnici, revizije usklađenosti i procjene rizika dobavljača postali su svakodnevna uska grla za SaaS tvrtke. Tradicionalni radni tokovi oslanjaju se na ručno kopiranje‑i‑zalijepanje iz repozitorija politika, gimnastiku verzijskog kontroliranja i beskrajnu komunikaciju s pravnim timovima. Trošak je mjeren: dugi prodajni ciklusi, povećani pravni izdaci i veći rizik od nekonzistentnih ili zastarjelih odgovora.

**Adaptivna sinteza politika (APS)** preoblikuje ovaj proces. Umjesto da politike tretira kao statične PDF‑ove, APS unosi cijelu bazu znanja o politikama, pretvara je u strojno čitljiv graf i spaja taj graf s generativnim AI slojem sposbnim proizvesti kontekstualno‑osviještene, regulativno usklađene odgovore na zahtjev. Rezultat je *odgovor‑motor u stvarnom vremenu* koji može:

* Generirati potpuno citiran odgovor u sekundi.  
* Održavati odgovore sinkronizirane s najnovijim promjenama politika.  
* Pružiti podatke o podrijetlu za revizore.  
* Kontinuirano učiti iz povratnih informacija pregledavatelja.  

U ovom članku istražujemo arhitekturu, ključne komponente, korake implementacije i poslovni učinak APS‑a, te pokazujemo zašto predstavlja sljedeću logičnu evoluciju AI platforme za upitnike tvrtke Procurize.

---

## 1. Temeljni pojmovi

| Koncepcija | Opis |
|------------|------|
| **Graf politika** | Usmjereni, označeni graf koji kodira odjeljke, klauzule, međureferencije i mapiranja na regulatorne kontrole (npr. **[ISO 27001 A.5](https://www.iso.org/standard/27001)**, **[SOC‑2 CC6.1](https://secureframe.com/hub/soc-2/what-is-soc-2)**). |
| **Kontekstualni motor prompta** | Dinamički gradi LLM promptove koristeći graf politika, određeno polje upitnika i sve priložene dokaze. |
| **Sloj spajanja dokaza** | Povlači artefakte (izvještaje skeniranja, logove revizija, mapiranja koda‑politike) i pridodaje ih čvorovima grafa radi trasabilnosti. |
| **Petlja povratnih informacija** | Ljudski pregledavatelji odobravaju ili uređuju generirane odgovore; sustav pretvara izmjene u ažuriranja grafa i fino podučava LLM. |
| **Sinkronizacija u stvarnom vremenu** | Kad god se promijeni dokument politike, cjevovod za otkrivanje promjena osvježava pogođene čvorove i pokreće ponovnu generaciju keširanih odgovora. |

Ovi pojmovi su labavo povezani, ali zajedno omogućuju cjeloviti tijek koji pretvara *statističko* spremište usklađenosti u *živi* generator odgovora.

---

## 2. Arhitektura sustava

Dolje je prikazan visokorazinski Mermaid diagram koji ilustrira protok podataka između komponenti.

```mermaid
graph LR
    A["Policy Repository (PDF, Markdown, Word)"]
    B["Document Ingestion Service"]
    C["Policy Graph Builder"]
    D["Knowledge Graph Store"]
    E["Contextual Prompt Engine"]
    F["LLM Inference Layer"]
    G["Evidence Fusion Service"]
    H["Answer Cache"]
    I["User Interface (Procurize Dashboard)"]
    J["Feedback & Review Loop"]
    K["Continuous Fine‑Tuning Pipeline"]

    A --> B
    B --> C
    C --> D
    D --> E
    E --> F
    G --> F
    F --> H
    H --> I
    I --> J
    J --> K
    K --> F
    K --> D
```

*All node labels are wrapped in double quotes as required for Mermaid syntax.*

### 2.1 Detaljan pregled komponenti

1. **Document Ingestion Service** – Koristi OCR (kada je potrebno), izvlači naslove odjeljaka i pohranjuje sirovi tekst u međuspremnik.  
2. **Policy Graph Builder** – Primjenjuje kombinaciju rule‑based parsera i LLM‑asistirane ekstrakcije entiteta za stvaranje čvorova (`"Section 5.1 – Data Encryption"`) i veza (`"references"`, `"implements"`).  
3. **Knowledge Graph Store** – Instanca Neo4j ili JanusGraph s ACID jamstvima, izlaže Cypher / Gremlin API‑je.  
4. **Contextual Prompt Engine** – Sastavlja promptove poput:  
   > *“Based on policy node “Data Retention – 12 months”, answer the vendor question ‘How long do you retain customer data?’ and cite the exact clause.”*  
5. **LLM Inference Layer** – Postavljen na sigurnom inference endpointu (npr. Azure OpenAI), prilagođen za jezik usklađenosti.  
6. **Evidence Fusion Service** – Dovlači artefakte iz integracija (GitHub, S3, Splunk) i dodaje ih kao fusnote u generirani odgovor.  
7. **Answer Cache** – Pohranjuje generirane odgovore indeksirane po `(question_id, policy_version_hash)` radi trenutnog dohvaćanja.  
8. **Feedback & Review Loop** – Bilježi uređivanja pregledavatelja, mapira diff natrag na ažuriranja grafa i prosljeđuje delta u pipeline za fino podučavanje.

---

## 3. Plan implementacije

| Faza | Prekretnice | Procijenjeni napor |
|------|-------------|--------------------|
| **P0 – Temelji** | • Postaviti cjevovod za unos dokumenata.<br>• Definirati shemu grafa (PolicyNode, ControlEdge).<br>• Popuniti početni graf iz postojećeg skladišta politika. | 4–6 tjedana |
| **P1 – Motor prompta & LLM** | • Izraditi predloške prompta.<br>• Deploy hostiranog LLM‑a (gpt‑4‑turbo).<br>• Integrirati spajanje dokaza za jedan tip dokaza (npr. PDF izvještaji skeniranja). | 4 tjedna |
| **P2 – UI & Keš** | • Proširiti Procurize dashboard s panelom “Live Answer”.<br>• Implementirati keširanje odgovora i prikaz verzije. | 3 tjedna |
| **P3 – Petlja povratnih informacija** | • Zabilježiti uređivanja pregledavatelja.<br>• Automatski generirati diffove grafa.<br>• Pokrenuti noćno fino podučavanje na prikupljenim izmjenama. | 5 tjedana |
| **P4 – Sinkronizacija u stvarnom vremenu** | • Povezati alate za autoriranje politika (Confluence, Git) na webhook za otkrivanje promjena.<br>• Automatski poništavati zastarjele keširane odgovore. | 3 tjedna |
| **P5 – Skaliranje & Upravljanje** | • Migrirati graf bazu u klasterirani modus.<br>• Dodati RBAC za prava uređivanja grafa.<br>• Provesti sigurnosni audit LLM endpointa. | 4 tjedna |

Ukupno, **12‑mjesecni** vremenski okvir donosi proizvodno spreman APS motor na tržište, s inkrementalnom vrijednošću isporučenom nakon svake faze.

---

## 4. Poslovni učinak

| Metrička jedinica | Prije APS | Nakon APS (6 mjeseci) | Δ % |
|-------------------|-----------|------------------------|-----|
| **Prosječno vrijeme generiranja odgovora** | 12 minuta (ručno) | 30 sekundi (AI) | ‑96 % |
| **Incidenti s odstupanjem politike** | 3 po kvartalu | 0,5 po kvartalu | ‑83 % |
| **Napori pregledavatelja (sati po upitniku)** | 4 h | 0,8 h | ‑80 % |
| **Stopa prolaza revizije** | 92 % | 98 % | +6 % |
| **Smanjenje prodajnog ciklusa** | 45 dana | 32 dana | ‑29 % |

Ovi podaci potječu iz ranih pilot programa s tri srednje‑velike SaaS tvrtke koje su usvojile APS na vrhu postojeće Procurize platforme za upitnike.

---

## 5. Tehnički izazovi i ublažavanje

| Izazov | Opis | Ublažavanje |
|--------|------|-------------|
| **Ambiguitet politika** | Pravni jezik može biti nejasan, što uzrokuje halucinacije LLM‑a. | Koristiti *dvostruku provjeru*: LLM generira odgovor **i** deterministički validator provjerava reference klauzula. |
| **Ažuriranja regulatora** | Nove regulative (npr. **[GDPR](https://gdpr.eu/)**‑2025) pojavljuju se često. | Cjevovod za sinkronizaciju u stvarnom vremenu parsira javne feedove regulatora (npr. RSS **[NIST CSF](https://www.nist.gov/cyberframework)**) i automatski stvara nove kontrolne čvorove. |
| **Privatnost podataka** | Artefakti dokaza mogu sadržavati osobne podatke. | Primijeniti **homomorfno šifriranje** za pohranu artefakata; LLM prima samo šifrirane embedinge. |
| **Drift modela** | Previše fino podučavanje na internim povratnim informacijama može smanjiti generalizaciju. | Održavati *shadow model* treniran na širem skupu podataka usklađenosti i periodično ga evaluirati naspram primarnog modela. |
| **Objašnjivost** | Revizori zahtijevaju podrijetlo odgovora. | Svaki odgovor uključuje blok citata politika i vizualizaciju „heatmap“ dokaza prikazanu u UI‑ju. |

---

## 6. Buduća proširenja

1. **Fuzija međuregulatornih grafova** – Spojiti **[ISO 27001](https://www.iso.org/standard/27001)**, **SOC‑2** i industrijske okvire u jedinstveni multi‑tenant graf, omogućujući *jednim klikom* mapiranje usklađenosti.  
2. **Federativno učenje za multi‑tenant privatnost** – Trenirati LLM na anonimiziranim povratnim informacijama više klijenata bez centralizacije sirovih podataka, čuvajući povjerljivost.  
3. **Glasovni asistent** – Omogućiti sigurnosnim pregledavateljima postavljanje pitanja glasom; sustav vraća govorne odgovore s klikabilnim citatima.  
4. **Prediktivne preporuke politika** – Korištenjem analize trendova iz prošlih upitnika, motor predlaže ažuriranja politika *prije* nego što ih revizori zatraže.

---

## 7. Kako započeti s APS‑om na Procurize

1. **Učitajte politike** – Povucite i ispustite sve dokumente politika u karticu “Policy Vault”. Usluga unosa automatski će ih ekstraktirati i verzionirati.  
2. **Mapirajte kontrole** – Upotrijebite vizualni editor grafa za povezivanje odjeljaka politika s poznatim standardima. Ugradjene mapiranja za **ISO 27001**, **SOC‑2** i **GDPR** su uključena.  
3. **Konfigurirajte izvore dokaza** – Povežite svoj CI/CD spremište artefakata, skenere ranjivosti i DLP logove.  
4. **Omogućite generiranje u stvarnom vremenu** – Uključite prekidač “Adaptive Synthesis” u Settings. Sustav će početi odmah odgovarati na nova polja upitnika.  
5. **Pregledajte i podučavajte** – Nakon svakog ciklusa upitnika, odobrite generirane odgovore. Petlja povratnih informacija automatski će podučavati model i ažurirati graf.

---

## 8. Zaključak

Adaptivna sinteza politika transformira krajolik usklađenosti iz **reaktivnog** procesa—trčanja za dokumentima i kopiranja—u **proaktivni**, podatkovno‑vođeni motor. Spojom bogato strukturiranog znanja u grafu i generativne AI‑tehnologije, Procurize isporučuje trenutne, revizorske‑provjerljive odgovore, jamčeći da svaki odgovor odražava najnoviju verziju politike.

Poduzeća koja usvoje APS mogu očekivati brže prodajne cikluse, niže pravne troškove i jače rezultate revizija, dok oslobode sigurnosne i pravne timove da se usredotoče na strateško upravljanje rizicima umjesto na repetitivnu papirologiju.

**Budućnost automatizacije upitnika nije samo “automatizacija”. To je *inteligentna, kontekstualna sinteza* koja raste zajedno s vašim politikama.** 

--- 

## Vidi također

- NIST Cybersecurity Framework – Official Site: https://www.nist.gov/cyberframework  
- ISO/IEC 27001 – Information Security Management: https://www.iso.org/isoiec-27001-information-security.html  
- SOC 2 Compliance Guide – AICPA (reference material)  
- Procurize Blog – “AI‑potpuna adaptivna sinteza politika za automatsko ispunjavanje upitnika u stvarnom vremenu” (ovaj članak)