
# Ekstrakcija kontekstualnih dokaza uz pomoć AI‑a za sigurnosna pitanja u stvarnom vremenu

## Uvod  

Svaki B2B SaaS dobavljač poznaje bolni ritam ciklusa sigurnosnih upitnika: klijent pošalje PDF od 70 stranica, tim za usklađenost juri pronaći politike, povezuje ih s traženim kontrolama, sastavlja narativne odgovore i na kraju dokumentira svaku referencu dokaza. Prema anketi **Vendor Risk Management** iz 2024., **68 % timova provodi više od 10 sati po upitniku**, a **45 % priznaje pogreške u povezivanju dokaza**.  

Procurize rješava ovaj problem jednim AI‑pogonjenim motorom koji **ekstrahira kontekstualne dokaze** iz spremišta politika tvrtke, usklađuje ih s taksonomijom upitnika i **generira spreman za pregled odgovor** u sekunde. Ovaj članak detaljno razmatra tehnološki skup, arhitekturu i praktične korake za organizacije spremne usvojiti rješenje.

## Glavni izazov  

1. **Fragmentirani izvori dokaza** – Politike, revizijski izvještaji, konfiguracijske datoteke i tiketi nalaze se u različitim sustavima (Git, Confluence, ServiceNow).  
2. **Semantička praznina** – Kontrole upitnika (npr. „enkripcija podataka u mirovanju“) često koriste jezik koji se razlikuje od interne dokumentacije.  
3. **Audibilnost** – Tvrtke moraju dokazati da određeni dokaz podupire svaki zahtjev, najčešće putem hiperveze ili ID‑a reference.  
4. **Regulatorna brzina** – Nove regulative (npr. ISO 27002‑2025) skraćuju vremenski okvir za ručna ažuriranja.

Tradicionalno pravilo‑temeljeno mapiranje može se nositi samo s statičkim dijelom ovog problema; ne uspijeva kada se pojavi nova terminologija ili kad se dokaz nalazi u nestrukturiranim formatima (PDF‑i, skenirani ugovori). Tu dolaze **retrieval‑augmented generation (RAG)** i **graf‑temeljeno semantičko rasuđivanje**.

## Kako Procurize to rješava  

### 1. Jedinstveni graf znanja  

Svi artefakti usklađenosti unose se u **graf znanja** gdje svaki čvor predstavlja dokument, klauzulu ili kontrolu. Rubovi bilježe odnose poput *„covers“* (pokriva), *„derived‑from“* (izvedeno‑iz) i *„updated‑by“* (ažurirao). Graf se neprekidno osvježava pomoću događajima‑vođenih cjevovoda (Git push, Confluence webhook, S3 upload).

### 2. Retrieval‑Augmented Generation  

Kad stigne stavka upitnika, motor radi sljedeće:

1. **Semantičko pretraživanje** – Model gustoće ugrađivanja (npr. **E5‑large**) pretražuje graf za top‑k čvorova čiji sadržaj najbolje odgovara opisu kontrole.  
2. **Izgradnja kontekstualnog prompta** – Dohvaćeni isječci se spajaju s **system promptom** koji definira željeni stil odgovora (koncizan, s poveznicama na dokaze, usmjeren na usklađenost).  
3. **Generiranje LLM‑om** – Fino‑namjenski LLM (npr. **Mistral‑7B‑Instruct**) proizvede draft odgovora, umetajući rezervirane oznake za svaku referencu dokaza (npr. `[[EVIDENCE:policy-1234]]`).  

### 3. Motor za atribuciju dokaza  

Rezervirane oznake razrješava **validator svjestan grafa**:

- Potvrđuje da svaki citirani čvor **pokrije** točnu pod‑kontrolu.  
- Dodaje metapodatke (verzija, datum posljednjeg pregleda, vlasnik) u odgovor.  
- Upisuje nepromjenjivi unos u **append‑only ledger** (koristeći tamper‑evident storage bucket).

### 4. Suradnja u stvarnom vremenu  

Draft se smješta u Procurize‑ovo UI gdje recenzenti mogu:

- Prihvatiti, odbiti ili urediti poveznice na dokaze.  
- Dodati komentare koji se pohranjuju kao rubovi (`comment‑on`) u graf, obogaćujući buduća pretraživanja.  
- Pokrenuti akciju **push‑to‑ticket** koja otvara Jira tiket za svaki nedostajući dokaz.

## Pregled arhitekture  

Dolje je visokorazinski Mermaid dijagram koji prikazuje tok podataka od ingestije do isporuke odgovora.

```mermaid
graph TD
    A["Izvori podataka<br/>PDF, Git, Confluence, ServiceNow"] -->|Ingestija| B["Cjevovod vođen događajima"]
    B --> C["Jedinstveni graf znanja"]
    C --> D["Motor semantičkog pretraživanja"]
    D --> E["Graditelj prompta"]
    E --> F["Fino‑namjenski LLM (RAG)"]
    F --> G["Draft odgovora s rezervnim oznakama"]
    G --> H["Validator atribucije dokaza"]
    H --> I["Neprerazmjenjivi audit ledger"]
    I --> J["Procurize UI / Suradnički hub"]
    J --> K["Izvoz u vendor upitnik"]
```

### Ključne komponente  

| Komponenta | Tehnologija | Uloga |
|------------|--------------|-------|
| Engine za ingestiju | Apache NiFi + AWS Lambda | Normalizira i streama dokumente u graf |
| Graf znanja | Neo4j + AWS Neptune | Pohranjuje entitete, relacije i verzijske metapodatke |
| Model za pretraživanje | Sentence‑Transformers (E5‑large) | Generira guste vektore za semantičko pretraživanje |
| LLM | Mistral‑7B‑Instruct (fino‑namjenski) | Generira prirodni jezik odgovora |
| Validator | Python (NetworkX) + policy‑rules engine | Osigurava relevantnost dokaza i usklađenost |
| Audit ledger | AWS CloudTrail + nepromjenjivi S3 bucket | Omogućuje tamper‑evident logiranje |

## Kvantificirane prednosti  

| Metrika | Prije Procurize | Nakon Procurize | Poboljšanje |
|----------|----------------|----------------|------------|
| Prosječno vrijeme generiranja odgovora | 4 sata (ručno) | 3 minute (AI) | **~98 % brže** |
| Pogreške u povezivanju dokaza | 12 % po upitniku | 0,8 % | **~93 % smanjenje** |
| Timskih sati uštedjenih po kvartalu | 200 h | 45 h | **~78 % smanjenje** |
| Cjelovitost audit traga | Nekonzistentna | 100 % pokrivenost | **Potpuna usklađenost** |

Studija slučaja s fintech SaaS‑om pokazala je **70 % pad** u vremenu zatvaranja vendor revizija, izravno pretvoreno u **povećanje pipeline brzine od 1,2 M $**.

## Plan implementacije  

1. **Katalogizirajte postojeće artefakte** – Upotrijebite Procurize‑ov **Discovery Bot** za skeniranje spremišta i učitavanje dokumenata.  
2. **Definirajte mapiranje taksonomije** – Uskladite interne ID‑ove kontrola s vanjskim okvirima ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/)).  
3. **Fino‑namjestite LLM** – Dostavite 5–10 primjera visokokvalitetnih odgovora s odgovarajućim rezervnim oznakama.  
4. **Konfigurirajte predloške prompta** – Postavite ton, duljinu i obavezne compliance oznake po vrsti upitnika.  
5. **Pokrenite pilot** – Izaberite niskorizični upitnik klijenta, evaluirajte AI‑generirane odgovore i iterirajte pravila validacije.  
6. **Rasporedi organizacijski** – Aktivirajte uloge i dozvole, integrirajte s ticketingom i zakazite periodično pretreniranje modela za pretraživanje.  

## Najbolje prakse  

- **Održavajte svježinu** – Planirajte noćna osvježenja grafa; zastarjeli dokazi dovode do neuspjeha audita.  
- **Čovjek u petlji** – Zahtijevajte od starijeg compliance recenzenta odobrenje svakog odgovora prije izvoza.  
- **Kontrola verzija** – Svaku verziju politike pohranite kao poseban čvor i povežite je s dokazom koji podržava.  
- **Zaštita privatnosti** – Koristite **confidential computing** za obradu osjetljivih PDF‑ova kako biste izbjegli curenje podataka.  

## Smjerovi budućnosti  

- **Zero‑knowledge dokazi za verifikaciju** – Dokazati da dokument zadovoljava kontrolu bez otkrivanja njegovog sadržaja.  
- **Federirano učenje među najmodama** – Dijeliti poboljšanja modela za pretraživanje bez premještanja sirovih dokumenata.  
- **Dinamički regulatorni radar** – Feed‑ovi u stvarnom vremenu iz tijela za standarde automatski pokreću ažuriranja grafa, osiguravajući da se pitanja uvijek odgovaraju prema najnovijim zahtjevima.  

Procurize‑ova kontekstualna ekstrakcija dokaza već mijenja krajolik usklađenosti. Kako sve više organizacija usvaja AI‑prve sigurnosne procese, kompromis između brzine i točnosti nestaje, a **povjerenje** postaje ključni diferencijator u B2B poslovanju.

## Zaključak  

Od fragmentiranih PDF‑ova do živog, AI‑pogonjenog grafa znanja, Procurize pokazuje da **odgovori u stvarnom vremenu, auditable i precizni** na upitnike više nisu futuristička vizija. Korištenjem retrieval‑augmented generation, graf‑bazirane validacije i nepromjenjivih audit zapisa, tvrtke mogu skratiti ručni napor, eliminirati pogreške i ubrzati prihode. Sljedeća valna inovacija u usklađenosti izgradit će se na ovoj osnovi, dodajući kriptografske dokaze i federirano učenje kako bi se stvorio **samoozdravljajući, univerzalno pouzdan ekosustav usklađenosti**.