
# Ekstraksi Bukti AI Multi‑Modal untuk Kuesioner Keamanan

Kuesioner keamanan adalah penjaga pintu setiap kesepakatan B2B SaaS. Vendor diminta menyediakan bukti—PDF kebijakan, diagram arsitektur, potongan kode, log audit, bahkan tangkapan layar dasbor. Secara tradisional, tim keamanan dan kepatuhan menghabiskan **jam‑jam** menelusuri repositori, menyalin file, dan secara manual melampirkannya ke bidang kuesioner. Hasilnya adalah bottleneck yang memperlambat siklus penjualan, meningkatkan kesalahan manusia, dan menciptakan celah audit.

**Procurize** telah membangun platform terpadu yang kuat untuk manajemen kuesioner, penugasan tugas, dan generasi jawaban berbantuan AI. Frontier berikutnya adalah **mengotomatisasi pengumpulan bukti itu sendiri**. Dengan memanfaatkan **AI generatif multi‑modal**—model yang memahami teks, gambar, tabel, dan kode dalam satu pipeline—organisasi dapat segera menampilkan artefak yang tepat untuk setiap item kuesioner, terlepas dari formatnya.

Dalam artikel ini kami akan:

1. Menjelaskan mengapa pendekatan satu‑modalitas (LLM teks murni) tidak memadai untuk beban kerja kepatuhan modern.  
2. Merinci arsitektur mesin ekstraksi bukti multi‑modal yang dibangun di atas Procurize.  
3. Menunjukkan cara melatih, mengevaluasi, dan terus‑meningkatkan sistem dengan teknik **Generative Engine Optimization (GEO)**.  
4. Memberikan contoh konkret end‑to‑end, dari pertanyaan keamanan hingga bukti yang otomatis terlampir.  
5. Membahas tata kelola, keamanan, dan masalah auditabilitas.  

> **Intisari utama:** AI multi‑modal mengubah pengambilan bukti dari tugas manual menjadi layanan yang dapat diulang dan diaudit, memotong waktu penyelesaian kuesioner hingga 80 % sambil tetap menjaga ketelitian kepatuhan.

---

## 1. Batasan LLM Hanya Teks dalam Alur Kerja Kuesioner

Sebagian besar otomatisasi berbasis AI saat ini mengandalkan model bahasa besar (LLM) yang unggul dalam **generasi teks** dan **pencarian semantik**. Mereka dapat menarik klausa kebijakan, merangkum laporan audit, bahkan menulis jawaban naratif. Namun, bukti kepatuhan jarang berupa teks murni:

| Jenis Bukti               | Format Umum                     | Kesulitan untuk LLM Hanya Teks |
|---------------------------|--------------------------------|--------------------------------|
| **Diagram arsitektur**    | PNG, SVG, Visio                | Membutuhkan pemahaman visual |
| **File konfigurasi**      | YAML, JSON, Terraform          | Terstruktur namun sering bersarang |
| **Potongan kode**         | Java, Python, Bash             | Membutuhkan ekstraksi yang sadar sintaks |
| **Tangkapan layar dasbor**| JPEG, PNG                      | Harus membaca elemen UI, stempel waktu |
| **Tabel dalam laporan PDF audit**| PDF, gambar dipindai | OCR + parsing tabel diperlukan |

Ketika sebuah pertanyaan menanyakan *“Berikan diagram jaringan yang menggambarkan aliran data antara lingkungan produksi dan cadangan Anda”*, model hanya‑teks hanya bisa menjawab dengan deskripsi; ia tidak dapat menemukan, memverifikasi, atau menyisipkan gambar sebenarnya. Kesenjangan ini memaksa pengguna untuk campur tangan, sehingga memperkenalkan kembali upaya manual yang ingin dihilangkan.

---

## 2. Arsitektur Mesin Ekstraksi Bukti Multi‑Modal

Berikut adalah diagram tingkat tinggi dari mesin yang diusulkan, terintegrasi dengan pusat kuesioner Procurize.

```mermaid
graph TD
    A["Pengguna mengirim item kuesioner"] --> B["Layanan klasifikasi pertanyaan"]
    B --> C["Orkestrator pengambilan multi‑modal"]
    C --> D["Penyimpanan vektor teks (FAISS)"]
    C --> E["Penyimpanan embedding gambar (CLIP)"]
    C --> F["Penyimpanan embedding kode (CodeBERT)"]
    D --> G["Pencocokan semantik (LLM)"]
    E --> G
    F --> G
    G --> H["Mesin perankingan bukti"]
    H --> I["Enrichment metadata kepatuhan"]
    I --> J["Auto‑lampirkan ke tugas Procurize"]
    J --> K["Verifikasi manusia‑di‑tengah (HITL)"]
    K --> L["Entri log audit"]
```

### 2.1 Komponen Inti

1. **Layanan Klasifikasi Pertanyaan** – Menggunakan LLM yang di‑fine‑tune untuk memberi tag pada item kuesioner yang masuk dengan **tipe bukti** (mis. “diagram jaringan”, “PDF kebijakan keamanan”, “template Terraform”).  
2. **Orkestrator Pengambilan Multi‑Modal** – Mengarahkan permintaan ke penyimpanan embedding yang sesuai berdasarkan klasifikasi.  
3. **Penyimpanan Embedding**  
   * **Teks** – Indeks FAISS yang dibangun dari semua dokumen kebijakan, laporan audit, dan file markdown.  
   * **Gambar** – Vektor berbasis CLIP yang dihasilkan dari setiap diagram, tangkapan layar, dan SVG yang disimpan di repositori dokumen.  
   * **Kode** – Embedding CodeBERT untuk semua file sumber, konfigurasi CI/CD, dan templat IaC.  
4. **Lapisan Pencocokan Semantik** – Transformer lintas‑modal yang menggabungkan embedding kueri dengan vektor tiap modalitas, menghasilkan daftar peringkat artefak kandidat.  
5. **Mesin Perankingan Bukti** – Menerapkan heuristik **Generative Engine Optimization**: kebaruan, status kontrol versi, relevansi tag kepatuhan, dan skor kepercayaan dari LLM.  
6. **Enrichment Metadata Kepatuhan** – Menambahkan lisensi SPDX, stempel waktu audit, dan tag perlindungan data pada tiap artefak.  
7. **Verifikasi Manusia‑di‑tengah (HITL)** – UI di Procurize menampilkan tiga saran teratas; reviewer dapat menyetujui, mengganti, atau menolak.  
8. **Entri Log Audit** – Setiap lampiran otomatis dicatat dengan hash kriptografis, tanda tangan reviewer, dan kepercayaan AI, memenuhi persyaratan audit SOX dan [GDPR](https://gdpr.eu/).

### 2.2 Pipelines Ingestion Data

1. **Crawler** memindai berbagi file perusahaan, repositori Git, bucket penyimpanan cloud.  
2. **Pre‑processor** menjalankan OCR pada PDF yang dipindai (Tesseract), mengekstrak tabel (Camelot), dan mengonversi file Visio ke SVG.  
3. **Embedder** menghasilkan vektor modalitas‑spesifik dan menyimpannya bersama metadata (jalur file, versi, pemilik).  
4. **Pembaruan Inkremental** – Micro‑service deteksi perubahan (watchdog) meng‑embed ulang hanya aset yang dimodifikasi, menjaga penyimpanan vektor tetap segar hampir secara real‑time.

---

## 3. Generative Engine Optimization (GEO) untuk Pengambilan Bukti

**GEO** adalah metode sistematis untuk menyetel seluruh pipeline AI—not hanya model bahasa—sehingga KPI akhir (waktu penyelesaian kuesioner) meningkat sambil menjaga kualitas kepatuhan.

| Fase GEO               | Tujuan                                            | Metrik Kunci                         |
|------------------------|---------------------------------------------------|--------------------------------------|
| **Kualitas Data**      | Memastikan embedding mencerminkan postur kepatuhan terkini | % aset yang diperbarui < 24 jam |
| **Prompt Engineering**| Menyusun prompt pengambilan yang mengarahkan model ke modalitas yang tepat | Skor kepercayaan pengambilan |
| **Kalibrasi Model**    | Menyamakan ambang kepercayaan dengan tingkat penerimaan reviewer | False‑positive < 5 % |
| **Loop Umpan‑Balik**   | Menangkap aksi reviewer untuk fine‑tune klasifikasi & perankingan | Mean time to approve (MTTA) |
| **Evaluasi Kontinu**   | Menjalankan tes A/B malam hari terhadap set validasi historis | Reduksi rata‑rata waktu jawaban |

### 3.1 Contoh Prompt untuk Pengambilan Multi‑Modal

```
[QUESTION] Provide the most recent [SOC 2] Type II audit report covering data encryption at rest.

[CONTEXT] Retrieve a PDF document that includes the relevant audit section. Return the document ID, page range, and a brief excerpt.

[MODALITY] text
```

Orkestrator mem‑parse tag `[MODALITY]` dan hanya men‑query **penyimpanan teks**, mengurangi kebisingan dari vektor gambar atau kode.

### 3.2 Ambang Adaptif

Dengan **Optimisasi Bayesian**, sistem secara otomatis menyesuaikan ambang kepercayaan untuk tiap modalitas. Ketika reviewer konsisten menyetujui saran dengan kepercayaan ≥ 0,78 untuk diagram, ambang naik, mengurangi hits‑to‑review yang tidak perlu. Sebaliknya, jika potongan kode menerima banyak penolakan, ambang turun, memicu lebih banyak kandidat artefak.

---

## 4. Contoh End‑to‑End: Dari Pertanyaan ke Bukti yang Otomatis Terlampir

### 4.1 Pertanyaannya

> *“Lampirkan diagram yang memperlihatkan aliran data pelanggan dari ingest hingga penyimpanan, termasuk titik enkripsi.”*

### 4.2 Alur Langkah‑per‑Langkah

| Langkah | Aksi | Hasil |
|---------|------|-------|
| 1 | Pengguna membuat item kuesioner baru di Procurize. | ID Item `Q‑2025‑1123`. |
| 2 | Layanan klasifikasi menandai kueri sebagai `evidence_type: network diagram`. | Modalitas = **gambar**. |
| 3 | Orkestrator mengirim kueri ke penyimpanan gambar CLIP. | Mengambil 12 vektor kandidat. |
| 4 | Lapisan pencocokan semantik menghitung cosine similarity antara embedding kueri dan tiap vektor. | 3 skor teratas: 0.92, 0.88, 0.85. |
| 5 | Mesin perankingan mengevaluasi kebaruan (dimodifikasi 2 hari lalu) dan tag kepatuhan (mengandung “encryption”). | Ranking final: Diagram `arch‑data‑flow‑v3.svg`. |
| 6 | UI HITL menampilkan diagram dengan preview, metadata (penulis, versi, hash). | Reviewer klik **Approve**. |
| 7 | Sistem otomatis melampirkan diagram ke `Q‑2025‑1123` dan mencatat entri audit. | Log audit menampilkan kepercayaan AI 0.91, tanda tangan reviewer, timestamp. |
| 8 | Modul generasi jawaban menyiapkan narasi yang merujuk pada diagram. | Jawaban selesai siap diekspor. |

Total waktu dari langkah 1 sampai langkah 8 adalah **≈ 45 detik**, dibandingkan **15–20 menit** secara manual.

---

## 5. Tata Kelola, Keamanan, dan Jejak Audit

Mengotomatisasi penanganan bukti menimbulkan kekhawatiran sah:

1. **Kebocoran Data** – Layanan embedding harus dijalankan dalam **VPC zero‑trust** dengan peran IAM yang ketat. Tidak ada embedding yang keluar dari jaringan perusahaan.  
2. **Kontrol Versi** – Setiap artefak disimpan bersama **hash commit Git** (atau versi objek penyimpanan). Jika dokumen diperbarui, embedding lama menjadi tidak valid.  
3. **Keterjelasan (Explainability)** – Mesin perankingan mencatat skor kesamaan dan rantai prompt, memungkinkan pejabat kepatuhan melacak *mengapa* file tertentu dipilih.  
4. **Kesesuaian Regulasi** – Dengan melampirkan identifier lisensi SPDX dan kategori pemrosesan [GDPR](https://gdpr.eu/) pada tiap artefak, solusi memenuhi persyaratan asal bukti untuk [ISO 27001](https://www.iso.org/standard/27001) Annex A.  
5. **Kebijakan Retensi** – Job auto‑purge membersihkan embedding untuk dokumen yang lebih lama dari jendela retensi data organisasi, memastikan tidak ada bukti usang yang tetap ada.

---

## 6. Arah Pengembangan Selanjutnya

### 6.1 Multi‑Modal Retrieval as a Service (RaaS)

Mengekspor orkestrator pengambilan melalui **API GraphQL** sehingga alat internal lain (mis. pemeriksaan kepatuhan CI/CD) dapat meminta bukti tanpa melewati UI kuesioner penuh.

### 6.2 Integrasi Radar Regulasi Real‑Time

Menggabungkan mesin multi‑modal dengan **Regulatory Change Radar** milik Procurize. Saat regulasi baru terdeteksi, sistem otomatis men‑re‑klasifikasi pertanyaan yang terkena dampak dan memicu pencarian bukti segar, memastikan artefak yang di‑upload tetap patuh.

### 6.3 Pembelajaran Federasi antar Perusahaan

Untuk penyedia SaaS yang melayani banyak pelanggan, lapisan **pembelajaran federasi** dapat berbagi pembaruan embedding yang dianonimisasi, meningkatkan kualitas pencarian tanpa mengekspos dokumen proprietari.

---

## 7. Kesimpulan

Kuesioner keamanan akan tetap menjadi pilar manajemen risiko vendor, namun upaya manual untuk mengumpulkan dan melampirkan bukti semakin tak dapat dipertahankan. Dengan mengadopsi **AI multi‑modal**—kombinasi pemahaman teks, gambar, dan kode—Procurize dapat mengubah ekstraksi bukti menjadi layanan yang otomatis, dapat diaudit, dan dapat diulang. Memanfaatkan **Generative Engine Optimization** memastikan sistem terus‑meningkat, menyelaraskan kepercayaan AI dengan ekspektasi reviewer manusia serta mandat kepatuhan.

Hasilnya adalah **percepatan dramatis** waktu respons kuesioner, pengurangan kesalahan manusia, dan jejak audit yang lebih kuat—memberdayakan tim keamanan, hukum, dan penjualan untuk fokus pada mitigasi risiko strategis alih‑alih pencarian dokumen yang berulang‑ulang.

---

## <span class='highlight-content'>Lihat</span> Juga

- [Multi‑Modal Retrieval dengan CLIP dan FAISS – Menuju Pencarian Enterprise yang Skalabel](https://arxiv.org/abs/2103.00020)  
- [Generative Engine Optimization: Kerangka Kerja untuk Perbaikan AI Berkelanjutan](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Arsitektur Zero‑Trust untuk Platform Kepatuhan Berbasis AI](https://cloud.google.com/solutions/zero-trust-ai)  
- [ISO 27001 Annex A – Persyaratan Manajemen Bukti](https://www.iso.org/standard/73906.html)