# AI valdomas žinių grafikas realaus laiko klausimynų automatizavimui

**Santrauka** – Šiuolaikiniai SaaS tiekėjai susiduria su nuolatiniu saugumo klausimynų, atitikties auditų ir tiekėjų rizikos vertinimų srautu. Rankinis tvarkymas lemia vėlavimus, klaidas ir brangų perdirbimą. Kitas kartos sprendimas – **AI‑valdomas žinių grafikas**, kuris sujungia politikos dokumentus, įrodymų artefaktus ir kontekstinius rizikos duomenis į vieną, užklausiną struktūrą. Kai jis sujungiamas su Retrieval‑Augmented Generation (RAG) ir įvykių valdomu orkestravimu, grafikas suteikia momentiškus, tikslūs ir audituojamus atsakymus – paverčiant tradiciškai reakciniam procesui į proaktyvų atitikties variklį.

---

## 1. Kodėl tradicinė automatizacija nepatenkina poreikių

| Skausmo taškas | Tradicinis požiūris | Paslėpta kaina |
|----------------|----------------------|----------------|
| **Fragmentuoti duomenys** | Išsibrauti PDF, skaičiuoklės, bilietų įrankiai | Dviguba pastanga, trūkstami įrodymai |
| **Statiniai šablonai** | Iš anksto užpildyti Word dokumentai, reikalaujantys rankinio redagavimo | Pasenę atsakymai, žema lankstumo |
| **Versijų painiava** | Kelios politikos versijos tarp komandų | Reguliacinės nesuderinamumo rizika |
| **Nėra audito takelio** | Ad‑hoc kopijavimas, be šaltinių nurodymų | Sunku įrodyti teisingumą |

Net ir pažangūs darbo srautų įrankiai susiduria su sunkumais, nes jie traktuoja kiekvieną klausimyną kaip atskirą formą, o ne kaip **semantinę užklausą** sujungtoje žinių bazėje.

---

## 2. AI valdomo žinių grafiko pagrindinė architektūra

```mermaid
graph TD
    A["Policy Repository"] -->|Ingests| B["Semantic Parser"]
    B --> C["Knowledge Graph Store"]
    D["Evidence Vault"] -->|Metadata extraction| C
    E["Vendor Profile Service"] -->|Context enrichment| C
    F["Event Bus"] -->|Triggers updates| C
    C --> G["RAG Engine"]
    G --> H["Answer Generation API"]
    H --> I["Questionnaire UI"]
    I --> J["Audit Log Service"]
```

*Paveikslas 1 – Aukšto lygio duomenų srautas realaus laiko klausimyno atsakymui.*

### 2.1 Įsisavinimo sluoksnis

* **Policy Repository** – Centrinė saugykla [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) ir vidinių politikų dokumentų. Dokumentai išskaidomi naudojant LLM‑valdomus semantinius išskaitiklius, kurie konvertuoja pastraipų klauzes į grafų trikampius (subjektas, predikatas, objektas).
* **Evidence Vault** – Saugo audito žurnalus, konfigūracijos momentines nuotraukas ir trečiųjų šalių patvirtinimus. Lengvas OCR‑LLM vamzdis išgauna pagrindinius požymius (pvz., „šifravimas poilsio metu įjungtas“) ir priskiria kilmės metaduomenis.
* **Vendor Profile Service** – Normalizuoja tiekėjų duomenis, tokius kaip duomenų rezidencija, SLA ir rizikos įvertinimai. Kiekvienas profilis tampa mazgu, susietu su atitinkamomis politikos nuostatomis.

### 2.2 Žinių grafų saugykla

**Savybių grafas** (pvz., Neo4j arba Amazon Neptune) talpina šiuos entitetus:

| Entitetas | Pagrindinės savybės |
|-----------|--------------------|
| PolicyClause | id, title, control, version, effectiveDate |
| EvidenceItem | id, type, source, timestamp, confidence |
| Vendor | id, name, region, riskScore |
| Regulation | id, name, jurisdiction, latestUpdate |

Ryšiai apibrėžia:

* `ENFORCES` – PolicyClause → Control  
* `SUPPORTED_BY` – PolicyClause → EvidenceItem  
* `APPLIES_TO` – Vendor  
* `REGULATED_BY` – Regulation  

### 2.3 Orkestravimas ir įvykių magistralė

**Įvykių valdomas mikroservisų sluoksnis** (Kafka arba Pulsar) skleidžia pasikeitimus:

* **PolicyUpdate** – Sukelia susijusių įrodymų perindeksavimą.  
* **EvidenceAdded** – Iškviečia validacijos darbo eigą, kuri įvertina pasitikėjimo lygį.  
* **VendorRiskChange** – Pakeičia atsakymo svorį rizikos jautrioms klausimams.

Orkestracijos variklis (sukurtas naudojant Temporal.io arba Cadence) garantuoja **vieną kartą** apdorojimą, leidžiant grafui visada būti **visada atnaujintu**.

### 2.4 Retrieval‑Augmented Generation (RAG)

Kai vartotojas pateikia klausimyno klausimą, sistema:

1. **Semantinė paieška** – Išgauna svarbiausią sub‑grafą naudojant vektorinę įterpimą (FAISS + OpenAI embeddings).  
2. **Kontekstinis promptas** – Sukuria promptą, kuriame yra politikos nuostatos, susiję įrodymai ir tiekėjo specifika.  
3. **LLM generavimas** – Kviečia smulkiai sureguliuotą LLM (pvz., Claude‑3 arba GPT‑4o) generuoti glaustą atsakymą.  
4. **Post‑processing** – Patikrina atsakymo nuoseklumą, prideda citatas (grafų mazgų ID) ir saugo rezultatą **Audit Log Service**.

---

## 3. Realaus laiko atsakymo eiga – žingsnis po žingsnio

1. **Vartotojo užklausa** – „Ar šifruojate duomenis poilsio metu ES klientams?“  
2. **Intencijos klasifikacija** – NLP modelis atpažįsta intenciją kaip *Data‑At‑Rest Encryption*.  
3. **Grafų išgavimas** – Randa `PolicyClause` „Encryption‑At‑Rest“ susietą su `EvidenceItem` „AWS KMS configuration snapshot (2025‑09‑30)“.  
4. **Tiekėjo kontekstas** – Patikrina tiekėjo regiono požymį; ES žymė sukelia papildomą įrodymą (pvz., GDPR‑suderinamą DPA).  
5. **Prompto konstrukcija**:  
   ```
   Provide a concise answer for the following question.
   Question: Do you encrypt data at rest for EU customers?
   Policy: "Encryption‑At‑Rest" (control: C1.1, version: 3.2)
   Evidence: "AWS KMS snapshot" (date: 2025‑09‑30, confidence: 0.98)
   Vendor: "Acme SaaS EU" (region: EU, riskScore: 0.12)
   ```  
6. **LLM generavimas** – Grąžina: „Yes. All production data for EU customers is encrypted at rest using AWS KMS with rotating CMKs. Evidence: AWS KMS snapshot (2025‑09‑30).“  
7. **Audito takas** – Saugo atsakymą su mazgų ID, laiko žyme ir kriptografinės maišos reikšme, kad būtų įrodytas nepakitimas.  
8. **Pristatymas** – Atsakymas iš karto rodoma klausimyno UI, paruoštas peržiūrai ir patvirtinimui.  

Visas ciklas baigiasi **mažiau nei 2 sekundžių** vidutiniame apkrovos lygyje.

---

## 4. Privalumai prieš tradicinius sprendimus

| Rodiklis | Tradicinė darbo eiga | AI valdomas grafikas |
|----------|----------------------|----------------------|
| **Atsakymo vėlavimas** | 30 min – 4 val (žmogaus laikas) | ≤ 2 s (automatinis) |
| **Įrodymų aprėptis** | 60 % reikalaujamų artefaktų | 95 %+ (automatiškai susieti) |
| **Audituojamumas** | Rankiniai žurnalai, gausūs spragos | Nekeičiama hash‑susietų takų |
| **Mastelio keičiamumas** | Linijinis su komandų dydžiu | Artimiausiai linijinis su skaičiavimo ištekliais |
| **Prisitaikymas** | Reikalauja rankinių šablonų atnaujinimo | Automatiniai atnaujinimai per įvykių magistralę |

---

## 5. Kaip įdiegti grafą savo organizacijoje

### 5.1 Duomenų paruošimo kontrolinis sąrašas

1. Surinkite visus politikos PDF, markdown ir vidinius kontrolės dokumentus.  
2. Normalizuokite įrodymų pavadinimo konvencijas (pvz., `evidence_<type>_<date>.json`).  
3. Susiekite tiekėjo atributus į vienodą schemą (regionas, kritiškumas ir t.t.).  
4. Pažymėkite kiekvieną dokumentą pagal reguliacinę jurisdikciją.

### 5.2 Technologijų krūva

| Lygmuo | Rekomenduojama priemonė |
|--------|--------------------------|
| Įsisavinimas | Apache Tika + LangChain loaders |
| Semantinis parseris | OpenAI `gpt‑4o‑mini` su few‑shot promptais |
| Graph Store | Neo4j Aura (cloud) arba Amazon Neptune |
| Įvykių magistralė | Confluent Kafka |
| Orkestracija | Temporal.io |
| RAG | LangChain + OpenAI embeddings |
| Front‑end UI | React + Ant Design, integruotas su Procurize API |
| Auditas | HashiCorp Vault saugomiems parašams |

### 5.3 Valdymo praktikos

* **Keitimų peržiūra** – Kiekvienas politikos arba įrodymo atnaujinimas turi būti patikrintas dviem asmenimis prieš publikuojant į grafą.  
* **Pasitikėjimo slenksčiai** – Įrodymo elementai su pasitikėjimo lygiu mažesniu nei 0,85 yra žymimi patikrinimui rankiniu būdu.  
* **Saugumo politika** – Saugojame visus grafų momentinius „snapshot“ bent 7 metus, kad atitiktų audito reikalavimus.

---

## 6. Atvejo studija: Laiko sumažinimas 80 %

**Įmonė**: FinTechCo (vidutinio dydžio SaaS mokėjimams)  
**Problema**: Vidutinis klausimyno atsakymo laikas – 48 valandos, dažni nesilaikomi terminai.  
**Sprendimas**: Įdiegė AI‑valdomą žinių grafiką naudodama čia aprašytą krūvą. Integravo esamą politikos saugyklą (150 dokumentų) ir įrodymų vaultą (3 TB logų).  

**Rezultatai (3‑mėnesio pilotas)**  

| KPI | Prieš | Po |
|-----|-------|----|
| Vidutinis atsakymo vėlavimas | 48 val | 5 min |
| Įrodymų aprėptis | 58 % | 97 % |
| Audito žurnalo pilnumas | 72 % | 100 % |
| Komandos galios poreikis (FTE) | 4 | 1 |

Pilotas taip pat išgrynino 12 pasenusių politikos nuostatų, kurios galėjo sukelti 250 tūkst. $ baudas, jei nebuč

---

## 7. Ateities patobulinimai

1. **Zero‑Knowledge įrodymai** – Įterpti kriptografinį įrodymą apie įrodymų integralumą neskelbiant pačių duomenų.  
2. **Federaciniai žinių grafikai** – Leisti kelioms įmonėms bendradarbiauti išsaugant duomenų suverenumą.  
3. **Paaiškinamosios AI išvestys** – Automatiškai generuoti priežastinių medžių diagramas kiekvienam atsakymui, didinant peržiūrininkų pasitikėjimą.  
4. **Dinaminis reguliacijos prognozuojimas** – Įtraukti artėjančius reguliacinių projektus į grafiką, kad iš anksto koreguoti kontrolės priemones.

---

## 8. Pradėkite šiandien

1. **Klonuokite pavyzdinį įgyvendinimą** – `git clone https://github.com/procurize/knowledge‑graph‑orchestrator`.  
2. **Paleiskite Docker compose** – Jis sukurs Neo4j, Kafka, Temporal ir Flask RAG API.  
3. **Įkelkite pirmąją politiką** – su CLI `pgctl import-policy ./policies/iso27001.pdf`.  
4. **Išbandykite klausimą** – per Swagger UI adresu `http://localhost:8000/docs`.

Per valandą turėsite tiesioginį, užklausiną grafiką, pasiruošusį atsakyti į realius saugumo klausimynų elementus.

---

## 9. Išvada

**Real‑time AI‑valdomas žinių grafikas** paverčia atitiktį iš silpno taško į strateginį pranašumą. Suvienydamas politiką, įrodymus ir tiekėjų kontekstą bei naudojant įvykių orkestravimą kartu su RAG, organizacijos gali teikti momentiškus, audituojamus atsakymus į net pačias sudėtingiausias saugumo klausimynų dalis. Tai reiškia greitesnį sandorių užbaigimą, mažesnę nesuderinamumo riziką ir skalabilų pagrindą ateities AI‑valdomiems valdymo sprendimams.

---

## Žr. taip pat
- [Retrieval‑Augmented Generation for Compliance](https://arxiv.org/abs/2302.12345)  
- [Temporal.io Orchestration Patterns](https://docs.temporal.io/docs)