
# Silnik Adaptacyjnego Streszczania Dowodów dla Kwestionariuszy Dostawców w Czasie Rzeczywistym

Przedsiębiorstwa dziś otrzymują dziesiątki kwestionariuszy bezpieczeństwa każdego tygodnia — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, C5 oraz coraz większy zestaw branżowych ankiet. Kandydaci zazwyczaj wklejają odpowiedzi w formularz internetowy, dołączają pliki PDF i spędzają godziny na weryfikacji, czy każdy fragment dowodu pasuje do deklarowanej kontroli. Ręczny wysiłek tworzy wąskie gardła, podnosi ryzyko niespójności i zwiększa koszty prowadzenia działalności.

**Procurize AI** już rozwiązało wiele problemów dzięki orkiestracji zadań, współpracy w komentarzach i AI‑generowanym szkicom odpowiedzi. Następna granica to **obsługa dowodów**: jak przedstawić właściwy artefakt — politykę, raport audytu, migawkę konfiguracji — w dokładnym formacie, którego oczekuje recenzent, zapewniając jednocześnie, że dowód jest aktualny, istotny i audytowalny.

W tym artykule przedstawiamy **Silnik Adaptacyjnego Streszczania Dowodów (AESE)** — samopopracowującą się usługę AI, która:

1. **Identyfikuje** optymalny fragment dowodu dla każdego pytania w czasie rzeczywistym.  
2. **Streszcza** fragment do zwięzłej, gotowej do regulacji narracji.  
3. **Łączy** streszczenie z dokumentem źródłowym w wersjonowanym grafie wiedzy.  
4. **Weryfikuje** wynik względem polityk zgodności i zewnętrznych standardów przy użyciu LLM wzbogaconego o RAG.  

Rezultatem jest **odpowiedź jednym kliknięciem**, którą można przejrzeć, zatwierdzić lub odrzucić, a system zapisuje niezmienny szlak pochodzenia.

---

## Dlaczego tradycyjne zarządzanie dowodami nie spełnia oczekiwań

| Ograniczenie | Klasyczne podejście | Zaleta AESE |
|--------------|---------------------|-------------|
| **Manualne wyszukiwanie** | Analitycy bezpieczeństwa przeszukują SharePoint, Confluence lub lokalne dyski. | Automatyczne wyszukiwanie semantyczne w federowanym repozytorium. |
| **Statyczne załączniki** | PDF‑y lub zrzuty ekranu są dołączane bez zmian. | Dynamiczne wyodrębnianie jedynie potrzebnych sekcji, co zmniejsza rozmiar przesyłki. |
| **Dryf wersji** | Zespoły często dołączają nieaktualne dowody. | Wersjonowanie węzłów grafu zapewnia najnowszy zatwierdzony artefakt. |
| **Brak rozumowania kontekstowego** | Odpowiedzi kopiowane dosłownie, bez niuansów. | Streszczanie kontekstowe oparte na LLM dopasowuje język do tonu kwestionariusza. |
| **Luki audytowe** | Brak śledzenia od odpowiedzi do źródła. | Krawędzie pochodzenia w grafie tworzą weryfikowalną ścieżkę audytu. |

Te braki przekładają się na **30‑50 % dłuższy czas realizacji** i wyższe ryzyko niezgodności. AESE eliminuje je wszystkie w jednej, spójnej linii przetwarzania.

---

## Podstawowa architektura AESE

Silnik opiera się na trzech ściśle połączonych warstwach:

1. **Warstwa wyszukiwania semantycznego** – wykorzystuje hybrydowy indeks RAG (gęste wektory + BM25) do pobierania kandydatów fragmentów dowodów.  
2. **Warstwa adaptacyjnego streszczania** – dostrojony LLM z szablonami promptów, które dostosowują się do kontekstu kwestionariusza (branża, regulacja, poziom ryzyka).  
3. **Warstwa grafu pochodzenia** – graf właściwości przechowujący węzły dowodów, węzły odpowiedzi oraz krawędzie „derived‑from”, wzbogacone wersjonowaniem i kryptograficznymi hashami.

Poniżej diagram Mermaid ilustrujący przepływ danych od żądania kwestionariusza do finalnej odpowiedzi.

```mermaid
graph TD
    A["Item Kwestionariusza"] --> B["Ekstrakcja Intencji"]
    B --> C["Wyszukiwanie Semantyczne"]
    C --> D["Top‑K Fragmenty"]
    D --> E["Budowa Adaptacyjnego Promptu"]
    E --> F["LLM Streszczający"]
    F --> G["Streszczony Dowód"]
    G --> H["Aktualizacja Grafu Pochodzenia"]
    H --> I["Publikacja Odpowiedzi"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style I fill:#bbf,stroke:#333,stroke-width:2px
```

*Wszystkie etykiety węzłów są otoczone podwójnymi cudzysłowami, zgodnie z wymogiem.*

---

## Szczegółowy przebieg pracy

### 1. Ekstrakcja Intencji

Gdy użytkownik otwiera pole kwestionariusza, UI wysyła surowy tekst pytania do lekkiego modelu intencji. Model klasyfikuje żądanie do jednej z kilku **kategorii dowodów** (polityka, raport audytu, konfiguracja, wycinek logu, zaświadczenie stron trzecich).

### 2. Wyszukiwanie Semantyczne

Zidentyfikowana intencja uruchamia zapytanie przeciwko hybrydowemu indeksowi RAG:

- **Gęste wektory** generowane są przez enkoder dostrojony do korpusu organizacji dotyczącego zgodności.  
- **BM25** zapewnia dopasowanie leksykalne dla cytowań regulacyjnych (np. „ISO 27001 A.12.1”).

Silnik zwraca **Top‑K** (domyślnie = 5) fragmentów, każdy przedstawiony jako lekka rekordacja metadanych:

```json
{
  "doc_id": "policy‑2024‑access‑control",
  "section": "4.2 Role‑Based Access",
  "version": "v2.1",
  "hash": "a3f4c9…",
  "score": 0.92
}
```

### 3. Budowa Adaptacyjnego Promptu

System konstruuje dynamiczny prompt, który wstawia:

- Oryginalny tekst pytania.  
- Wybrane fragmenty dowodów (jako zwięzłą listę punktowaną).  
- Wytyczne dotyczące tonu regulacyjnego (np. „używaj strony biernej, odwołuj się do numerów klauzul”).

Przykładowy fragment promptu:

```
Jesteś specjalistą ds. zgodności odpowiadającym na pytanie: "Jak organizacja wymusza zasadę najmniejszych przywilejów?"
Odpowiednie dowody:
- Sekcja 4.2 Polityki Kontroli Dostępu (v2.1) – definicje roli‑bazowanego dostępu.
- Raport Audytu Q3‑2024 – wyniki przeglądów uprawnień.
Napisz zwięzłą odpowiedź (≤ 150 słów), która odwołuje się do klauzuli polityki i zawiera krótkie uzasadnienie.
```

### 4. LLM Streszczający

**Model LLM dostosowany do domeny** (np. 13‑M model dostrojony na 10 k historycznych par kwestionariusz‑dowód) przetwarza prompt. Model generuje streszczenie, które:

- **Cytuje** dokładne źródło dowodu (np. „zobacz Politykę Kontroli Dostępu §4.2”).  
- **Utrzymuje** spójność językową z wcześniej zatwierdzonymi odpowiedziami (przez few‑shot).  

Typowy wynik:

> „Wymuszamy zasadę najmniejszych przywilejów poprzez kontrolę roli‑bazowaną określoną w Polityce Kontroli Dostępu § 4.2. Uprawnienia są przeglądane kwartalnie, co potwierdza Raport Audytu Q3‑2024, wykazujący 100 % zgodności z określonymi rolami.”

### 5. Aktualizacja Grafu Pochodzenia

Węzeł odpowiedzi tworzony jest w grafie z właściwościami:

- `answer_id`, `question_id`, `generated_at`, `model_version`.  
- Krawędzie `DERIVED_FROM` łączące go z każdym węzłem dowodu źródłowego.  

Każda krawędź przechowuje **hash** fragmentu, gwarantując niezmienność. Graf jest utrzymywany w bazie opartej na **Merkle‑tree**, co umożliwia wykrycie manipulacji i kryptograficzną weryfikację.

### 6. Publikacja Odpowiedzi i Przegląd Ludzki

Wygenerowana odpowiedź wyświetla się w UI kwestionariusza z przyciskiem **„Podgląd Dowodu”**. Po kliknięciu użytkownik widzi powiązane fragmenty, ich wersje oraz **podpis cyfrowy**. Recenzenci mogą:

- **Zatwierdzić** (tworzy niezmienny rekord audytowy).  
- **Edytować** (wywołuje nową wersję węzła odpowiedzi).  
- **Odrzucić** (informacja zwrotna trafia do pętli uczenia modelu).

---

## Uczenie ze wzmocnieniem na podstawie opinii ludzi (RLHF)

AESE korzysta z lekkiego cyklu RLHF:

1. Zbieranie działań recenzenta (zatwierdź/edytuj/odrzuć) wraz ze znacznikami czasu.  
2. Przekształcanie edycji w **dane preferencji parami** (pierwotna vs. zmodyfikowana odpowiedź).  
3. Okresowe dostrajanie LLM na podstawie tych preferencji przy użyciu algorytmu Proximal Policy Optimization (PPO).  

Z czasem model internalizuje specyficzne dla organizacji sformułowania, redukując potrzebę ręcznych poprawek nawet o **70 %**.

---

## Gwarancje bezpieczeństwa i zgodności

| Obawa | Środki zaradcze AESE |
|-------|----------------------|
| **Wycieki danych** | Wszystkie operacje wyszukiwania i generacji odbywają się wewnątrz VPC. Wagi modelu nigdy nie opuszczają bezpiecznego środowiska. |
| **Ślad niezmienności** | Kryptograficzne hashe przechowywane na niezmiennych krawędziach grafu; każda zmiana unieważnia podpis. |
| **Zgodność regulacyjna** | Szablony promptów zawierają reguły cytowania regulacji; model poddawany jest kwartalnemu audytowi. |
| **Prywatność** | Wrażliwe dane osobowe są redagowane podczas indeksowania przy użyciu filtra prywatności różnicowej. |
| **Wyjaśnialność** | Odpowiedź zawiera „ślad źródła”, który można wyeksportować jako PDF‑owy raport audytowy. |

---

## Wyniki testów wydajności

| Metryka | Podstawa (ręczna) | AESE (pilotaż) |
|---------|-------------------|----------------|
| Średni czas reakcji na pozycję | 12 min (wyszukiwanie + pisanie) | 45 s (automatyczne streszczanie) |
| Rozmiar załącznika dowodu | 2,3 MB (pełny PDF) | 215 KB (wyodrębniony fragment) |
| Wskaźnik zatwierdzeń przy pierwszym podejściu | 58 % | 92 % |
| Pełność łańcucha audytu | 71 % (brak wersji) | 100 % (graf‑oparty) |

Dane pochodzą z sześciomiesięcznego pilotażu u średniej wielkości dostawcy SaaS obsługującego ~1 200 pozycji kwestionariusza miesięcznie.

---

## Integracja z platformą Procurize

AESE udostępniany jest jako **mikroserwis** z REST‑ful API:

- `POST /summarize` – przyjmuje `question_id` i opcjonalny `context`.  
- `GET /graph/{answer_id}` – zwraca dane pochodzenia w formacie JSON‑LD.  
- `WEBHOOK /feedback` – odbiera akcje recenzenta w ramach pętli RLHF.

Usługa może być **wpięta do dowolnego istniejącego przepływu** — systemu ticketowego, pipeline’u CI/CD do kontroli zgodności, lub bezpośrednio do UI Procurize za pomocą lekkiego SDK w JavaScript.

---

## Plan rozwoju

1. **Dowody multimodalne** – włączenie zrzutów ekranu, diagramów architektury i fragmentów kodu przy użyciu LLM z rozszerzeniami wizyjnymi.  
2. **Federacja grafu wiedzy między organizacjami** – bezpieczne udostępnianie węzłów dowodów partnerom przy zachowaniu ścieżek pochodzenia.  
3. **Kontrola dostępu Zero‑Trust** – wymuszanie polityk opartych na atrybutach przy zapytaniach do grafu, aby tylko uprawnione role widziały wrażliwe fragmenty.  
4. **Silnik prognozujący regulacje** – połączenie AESE z modelem przewidującym przyszłe wymagania regulatorów, aby proaktywnie identyfikować luki w dowodach.

---

## Zakończenie

Silnik Adaptacyjnego Streszczania Dowodów przekształca **uciążliwy krok „znajdź‑i‑dołącz”** w płynne, napędzane AI doświadczenie, które dostarcza:

- **Szybkość** – odpowiedzi w czasie rzeczywistym bez utraty głębokości.  
- **Precyzję** – streszczanie kontekstowe wyrównane do wymogów standardów.  
- **Audytowalność** – niezmienny ślad pochodzenia dla każdej odpowiedzi.  

Poprzez połączenie generacji wspomaganej wyszukiwaniem, dynamicznego promptowania i wersjonowanego grafu wiedzy, AESE podnosi poprzeczkę automatyzacji zgodności. Organizacje, które przyjmą tę technologię, mogą oczekiwać szybszych zamknięć transakcji, niższego ryzyka audytowego i wymiernej przewagi konkurencyjnej w coraz bardziej nastawionym na bezpieczeństwo rynku B2B.