
# Wielomodowa Ekstrakcja Dowodów AI dla Kwestionariuszy Bezpieczeństwa

Kwestionariusze bezpieczeństwa są strażnikami każdego B2B SaaS‑owego kontraktu. Dostawcy muszą dostarczyć dowody – polityki w formacie PDF, diagramy architektury, fragmenty kodu, logi audytowe, a nawet zrzuty ekranu pulpitów. Tradycyjnie zespoły ds. bezpieczeństwa i zgodności spędzają **godziny** przeszukując repozytoria, kopiując pliki i ręcznie dołączając je do pól kwestionariusza. Efektem jest wąskie gardło, które spowalnia cykle sprzedaży, zwiększa liczbę błędów ludzkich i tworzy luki w audycie.

**Procurize** już zbudował potężną, jednolitą platformę do zarządzania kwestionariuszami, przydzielania zadań i generowania odpowiedzi wspomaganych AI. Następny krok to **automatyzacja samego zbierania dowodów**. Wykorzystując **wielomodową generatywną AI** – modele rozumiejące tekst, obrazy, tabele i kod w jednej linii przetwarzania – organizacje mogą natychmiast wykrywać właściwy artefakt dla dowolnego pytania kwestionariusza, niezależnie od formatu.

W tym artykule przedstawimy:

1. Dlaczego podejście jednowymiarowe (czyste modele tekstowe) nie wystarcza w nowoczesnych obciążeniach zgodnościowych.  
2. Szczegółową architekturę silnika ekstrakcji dowodów wielomodowych zbudowanego na bazie Procurize.  
3. Jak szkolić, oceniać i nieustannie ulepszać system przy pomocy technik **Generative Engine Optimization (GEO)**.  
4. Konkretny przykład end‑to‑end, od pytania bezpieczeństwa po automatycznie dołączony dowód.  
5. Kwestie zarządzania, bezpieczeństwa i audytowalności.  

> **Kluczowy wniosek:** Wielomodowa AI przekształca pozyskiwanie dowodów z ręcznej czynności w powtarzalną, audytowalną usługę, skracając czas realizacji kwestionariuszy nawet o 80 % przy zachowaniu rygoru zgodności.

---

## 1. Ograniczenia modeli LLM wyłącznie tekstowych w przepływach kwestionariuszy

Większość dzisiejszej automatyzacji napędzanej AI opiera się na dużych modelach językowych (LLM), które doskonale radzą sobie z **generowaniem tekstu** i **wyszukiwaniem semantycznym**. Potrafią wyciągać fragmenty polityk, podsumowywać raporty audytowe i nawet tworzyć narracyjne odpowiedzi. Jednak dowody wymagane w ramach zgodności rzadko są czystym tekstem:

| Rodzaj dowodu | Typowy format | Trudność dla modelu tylko tekstowego |
|---------------|----------------|--------------------------------------|
| **Diagramy architektury** | PNG, SVG, Visio | Wymaga rozumienia wizualnego |
| **Pliki konfiguracyjne** | YAML, JSON, Terraform | Strukturalne, ale często zagnieżdżone |
| **Fragmenty kodu** | Java, Python, Bash | Wymaga wyciągania z uwzględnieniem składni |
| **Zrzuty ekranu pulpitów** | JPEG, PNG | Trzeba odczytać elementy UI, znaczniki czasu |
| **Tabele w raportach PDF** | PDF, obrazy zeskanowane | OCR + parsowanie tabel wymagane |

Gdy pytanie brzmi *„Dołącz diagram sieciowy ilustrujący przepływ danych pomiędzy środowiskami produkcyjnymi i kopii zapasowymi”*, model wyłącznie tekstowy może jedynie odpowiedzieć opisem; nie potrafi zlokalizować, zweryfikować ani osadzić rzeczywistego obrazu. Ten brak wymusza interwencję użytkownika, przywracając ręczną pracę, którą chcemy wyeliminować.

---

## 2. Architektura silnika wielomodowej ekstrakcji dowodów

Poniżej znajduje się diagram wysokiego poziomu proponowanego silnika, zintegrowany z centralnym hubem kwestionariuszy Procurize.

```mermaid
graph TD
    A["Użytkownik przesyła element kwestionariusza"] --> B["Usługa klasyfikacji pytań"]
    B --> C["Orkiestrator wielomodowego pobierania"]
    C --> D["Sklep wektorów tekstu (FAISS)"]
    C --> E["Sklep wektorów obrazów (CLIP)"]
    C --> F["Sklep wektorów kodu (CodeBERT)"]
    D --> G["Dopasowanie semantyczne (LLM)"]
    E --> G
    F --> G
    G --> H["Silnik rankingowy dowodów"]
    H --> I["Wzbogacanie metadanymi zgodności"]
    I --> J["Automatyczne dołączenie do zadania w Procurize"]
    J --> K["Weryfikacja Human‑in‑the‑loop"]
    K --> L["Zapis w dzienniku audytu"]
```

### 2.1 Kluczowe komponenty

1. **Usługa klasyfikacji pytań** – używa dostrojonego LLM do oznaczania przychodzących elementów kwestionariusza typami **dowodów** (np. „diagram sieciowy”, „polityka bezpieczeństwa PDF”, „plan Terraform”).  
2. **Orkiestrator wielomodowego pobierania** – kieruje żądanie do odpowiednich sklepów wektorowych w zależności od klasyfikacji.  
3. **Sklepy wektorowe**  
   * **Sklep tekstowy** – indeks FAISS zbudowany ze wszystkich dokumentów polityk, raportów audytowych i plików markdown.  
   * **Sklep obrazów** – wektory oparte na CLIP wygenerowane ze wszystkich diagramów, zrzutów ekranu i plików SVG przechowywanych w repozytorium dokumentów.  
   * **Sklep kodu** – osadzenia CodeBERT dla wszystkich plików źródłowych, konfiguracji CI/CD i szablonów IaC.  
4. **Warstwa dopasowania semantycznego** – model transformatora łączący wektor zapytania z wektorami każdej modalności, zwracający listę posortowanych kandydatów.  
5. **Silnik rankingowy dowodów** – stosuje heurystyki **Generative Engine Optimization**: aktualność, status kontroli wersji, trafność tagów zgodności oraz wynik zaufania modelu LLM.  
6. **Wzbogacanie metadanymi zgodności** – dołącza licencje SPDX, znaczniki czasu przetwarzania i kategorie ochrony danych do każdego artefaktu.  
7. **Weryfikacja Human‑in‑the‑loop (HITL)** – interfejs w Procurize wyświetla 3‑najlepsze sugestie; recenzent może zatwierdzić, zamienić lub odrzucić.  
8. **Zapis w dzienniku audytu** – każde automatyczne dołączenie jest rejestrowane z hashem kryptograficznym, podpisem recenzenta i wynikiem zaufania AI, spełniając wymogi SOX oraz [GDPR](https://gdpr.eu/).

### 2.2 Potok wprowadzania danych

1. **Crawler** skanuje udostępnione w firmie zasoby plikowe, repozytoria Git, koszyki w chmurze.  
2. **Pre‑processor** uruchamia OCR na zeskanowanych PDF (Tesseract), wyciąga tabele (Camelot) i konwertuje pliki Visio na SVG.  
3. **Embedder** generuje wektory specyficzne dla modalności i zapisuje je wraz z metadanymi (ścieżka pliku, wersja, właściciel).  
4. **Aktualizacja przyrostowa** – mikrousługa wykrywania zmian (watchdog) ponownie osadza jedynie zmodyfikowane zasoby, utrzymując sklep wektorowy aktualny w czasie rzeczywistym.

---

## 3. Generative Engine Optimization (GEO) dla ekstrakcji dowodów

**GEO** to metodyczny sposób strojenia całego łańcucha AI – nie tylko modelu językowego – tak, aby kluczowy wskaźnik (czas realizacji kwestionariusza) uległ poprawie przy jednoczesnym utrzymaniu jakości zgodności.

| Faza GEO | Cel | Kluczowe metryki |
|----------|-----|------------------|
| **Jakość danych** | Zapewnić, że osadzenia odzwierciedlają najnowszy stan zgodności | % zasobów odświeżonych < 24 h |
| **Inżynieria promptów** | Tworzyć zapytania, które skierują model na właściwą modalność | Wynik zaufania dopasowania |
| **Kalibracja modelu** | Zestroić progi zaufania z akceptacją recenzentów | Współczynnik fałszywych pozytywów < 5 % |
| **Pętla sprzężenia zwrotnego** | Gromadzić akcje recenzentów w celu dalszego dostrajania klasyfikacji i rankingu | Średni czas akceptacji (MTTA) |
| **Ciągła ewaluacja** | Przeprowadzać nocne testy A/B na zbiorze walidacyjnym historycznych pytań | Redukcja średniego czasu odpowiedzi |

### 3.1 Przykład promptu dla wielomodowego pobierania

```
[QUESTION] Dołącz najnowszy raport audytu SOC 2 typu II obejmujący szyfrowanie danych w spoczynku.

[CONTEXT] Pobierz dokument PDF zawierający odpowiednią sekcję audytu. Zwróć identyfikator dokumentu, zakres stron oraz krótkie streszczenie.

[MODALITY] text
```

Orkiestrator odczytuje znacznik `[MODALITY]` i zapytuje wyłącznie **sklep tekstowy**, co drastycznie zmniejsza szum pochodzący z wektorów obrazów i kodu.

### 3.2 Adaptacyjne progi

Z użyciem **optymalizacji bayesowskiej** system automatycznie dostosowuje próg zaufania dla każdej modalności. Gdy recenzenci konsekwentnie akceptują sugestie powyżej 0,78 dla diagramów, próg rośnie, redukując niepotrzebne interwencje. Analogicznie, przy częstych odrzuceniach fragmentów kodu próg spada, generując więcej kandydatów do weryfikacji.

---

## 4. Przykład end‑to‑end: od pytania do automatycznie dołączonego dowodu

### 4.1 Pytanie

> *„Dołącz diagram przedstawiający przepływ danych klienta od momentu pozyskania do przechowywania, uwzględniając punkty szyfrowania.”*

### 4.2 Krok po kroku

| Krok | Działanie | Rezultat |
|------|-----------|----------|
| 1 | Użytkownik tworzy nowy element kwestionariusza w Procurize. | Identyfikator elementu `Q‑2025‑1123`. |
| 2 | Usługa klasyfikacji oznacza zapytanie jako `evidence_type: diagram sieciowy`. | Modalność = **obraz**. |
| 3 | Orkiestrator kieruje zapytanie do sklepu obrazów CLIP. | Pobiera 12 wektorów kandydatów. |
| 4 | Warstwa dopasowania semantycznego liczy podobieństwo kosinusowe pomiędzy wektorem zapytania a każdym wektorem. | Top‑3 wyniki: 0,92; 0,88; 0,85. |
| 5 | Silnik rankingowy ocenia aktualność (ostatnio modyfikowany 2 dni temu) oraz tagi zgodności (zawiera „szyfrowanie”). | Ostateczna pozycja: diagram `arch‑data‑flow‑v3.svg`. |
| 6 | Interfejs HITL wyświetla diagram wraz z podglądem, metadanymi (autor, wersja, hash). | Recenzent klika **Zatwierdź**. |
| 7 | System automatycznie dołącza diagram do `Q‑2025‑1123` i tworzy wpis w dzienniku audytu. | Log audytu: zaufanie AI 0,91, podpis recenzenta, znacznik czasu. |
| 8 | Moduł generowania odpowiedzi tworzy narrację odwołującą się do diagramu. | Gotowa odpowiedź gotowa do eksportu. |

Całkowity czas od kroku 1 do kroku 8 wynosi **≈ 45 sekund**, w porównaniu do typowych **15‑20 minut** przy ręcznym wyszukiwaniu.

---

## 5. Zarządzanie, bezpieczeństwo i ścieżka audytowa

Automatyzacja obsługi dowodów rodzi uzasadnione obawy:

1. **Wycieki danych** – usługi osadzania muszą działać w **zero‑trust VPC** z restrykcyjnymi rolami IAM. Żadne wektory nie opuszczają sieci korporacyjnej.  
2. **Kontrola wersji** – każdy artefakt jest przechowywany z **hashem commita Git** (lub wersją obiektu w magazynie). Po aktualizacji dokumentu stare osadzenia są automatycznie unieważniane.  
3. **Wyjaśnialność** – silnik rankingowy zapisuje wyniki podobieństwa oraz łańcuch promptów, umożliwiając urzędnikom zgodności wgląd *dlaczego* wybrano konkretny plik.  
4. **Zgodność regulacyjna** – dołączając identyfikatory licencji SPDX i kategorie przetwarzania danych GDPR do każdego artefaktu, rozwiązanie spełnia wymogi dowodzenia pochodzenia danych dla [ISO 27001](https://www.iso.org/standard/73906.html) Annex A.  
5. **Polityki retencji** – zadania auto‑czyszczenia usuwają osadzenia dokumentów starszych niż przyjęte w firmie okno retencji, zapewniając brak przestarzałych dowodów.

---

## 6. Kierunki rozwoju

### 6.1 Wielomodowe pobieranie jako usługa (RaaS)

Udostępnij orkiestrator poprzez **API GraphQL**, aby inne wewnętrzne narzędzia (np. kontrola zgodności w CI/CD) mogły żądać dowodów bez przechodzenia przez pełny interfejs kwestionariusza.

### 6.2 Integracja z radarami zmian regulacyjnych w czasie rzeczywistym

Połącz silnik wielomodowy z **Radarami Zmian Regulacyjnych** Procurize. Gdy wykryta zostanie nowa regulacja, automatycznie przeklasyfikuj powiązane pytania i uruchom ponowne wyszukiwanie dowodów, gwarantując, że dołączane artefakty pozostają zgodne.

### 6.3 Uczenie federacyjne między przedsiębiorstwami

Dla dostawców SaaS obsługujących wielu klientów, warstwa **uczenia federacyjnego** może udostępniać anonimowe aktualizacje osadzeń, podnosząc jakość wyszukiwania bez ujawniania prywatnych dokumentów.

---

## 7. Podsumowanie

Kwestionariusze bezpieczeństwa pozostaną podstawą zarządzania ryzykiem dostawców, ale ręczna praca przy gromadzeniu i dołączaniu dowodów staje się coraz mniej wykonalna. Dzięki **wielomodowej AI** – połączeniu rozumienia tekstu, obrazów i kodu – Procurize może przekształcić ekstrakcję dowodów w usługę automatyczną i audytowalną. Wykorzystanie **Generative Engine Optimization** zapewnia ciągłe doskonalenie, dostosowując zaufanie AI do oczekiwań recenzentów i wymogów regulacyjnych.

Efektem jest **znaczne przyspieszenie czasu odpowiedzi na kwestionariusze**, zmniejszenie liczby błędów ludzkich i mocniejsza ścieżka audytowa – wszystko to uwalnia zespoły ds. bezpieczeństwa, prawa i sprzedaży, aby skupiły się na strategicznych działaniach redukcji ryzyka, a nie na żmudnym przeszukiwaniu dokumentacji.

---

## <span class='highlight-content'>Zobacz</span> także

- [Wielomodowe wyszukiwanie z CLIP i FAISS – w kierunku skalowalnego przeszukiwania w przedsiębiorstwie](https://arxiv.org/abs/2103.00020)  
- [Generative Engine Optimization: Ramy ciągłego doskonalenia AI](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Architektura Zero‑Trust dla platform zgodności napędzanych AI](https://cloud.google.com/solutions/zero-trust-ai)  
- [Wymagania dowodowe ISO 27001 Annex A](https://www.iso.org/standard/73906.html)