
# Kontextová syntéza dôkazov s AI pre otázky vendorov v reálnom čase

Bezpečnostné a compliance otázky sa stali úzkym hrdlom v predajnom cykle SaaS. Od vendorov sa očakáva, že odpovedia na desiatky podrobných
otázok pokrývajúcich [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) a špecifické priemyselné kontrolné body v priebehu hodín, nie dní. Tradičné automatizačné riešenia zvyčajne ťahajú statické úryvky z úložiska dokumentov, pričom tímy ich musia manuálne spájať, overovať relevantnosť a dopĺňať chýbajúci kontext. Výsledkom je krehký proces, ktorý stále vyžaduje značnú ľudskú účasť a je náchylný na chyby.

**Contextual Evidence Synthesis (CES)** je workflow poháňané AI, ktoré prekračuje jednoduché vyhľadávanie. Namiesto toho, aby našlo jeden odsek,
**rozumie zámyslu otázky**, **zostavuje sadu relevantných dôkazových kúskov**, **pridáva dynamický kontext** a **vytvára
jednu auditovateľnú odpoveď**. Kľúčové ingrediencie sú:

1. **Jednotný poznávací graf dôkazov** – uzly predstavujú politiky, auditné nálezy, externé atestácie a externé hrozby;
   hrany zachytávajú vzťahy ako „pokrýva“, „odvodené‑z“ alebo „platí do“.
2. **Retrieval‑Augmented Generation (RAG)** – veľký jazykový model (LLM) doplnený o rýchly vektorový obchod, ktorý dotazuje graf na najrelevantnejšie uzly.
3. **Vrstva kontextuálneho usudzovania** – ľahký pravidlový motor, ktorý pridáva logiku špecifickú pre compliance (napr. „ak je kontrola označená ako ‘prebiehajúca’, pridaj harmonogram nápravy“).
4. **Audit Trail Builder** – každá vygenerovaná odpoveď je automaticky spätne prepojená na podkladové uzly grafu, časové značky a verzie, čím vzniká dôkazová stopa odolná voči manipulácii.

Výsledkom je **odpoveď v reálnom čase, vytvorená AI**, ktorú je možné prehliadať, komentovať alebo priamo publikovať do vendor portálu. Nižšie prechádzame architektúrou, dátovým tokom a praktickými krokmi pre tímy, ktoré chcú implementovať CES do svojho compliance stacku.

---

## 1. Prečo tradičné vyhľadávanie nestačí

| Problém | Tradičný prístup | Výhoda CES |
|------------|----------------------|---------------|
| **Statické úryvky** | Ťahá pevný odsek z PDF dokumentu. | Dynamicky kombinuje viacero odsekov, aktualizácie a externé dáta. |
| **Strata kontextu** | Nerieši nuansy otázky (napr. „incident response“ vs. „disaster recovery“). | LLM interpretuje úmysel a vyberá dôkazy presne zodpovedajúce kontextu. |
| **Auditovateľnosť** | Manuálne kopírovanie neponúka sledovateľnosť. | Každá odpoveď odkazuje na uzly grafu s verzovanými ID. |
| **Škálovateľnosť** | Pridanie nových politík vyžaduje preindexovanie všetkých dokumentov. | Pridávanie hrán grafu je inkrementálne; RAG index sa aktualizuje automaticky. |

---

## 2. Základné komponenty CES

### 2.1 Poznávací graf dôkazov

Graf je jediným zdrojom pravdy. Každý uzol uchováva:

* **Obsah** – surový text alebo štruktúrované dáta (JSON, CSV).
* **Metadáta** – zdrojový systém, dátum vytvorenia, rámec compliance, dátum expirácie.
* **Hash** – kryptografický odtlačok pre detekciu manipulácie.

Hrany vyjadrujú logické vzťahy:

```mermaid
graph TD
    "Policy: Access Control" -->|"covers"| "Control: AC‑1"
    "Audit Report: Q3‑2024" -->|"evidence‑for"| "Control: AC‑1"
    "Third‑Party Attestation" -->|"validates"| "Policy: Data Retention"
    "Threat Intel Feed" -->|"impacts"| "Control: Incident Response"
```

> **Poznámka**: Všetky štítky uzlov sú uzavreté v dvojitých úvodzovkách podľa požiadaviek Mermaid syntaxi; žiadne úniky nie sú potrebné.

### 2.2 Retrieval‑Augmented Generation (RAG)

Keď prichádza otázka, systém vykoná:

1. **Extrahovanie úmyslu** – LLM spracuje otázku a vytvorí štruktúrovanú reprezentáciu
   (napr. `{framework: "SOC2", control: "CC6.1", domain: "Security Incident Management"}`).
2. **Vektorové vyhľadávanie** – úmysel je embedovaný a použitý na získanie top‑k relevantných uzlov grafu z hustého vektorového úložiska (FAISS alebo Elastic Vector).
3. **Prompt pre LLM** – LLM dostane získané úryvky dôkazov a prompt, ktorý ho inštruuje *syntetizovať* stručnú odpoveď pri zachovaní citácií.

### 2.3 Vrstva kontextuálneho usudzovania

Pravidlový motor leží medzi vyhľadávaním a generovaním:

```goat
rule "Include remediation timeline if control status is in‑progress"
when
    ControlStatus(status == "in‑progress")
then
    add_context("Current remediation ETA: {{eta}} days")
end
```

Motor môže tiež vynútiť:

* **Kontroly expirácie** – vylúčiť dôkazy po uplynutí ich platnosti.
* **Mapovanie regulácií** – zabezpečiť, aby odpoveď spĺňala viacero rámcov súčasne.
* **Maskovanie súkromia** – predtým, než sa dôkazy dostanú k LLM, odstráni citlivé polia.

### 2.4 Audit Trail Builder

Každá odpoveď je zabalená do **COMPOSITE OBJECT**:

```json
{
  "answer_id": "ans-2025-10-22-001",
  "question_id": "q-12345",
  "generated_text": "...",
  "evidence_refs": [
    {"node_id": "policy-AC-1", "hash": "a5f3c6"},
    {"node_id": "audit-2024-Q3", "hash": "d9e2b8"}
  ],
  "timestamp": "2025-10-22T14:32:10Z",
  "llm_version": "gpt‑4‑turbo‑2024‑09‑12"
}
```

Tento JSON môže byť uložený v nemennom logu (WORM úložisko) a neskôr zobrazený v dashboarde compliance,
čím auditorom poskytne možnosť „hover“ nad každým tvrdením a zistí, ktorý konkrétny dôkaz ho podporuje.

---

## 3. End‑to‑End dátový tok

```mermaid
sequenceDiagram
    participant User as Security Analyst
    participant UI as Procurize Dashboard
    participant CES as Contextual Evidence Synthesizer
    participant KG as Knowledge Graph
    participant LLM as Retrieval‑Augmented LLM
    participant Log as Audit Trail Store

    User->>UI: Upload new questionnaire (PDF/JSON)
    UI->>CES: Parse questions, create intent objects
    CES->>KG: Vector search for each intent
    KG-->>CES: Return top‑k evidence nodes
    CES->>LLM: Prompt with evidence + synthesis rules
    LLM-->>CES: Generated answer
    CES->>Log: Store answer with evidence refs
    Log-->>UI: Show answer with traceability links
    User->>UI: Review, comment, approve
    UI->>CES: Push approved answer to vendor portal
```

Sekvenčný diagram zdôrazňuje, že **ľudská revízia** zostáva kritickým kontrolným bodom. Analytici môžu pridať komentár alebo
prepísať AI‑generovaný text pred finálnym odoslaním, čím sa zachová rýchlosť aj správa.

---

## 4. Blueprint implementácie

### 4.1 Nastavenie poznávacieho grafu

1. **Vyberte grafovú databázu** – Neo4j, JanusGraph alebo Amazon Neptune.  
2. **Naimportujte existujúce aktíva** – politiky (Markdown, PDF), auditné správy (CSV/Excel), externé atestácie (JSON) a
   hrozobné zdroje (STIX/TAXII).  
3. **Vytvorte embedings** – použite model sentence‑transformer (`all-MiniLM-L6-v2`) pre textový obsah každého uzla.  
4. **Vytvorte vektorový index** – uložte embedings v FAISS alebo Elastic Vector pre rýchle najbližšie susedy.

### 4.2 Vytvorenie vrstvy Retrieval‑Augmented

* Nasadiť LLM endpoint (OpenAI, Anthropic alebo samostatne hostovaný Llama‑3) za súkromným API gateway.
* Obaliť LLM šablónou promptu, ktorá obsahuje zástupné symboly:
  * `{{question}}`
  * `{{retrieved_evidence}}`
  * `{{compliance_rules}}`
* Použiť LangChain alebo LlamaIndex na orchestráciu slučky vyhľadávania‑generovania.

### 4.3 Definovanie pravidiel usudzovania

Implementujte pravidlový engine pomocou **Durable Rules**, **Drools** alebo ľahkej Python DSL. Príklad:

```python
rules = [
    {
        "condition": lambda node: node["status"] == "expired",
        "action": lambda ctx: ctx["exclude"](node)
    },
    {
        "condition": lambda node: node["framework"] == "SOC2" and node["control"] == "CC6.1",
        "action": lambda ctx: ctx["add_context"]("Incident response plan last tested on {{last_test_date}}")
    }
]
```

### 4.4 Auditovateľné úložisko

* Ukladať objektové odpovede do **append‑only** S3 bucket s povoleným Object Lock alebo do blockchain‑backed ledger.
* Vytvárať **SHA‑256 hash** každej odpovede pre dôkaz integrity.

### 4.5 Integrácia UI

* Rozšíriť Procurize dashboard o tlačidlo **„AI‑Syntetizovať“** vedľa každého riadku otázky.
* Zobraziť skladateľný pohľad, ktorý ukazuje:
  * Vygenerovanú odpoveď.
  * Inline citácie (napr. `[Policy: Access Control]` odkazujúce na uzol grafu).
  * Verziu (`v1.3‑2025‑10‑22`).

### 4.6 Monitoring a neustále zlepšovanie

| Metrika | Ako merať |
|--------|------------|
| **Latencia odpovede** | Čas od prijatia otázky po vygenerovanie odpovede. |
| **Pokrytie citácií** | Percento viet odpovede, ktoré majú aspoň jeden odkaz na uzol grafu. |
| **Miera úprav človekom** | Poměr AI‑generovaných odpovedí, ktoré vyžadujú manuálnu úpravu. |
| **Odchýlka compliance** | Počet odpovedí, ktoré sa stali neaktuálnymi kvôli expirácii dôkazov. |

Zbierajte tieto metriky v Prometheus, nastavte alarmy pri prekročení prahových hodnôt a používajte ich na automatické doladenie **pravidlového engine**.

---

## 5. Praktické prínosy

1. **Zníženie času odozvy** – Tímy hlásia **70‑80 %** skrátenie priemernej doby odpovede (z 48 h na ~10 h).  
2. **Vyššia presnosť** – Odkazy na dôkazy znižujú faktické chyby o **~95 %**, pretože citácie sú automaticky overované.  
3. **Audit‑pripravená dokumentácia** – Export jedným kliknutím audit trailu spĺňa požiadavky na dôkazy pre SOC 2 a ISO 27001.  
4. **Škálovateľné opätovné použitie poznatkov** – Nové otázky automaticky využívajú existujúce dôkazy, čím sa predchádza duplicitnej práci.

Prípadová štúdia z fintech spoločnosti ukázala, že po nasadení CES dokázala tím pre riziko vendorov riešiť **štyrikrát** viac otázok bez nutnosti ďalšieho zamestnania.

---

## 6. Bezpečnostné a súkromné úvahy

* **Izolácia dát** – Udržujte vektorový obchod a LLM inference v VPC bez výstupného pripojenia na internet.  
* **Zero‑Trust prístup** – Používajte krátkodobé IAM tokeny pre každú analytickú reláciu.  
* **Differenciálna ochrana súkromia** – Pri využívaní externých hrozných kanálov aplikujte šum na zabránenie úniku interných politík.  
* **Auditovanie modelov** – Logujte každú požiadavku a odpoveď LLM pre budúce revízie compliance.

---

## 7. Budúce vylepšenia

| Položka v roadmape | Popis |
|---------------------|-------|
| **Federovaný graf synchronizácie** | Zdieľajte vybrané uzly s partnerskými organizáciami pri zachovaní suverenity dát. |
| **Explainable AI preklad** | Vizualizujte rozhodovací tok od otázky po odpoveď pomocou DAG dôkazových uzlov. |
| **Viacjazyčná podpora** | Rozšírte vyhľadávanie a generovanie na francúzštinu, nemčinu a japončinu pomocou viacjazyčných embedings. |
| **Self‑Healing šablóny** | Automaticky aktualizujte šablóny otázok, keď sa podkladová politika zmení. |

---

## 8. Kontrolný zoznam pre spustenie

1. **Mapujte aktuálne zdroje dôkazov** – zoznamujte politiky, auditné správy, atestácie a feedy.  
2. **Spustite grafovú databázu** a načítajte aktíva s metadátami.  
3. **Vytvorte embedings** a nastavte vektorové vyhľadávanie.  
4. **Nasadiť LLM s RAG wrapperom** (LangChain alebo LlamaIndex).  
5. **Definujte compliance pravidlá** špecifické pre vašu organizáciu.  
6. **Integrajte s Procurize** – pridajte tlačidlo „AI‑Syntetizovať“ a komponent audit trail v UI.  
7. **Spustite pilot** na menšej sade otázok, merajte latenciu, mieru úprav a auditovateľnosť.  
8. **Iterujte** – vylepšujte pravidlá, rozširujte graf a rozširujte na ďalšie rámce.

Nasledovaním tohto plánu premeníte časovo náročný manuálny proces na **nepretržitý, AI‑augmentovaný engine compliance**, ktorý rastie spolu s vaším biznisom.