
# Dynamická sémantická vrstva pre viacregulačné zosúladenie pomocou LLM generovaných šablón politík

> **TL;DR** – Dynamická sémantická vrstva (DSL) leží medzi surovými regulačnými textami a nástrojom na automatizáciu dotazníkov, pričom využíva veľké jazykové modely (LLM) na vytváranie *šablón politík*, ktoré sú *sémanticky* zosúladiteľné naprieč štandardmi. Výsledkom je jediný zdroj pravdy, ktorý dokáže automaticky vyplniť akýkoľvek bezpečnostný dotazník, zostať aktuálny s regulačnými zmenami a poskytovať auditovateľný pôvod pre každú odpoveď.

---

## 1. Prečo je dnes sémantická vrstva dôležitá  

Bezpečnostné dotazníky sa stali úzkym hrdlom moderných B2B SaaS obchodov. Tímy musia zvládať desiatky rámcov – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa), [NIST CSF](https://www.nist.gov/cyberframework), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) – a každá otázka môže byť formulovaná inak, hoci sa vzťahuje na tú istú základnú kontrolu. Tradičné „dokument‑na‑dokument“ mapovanie trpí tromi kritickými problémami:

| Problém | Symptom | Obchodný dopad |
|------------|---------|-----------------|
| **Zmena terminológie** | Rovnaká kontrola vyjadrená viac ako 10 variantmi | Duplicitná práca, vynechané kontroly |
| **Meškanie regulácií** | Manuálna aktualizácia je potrebná po každej zmene regulácie | Zastaralé odpovede, zlyhania auditu |
| **Medzera v sledovaní** | Žiadny jasný pôvod odpovede → politika → regulácia | Neistota v súlade, právne riziko |

*Semantický* prístup rieši tieto problémy tým, že abstrahuje význam (úmysel) každej regulácie a prepojí ho s opätovne použiteľnou, AI‑generovanou šablónou. DSL sa tak stáva živou mapou, ktorá je dotazovateľná, verzionovateľná a auditovateľná.

---

## 2. Základná architektúra Dynamickej sémantickej vrstvy  

DSL je postavená ako štvoročinný potrubný proces:

1. **Regulačný zber** – surové PDF, HTML a XML sú parsované pomocou OCR + sémantického delenia.  
2. **Extrahovanie zámeru pomocou LLM** – LLM s inštrukčným ladením (napr. Claude‑3.5‑Sonnet) vytvára *vyhlásenia o zámere* pre každú klauzulu.  
3. **Syntéza šablóny** – ten istý LLM generuje *šablóny politík* (štruktúrovaný JSON‑LD), ktoré obsahujú úmysel, požadované typy dôkazov a meta‑údaje o súlade.  
4. **Konstrukcia sémantického grafu** – uzly reprezentujú úmysly, hrany zachytávajú ekvivalenciu, nahradenie a prekrývanie jurisdikcií.

Nižšie je diagram Mermaid, ktorý ilustruje tok dát.

```mermaid
graph TD
    A["Regulačné zdroje"] --> B["Chunk & OCR Engine"]
    B --> C["LLM Intent Extractor"]
    C --> D["Template Synthesizer"]
    D --> E["Semantic Graph Store"]
    E --> F["Questionnaire Automation Engine"]
    E --> G["Audit & Provenance Service"]
```

*Všetky popisky uzlov sú v úvodzovkách podľa požiadaviek syntaxe Mermaid.*

### 2.1. Extrahovanie zámeru v detailoch  

Prompt šablóna riadi LLM:

```
You are a compliance analyst. Extract a concise intent statement (max 20 words) from the following regulatory clause. Also list the evidence categories (e.g., “policy document”, “log snapshot”, “third‑party attestation”) required to satisfy it.
```

Výstup je uložený ako:

```json
{
  "intent_id": "gdpr_art_5_1",
  "intent": "Personal data must be processed lawfully, fairly and transparently.",
  "evidence": ["privacy policy", "data processing agreement", "audit log"]
}
```

Keďže úmysel je jazykovo nezávislý, rovnaká klauzula z [ISO 27001](https://www.iso.org/standard/27001) alebo CCPA bude mapovaná na identický `intent_id`, čím sa vytvorí **hrana sémantickej ekvivalencie** v grafe.

### 2.2. Syntéza šablóny  

DSL potom požiada LLM, aby vytvoril *šablónu*, ktorú možno použiť priamo v odpovedi na dotazník:

```
Generate a JSON‑LD policy template that satisfies the intent "Personal data must be processed lawfully, fairly and transparently." Include placeholders for organization‑specific values.
```

Výsledok:

```json
{
  "@context": "https://schema.org/",
  "@type": "Policy",
  "name": "Lawful Processing Policy",
  "description": "Policy governing lawful, fair, and transparent processing of personal data.",
  "applicableRegulations": ["GDPR Art.5(1)", "CCPA §1798.100"],
  "placeholders": {
    "dataController": "Your Company Name",
    "recordRetentionPeriod": "X years"
  },
  "evidenceRequired": ["privacyPolicy", "dataProcessingAgreement", "auditLog"]
}
```

Každá šablóna je version‑controlled (Git‑like semantika) a nesie **kriptografický hash** pre pôvodnosť.

---

## 3. Zarovnanie v reálnom čase naprieč viacerými predpismi  

Keď príde bezpečnostný dotazník, nástroj na automatizáciu vykoná:

1. **Parsing otázky** – NLP extrahuje *úmysel* z otázky zadávateľa.  
2. **Vyhľadávanie v grafe** – DSL nájde najbližší uzol pomocou kosínusovej podobnosti nad vektorovými embedings (OpenAI `text-embedding-3-large`).  
3. **Získanie šablóny** – všetky verzie šablón prepojené s nájdenými uzlami sa načítajú a filtrujú podľa interného inventára dôkazov.  
4. **Dynamické zloženie** – engine vyplní placeholdery hodnotami z interného úložiska politík a zostaví finálnu odpoveď.

Vďaka neustále aktualizovanému sémantickému grafu proces automaticky odráža najnovšie regulačné zmeny bez ručného premapovávania.

### 3.1. Príkladový prechod  

**Otázka zákazníka:** „Máte zdokumentovaný proces pre riešenie žiadostí o prístup k údajom (DSAR) podľa GDPR a CCPA?“

- **Výsledok parsovania:** úmysel = „Riešiť žiadosti o prístup k údajom“.  
- **Zhodnutie v grafe:** uzly `gdpr_art_12_1` a `ccpa_1798.115` (oba spojené s rovnakým úmyslom *DSAR handling*).  
- **Načítaná šablóna:** `dsar_process_template_v2.1`.  
- **Vygenerovaná odpoveď:**

> „Áno. Náš zdokumentovaný proces DSAR (pozri prílohu `DSAR_Process_v2.1.pdf`) popisuje kroky, ktoré nasledujeme pri prijímaní, overovaní a odpovedaní na žiadosti o prístup v 30 dňoch pre GDPR a 45 dňoch pre CCPA. Proces sa každoročne revízuje a je v súlade s oboma predpismi.“

Odpoveď priamo odkazuje na generovanú politickú šablónu, čím zabezpečuje pôvodnosť.

---

## 4. Udržiavanie sémantickej vrstvy čerstvou – slučka nepretržitého učenia  

DSL nie je statický artefakt. Vyvíja sa pomocou **zavretého slučkového spätnoväzbového enginu**:

1. **Detekcia zmien regulácií** – web‑scraper monitoruje oficiálne stránky regulátorov a podáva nové klauzuly do zberovej pipeline.  
2. **Doladenie LLM** – štvrtročne sa LLM doladi na najnovší korpus párov clause‑intent, čím sa zvyšuje presnosť extrakcie.  
3. **Validácia človekom v slučke** – compliance analytici kontrolujú náhodný 5 % vzoriek nových úmyslov a šablón a poskytujú korekčné pripomienky.  
4. **Automatické nasadenie** – overené aktualizácie sa zlúčia do grafu a okamžite sprístupnia nástroju na automatizáciu dotazníkov.

Táto slučka prináša **takmer nulovú latenciu** medzi regulačnou úpravou a pripravenosťou odpovede – strategickú výhodu pre predajcov SaaS.

---

## 5. Auditovateľná pôvodnosť a dôveryhodnosť  

Každá vygenerovaná odpoveď nesie **Provenance Token**:

```
PROV:sha256:5c9a3e7b...|template:dsar_process_v2.1|evidence:dsar_log_2024-10
```

Token je možné overiť proti nemennému ledgeru uloženému v povolenom blockchaine (napr. Hyperledger Fabric). Audítori môžu spätne sledovať:

- Originálnu regulačnú klauzulu.  
- LLM‑generovaný úmysel.  
- Verziu šablóny.  
- Pripojený dôkaz.

Toto spĺňa prísne auditné požiadavky pre [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) Type II, [ISO 27001](https://www.iso.org/standard/27001) Annex A a nové štandardy „AI‑generated evidence“.

---

## 6. Kvantifikované výhody  

| Metrika | Pred DSL | Po DSL (12 mesiacov) |
|--------|------------|-------------------|
| Priemerný čas generovania odpovede | 45 min (manuálne) | 2 min (automaticky) |
| Doba obrátky dotazníka | 14 dní | 3 dni |
| Manuálna mapovacia práca | 120 h/štvrťrok | 12 h/štvrťrok |
| Počet nálezov pri audite | 3 kritické | 0 |
| Zastaranie dôkazov | 8 % neaktuálnych | <1 % |

Štúdia reálnych prípadov od skorých používateľov (napr. fintech platforma spracúvajúca 650 dotazníkov/rok) ukazuje **70 % skrátenie doby obrátky** a **99 % úspešnosť pri auditoch**.

---

## 7. Kontrolný zoznam implementácie pre bezpečnostné tímy  

1. **Integrácia DSL API** – pridajte endpoint `/semantic/lookup` do vašho workflow pre dotazníky.  
2. **Inventarizácia dôkazov** – zabezpečte, aby každý dôkazový artefakt bol indexovaný s meta‑údajmi (typ, verzia, dátum).  
3. **Mapovanie placeholderov** – priraďte interné políčka politík k placeholderom šablón.  
4. **Zapnutie logovania pôvodnosti** – uložte provenance token spolu s každou odpoveďou v CRM alebo ticketovacom systéme.  
5. **Štvrťročná revízia** – priradte compliance analytika na kontrolu vzorky nových úmyslov.

---

## 8. Budúce smerovanie  

- **Zdieľané medziodvetvové grafy poznatkov** – anonymne zdieľať uzly úmyslu medzi spoločnosťami na urýchlenie zhromažďovania súladnosti.  
- **Viacjazyčné extrahovanie úmyslov** – rozšíriť prompt na podporu ne‑anglických regulácií (napr. LGPD, PIPEDA).  
- **Integrácia Zero‑Knowledge Proofs** – preukázať existenciu platnej šablóny bez odhaľovania jej obsahu, čo uspokojí zákazníkov s prísnym súkromím.  
- **Reinforcement Learning pre optimalizáciu šablón** – využívať spätnú väzbu z akceptácií/odmietnutí dotazníkov na jemné doladenie formulácií šablón.

---

## 9. Záver  

Dynamická sémantická vrstva mení chaotickú krajinu viacregulačného súladnosti na štruktúrovaný, AI‑riadený ekosystém. Extrahovaním úmyslu, syntézou opätovne použiteľných šablón a udržiavaním živého sémantického grafu umožňuje Procurize bezpečnostným tímom odpovedať na akýkoľvek dotazník **presne, okamžite a s úplnou auditovateľnosťou**. Výsledkom nie sú len rýchlejšie obchody – je to merateľný nárast dôvery, zníženie rizík a posilnenie regulačnej odolnosti.

---

## Pozri tiež

- NIST Cybersecurity Framework – mapovanie na ISO 27001 a SOC 2  
- OpenAI Embeddings API – najlepšie postupy pre sémantické vyhľadávanie  
- Hyperledger Fabric Documentation – budovanie nemenných auditných trás  
- ISO 27001 Annex A Controls – cross‑reference guide (https://www.iso.org/standard/54534.html)