
# Etický nástroj na auditovanie zaujatosti pre AI generované odpovede na bezpečnostné dotazníky

**Abstrakt**  
Nasadenie veľkých jazykových modelov (LLM) na odpovedanie na bezpečnostné dotazníky dramaticky zrýchlilo počas posledných dvoch rokov. Zatiaľ čo rýchlosť a pokrytie sa zlepšili, skrytý rizik systematickej zaujatosti – či už kultúrnej, regulačnej alebo operatívnej – zostáva takmer neadresované. **Etický nástroj na auditovanie zaujatosti (EBAE)** od Procurize zapĺňa túto medzeru tým, že do každej AI‑generovanej odpovede vkladá autonómnu, dátovo‑riadenú vrstvu detekcie a zmierňovania zaujatosti. Tento článok vysvetľuje technickú architektúru, pracovný tok riadenia a merateľné obchodné prínosy EBAE, čím ho predstavuje ako základný kameň pre dôveryhodnú automatizáciu súladu.

---

## 1. Prečo je zaujatosť dôležitá v automatizácii bezpečnostných dotazníkov  

Bezpečnostné dotazníky sú hlavnými bránami pri hodnotení rizík dodávateľov. Ich odpovede ovplyvňujú:

* **Zmluvné rokovania** – zaujatý jazyk môže neúmyselne uprednostňovať určité jurisdikcie.  
* **Regulačný súlad** – systematické vynechávanie kontrol špecifických pre daný región môže viesť k pokutám.  
* **Dôveru zákazníkov** – vnímaná nespravodlivosť podkopáva dôveru, najmä u globálnych poskytovateľov SaaS.

Keď je LLM trénovaný na historických audítorských dátach, preberá historické vzory – niektoré z nich odrážajú zastarané politiky, regionálne právne nuansy alebo firemnú kultúru. Bez špeciálnej auditnej funkcie sa tieto vzory skryjú a spôsobia:

| Typ zaujatosti | Príklad |
|----------------|---------|
| **Regulačná zaujatosť** | Prevláda západoamerické kontrolné opatrenia a podcenenie požiadaviek špecifických pre [GDPR](https://gdpr.eu/). |
| **Odvetvová zaujatosť** | Uprednostňovanie cloud‑natívnych kontrol aj keď dodávateľ používa lokálnu infraštruktúru. |
| **Zaujatosť tolerancie rizika** | Systematické podcenenie vysokých rizík, pretože predchádzajúce odpovede boli optimistickejšie. |

EBAE je navrhnutý tak, aby tieto skreslenia odhalil a opravoval skôr, než odpoveď dorazí k zákazníkovi alebo auditorovi.

---

## 2. Architektonický prehľad  

EBAE leží medzi **LLM Generation Engine** a **Answer Publication Layer** v Procurize. Skladá sa z troch úzko prepojených modulov:

```mermaid
graph LR
    A["Prijatie otázky"] --> B["LLM Generation Engine"]
    B --> C["Bias Detection Layer"]
    C --> D["Mitigation & Re‑ranking"]
    D --> E["Explainability Dashboard"]
    E --> F["Answer Publication"]
```

### 2.1 Vrstva detekcie zaujatosti  

Detekčná vrstva využíva hybrid **Statistických kontrol parity** a **Semantických auditov podobnosti**:

| Metóda | Účel |
|--------|------|
| **Statistická parita** | Porovnať rozdelenie odpovedí podľa geografie, odvetvia a úrovne rizika a identifikovať odchýlky. |
| **Zabudovanie‑založená spravodlivosť** | Projektovať text odpovede do vysokodimenzionálneho priestoru pomocou sentence‑transformera a vypočítať kosínusovú podobnosť s „kotvou spravodlivosti“, ktorú zostavili odborníci na súlad. |
| **Kryžová kontrola regulácií** | Automaticky skenovať chýbajúce termíny špecifické pre jurisdikcie (napr. „Data Protection Impact Assessment“ pre EÚ, „CCPA“ pre Kaliforniu). |

Keď je potenciálna zaujatosť označená, motor vráti **BiasScore** (0 – 1) spolu s **BiasTag** (napr. `REGULATORY_EU`, `INDUSTRY_ONPREM`).

### 2.2 Zmiernenie a preusporiadanie  

Modul zmiernenia vykonáva:

1. **Rozšírenie promptu** – pôvodná otázka sa znovu požiada s kontextom o zohľadnenie zaujatosti (napr. „Zahrňte GDPR‑specifické kontroly“).  
2. **Ensemble odpovedí** – vygeneruje sa viacero kandidátnych odpovedí, pričom každá je vážená inverzným BiasScore.  
3. **Politikou riadené preusporiadanie** – finálna odpoveď sa zosúladí s **Politikou zmierňovania zaujatosti**, uloženou v knowledge graph Procurize.

### 2.3 Dashboard vysvetliteľnosti  

Úradníci súladu môžu detailne preskúmať akúkoľvek odpoveď v reporte zaujatosti, vidieť:

* **Časovú osu BiasScore** (ako sa skóre menilo po zmiernení).  
* **Úryvky dôkazov**, ktoré spustili varovanie.  
* **Odôvodnenie politiky** (napr. „Požiadavka na rezidenciu dát v EU podľa GDPR článku 25“).  

Dashboard je responzívne UI postavené na Vue.js a podkladový dátový model spĺňa špecifikáciu **OpenAPI 3.1** pre jednoduchú integráciu.

---

## 3. Integrácia s existujúcimi pracovnými postupmi Procurize  

EBAE je nasadený ako **mikro‑služba**, ktorá spĺňa internú **Event‑Driven Architecture** Procurize. Nasledujúci sekvenčný diagram ukazuje, ako je typický proces spracovania odpovede na dotazník:

```goat
event.QuestionReceived -> LLM.GenerateAnswer -> EBAE.DetectBias -> 
if BiasScore > 0.3 then EBAE.Mitigate -> event.AnswerReady -> UI.Publish
else event.AnswerReady -> UI.Publish
```

* **Zdroj udalosti:** Prichádzajúce položky dotazníka z **Questionnaire Hub** platformy.  
* **Cieľová služba:** **Answer Publication Service**, ktorá ukladá finálnu verziu do neodstrániteľného auditného ledgeru (zabezpečeného blockchainom).  

Keďže služba je stateless, môže byť horizontálne škálovaná za **Kubernetes Ingress**, zabezpečujúc sub‑sekundovú odozvu aj počas špičkových auditných cyklov.

---

## 4. Model riadenia  

### 4.1 Role a zodpovednosti  

| Rola | Zodpovednosť |
|------|--------------|
| **Úradník súladu** | Definuje Politiku zmierňovania zaujatosti, prezerá označené odpovede, schvaľuje zmiernené verzie. |
| **Dátový vedec** | Spravuje korpus kotvy spravodlivosti, aktualizuje detekčné modely, monitoruje drift modelov. |
| **Product Owner** | Prioritizuje rozšírenia (napr. nové regulatívne lexikóny), zosúlaďuje roadmapu s trhovou požiadavkou. |
| **Security Engineer** | Zabezpečuje šifrovanie dát počas prenosu i úložiska, vykonáva pravidelné penetračné testy mikro‑služby. |

### 4.2 Auditovateľná stopa  

Každý krok – surový výstup LLM, metriky detekcie zaujatosti, akcie zmiernenia a finálna odpoveď – vytvára **tamper‑evident log** uložený na kanáli **Hyperledger Fabric**. To spĺňa požiadavky na dôkaz pre **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** aj **[ISO 27001](https://www.iso.org/standard/27001)**.

---

## 5. Obchodný dopad  

#### 5.1 Kvantitatívne výsledky (pilot Q1‑Q3 2025)  

| Metrika | Pred EBAE | Po EBAE | Δ |
|----------|-----------|----------|---|
| Priemerný čas odpovede (s) | 18 | 21 (zmiernenie pridá ~3 s) | +17 % |
| Počet incidentov zaujatosti (na 1000 odp.) | 12 | 2 | ↓ 83 % |
| Skóre spokojnosti auditorov (1‑5) | 3,7 | 4,5 | ↑ 0,8 |
| Odhadované náklady na právne riziká | 450 tis. $ | 85 tis. $ | ↓ 81 % |

Mierny nárast latencie je viac než kompenzovaný výrazným znížením rizika súladu a merateľným nárastom dôvery zainteresovaných strán.

#### 5.2 Kvalitatívne prínosy  

* **Regulačná agilita** – nové požiadavky pre jurisdikcie je možné pridať do lexikónu za pár minút, okamžite ovplyvňujúc všetky budúce odpovede.  
* **Reputácia značky** – verejné vyhlásenia o „bezbiasovej AI v súlade“ silno rezonujú s používateľmi citlivými na súkromie.  
* **Udržanie talentu** – tímy súladu hlásia menšiu manuálnu záťaž a vyššiu spokojnosť, čo znižuje fluktuáciu.

---

## 6. Budúce vylepšenia  

1. **Cyklický učebný loop** – využiť spätnú väzbu auditorov (akceptované/odmietnuté odpovede) na dynamické doladenie kotvy spravodlivosti.  
2. **Federovaný audit zaujatosti medzi dodávateľmi** – spolupracovať s partnerskými platformami prostredníctvom **Secure Multi‑Party Computation** na obohatenie detekcie zaujatosti bez zverejnenia proprietárnych dát.  
3. **Viacjazyčná detekcia zaujatosti** – rozšíriť lexikón a embedovacie modely o ďalších 12 jazykov, čo je kľúčové pre globálne SaaS podniky.

---

## 7. Ako začať používať EBAE  

1. **Aktivujte službu** v administrátorskom konzole Procurize → *AI Services* → *Bias Auditing*.  
2. **Nahrajte svoj JSON so zásadou o zaujatosti** (šablóna je v dokumentácii).  
3. **Spustite pilot** na výbere 50 otázok; skontrolujte výstupy v dashboarde.  
4. **Prejdite do produkcie**, keď je miera falošných poplachov pod 5 %.

Všetky kroky sú automatizované cez **Procurize CLI**:

```bash
prz bias enable --policy ./bias_policy.json
prz questionnaire run --sample 50 --output bias_report.json
prz audit ledger view --id 0x1a2b3c
```

---