
# Multi‑modálna AI extrakcia dôkazov pre bezpečnostné dotazníky

Bezpečnostné dotazníky sú bránou každého B2B SaaS obchodu. Dodávatelia sú požiadaní o predloženie dôkazov – PDF politík, architektonických diagramov, úryvkov kódu, auditných logov a dokonca aj screenshotov dashboardov. Tradične strávia tímy pre bezpečnosť a súlad **hodiny** prezeraním úložísk, kopírovaním súborov a ručným pripájaním k poľom dotazníka. Výsledkom je úzky profil, ktorý spomaľuje predajné cykly, zvyšuje ľudské chyby a vytvára medzery v audite.

**Procurize** už vybudoval výkonnú jednotnú platformu pre správu dotazníkov, priraďovanie úloh a AI‑asistované generovanie odpovedí. Ďalšou hranicou je **automatizovať samotný zber dôkazov**. Využitím **multi‑modálnej generatívnej AI** – modelov, ktoré rozumejú textu, obrázkom, tabuľkám a kódu v jednom pipeline – môžu organizácie okamžite nájsť správny artefakt pre akúkoľvek položku dotazníka, bez ohľadu na formát.

V tomto článku sa budeme venovať:

1. Vysvetleniu, prečo prístup založený na jednej modality (čisté textové LLM) zlyháva pri moderných súladových úlohách.  
2. Detailnému opisu architektúry multi‑modálneho enginu na extrakciu dôkazov postaveného na Procurize.  
3. Ukážke, ako trénovať, hodnotiť a neustále zlepšovať systém pomocou techník **Generative Engine Optimization (GEO)**.  
4. Konkrétnemu príkladu od bezpečnostnej otázky po automaticky pripojený dôkaz.  
5. Diskusii o vláde, bezpečnosti a audítovateľnosti.  

> **Hlavný záver:** Multi‑modálna AI mení získavanie dôkazov z manuálnej úlohy na opakovateľnú, audítovateľnú službu, čím skráti čas odozvy na dotazník až o 80 % pri zachovaní prísneho súladu.

---

## 1. Obmedzenia textových LLM v pracovných tokoch dotazníkov

Väčšina dnešnej AI‑automatizácie sa spolieha na veľké jazykové modely (LLM), ktoré excelujú v **generovaní textu** a **sémantickom vyhľadávaní**. Dokážu vybrať klauzuly politík, zhrnúť auditné správy a dokonca napísať naratívne odpovede. Avšak dôkazy v súlade zriedkavo tvoria čistý text:

| Typ dôkazu | Typický formát | Problém pre text‑only LLM |
|------------|----------------|--------------------------|
| **Architektonické diagramy** | PNG, SVG, Visio | Vyžaduje vizuálne porozumenie |
| **Konfiguračné súbory** | YAML, JSON, Terraform | Štruktúrované, často vnorené |
| **Úryvky kódu** | Java, Python, Bash | Potreba syntakticky‑vedomého výpisu |
| **Screenshoty dashboardov** | JPEG, PNG | Nutnosť čítať UI elementy, časové značky |
| **Tabuľky v PDF auditných správach** | PDF, naskenované obrázky | OCR + parsovanie tabuliek potrebné |

Keď otázka znie *„Poskytnite sieťový diagram, ktorý zobrazuje tok dát medzi vaším produkčným a záložným prostredím“*, text‑only model môže odpovedať iba opisom; nedokáže nájsť, overiť ani vložiť skutočný obrázok. Táto medzera núti používateľov zasiahnuť, čím sa znovu objavuje manuálna práca, ktorú chceme eliminovať.

---

## 2. Architektúra multi‑modálneho enginu na extrakciu dôkazov

Nižšie je diagram vysokého úrovne navrhovaného enginu, integrovaného s jadrom dotazníkového hubu Procurize.

```mermaid
graph TD
    A["Používateľ odosiela položku dotazníka"] --> B["Služba klasifikácie otázok"]
    B --> C["Orchestrátor multi‑modálneho vyhľadávania"]
    C --> D["Textový vektorový sklad (FAISS)"]
    C --> E["Obrazový embedding sklad (CLIP)"]
    C --> F["Kódový embedding sklad (CodeBERT)"]
    D --> G["Sémantická zhoda (LLM)"]
    E --> G
    F --> G
    G --> H["Engine na zoradenie dôkazov"]
    H --> I["Obohatenie metadát o súlad"]
    I --> J["Automatické pripojenie k úlohe v Procurize"]
    J --> K["Ľudská kontrola (HITL)"]
    K --> L["Záznam v auditnom logu"]
```

### 2.1 Základné komponenty

1. **Služba klasifikácie otázok** – Používa jemne doladený LLM na označenie prichádzajúcich položiek dotazníka **typmi dôkazov** (napr. „sieťový diagram“, „PDF bezpečnostnej politiky“, „Terraform plán“).  
2. **Orchestrátor multi‑modálneho vyhľadávania** – Na základe klasifikácie smeruje požiadavku do príslušných embedding skladov.  
3. **Embedding sklady**  
   * **Textový sklad** – FAISS index postavený na všetkých politických dokumentoch, auditných správach a markdown súboroch.  
   * **Obrazový sklad** – Vektory založené na CLIP vygenerované zo všetkých diagramov, screenshotov a SVG v úložisku dokumentov.  
   * **Kódový sklad** – CodeBERT embeddingy pre všetky zdrojové súbory, CI/CD konfigurácie a IaC šablóny.  
4. **Vrstva sémantickej zhody** – Cross‑modal transformer spája embedding otázky s vektormi každej modality a vracia zoradený zoznam kandidátnych artefaktov.  
5. **Engine na zoradenie dôkazov** – Používa **heuristiky GEO**: čerstvosť, stav vo verziovacom systéme, relevantnosť súladových tagov a skóre istoty z LLM.  
6. **Obohatenie metadát o súlad** – Pridáva SPDX licencie, časové značky auditu a kategórie ochrany údajov ku každému artefaktu.  
7. **Ľudská kontrola (HITL)** – UI v Procurize zobrazuje top‑3 návrhy; recenzent môže schváliť, nahradiť alebo odmietnuť.  
8. **Záznam v auditnom logu** – Každé automatické pripojenie je zaznamenané s kryptografickým hashom, podpisom recenzenta a skóre AI, čo spĺňa požiadavky SOX a GDPR auditných stôp.

### 2.2 Pipeline pre ingestovanie dát

1. **Crawler** prehľadá firemné zdieľané disky, Git repozitáre a cloudové úložiská.  
2. **Pre‑processor** spustí OCR na naskenované PDF (Tesseract), extrahuje tabuľky (Camelot) a konvertuje Visio súbory na SVG.  
3. **Embedder** vytvorí modality‑špecifické vektory a uloží ich s metadátami (cesta, verzia, vlastník).  
4. **Inkrementálna aktualizácia** – Micro‑service na detekciu zmien (watchdog) re‑embeduje iba modifikované položky, čím udržuje vektorové sklady aktuálne v reálnom čase.

---

## 3. Generative Engine Optimization (GEO) pre vyhľadávanie dôkazov

**GEO** je systematická metóda pre nastavenie celého AI pipeline – nie len jazykového modelu – tak, aby sa zlepšila hlavná KPI (čas odozvy na dotazník) pri zachovaní kvality súladu.

| Fáza GEO | Cieľ | Kľúčové metriky |
|----------|------|----------------|
| **Kvalita dát** | Zabezpečiť, aby embeddingy odrážali najnovší súladový stav | % aktívnych aktív < 24 h |
| **Prompt Engineering** | Vytvoriť výzvy, ktoré nasmerujú model na správnu modalitu | Skóre istoty vyhľadávania |
| **Kalibrácia modelu** | Zladenie prahov istoty s akceptačnou mierou recenzentov | Miera falošných pozitívov < 5 % |
| **Spätná väzba** | Zachytiť akcie recenzentov na doladenie klasifikácie a zoradenia | Priemerný čas na schválenie (MTTA) |
| **Kontinuálne hodnotenie** | Nočné A/B testy na historickom sete otázok | Zníženie priemerného času odpovede |

### 3.1 Príklad promptu pre multi‑modalne vyhľadávanie

```
[QUESTION] Poskytnite najnovšiu [SOC 2] Type II auditnú správu pokrývajúcu šifrovanie údajov v pokoji.

[CONTEXT] Vyhľadajte PDF dokument, ktorý obsahuje relevantnú auditnú sekciu. Vráťte ID dokumentu, rozsah strán a krátky úryvok.

[MODALITY] text
```

Orchestrátor analyzuje značku `[MODALITY]` a dotazuje **iba textový sklad**, čím sa výrazne znižuje šum z obrázkov alebo kódu.

### 3.2 Adaptívne prahy

Pomocou **Bayesian Optimization** systém automaticky upravuje prah istoty pre každú modalitu. Keď recenzenti konzistentne schvaľujú návrhy nad 0,78 pre diagramy, práh sa zvýši, čím sa zníži počet zbytočných zásahov. Naopak, ak úryvky kódu prinášajú veľa odmietnutí, práh klesne a systém ponúkne viac kandidátov.

---

## 4. End‑to‑End príklad: Od otázky po automaticky pripojený dôkaz

### 4.1 Otázka

> *„Pripojte diagram, ktorý zobrazuje tok zákazníckych údajov od príjmu po ukladanie, vrátane bodov šifrovania.“*

### 4.2 Krok za krokom

| Krok | Akcia | Výsledok |
|------|-------|----------|
| 1 | Používateľ vytvorí novú položku dotazníka v Procurize. | ID položky `Q‑2025‑1123`. |
| 2 | Služba klasifikácie označí požiadavku ako `evidence_type: network diagram`. | Modalita = **obrázok**. |
| 3 | Orchestrátor pošle dopyt do CLIP obrazového skladu. | Získaných 12 kandidátnych vektorov. |
| 4 | Vrstva sémantickej zhody vypočíta kosínusovú podobnosť medzi embeddingom otázky a každým vektorom. | Top‑3 skóre: 0,92; 0,88; 0,85. |
| 5 | Engine na zoradenie vyhodnotí čerstvosť (naposledy upravené pred 2 dňami) a súladové tagy (obsahuje “encryption”). | Finálne zoradenie: diagram `arch‑data‑flow‑v3.svg`. |
| 6 | UI HITL zobrazí diagram s náhľadom, metadátami (autor, verzia, hash). | Recenzent klikne **Schváliť**. |
| 7 | Systém automaticky pripojí diagram k `Q‑2025‑1123` a zaznamená auditný vstup. | Audit log ukazuje AI istotu 0,91, podpis recenzenta, časovú známku. |
| 8 | Modul generovania odpovedí vytvorí naratívny text odkazujúci na diagram. | Kompletná odpoveď pripravená na export. |

Celkový uplynulý čas od kroku 1 po krok 8 je **≈ 45 sekúnd**, oproti typickým **15–20 minútam** pri manuálnom vyhľadávaní.

---

## 5. Správa, bezpečnosť a audítovateľná stopa

Automatizácia spracovania dôkazov prináša legitímne obavy:

1. **Únik dát** – Embedding služby musia bežať v **zero‑trust VPC** s prísnymi IAM rolami. Žiadne embeddingy neopúšťajú firemnú sieť.  
2. **Verzovanie** – Každý artefakt je uložený s **Git commit hash** (alebo verzionovaným objektom úložiska). Pri aktualizácii dokumentu sa neplatné embeddingy nevymažú.  
3. **Vysvetliteľnosť** – Engine na zoradenie loguje podobnostné skóre a reťazec promptov, čo umožňuje súladovým úradom sledovať *prečo* bol konkrétny súbor vybraný.  
4. **Regulačná zhoda** – Pridaním SPDX licenčných identifikátorov a kategórií spracovania podľa [GDPR](https://gdpr.eu/) k každému artefaktu spĺňa požiadavky na pôvod dôkazov pre [ISO 27001](https://www.iso.org/standard/73906.html) Annex A.  
5. **Politiky retenčných období** – Automatické úlohy na čistenie odstránia embeddingy pre dokumenty staršie než pevne definované retenčné okno, čím sa predieme zachovaniu zastaralých dôkazov.

---

## 6. Budúce smerovanie

### 6.1 Multi‑modalne vyhľadávanie ako služba (RaaS)

Zverejniť orchestrátor vyhľadávania cez **GraphQL API**, aby ostatné interné nástroje (napr. CI/CD súladové kontroly) mohli požadovať dôkazy bez použitia plnej UI dotazníka.

### 6.2 Integrácia s Radarom regulačných zmien

Spojiť multi‑modalny engine s **Radarom regulačných zmien** Procurize. Keď sa objaví nová regulácia, automaticky preklasifikovať ovplyvnené otázky a spustiť nový výskum dôkazov, čím sa zabezpečí, že nahrávané artefakty zostanú aktuálne.

### 6.3 Federované učenie naprieč podnikovými inštitúciami

Pre SaaS poskytovateľov slúžiacich viacerým zákazníkom môže **federované učenie** zdieľať anonymizované aktualizácie embeddingov, čím sa zlepší kvalita vyhľadávania bez odhalenia proprietárnych dokumentov.

---

## 7. Záver

Bezpečnostné dotazníky zostanú základom riadenia rizík dodávateľov, no manuálny proces zberu a pripojenia dôkazov sa rýchlo stáva neúnosným. Využitím **multi‑modálnej AI** – kombinácie textového, obrazového a kódového pochopenia – môže Procurize premeniť extrakciu dôkazov na automatizovanú, audítovateľnú službu. Použitím **Generative Engine Optimization** zabezpečíme, že istota AI sa neustále zosúlaďuje s očakávaniami recenzentov a požiadavkami súladu.

Výsledkom je **dramatické zrýchlenie odpovedí na dotazníky**, zníženie ľudských chýb a silnejšia auditná stopa – čím sa tímy pre bezpečnosť, právne a predaj sústredia na strategické zmierňovanie rizík namiesto rutinného vyhľadávania dokumentov.

---

## Pozri tiež

- [Multi‑Modal Retrieval with CLIP and FAISS – Towards Scalable Enterprise Search](https://arxiv.org/abs/2103.00020)  
- [Generative Engine Optimization: A Framework for Continuous AI Improvement](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Zero‑Trust Architecture for AI‑Powered Compliance Platforms](https://cloud.google.com/solutions/zero-trust-ai)  
- [ISO 27001 Annex A – Evidence Management Requirements](https://www.iso.org/standard/73906.html)