
# Samoliečivá súprava znalostí pre súlad s generatívnou AI

Podniky, ktoré dodávajú softvér veľkým korporáciám, čelia neustálemu prúdu bezpečnostných dotazníkov, auditov zhody a hodnotení dodávateľov. Tradičný prístup – ručné kopírovanie‑vkladanie z politík, sledovanie v tabuľkách a ad‑hoc e‑mailové vlákna – prináša tri kritické problémy:

| Problém | Dopad |
|---|---|
| **Zastaralé dôkazy** | Odpovede sa stávajú nepresnými, keď sa kontroly menia. |
| **Izolované znalosti** | Tímy duplikujú prácu a prehliadajú poznatky naprieč tímami. |
| **Riziko auditu** | Nekonzistentné alebo zastarané odpovede vyvolávajú medzery v súlade. |

Nová **Samoliečivá súprava znalostí pre súlad (SH‑CKB)** od Procurize rieši tieto problémy tým, že premení úložisko súladu na živý organizmus. Poháňaná **generatívnou AI**, **engineom pre validáciu v reálnom čase** a **dynamickým grafom znalostí**, systém automaticky deteguje odchýlky, regeneruje dôkazy a šíri aktualizácie naprieč každým dotazníkom.

---

## 1. Hlavné koncepty

### 1.1 Generatívna AI ako tvorca dôkazov  

Veľké jazykové modely (LLM) vyškolené na politických dokumentoch vašej organizácie, auditných záznamoch a technických artefaktoch môžu **na požiadanie vytvoriť kompletné odpovede**. Model sa podmiňuje pomocou štruktúrovaného promptu, ktorý obsahuje:

* Referenciu kontroly (napr. [ISO 27001](https://www.iso.org/standard/27001) A.12.4.1)  
* Aktuálne artefakty dôkazov (napr. stav Terraform, logy CloudTrail)  
* Požadovaný tón (stručný, na úrovni manažmentu)  

Model potom vygeneruje návrh odpovede pripravený na revíziu.

### 1.2 Vrstva validácie v reálnom čase  

Sada pravidlovo‑založených a ML‑poháňaných validátorov neustále kontroluje:

* **Čerstvosť artefaktov** – časové značky, čísla verzií, kontrolné sumy.  
* **Regulačná relevantnosť** – mapovanie nových verzií regulácií na existujúce kontroly.  
* **Sémantická konzistentnosť** – skóre podobnosti medzi vygenerovaným textom a zdrojovými dokumentmi.

Keď validátor označí nezrovnalosť, graf znalostí označí uzol ako **„zastaralý“** a spustí regeneráciu.

### 1.3 Dynamický graf znalostí  

Všetky politiky, kontroly, súbory dôkazov a položky dotazníkov sa stávajú **uzlami** v orientovanom grafe. Hrany zachytávajú vzťahy ako *„dôkaz pre“*, *„odvodené od“* alebo *„vyžaduje aktualizáciu pri“*. Graf umožňuje:

* **Analýzu dopadu** – identifikovať, ktoré odpovede na dotazníky závisia od zmenenej politiky.  
* **Históriu verzií** – každý uzol nesie časovú líniu, čo robí audity sledovateľnými.  
* **Federáciu dopytov** – downstream nástroje (CI/CD pipeline, ticketing systémy) môžu získať najnovší pohľad na súlad cez GraphQL.

---

## 2. Architektonický plán

Nižšie je vysoká úroveň diagramu Mermaid, ktorý vizualizuje tok dát SH‑CKB.

```mermaid
flowchart LR
    subgraph "Input Layer"
        A["Policy Repository"]
        B["Evidence Store"]
        C["Regulatory Feed"]
    end

    subgraph "Processing Core"
        D["Knowledge Graph Engine"]
        E["Generative AI Service"]
        F["Validation Engine"]
    end

    subgraph "Output Layer"
        G["Questionnaire Builder"]
        H["Audit Trail Export"]
        I["Dashboard & Alerts"]
    end

    A --> D
    B --> D
    C --> D
    D --> E
    D --> F
    E --> G
    F --> G
    G --> I
    G --> H
```

*Uzly sú uzavreté v úvodzovkách podľa požiadavky; žiadne escapovanie nie je potrebné.*

### 2.1 Prijímanie dát  

1. **Repozitár politík** môže byť Git, Confluence alebo špecializovaný store „policy‑as‑code“.  
2. **Úložisko dôkazov** spotrebúva artefakty z CI/CD, SIEM alebo cloudových auditných logov.  
3. **Regulačný feed** sťahuje aktualizácie od poskytovateľov ako [NIST CSF](https://www.nist.gov/cyberframework), ISO a [GDPR](https://gdpr.eu/) watchlisty.

### 2.2 Engine grafu znalostí  

- **Extrahovanie entít** konvertuje neštruktúrované PDF do uzlov grafu pomocou Document AI.  
- **Algoritmy pre spájanie** (sémantická podobnosť + pravidlové filtre) vytvárajú vzťahy.  
- **Časové pečiatky** sa ukladajú ako atribúty uzla.

### 2.3 Služba generatívnej AI  

- Beží v bezpečnom enclave (napr. Azure Confidential Compute).  
- Používa **Retrieval‑Augmented Generation (RAG)**: graf poskytuje kontextový úsek, LLM generuje odpoveď.  
- Výstup obsahuje **ID citácií**, ktoré mapujú späť na zdrojové uzly.

### 2.4 Engine validácie  

- **Pravidlový engine** kontroluje čerstvosť (`now - artifact.timestamp < TTL`).  
- **ML klasifikátor** deteguje sémantický drift (embeddings vzdialenosť > prah).  
- **Slučka spätnej väzby**: neplatné odpovede vstupujú do reinforcement‑learning updatu pre LLM.

### 2.5 Výstupná vrstva  

- **Staviteľ dotazníkov** renderuje odpovede do formátov špecifických pre dodávateľov (PDF, JSON, Google Forms).  
- **Export audítorského trailu** vytvára nemennú knihu (napr. on‑chain hash) pre auditných kontrolórov.  
- **Dashboard & Alerts** zobrazujú metriky zdravia: % zastaraných uzlov, latencia regenerácie, rizikové skóre.

---

## 3. Samoliečivý cyklus v akcii

### Krok‑za‑krokom

| Fáza | Spúšťač | Akcia | Výsledok |
|---|---|---|---|
| **Detekovať** | Vydanie novej verzie [ISO 27001](https://www.iso.org/standard/27001) | Regulačný feed odosiela aktualizáciu → Validácia označí postihnuté kontroly ako „neaktuálne“. | Uzly označené ako zastarané. |
| **Analyzovať** | Identifikovaný zastaraný uzol | Graf znalostí vypočíta downstream závislosti (odpovede dotazníkov, súbory dôkazov). | Vytvorený zoznam dopadov. |
| **Regenerovať** | Zoznam závislostí pripravený | Generatívna AI dostane aktualizovaný kontext, vytvorí čerstvé návrhy odpovedí s novými citáciami. | Aktualizovaná odpoveď pripravená na revíziu. |
| **Validovať** | Návrh vytvorený | Validácia spustí kontroly čerstvosti a konzistencie na regenerovanej odpovedi. | Prechod → uzol označený ako „zdravý“. |
| **Publikovať** | Validácia prešla | Staviteľ dotazníkov odosiela odpoveď do portálu dodávateľa; Dashboard zaznamená latenciu. | Auditovateľná, aktuálna odpoveď doručená. |

Smyčka sa opakuje automaticky, čím sa úložisko súladu mení na **samoreparujúci systém**, ktorý nenechá zastarané dôkazy vniknúť do zákazníckeho auditu.

---

## 4. Prínosy pre bezpečnostné a právne tímy

1. **Znížený čas reakcie** – priemerná generácia odpovede klesá z dní na minúty.  
2. **Vyššia presnosť** – validácia v reálnom čase eliminuje ľudské chyby.  
3. **Auditovateľná stopa** – každá udalosť regenerácie je zaznamenaná s kryptografickými hashmi, čo spĺňa požiadavky [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) a ISO 27001.  
4. **Škálovateľná spolupráca** – viaceré produktové tímy môžu prispievať dôkazmi bez prepisovania; graf automaticky rieši konflikty.  
5. **Budúca odolnosť** – kontinuálny regulačný feed zabezpečuje, že súprava zostane v súlade s novými štandardmi (napr. [EU AI Act Compliance](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), požiadavky privacy‑by‑design).

---

## 5. Implementačný plán pre podniky

### 5.1 Predpoklady  

| Požiadavka | Odporúčaný nástroj |
|---|---|
| Úložisko politiky ako kódu | GitHub Enterprise, Azure DevOps |
| Bezpečné úložisko artefaktov | HashiCorp Vault, AWS S3 s SSE |
| Regulovaný LLM | Azure OpenAI „GPT‑4o“ s Confidential Compute |
| Grafová databáza | Neo4j Enterprise, Amazon Neptune |
| Integrácia CI/CD | GitHub Actions, GitLab CI |
| Monitoring | Prometheus + Grafana, Elastic APM |

### 5.2 Fázovaný nasadzovací plán  

| Fáza | Cieľ | Kľúčové aktivity |
|---|---|---|
| **Pilot** | Overiť základný graf + AI pipeline | Naimportovať sadu jednej kontroly (napr. SOC 2 CC3.1). Vygenerovať odpovede na dva dodávateľské dotazníky. |
| **Rozšírenie** | Pokryť všetky rámce | Pridať ISO 27001, [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa) uzly. Pripojiť dôkazy z cloud‑natívnych nástrojov (Terraform, CloudTrail). |
| **Automatizácia** | Plná samoliečivosť | Aktivovať regulačný feed, naplánovať nočné validácie. |
| **Governance** | Audit a zámky súladu | Implementovať role‑based access, šifrovanie‑at‑rest, nemenné audit logy. |

### 5.3 Metódy merania úspechu  

- **Priemerný čas na odpoveď (MTTA)** – cieľ < 5 minút.  
- **Podiel zastaraných uzlov** – cieľ < 2 % po každom nočnom spustení.  
- **Pokrytie regulácií** – % aktívnych rámcov s aktuálnymi dôkazmi > 95 %.  
- **Auditové nálezy** – zníženie nálezov spojených s dôkazmi o ≥ 80 %.  

---

## 6. Real‑world prípadová štúdia (Procurize Beta)

**Spoločnosť:** FinTech SaaS poskytujúci služby bankám  
**Výzva:** 150+ bezpečnostných dotazníkov za štvrťrok, 30 % zmeškaných SLA kvôli zastaraným odkazom na politiku.  
**Riešenie:** Nasadenie SH‑CKB na Azure Confidential Compute, integrácia s Terraform stavom a Azure Policy.  
**Výsledok:**  

* MTTA klesla z **3 dní → 4 minúty**.  
* Zastaralé dôkazy spadli z **12 % → 0,5 %** po jednom mesiaci.  
* Audítorské tímy nahlásili **žiadne** nálezy súvisiace s dôkazmi v nasledujúcom SOC 2 audite.  

Tento prípad dokazuje, že samoliečivá súprava znalostí nie je futuristický koncept – je konkurenčnou výhodou už dnes.

---

## 7. Riziká a stratégie mitigácie

| Riziko | Mitigácia |
|---|---|
| **Halucinácia modelu** – AI môže vytvoriť fiktívne dôkazy. | Vynútiť generovanie *iba s citáciou*; každú citáciu overiť proti hash kontrolnej súčasti uzla. |
| **Únik dát** – citlivé artefakty môžu uniknúť do LLM. | Prevádzkovať LLM v Confidential Compute, použiť zero‑knowledge proof na overenie dôkazov. |
| **Nesúlad grafu** – nesprávne vzťahy šíria chyby. | Periodické health‑checky grafu, automatizované detekovanie anomálií pri tvorbe hrán. |
| **Oneskorenie regulačného feedu** – oneskorené aktualizácie spôsobia medzery v súlade. | Predplatiť viacerých poskytovateľov feedu; manuálny zásah s upozornením pri zdržaní. |

---

## 8. Budúce smerovanie

1. **Federované učenie medzi organizáciami** – Viacero podnikov môže prispievať anonymizovanými vzorcami driftu, čím zlepší validačné modely bez zdieľania proprietárnych dát.  
2. **Explainable AI (XAI) anotácie** – Pripojiť skóre istoty a odôvodnenie ku každej vygenerovanej vete, čím sa auditovať proces tvorby odpovedí.  
3. **Integrácia Zero‑Knowledge Proofs** – Poskytnúť kryptografický dôkaz, že odpoveď vychádza z overeného artefaktu bez odhalenia samotného artefaktu.  
4. **ChatOps integrácia** – Umožniť bezpečnostným tímom dotazovať sa na súpravu priamo zo Slacku/Teams a dostávať okamžité, validované odpovede.

---

## 9. Ako začať

1. **Klonujte referenčnú implementáciu** – `git clone https://github.com/procurize/sh-ckb-demo`.  
2. **Nastavte svoj repo politík** – pridajte priečinok `.policy` s YAML alebo Markdown súbormi.  
3. **Konfigurujte Azure OpenAI** – vytvorte zdroj s príznakom *confidential compute*.  
4. **Nasadiť Neo4j** – použite Docker compose súbor v repozitári.  
5. **Spustite ingest pipeline** – `./ingest.sh`.  
6. **Aktivujte plánovač validácie** – `crontab -e` → `0 * * * * /usr/local/bin/validate.sh`.  
7. **Otvorte dashboard** – `http://localhost:8080` a sledujte samoliečivý proces v akcii.

---

## Relevantné odkazy

- ISO 27001:2022 – prehľad a aktualizácie (https://www.iso.org/standard/75281.html)  
- Graph Neural Networks for Knowledge Graph Reasoning (2023) (https://arxiv.org/abs/2302.12345)