
# AI‑drivet avsiktsbaserat routningssystem för realtids‑samarbete kring leverantörsfrågeformulär

Leverantörers säkerhetsfrågeformulär har blivit en flaskhals för snabbt växande SaaS‑företag. Varje ny kundförfrågan utlöser en kedja av manuella överlämningar: en säkerhetsanalytiker hämtar den senaste policyn, en juridisk granskare validerar formuleringen, en produktingenjör förtydligar tekniska implementationer, och det slutgiltiga svaret sätts ihop i en PDF. Detta fragmenterade arbetsflöde leder till **långa svarstider, inkonsekventa svar och exponering för revisionsrisker**.

Tänk om plattformen själv kunde förstå *varför* en fråga ställs, *vem* som är bäst lämpad att besvara den, och *när* ett svar behövs, och sedan automatiskt dirigera förfrågan till rätt person—*i realtid*? Där kommer **AI‑drivet avsiktsbaserat routningssystem (IBRE)** in, en kärnkomponent i Procurize AI‑plattformen som förenar **kunskapsgraf‑semantik**, **retrieval‑augmented generation (RAG)** och **kontinuerlig återkoppling** för att orkestrera samarbetet kring frågeformulär med maskinhastighet.

> **Viktiga insikter**
> - Avsiktsdetektering omvandlar rå frågetext till strukturerade affärsavsikter.
> - En dynamisk kunskapsgraf kopplar avsikter till ägare, bevisartefakter och policysversioner.
> - Realtids‑routing utnyttjar LLM‑baserad konfidenspoäng och arbetsbelastningsbalansering.
> - Kontinuerliga inlärningsloopar förfinar avsikter och routningspolicyer från efter‑inlämningsrevisioner.

---

## 1. Från text till avsikt – det semantiska parsingslagret

Det första steget i IBRE är att konvertera en friformulering (t.ex. *“Krypterar ni data i vila?”*) till en **kanonisk avsikt** som systemet kan agera på. Detta sker i en tvåstegs‑pipeline:

1. **LLM‑baserad entitetsutvinning** – En lättviktig LLM (t.ex. Llama‑3‑8B) extraherar nyckelentiteter: *kryptering*, *data i vila*, *omfattning*, *regelefterlevnadsramverk*.
2. **Avsiktsklassificering** – De extraherade entiteterna matas in i en fin‑tuned klassificerare (BERT‑baserad) som mappar dem mot en taxonomi med **~250 avsikter** (t.ex. `EncryptDataAtRest`, `MultiFactorAuth`, `IncidentResponsePlan`).

Det resulterande avsiktsobjektet innehåller:
- `intent_id`
- `confidence_score`
- `linked_policy_refs` (**[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, interna policys‑ID:n)
- `required_evidence_types` (konfigurationsfil, audit‑logg, tredjeparts‑attestering)

**Varför avsikt är viktig:**  
Avsikter fungerar som ett *stabilt kontrakt* mellan frågeformulärets innehåll och efterföljande arbetsflöde. Även om formuleringen förändras (“Är er data krypterad när den lagras?” vs. “Krypterar ni data i vila?”) känns samma avsikt igen, vilket säkerställer konsekvent routing.

---

## 2. Kunskapsgrafen som kontextuell ryggrad

En **property‑graph‑databas** (Neo4j eller Amazon Neptune) lagrar relationerna mellan:

- **Avsikter** ↔ **Ägare** (säkerhetsingenjörer, juridiska rådgivare, produktansvariga)
- **Avsikter** ↔ **Bevisartefakter** (policydokument, konfigurations‑snapshots)
- **Avsikter** ↔ **Regelverk** (**SOC 2**, **ISO 27001**, **[GDPR](https://gdpr.eu/)**)
- **Ägare** ↔ **Arbetsbelastning & Tillgänglighet** (nuvarande uppgiftskö, tidszon)

Varje nods etikett är en sträng omsluten av dubbla citationstecken, i enlighet med Mermaid‑syntax för framtida visualiseringar.

```mermaid
graph LR
    "Intent: EncryptDataAtRest" -->|"owned by"| "Owner: Security Engineer"
    "Intent: EncryptDataAtRest" -->|"requires"| "Evidence: Encryption Policy"
    "Intent: EncryptDataAtRest" -->|"complies with"| "Regulation: ISO 27001"
    "Owner: Security Engineer" -->|"available"| "Status: Online"
    "Owner: Security Engineer" -->|"workload"| "Tasks: 3"
```

Grafen är **dynamisk**—varje gång ett nytt frågeformulär laddas upp matchas avsikts‑noden antingen mot en befintlig nod eller skapas på plats. Ägar‑kanter beräknas om med en **bipartit matchningsalgoritm** som balanserar expertis, aktuell belastning och **[SLA](https://www.ibm.com/think/topics/service-level-agreement)**‑deadlines.

---

## 3. Realtids‑routing‑mekanik

När ett frågeformulärelement anländer:

1. **Avsiktsdetektering** ger en avsikt med en konfidenspoäng.
2. **Graf‑uppslagning** hämtar alla potentiella ägare och tillhörande bevis.
3. **Poängsättningsmotor** utvärderar:
   - **Expertis‑passning** (`expertise_score`) – baserat på historisk svarskvalitet.
   - **Tillgänglighet** (`availability_score`) – realtidsstatus från Slack/Teams‑presence‑API:n.
   - **SLA‑brådska** (`urgency_score`) – härledd från frågeformulärets deadline.
4. **Komposit routing‑score** = viktad summa (konfigureras via policy‑as‑code).

Ägaren med högst komposit‑score får ett **automatiskt genererat uppdrag** i Procurize, förifyllt med:
- Den ursprungliga frågan,
- Den identifierade avsikten,
- Länkar till det mest relevanta beviset,
- Föreslagna svarssnuttar från RAG.

Om konfidenspoängen understiger ett tröskelvärde (t.ex. 0,65) dirigeras uppdraget till en **human‑in‑the‑loop‑granskning** där en efterlevnadsansvarig validerar avsikten innan tilldelning.

### Exempel på routing‑beslut

| Ägare | Expertis (0‑1) | Tillgänglighet (0‑1) | Brådska (0‑1) | Komposit |
|-------|-----------------|----------------------|--------------|----------|
| Alice (Säkerhetsingenjör) | 0.92 | 0.78 | 0.85 | **0.85** |
| Bob (Juridik) | 0.68 | 0.95 | 0.85 | 0.79 |
| Carol (Produkt) | 0.55 | 0.88 | 0.85 | 0.73 |

Alice får uppdraget omedelbart, och systemet loggar routing‑beslutet för spårbarhet.

---

## 4. Kontinuerliga inlärningsloopar

IBRE förblir inte statisk. Efter att ett frågeformulär är slutfört, tar plattformen in **återkoppling efter inlämning**:

- **Svarskvalitetsgranskning** – Revisioner betygsätter svarens relevans.
- **Bevisgap‑detektering** – Om refererade bevis är föråldrade flaggas policynoden.
- **Ägarnas prestationsmått** – Framgångsfrekvens, genomsnittlig svarstid och omfördelningsfrekvens.

Dessa signaler återförs till två inlärningspipelines:

1. **Avsiktsförfining** – Felklassificeringar triggar semi‑supervised reträning av avsiktsklassificeraren.
2. **Routing‑policy‑optimering** – Reinforcement Learning (RL) justerar vikterna för expertis, tillgänglighet och brådska för att maximera SLA‑efterlevnad och svarskvalitet.

Resultatet är en **självoptimerande motor** som förbättras för varje frågeformulärcykel.

---

## 5. Integrationslandskap

IBRE är designad som en **mikrotjänst** som kopplas in i befintliga verktyg:

| Integration | Syfte | Exempel |
|-------------|-------|---------|
| Slack / Microsoft Teams | Realtidsaviseringar & uppgiftsacceptans | `/procure assign @alice` |
| Jira / Asana | Skapa biljetter för komplex bevisinsamling | Auto‑skapa en *Evidence Collection*‑biljett |
| Dokumenthantering (SharePoint, Confluence) | Hämta uppdaterade policydokument | Hämta senast version av krypteringspolicy |
| CI/CD‑pipeline (GitHub Actions) | Triggera efterlevnadskontroller vid nya releaser | Kör ett policy‑as‑code‑test efter varje build |

All kommunikation sker över **mutual TLS** och **OAuth 2.0**, vilket säkerställer att känslig frågeformulärdata aldrig lämnar den säkra perimetern.

---

## 6. Spårbar logg & efterlevnadsfördelar

Varje routing‑beslut producerar en **omedelbart oföränderlig loggpost**:

```json
{
  "question_id": "Q-2025-437",
  "intent_id": "EncryptDataAtRest",
  "assigned_owner": "alice@example.com",
  "routing_score": 0.85,
  "timestamp": "2025-12-11T14:23:07Z",
  "evidence_links": [
    "policy://encryption/2025-09",
    "artifact://config/production/db"
  ],
  "confidence": 0.93
}
```

Genom att lagra denna JSON i en **append‑only ledger** (t.ex. Amazon QLDB eller ett blockchain‑baserat ledger) uppfylls **SOX**‑ och **GDPR**‑krav på spårbarhet. Revisorer kan rekonstruera exakt resonemang bakom varje svar, vilket dramatiskt minskar *bevis‑förfrågnings*‑cykeln under **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**‑revisioner.

---

## 7. Verklig påverkan – ett kort fallstudie

**Företag:** FinTech‑SaaS ”SecurePay” (Series C, 200 anställda)  
**Problem:** Genomsnittlig svarstid på frågeformulär – 14 dagar, 30 % missade SLA.  
**Implementering:** Deploy av IBRE med en 200‑nodig kunskapsgraf, integration med Slack och Jira.  
**Resultat (90‑dagars pilot):**

| Mätvärde | Före | Efter |
|----------|------|-------|
| Genomsnittlig svarstid | 14 dagar | 2,3 dagar |
| SLA‑efterlevnad | 68 % | 97 % |
| Manuell routningsinsats (timmar/vecka) | 12 h | 1,5 h |
| Revisionens fynd på bevisgap | 5 per revision | 0,8 per revision |

ROI beräknades till **6,2×** under de första sex månaderna, främst genom minskad förlorad affärstid och lägre kostnader för revisionsåtgärder.

---

## 8. Framtida riktningar

1. **Tvär‑tenant‑avsiktsfederation** – Tillåta flera kunder att dela avsiktsdefinitioner samtidigt som datasegregering bevaras, med federerad inlärning.
2. **Zero‑Trust‑verifiering** – Kombinera homomorfisk kryptering med avsiktsrouting för att hålla känsligt frågeinnehåll konfidentiellt även för routningsmotorn.
3. **Prediktiv SLA‑modellering** – Använd tidsserieförutsägelse för att förutse inflödesspikar (t.ex. efter produktlanseringar) och förhands‑skala routningskapaciteten.

---

## 9. Kom igång med IBRE

1. **Aktivera avsiktsmotorn** i Procurize → Inställningar → AI‑moduler.  
2. **Definiera din avsikts‑taxonomi** (eller importera den förinställda).  
3. **Kartlägg ägare** genom att länka användarkonton till avsikts‑taggar.  
4. **Anslut bevis‑källor** (dokumentlagring, CI/CD‑artefakter).  
5. **Kör ett pilot‑frågeformulär** och observera routing‑dashboarden.

En steg‑för‑steg‑handledning finns i **Procurize Help Center** under *AI‑driven routing*.

---

## <span class='highlight-content'>Se</span> också
- [Zero‑Trust‑arkitektur för AI‑driven automation – NIST SP 800‑207](https://csrc.nist.gov/publications/detail/sp/800-207/final)