
# Gerçek Zamanlı Güvenlik Anketi Tamamlama için Dinamik Konuşma AI Koçu

Güvenlik anketleri—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), ve sayısız tedarikçi‑özel form—her B2B SaaS anlaşmasının kapı bekçileri konumundadır. Ancak süreç hâlâ acı verici derecede manuel: ekipler politika arar, yanıtları kopyala‑yapıştır yapar ve ifadeler üzerine saatler harcar. Sonuç? Geciken sözleşmeler, tutarsız kanıtlar ve uyumsuzluk riskinin gizli kalması.  

Karşınızda **Dinamik Konuşma AI Koçu** (DC‑Coach), gerçek zamanlı, sohbet‑tabanlı bir asistan olarak katılımcıları her soruya yönlendirir, en ilgili politika parçacıklarını ortaya çıkarır ve yanıtları denetlenebilir bir bilgi tabanına göre doğrular. Statik yanıt kütüphanelerinin aksine, DC‑Coach önceki yanıtları sürekli öğrenir, düzenleyici değişikliklere uyum sağlar ve mevcut araçlarla (ticket sistemi, doküman depoları, CI/CD boru hatları) iş birliği yapar.  

Bu makalede, neden bir konuşma AI katmanının anket otomasyonu için eksik bağlantı olduğunu inceleyecek, mimarisini parçalayacak, pratik bir uygulamadan geçirecek ve çözümün kurumsal ölçekte nasıl ölçeklendirileceğini tartışacağız.

---

## 1. Neden Bir Konuşma Koçu Önemli

| Sorun Noktası | Geleneksel Yaklaşım | Etki | AI Koçu Yararları |
|---------------|--------------------|------|-------------------|
| **Bağlam geçişi** | Bir belge aç, kopyala‑yapıştır yap, anket UI’sine geri dön | Dikkat dağınıklığı, hata oranı artışı | Satır içi sohbet aynı UI’da kalır, kanıtı anında gösterir |
| **Kanıt parçalanması** | Kanıtlar birden çok klasörde, SharePoint’te veya e‑mailde saklanır | Denetçiler kanıtı bulmakta zorlanır | Koç, merkezi bir Bilgi Grafiğinden çeker, tek bir doğrudan kaynağı sunar |
| **Tutarsız dil** | Farklı yazarlar benzer yanıtları farklı yazar | Marka ve uyumluluk karışıklığı | Koç stil kılavuzlarını ve yönetmelik terminolojisini zorunlu kılar |
| **Yasal sürüklenme** | Politikalar elle güncellenir, yanıtlarla nadiren eşleşir | Eski veya uyumsuz yanıtlar | Gerçek zamanlı değişiklik algısı bilgi tabanını yeniler, koç revizyon önerir |
| **Denetim izi eksikliği** | Kim ne karar verdiğine dair kayıt yok | Çaba gösterildiğini kanıtlamak zor | Konuşma transkripti kanıtlanabilir bir karar günlüğü sağlar |

Statik bir form doldurma görevini etkileşimli bir diyaloga dönüştürerek, DC‑Coach erken pilot verilerine göre ortalama yanıt süresini **%40‑70** oranında azaltıyor (Procurize müşterilerinden alınan veriler).

---

## 2. Temel Mimari Bileşenler

Aşağıda DC‑Coach ekosisteminin yüksek seviyeli görünümü verilmiştir. Diyagram **Mermaid** sözdizimini kullanır; gereklilik olarak çift tırnaklı düğüm etiketlerini koruyun.

```mermaid
flowchart TD
    User["Kullanıcı"] -->|Chat UI| Coach["Konuşma AI Koçu"]
    Coach -->|NLP & Intent Detection| IntentEngine["Niyet Motoru"]
    IntentEngine -->|Sorgu| KG["Bağlamsal Bilgi Grafiği"]
    KG -->|İlgili Politika / Kanıt| Coach
    Coach -->|Prompt LLM| LLM["Üretken LLM"]
    LLM -->|Taslak Yanıt| Coach
    Coach -->|Doğrulama Kuralları| Validator["Yanıt Doğrulayıcı"]
    Validator -->|Onay / İşaret| Coach
    Coach -->|Transkript Sakla| AuditLog["Denetlenebilir Kayıt Servisi"]
    Coach -->|Güncellemeleri İlet| IntegrationHub["Araç Entegrasyon Merkezi"]
    IntegrationHub -->|Ticketing, DMS, CI/CD| ExistingTools["Mevcut Kurumsal Araçlar"]
```

### 2.1 Konuşma UI

* **Web widget** veya **Slack/Microsoft Teams bot**—kullanıcıların sorularını yazdığı ya da sesli gönderdiği arayüz.  
* **Zengin medya** (dosya yükleme, satır içi parçacıklar) destekler; kullanıcıların kanıtları anlık paylaşmasını sağlar.

### 2.2 Niyet Motoru

* **Cümle‑seviyesi sınıflandırma** (örn. “Veri saklama politikası nedir?”) ve **slot doldurma** (“veri saklama süresi”, “bölge”) kullanır.  
* Düşük gecikme için **DistilBERT‑Finetune** gibi bir transformer üzerine inşa edilmiştir.

### 2.3 Bağlamsal Bilgi Grafiği (KG)

* Düğümler **Politikalar**, **Kontroller**, **Kanıt Varlıkları** ve **Düzenleyici Gereksinimler**i temsil eder.  
* Kenarlar **“kapsar”**, **“gerektirir”**, **“güncelleyen”** gibi ilişkileri kodlar.  
* **Neo4j** veya **Amazon Neptune** gibi bir grafik veritabanı ve **semantik gömüler** ile bulanık eşleştirme sağlar.

### 2.4 Üretken LLM

* **Retrieval‑Augmented Generation** (RAG) modeli, alınan KG parçacıklarını bağlam olarak alır.  
* Organizasyonun ton ve stil kılavuzuna uygun **taslak yanıt** üretir.

### 2.5 Yanıt Doğrulayıcı

* **Kural‑tabanlı kontroller** (örn. “bir politika kimliği referans göstermeli”) ve **LLM‑tabanlı gerçek‑kontrol** uygular.  
* Eksik kanıt, çelişkili ifadeler veya yasal ihlaller işaretlenir.

### 2.6 Denetlenebilir Kayıt Servisi

* Tam **konuşma transkriptini**, **alınan kanıt kimliklerini**, **model istemlerini** ve **doğrulama sonuçlarını** saklar.  
* **Uyumluluk denetçileri** her yanıtın ardındaki mantığı izleyebilir.

### 2.7 Araç Entegrasyon Merkezi

* **Ticketing platformları (Jira, ServiceNow)** için görev atama.  
* **Doküman yönetim sistemleri (Confluence, SharePoint)** için kanıt versiyonlaması.  
* **CI/CD boru hatları** politik güncellemelerinin yanıt üretimini nasıl etkilediğini tetikler.

---

## 3. Koçu Oluşturma: Adım‑Adım Kılavuz

### 3.1 Veri Hazırlığı

1. **Politika Korpusunu Topla** – Tüm güvenlik politikaları, kontrol matrisleri ve denetim raporlarını markdown veya PDF olarak dışa aktar.  
2. **Meta Veriyi Çıkar** – OCR‑destekli bir ayrıştırıcı ile her belgeyi `policy_id`, `regulation`, `effective_date` gibi etiketlerle işaretle.  
3. **KG Düğümlerini Oluştur** – Meta verileri Neo4j’ye yükle, her politika, kontrol ve düzenleme için düğüm yarat.  
4. **Gömüleri Üret** – Cümle‑seviyesi gömüler (**Sentence‑Transformers**) hesapla ve benzerlik araması için vektör özelliği olarak sakla.

### 3.2 Niyet Motorunu Eğit

* 2 000 örnek kullanıcı ifadesi (örnek: “Parola yenileme sıklığımız nedir?”) etiketle.  
* **CrossEntropyLoss** ile hafif bir BERT modelini ince ayar (fine‑tune) yap.  
* **FastAPI** üzerinden 100 ms altı yanıt süresiyle dağıt.

### 3.3 RAG Boru Hattı İnşası

1. **Al** en iyi 5 KG düğümünü niyet ve gömme benzerliğine göre.  
2. **İstem Oluştur**  
   ```
   You are a compliance assistant for Acme Corp. Use the following evidence snippets to answer the question.
   Question: {user_question}
   Evidence:
   {snippet_1}
   {snippet_2}
   ...
   Provide a concise answer and cite the policy IDs.
   ```
3. **Üret** yanıtı **OpenAI GPT‑4o** veya kendi barındırdığın Llama‑2‑70B ile retrieval injection yöntemiyle.

### 3.4 Doğrulama Kuralları Motoru

JSON‑tabanlı politikalar tanımla, örnek:

```json
{
  "requires_policy_id": true,
  "max_sentence_length": 45,
  "must_include": ["[Policy ID]"]
}
```

**RuleEngine** ile LLM çıktısını bu kısıtlamalara karşı kontrol et. Derin kontroller için yanıtı tekrar bir **kritik‑düşünme LLM**’ye “Bu yanıt ISO 27001 Annex A.12.4 ile tam uyumlu mu?” sorusunu sor ve güven skoruna göre hareket et.

### 3.5 UI/UX Entegrasyonu

* **React** + **Botpress** ya da **Microsoft Bot Framework** ile sohbet penceresini oluştur.  
* Bir politika referans edildiğinde politika özetlerini gösteren **kanıt önizleme kartları** ekle.

### 3.6 Denetim & Kayıt

Her etkileşimi **ekleme‑sadece‑log** (örn. **AWS QLDB**) içinde sakla. İçerik:

* `conversation_id`
* `timestamp`
* `user_id`
* `question`
* `retrieved_node_ids`
* `generated_answer`
* `validation_status`

**Uyumluluk görevlileri** için arama yapılabilir bir gösterge tablosu sun.

### 3.7 Sürekli Öğrenme Döngüsü

1. **İnsan İncelemesi** – Güvenlik analistleri üretilen yanıtları onaylar ya da düzenler.  
2. **Geri Bildirim Toplama** – Düzeltilen yanıtı yeni bir eğitim örneği olarak kaydet.  
3. **Periyodik Yeniden Eğitim** – Her 2 hafta bir Niyet Motorunu ve LLM’i genişletilmiş veri kümesiyle yeniden eğit.

---

## 4. En İyi Uygulamalar & Dikkat Edilmesi Gerekenler

| Alan | Tavsiye |
|------|----------|
| **İstem Tasarımı** | İstemi kısa tut, açıkça atıf ekle ve alınan parçacık sayısını sınırlayarak LLM halüsinasyonunu önle. |
| **Güvenlik** | LLM çıkarımını **VPC‑izole ortamda** çalıştır, politika metinlerini dış API’lere şifreli olmayan şekilde gönderme. |
| **Versiyonlama** | Her politika düğümünü **semantik sürüm** ile etiketle; doğrulayıcı, eski sürümleri referans alan yanıtları reddetsin. |
| **Kullanıcı Eğitimi** | Kanıt talep etmeyi ve koçun politikalara referans vermesini gösteren interaktif bir eğitim sun. |
| **İzleme** | **Yanıt gecikmesi**, **doğrulama başarısızlık oranı** ve **kullanıcı memnuniyeti (beğen/beğenme)** gibi metrikleri izleyerek regresyonları erken tespit et. |
| **Düzenleyici Değişim Yönetimi** | **[NIST CSF](https://www.nist.gov/cyberframework)**, **EU Data Protection Board** gibi RSS beslemelerine abone ol, değişiklik tespit servisine besle ve KG düğümlerini otomatik işaretle. |
| **Açıklanabilirlik** | “Neden bu yanıt?” butonu ekle; LLM mantığını ve kullanılan KG parçacıklarını genişleterek göster. |

---

## 5. Gerçek Dünya Etkisi: Mini Vaka Çalışması

**Şirket:** SecureFlow (Seri C SaaS)  
**Sorun:** Ayda 30’dan fazla güvenlik anketi, ortalama 6 saat anket başına.  
**Uygulama:** DC‑Coach, Procurize’ın mevcut politika deposu üzerine dağıtıldı, Jira ile görev atama entegrasyonu kuruldu.  

**Sonuçlar (3‑ay pilot):**

| Ölçüt | Öncesi | Sonrası |
|-------|--------|----------|
| Ortalama anket süresi | 6 saat | 1.8 saat |
| Yanıt tutarlılık skoru (iç denetim) | %78 | %96 |
| “Kanıt eksik” işareti sayısı | 12/ay | 2/ay |
| Denetlenebilir iz tamlığı | %60 | %100 |
| Kullanıcı memnuniyeti (NPS) | 28 | 73 |

Koç ayrıca, yıllardır gözden kaçan 4 politika boşluğunu ortaya çıkardı ve proaktif bir iyileştirme planının başlatılmasını sağladı.

---

## 6. Gelecek Yönelimleri

1. **Çok‑Modlu Kanıt Alma** – Metin, PDF parçacıkları ve **görsel OCR** (örnek: mimari diyagramlar) birleştirerek KG’i zenginleştir.  
2. **Sıfır‑Atış Dil Genişletmesi** – Global tedarikçiler için **çok‑dilli LLM** kullanarak anlık çeviri ve yanıt üret.  
3. **Federatif Bilgi Grafikleri** – Ortak politik parçacıklarını gizlilik koruyarak partner şirketlerle paylaş, kolektif zekayı artır.  
4. **Tahminsel Anket Üretimi** – Geçmiş verileri kullanarak yeni anketleri önceden doldur, koçu **proaktif uyumluluk motoru**na dönüştür.  

---

## 7. Başlangıç Kontrol Listesi

- [ ] Tüm güvenlik politikalarını aranabilir bir depoya topla.  
- [ ] Versiyonlu düğümlerle bağlamsal bir KG oluştur.  
- [ ] Anket‑özel ifadeler için niyet algılayıcıyı ince ayar yap.  
- [ ] RAG boru hattını uyumlu bir LLM ile kur.  
- [ ] Düzenleyici çerçevelerle hizalı doğrulama kurallarını uygula.  
- [ ] Sohbet UI’yi dağıt ve Jira/SharePoint ile entegre et.  
- [ ] Denetlenebilir bir log deposuna günlük tut.  
- [ ] Tek bir ekipte pilot çalıştır, geri bildirim topla, yineleme yap.  

---

## ## <span class='highlight-content'>Bakın</span> Also

- [NIST Cybersecurity Framework – Official Site](https://www.nist.gov/cyberframework)  
- OpenAI Retrieval‑Augmented Generation Guide (referans materyal)  
- Neo4j Documentation – Graph Data Modeling (referans materyal)  
- [ISO 27001 Standard Overview (ISO.org)](https://www.iso.org/standard/54534.html)