# Narrative AI Engine створює зрозумілі для людини історії ризику з автоматизованих відповідей на анкети

У світі B2B SaaS з високими ставками безпекові анкети є спільною мовою між покупцями та постачальниками. Постачальник може відповісти на десятки технічних контрольних пунктів, кожен з яких підкріплений фрагментами політик, журналами аудиту та оцінками ризику, згенерованими AI‑движками. Хоча ці необроблені дані є необхідними для комплаєнсу, вони часто виглядають як стіна жаргону для аудиторів, юридичних та виконавчих аудиторій.

**Enter the Narrative AI Engine** – рівень генеративного ШІ, який перетворює структуровані дані анкети у чіткі, зрозумілі людям історії ризику. Ці наративи пояснюють *що* таке відповідь, *чому* це важливо і *як* пов’язаний ризик управляється, зберігаючи при цьому аудиторську прозорість, необхідну для регуляторів.

У цій статті ми розглянемо:

* Чому традиційні інтерфейси лише з відповідями не виправдовують очікувань.  
* Архітектуру Narrative AI Engine від початку до кінця.  
* Інженерію підказок, Retrieval‑Augmented Generation (RAG) та методи пояснюваності.  
* Mermaid‑діаграму потоку даних.  
* Питання управління, безпеки та комплаєнсу.  
* Реальні результати та майбутні напрямки.

---

## 1. Проблема автоматизації лише з відповідями

| Симптом | Корінна причина |
|---|---|
| **Путанина серед зацікавлених сторін** | Відповіді подаються як окремі дані без контексту. |
| **Тривалі цикли перегляду** | Юридичні та безпекові команди повинні вручну збирати докази. |
| **Дефіцит довіри** | Покупці сумніваються в достовірності AI‑згенерованих відповідей. |
| **Труднощі аудиту** | Регулятори вимагають наративних пояснень, які не завжди доступні. |

Навіть найсучасніші детектори зсуву політик у реальному часі чи калькулятори довіри зупиняються на **що** система знає. Вони рідко відповідають на **чому** конкретний контроль відповідає вимогам або **як** ризик пом’якшується. Саме тут генерація наративу додає стратегічну цінність.

---

## 2. Основні принципи Narrative AI Engine

1. **Контекстуалізація** – поєднання відповідей анкети з уривками політик, оцінками ризику та походженням доказів.  
2. **Пояснюваність** – висвітлення ланцюга логіки (отримані документи, впевненість моделі, важливість ознак).  
3. **Аудиторська трасуваність** – збереження підказки, виходу LLM та посилань на докази в незмінному реєстрі.  
4. **Персоналізація** – адаптація тону та глибини мови залежно від аудиторії (технічна, юридична, виконавча).  
5. **Відповідність регуляціям** – дотримання захисту даних (диференціальна приватність, федеративне навчання) під час обробки конфіденційних доказів.

---

## 3. Архітектура від початку до кінця

Нижче – високорівнева Mermaid‑діаграма, що відображає потік даних від надходження анкети до доставки наративу.

```mermaid
flowchart TD
    A["Надсилання необробленої анкети"] --> B["Нормалізатор схеми"]
    B --> C["Сервіс отримання доказів"]
    C --> D["Двигун оцінки ризику"]
    D --> E["RAG‑конструктор підказок"]
    E --> F["Велика мовна модель (LLM)"]
    F --> G["Пост‑обробник наративу"]
    G --> H["Сховище наративу (незмінний реєстр)"]
    H --> I["Приладна панель користувача"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style I fill:#bbf,stroke:#333,stroke-width:2px
```

### 3.1 Надходження даних та нормалізація

* **Нормалізатор схеми** переводить специфічні формати анкет постачальника у канонічну JSON‑схему (наприклад, **[ISO 27001](https://www.iso.org/standard/27001)**‑відповідні контролі).  
* Перевірки валідації забезпечують заповнені обов’язкові поля, типи даних та прапорці згоди.

### 3.2 Сервіс отримання доказів

* Використовує **гібридний пошук**: векторна схожість у сховищі ембеддінгів + пошук за ключовими словами у графі знань політик.  
* Отримує:  
  * Положення політик (наприклад, текст “Шифрування даних у спокої”).  
  * Журнали аудиту (наприклад, “Шифрування бакету S3 включено 2024‑12‑01”).  
  * Показники ризику (наприклад, останні вразливості).

### 3.3 Двигун оцінки ризику

* Обчислює **Risk Exposure Score (RES)** для кожного контролю, використовуючи зважений графовий нейронний мережевий (GNN) підхід, який враховує:  
  * Критичність контролю.  
  * Історичну частоту інцидентів.  
  * Поточну ефективність пом’якшення.  

RES додається до кожної відповіді як числовий контекст для LLM.

### 3.4 RAG‑конструктор підказок

* Формує **prompt** для Retrieval‑Augmented Generation, який містить:  
  * Коротку системну інструкцію (тон, довжина).  
  * Пару ключ/значення відповіді.  
  * Фрагменти отриманих доказів (не більше 800 токенів).  
  * RES і значення впевненості.  
  * Метадані аудиторії (`audience: executive`).  

Приклад фрагмента підказки:

```
System: You are a compliance analyst writing a brief executive summary.
Audience: Executive
Control: Data Encryption at Rest
Answer: Yes – All customer data is encrypted using AES‑256.
Evidence: ["Policy: Encryption Policy v3.2 – Section 2.1", "Log: S3 bucket encrypted on 2024‑12‑01"]
RiskScore: 0.12
Generate a 2‑sentence narrative explaining why this answer satisfies the control, what the risk level is, and any ongoing monitoring.
```

### 3.5 Велика мовна модель (LLM)

* Розгорнута як **приватна, тонко налаштована модель** (наприклад, 13‑мільярдна модель із доменно‑специфічним інструкційним налаштуванням).  
* Підключена до **Chain‑of‑Thought**‑промптів, щоб висвітлювати кроки міркування.

### 3.6 Пост‑обробник наративу

* Застосовує **шаблонне примусове** (наприклад, обов’язкові секції: “Що”, “Чому”, “Як”, “Наступні кроки”).  
* Виконує **зв’язування сутностей**, вбудовуючи гіперпосилання на докази, що зберігаються у Незмінному реєстрі.  
* Запускає **перевірку фактів**, що повторно запитує граф знань, щоб підтвердити кожне твердження.

### 3.7 Незмінний реєстр

* Кожен наратив записується у **дозволену блокчейн‑мережу** (наприклад, Hyperledger Fabric) з:  
  * Хешем виходу LLM.  
  * Посиланнями на ID відповідних доказів.  
  * Міткою часу та ідентифікатором підписанта.

### 3.8 Прикладна панель користувача

* Показує наративи поряд з таблицями необроблених відповідей.  
* Пропонує **розширювані рівні деталізації**: резюме → повний список доказів → необроблений JSON.  
* Включає **індикатор впевненості**, що візуалізує впевненість моделі та охоплення доказами.

---

## 4. Інженерія підказок для пояснювальних наративів

Ефективні підказки – серце двигуна. Нижче три повторювані шаблони:

| Шаблон | Мета | Приклад |
|---|---|---|
| **Контрастне пояснення** | Показати різницю між станами відповідності та невідповідності. | “Поясніть, чому шифрування даних AES‑256 безпечніше, ніж застарілий 3DES …” |
| **Ризик‑зважений підсумок** | Підкреслити оцінку ризику та її бізнес‑вплив. | “З RES = 0.12 ймовірність витоку даних низька; проте ми проводимо квартальний моніторинг …” |
| **Практичні наступні кроки** | Надати конкретні дії з ремедіації чи моніторингу. | “Ми проведемо щоквартальні аудити ротації ключів і повідомимо команду безпеки про будь‑які відхилення …” |

Підказка також містить **“Traceability Token”**, який пост‑обробник витягує для вбудовування прямого посилання назад до вихідних доказів.

---

## 5. Техніки пояснюваності

1. **Індексація цитат** – Кожне речення отримує підпис з ID доказу (наприклад, `[E‑12345]`).  
2. **Атрибуція ознак** – Використовуємо SHAP‑значення на GNN ризику, щоб підкреслити, які фактори найбільше вплинули на RES, і відображаємо це у боковій панелі.  
3. **Оцінка впевненості** – LLM повертає розподіл ймовірностей на рівні токенів; двигун агрегує це у **Narrative Confidence Score (NCS)** (0‑100). Низький NCS активує перегляд людиною.

---

## 6. Питання безпеки та управління

| Питання | Заходи |
|---|---|
| **Витік даних** | Пошук виконується у VPC з нульовим довериєм; лише зашифровані ембеддинги зберігаються. |
| **Галюцинації моделі** | Шар перевірки фактів відхиляє будь‑яке твердження, не підкріплене триплетом у графі знань. |
| **Регуляторний аудит** | Незмінний реєстр забезпечує криптографічний доказ часових міток генерації наративу. |
| **Ухилення** | Шаблони підказок нав’язують нейтральну мову; моніторинг упередженості виконується щотижня для згенерованих наративів. |

Двигун також **[FedRAMP](https://www.fedramp.gov/)**‑готовий, підтримуючи як розгортання on‑prem, так і у FedRAMP‑сертифікованих хмарах.

---

## 7. Реальний вплив: кейс‑стаді

**Компанія**: SaaS‑постачальник **SecureStack** (середній розмір, 350 працівників)  
**Мета**: Скоротити час відповіді на безпекову анкету з 10 днів до менш ніж 24 годин, підвищивши довіру покупців.

| Показник | До | Після (30 днів) |
|---|---|---|
| Середній час відповіді | 10 днів | 15 годин |
| NPS покупців | 32 | 58 |
| Витрати на внутрішній аудити комплаєнсу | 120 год/міс | 28 год/міс |
| Кількість угод, затриманих через проблеми з анкетою | 12 | 2 |

**Ключові фактори успіху**:

* Короткі резюме зменшили час огляду на 60 %.  
* Журнали аудиту, прив’язані до наративів, задовольнили вимоги **[ISO 27001](https://www.iso.org/standard/27001)** без додаткових ручних робіт.  
* Незмінний реєстр допоміг пройти аудит **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** Type II без виключень.  
* Дотримання **[GDPR](https://gdpr.eu/)** щодо обробки запитів суб’єктів даних було продемонстровано через посилання на походження доказів, вбудовані у кожен наратив.

---

## 8. Розширення двигуна: план на майбутнє

1. **Багатомовні наративи** – Використання багатомовних LLM та шарів перекладу підказок для глобальних покупців.  
2. **Прогнозування ризику в реальному часі** – Інтеграція моделей часових рядів для передбачення майбутніх трендів RES і вбудовування розділів “перспектива”.  
3. **Інтерактивний чат‑наратив** – Надання користувачам можливості ставити уточнювальні питання (“Що станеться, якщо перейти на RSA‑4096?”) і отримувати на льоту згенеровані пояснення.  
4. **Інтеграція Zero‑Knowledge Proof** – Доказ того, що твердження наративу правдиве без розкриття самих доказів, корисно для надсекретних контролів.

---

## 9. Чек‑лист впровадження

| Крок | Опис |
|---|---|
| **1. Визначити канонічну схему** | Узгодити поля анкети з контролями **[ISO 27001](https://www.iso.org/standard/27001)**, **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[GDPR](https://gdpr.eu/)**. |
| **2. Побудувати шар отримання доказів** | Індексація політик, журналів, потоків уразливостей. |
| **3. Навчити GNN оцінки ризику** | Використати історичні дані інцидентів для калібрування ваг. |
| **4. Тонко налаштувати LLM** | Зібрати доменно‑специфічні Q&A та приклади наративів. |
| **5. Спроектувати шаблони підказок** | Закодувати тон, глибину і токен трасуваності. |
| **6. Реалізувати пост‑обробник** | Додати форматування цитат, перевірку впевненості. |
| **7. Запровадити Незмінний реєстр** | Вибрати блокчейн‑платформу, визначити схему смарт‑контракту. |
| **8. Інтегрувати панель** | Надати індикатори впевненості та можливість деталізації. |
| **9. Встановити політики управління** | Визначити пороги перегляду, графік моніторингу упередженості. |
| **10. Пілотувати на одному наборі контролів** | Отримати зворотний зв’язок перед повним розгортанням. |

---

## 10. Висновок

Narrative AI Engine переводить сирі, AI‑згенеровані дані анкет у **історії, що будують довіру**, зрозумілі всім зацікавленим сторонам. Поєднуючи Retrieval‑Augmented Generation, пояснювальну оцінку ризику та незмінну трасуваність, організації можуть прискорити укладання угод, знизити навантаження на комплаєнс‑команди та відповідати суворим вимогам аудиту — залишаючись при цьому в центрі людської комунікації.

У міру того, як безпекові анкети ставатимуть дедалі насиченішими, здатність **пояснювати**, а не лише **представляти**, стане вирішальним фактором між постачальниками, які виграють бізнес, і тими, хто застрягне у нескінченних обмінових листах.