מיפוי תנאי חוזה דינמי עם AI עבור שאלוני אבטחה

מדוע מיפוי תנאי חוזה חשוב

שאלוני אבטחה הם השוער של עסקאות SaaS B2B. שאלון טיפוסי שואל שאלות כגון:

• “האם הצפנתם נתונים במצב מנוחה? ציינו את הפנייה לתנאי בחוזה השירות שלכם.”
• “מה זמן תגובתכם לאירוע? ציינו את הסעיף הרלוונטי בתוספת העיבוד של הנתונים שלכם.”

המתן על שאלות אלו בצורה מדויקת דורש מציאת הסעיף המדויק בתוך ים של חוזים, תוספות ומסמכי מדיניות. הגישה הידנית המסורתית סובלת משלוש חסרונות קריטיים:

1. צריכת זמן – צוותי האבטחה מבלים שעות בחיפוש הפסקה הנכונה.
2. טעות אנוש – הפנייה הלא נכונה לתנאי עשויה לגרום לפערים בציות או לכישלון בביקורת.
3. התייחסויות מיושנות – חוזים מתעדכנים; מספרי סעיפים ישנים הופכים למיושנים, אך תשובות השאלון נשארות ללא שינוי.

מנוע מיפוי תנאי חוזה דינמי (DCCM) מטפל בשלושת הבעיות על ידי הפיכת מאגרי החוזים לגרף ידע חיפוש עצמי שמספק תשובות לשאלונים בזמן אמת, מבוסס AI.

ארכיטקטורה מרכזית של מנוע DCCM

להלן מבט ברמה גבוהה על צינור ה‑DCCM. התרשים משתמש בתחביר Mermaid כדי להמחיש זרימת נתונים ונקודות החלטה.

  stateDiagram-v2
    [*] --> IngestContracts: "Document Ingestion"
    IngestContracts --> ExtractText: "OCR & Text Extraction"
    ExtractText --> Chunkify: "Semantic Chunking"
    Chunkify --> EmbedChunks: "Vector Embedding (RAG)"
    EmbedChunks --> BuildKG: "Knowledge Graph Construction"
    BuildKG --> UpdateLedger: "Attribution Ledger Entry"
    UpdateLedger --> [*]

    state AIResponder {
        ReceiveQuestion --> RetrieveRelevantChunks: "Vector Search"
        RetrieveRelevantChunks --> RAGGenerator: "Retrieval‑Augmented Generation"
        RAGGenerator --> ExplainabilityLayer: "Citation & Confidence Scores"
        ExplainabilityLayer --> ReturnAnswer: "Formatted Answer with Clause Links"
    }

    [*] --> AIResponder

רכיבים מרכזיים מוסברים

Retrieval‑Augmented Generation (RAG) פוגש דיוק חוזי

מודלים רגילים של LLM יכולים ליצור פנטזיות כאשר הם מתבקשים לספק הפניות לחוזים. על‑ידי עיגון הייצור בחלקי חוזה אמיתיים, מנוע DCCM מבטיח דיוק עובדות:

1. הצפנת השאלות – הטקסט של השאלון ממופה לווקטור.
2. אחזור Top‑k – FAISS מחזיר את החלקים הדומים ביותר (k=5 כברירת מחדל).
3. הנדסת Prompt – החלקים המוחזרים מוכנסים לתוך prompt שמורה ב‑explicit על הציטוט:

You are a compliance assistant. Use ONLY the provided contract excerpts to answer the question. 
For each answer, end with "Clause: <DocumentID>#<ClauseNumber>".
If the excerpt does not contain enough detail, respond with "Information not available".

4. Post‑processing – המערכת מנתחת את פלט ה‑LLM, מאמתת שכל סעיף מצוטט קיים בגרף הידע, ומוסיפה דירוג ביטחון (0‑100). אם הדירוג יורד מתחת לסף שנקבע (למשל 70), התשובה מתוינת לעיון ידני.

לדוגמה: פנקס השיוך המוסבר

מבקרי תקינה דורשים ראייה של מאיפה הגיעה כל תשובה. מנוע DCCM כותב רשומה בלד פטו‑קריפטוגרפי עבור כל אירוע שיוך:

{
  "question_id": "Q-2025-07-12-001",
  "answer_hash": "sha256:8f3e...",
  "referenced_clause": "SA-2024-08#12.3",
  "vector_similarity": 0.94,
  "llm_confidence": 88,
  "timestamp": "2025-12-01T08:31:45Z",
  "signature": "0xABCD..."
}

הלד:

• מספק מסלול ביקורת בלתי ניתן לשינוי.
• מאפשר הוכחת אפס-ידע – רגולטורים יכולים לאמת קיום הפנייה ללא חשיפת כל החוזה.
• תומך באכיפת policy‑as‑code – אם סעיף מוצא כמיושן, הלד מסמן אוטומטית את כל התשובות השייכות לו לבחינה מחודשת.

הסתגלות בזמן אמת לשחיקה של סעיפים (Clause Drift)

חוזים הם מסמכים חמים. כאשר סעיף מתעדכן, שירות זיהוי השינוי מחשב מחדש את ההטבעה של החלק המשפיע, מעדכן את גרף הידע, ומחולל מחדש רשומות בלד עבור כל תשובה שהפנתה לסעיף שהשתנה. הלולאה כולה מתבצעת בדרך‑כלל בתוך 2‑5 שניות, כך שממשק Procurize משקף תמיד את השפה העדכנית של החוזה.

תרחיש לדוגמה

סעיף מקורי (גרסה 1):

“המידע יוצפן במצב מנוחה באמצעות AES‑256.”

סעיף מעודכן (גרסה 2):

“המידע יוצפן במצב מנוחה באמצעות AES‑256 או ChaCha20‑Poly1305, בהתאם למה שנחשב ליותר מתאים.”

לאחר שינוי הגרסה:

1. ההטבעה של הסעיף מתעדכנת.
2. כל תשובה שציינה “Clause 2.1” מועברת מחדש דרך מנוע ה‑RAG.
3. אם העדכון מוסיף אפשרות, דירוג הביטחון עשוי לרדת, והקצין האבטחה מתבקש לאשר את התשובה.
4. הלד רושם אירוע שחיקת סעיף שמקשר בין מזהה הסעיף הישן לחדש.

יתרונות מדודים

המספרים מדגימים כיצד מנוע AI יחיד יכול להפוך צוואר בקבוק ליתרון תחרותי.

רשימת בדיקה ליישום צוותי האבטחה

1. מזעור מסמכים – וודאו שכל החוזים מאוחסנים במאגר קריא למכונה (PDF, DOCX או טקסט).
2. עשרת מטה‑נתונים – תייגו כל חוזה עם vendor, type (SA, **DPA, SLA), ו‑effective_date.
3. בקרת גישה – העניקו לשירות DCCM הרשאות קריאה‑רק; גישה לכתיבה מוגבלת ללד המקור.
4. שלטון מדיניות – הגדירו סף ביטחון (למשל > 80 % קבלה אוטומטית).
5. אדם‑ב‑הלולאה (HITL) – הקצו סוקר ציות לטיפול בתשובות עם דירוג בטחון נמוך.
6. מעקב מתמשך – אפשרו התראות על אירועי שחיקת סעיף שעולים מעל סף סיכון.

עקבות אחר רשימה זו מבטיחה השקה חלקה ומקסימת ROI.

מפת דרכים עתידית

סיכום

מיפוי תנאי חוזה דינמי גשר את הפער בין נוסח משפטי לדרישות שאלוני האבטחה. על‑ידי חיבור Retrieval‑Augmented Generation לגרף ידע סמנטי, לבדיקה בלתי נגמרת ובזיקה בזמן אמת, Procurize מאפשר לצוותי האבטחה לענות בביטחון, לקצר זמני תגובה ולעמוד בדרישות מבקרי הציות – תוך עדכון חוזים באופן אוטומטי.

לחברות SaaS השואפות לזכות בעסקאות ארגוניות במהירות, מנוע DCCM איננו “כיף‑להיות‑בעל”; הוא חיוני למתחרויות.