Silnik Routingowy oparty na Intencji sterowany AI dla współpracy w czasie rzeczywistym przy kwestionariuszach dostawców

Kwestionariusze bezpieczeństwa dostawców stały się wąskim gardłem dla szybko rosnących firm SaaS. Każde nowe żądanie klienta wywołuje lawinę ręcznych przekazów: analityk bezpieczeństwa wyciąga najnowszą politykę, recenzent prawny weryfikuje sformułowanie, inżynier produktu wyjaśnia techniczne implementacje, a ostateczna odpowiedź jest składana w pliku PDF. Ten rozproszony przepływ pracy prowadzi do długich czasów reakcji, niespójnych odpowiedzi i ryzyka audytowego.

Co by było, gdyby platforma sama potrafiła zrozumieć dlaczego zadane jest pytanie, kto jest najlepiej przystosowany do jego udzielenia i kiedy odpowiedź jest potrzebna, a następnie automatycznie skierować żądanie do właściwej osoby — w czasie rzeczywistym? Wprowadzamy Silnik Routingowy oparty na Intencji sterowany AI (IBRE), kluczowy komponent platformy Procurize AI, który łączy semantykę grafu wiedzy, generowanie wspomagane odzyskiwaniem (RAG) i ciągłe sprzężenie zwrotne, aby orkiestrację odpowiedzi na kwestionariusze realizować z prędkością maszyny.

Kluczowe wnioski

• Wykrywanie intencji przekształca surowy tekst kwestionariusza w ustrukturyzowane intencje biznesowe.
• Dynamiczny graf wiedzy łączy intencje z właścicielami, artefaktami dowodowymi i wersjami polityk.
• Routing w czasie rzeczywistym wykorzystuje oceny pewności zasilane LLM oraz równoważenie obciążenia.
• Pętle ciągłego uczenia doskonalą intencje i zasady routingu na podstawie audytów po złożeniu odpowiedzi.

1. Od Tekstu do Intencji – Warstwa Parsowania Semantycznego

Pierwszym krokiem IBRE jest przekształcenie pytania w wolnym formacie (np. „Czy szyfrujecie dane w spoczynku?”) w kanoniczną intencję, którą system może zrealizować. Odbywa się to w dwustopniowym pipeline:

1. Ekstrakcja encji oparta na LLM – Lekki model LLM (np. Llama‑3‑8B) wyodrębnia kluczowe encje: szyfrowanie, dane w spoczynku, zakres, ramy zgodności.
2. Klasyfikacja intencji – Wyekstrahowane encje trafiają do dopasowanego klasyfikatora (opartego na BERT), który mapuje je na taksonomię ~250 intencji (np. EncryptDataAtRest, MultiFactorAuth, IncidentResponsePlan).

Obiekt intencji zawiera:

• intent_id
• confidence_score
• linked_policy_refs (SOC 2, ISO 27001, wewnętrzne identyfikatory polityk)
• required_evidence_types (plik konfiguracyjny, dziennik audytu, zaświadczenie zewnętrzne)

Dlaczego intencja ma znaczenie:
Intencje działają jako stabilna umowa pomiędzy treścią kwestionariusza a dalszym przepływem pracy. Nawet jeśli sformułowanie się zmieni („Czy Wasze dane są szyfrowane podczas przechowywania?” vs. „Czy używacie szyfrowania dla danych w spoczynku?”) rozpoznawana jest ta sama intencja, zapewniając spójny routing.

2. Graf Wiedzy jako Szkielet Kontekstowy

Baza grafowa typu property‑graph (Neo4j lub Amazon Neptune) przechowuje relacje pomiędzy:

• Intencjami ↔ Właścicielami (inżynierowie bezpieczeństwa, doradcy prawni, liderzy produktu)
• Intencjami ↔ Artefaktami Dowodowymi (dokumenty polityk, migawki konfiguracji)
• Intencjami ↔ Ramami Regulacyjnymi (SOC 2, ISO 27001, GDPR)
• Właścicielami ↔ Obciążeniem i Dostępnością (aktualna kolejka zadań, strefa czasowa)

Każda etykieta węzła jest ciągiem znaków w podwójnych cudzysłowach, zgodnie ze składnią Mermaid, co umożliwia późniejsze wizualizacje.

  graph LR
    "Intent: EncryptDataAtRest" -->|"owned by"| "Owner: Security Engineer"
    "Intent: EncryptDataAtRest" -->|"requires"| "Evidence: Encryption Policy"
    "Intent: EncryptDataAtRest" -->|"complies with"| "Regulation: ISO 27001"
    "Owner: Security Engineer" -->|"available"| "Status: Online"
    "Owner: Security Engineer" -->|"workload"| "Tasks: 3"

Graf jest dynamiczny — przy każdym nowym kwestionariuszu węzeł intencji jest dopasowywany do istniejącego lub tworzony w locie. Krawędzie własności są przeliczane przy użyciu algorytmu dopasowania dwudzielnego, który równoważy ekspertyzę, bieżące obciążenie i terminy SLA.

3. Mechanika Routing’u w Czasie Rzeczywistym

Gdy pojawia się pozycja kwestionariusza:

1. Wykrycie intencji generuje intencję wraz z wynikiem pewności.
2. Wyszukiwanie w grafie zwraca wszystkich kandydatów‑właścicieli oraz powiązane dowody.
3. Silnik oceny wylicza:
   • Dopasowanie ekspertyzy (expertise_score) – na podstawie historii jakości odpowiedzi.
   • Dostępność (availability_score) – w czasie rzeczywistym z API obecności Slack/Teams.
   • Pilność SLA (urgency_score) – wyliczona z terminu kwestionariusza.
4. Kompozytowy wynik routingu = suma ważona (konfigurowalna jako policy‑as‑code).

Właściciel z najwyższym wynikiem otrzymuje automatycznie wygenerowane zadanie w Procurize, wypełnione:

• Oryginalnym pytaniem,
• Wykrytą intencją,
• Linkami do najistotniejszych dowodów,
• Sugerowanymi fragmentami odpowiedzi z RAG.

Jeśli wynik pewności spada poniżej progu (np. 0,65), zadanie trafia do kolejki przeglądu człowieka w pętli, gdzie lider zgodności weryfikuje intencję przed przydzieleniem.

Przykładowa Decyzja Routingowa

Alicja otrzymuje zadanie natychmiast, a system zapisuje decyzję routingową dla celów audytowych.

4. Pętle Ciągłego Uczenia

IBRE nie pozostaje statyczny. Po zakończeniu kwestionariusza platforma pobiera sprzężenie zwrotne po złożeniu:

• Przegląd trafności odpowiedzi – audytorzy oceniają adekwatność odpowiedzi.
• Wykrywanie luk dowodowych – jeśli odwołany dowód jest nieaktualny, system flaguje węzeł polityki.
• Metryki wydajności właściciela – wskaźniki sukcesu, średni czas odpowiedzi i częstotliwość ponownego przydziału.

Sygnalizacje te zaszczepiają dwie linie uczenia:

1. Udoskonalanie intencji – niepoprawne klasyfikacje wyzwalają półnadzorowane ponowne trenowanie klasyfikatora intencji.
2. Optymalizacja polityki routingu – uczenie ze wzmocnieniem (RL) aktualizuje wagi ekspertyzy, dostępności i pilności, aby maksymalizować zgodność z SLA oraz jakość odpowiedzi.

Efektem jest samodoskonalący się silnik, który ulepsza się z każdym cyklem kwestionariusza.

5. Krajobraz Integracji

IBRE jest zaprojektowany jako mikro‑serwis, który włącza się w istniejące narzędzia:

Wszystka komunikacja odbywa się poprzez mutual TLS i OAuth 2.0, zapewniając, że wrażliwe dane kwestionariuszy nie opuszczają bezpiecznego perymetru.

6. Audytowalny Ślad i Korzyści Zgodnościowe

Każda decyzja routingowa generuje niezmienny wpis w logu:

{
  "question_id": "Q-2025-437",
  "intent_id": "EncryptDataAtRest",
  "assigned_owner": "alice@example.com",
  "routing_score": 0.85,
  "timestamp": "2025-12-11T14:23:07Z",
  "evidence_links": [
    "policy://encryption/2025-09",
    "artifact://config/production/db"
  ],
  "confidence": 0.93
}

Przechowywanie tego JSON‑a w ledgerze append‑only (np. Amazon QLDB lub łańcuch bloków) spełnia wymogi SOX i GDPR dotyczące przejrzystości. Audytorzy mogą odtworzyć dokładne uzasadnienie każdej odpowiedzi, co dramatycznie skraca cykl żądania dowodów podczas audytów SOC 2.

7. Realny Wpływ – Krótkie Studium Przypadku

Firma: FinTech SaaS „SecurePay” (etap Series C, 200 pracowników)
Problem: Średni czas odpowiedzi na kwestionariusz – 14 dni, 30 % nie spełniało SLA.
Implementacja: Wdrożono IBRE z grafem wiedzy o 200 węzłach, zintegrowano ze Slackiem i Jirą.
Rezultaty (pilota 90 dni):

Zwrot z inwestycji (ROI) oszacowano na 6,2 × w pierwszych sześciu miesiącach, głównie dzięki skróceniu czasu utraty transakcji i kosztom remediacji w audytach.

8. Kierunki Rozwoju

1. Federacja intencji między najemcami – umożliwienie wielu klientom współdzielenia definicji intencji przy zachowaniu izolacji danych, wykorzystując uczenie federacyjne.
2. Weryfikacja Zero‑Trust – połączenie szyfrowania homomorficznego z routingiem intencji, aby utrzymać poufność treści pytania nawet dla samego silnika routingu.
3. Prognozowanie SLA – użycie prognozowania szeregów czasowych do przewidywania szczytów napływu kwestionariuszy (np. po premierze produktu) i automatycznego skalowania pojemności routingu.

9. Pierwsze Kroki z IBRE

1. Włącz Silnik Intencji w Procurize → Ustawienia → Moduły AI.
2. Zdefiniuj taksonomię intencji (lub zaimportuj domyślną).
3. Mapuj właścicieli łącząc konta użytkowników z tagami intencji.
4. Połącz źródła dowodów (magazyny dokumentów, artefakty CI/CD).
5. Uruchom pilotażowy kwestionariusz i obserwuj pulpit nawigacyjny routingu.

Szczegółowy przewodnik krok po kroku dostępny jest w Centrum Pomocy Procurize pod sekcją Routing napędzany AI.

Zobacz także

• Zero‑Trust Architecture for AI‑Driven Automation – NIST SP 800‑207