Od API Management do AI Agents - Ewolucja Platformy Integracyjnej w PZU

Potrzebujemy czegoś o wiele bardziej elastycznego, czegoś co pozwala nam dopasowywać siebie do biznesu, a nie odwrotnie. Na pewno w dużej mierze biznes nauczył się korzystać z API i wie, że to API to jest w pewnym Naturalnym takim sposobem komunikacji, więc to też zdejmuje z biznesu taki obowiązek, żeby gdzieś te dane gromadzić, to my musimy mieć takie standardy, które umożliwią w sposób bezpośredni, bez dodatkowych jakichś narzędzi zrozumienie tego, co to API robi, chociażby właśnie dla mechanizmów AI. Dzień dobry, witam Was na kolejnym nagraniu z serii Powered By Protopia.

Ja nazywam się Marek Grabasz, mam dzisiaj gościa Krzysztofa Radzimowskiego. Na poprzednim nagraniu omawialiśmy Platformę API Management, jak ona działa, w jaki sposób wpływa na naszą organizację i jakie Benefity, jakie korzyści wynikają z jej użycia. No i właśnie dzisiaj chciałbym porozmawiać o takim konkretnym przypadku. Tym konkretnym przypadkiem jest właśnie wdrożenie w firmie PZU. Krzysztof, jakbyś mógł o sobie powiedzieć, czym się w firmie zajmujesz? Dwa zdania, zanim przejdziemy do tego konkretnego już. Bardzo chętnie, bardzo dziękuję Marku za zaproszenie i za to, że możemy jednak przedstawić, jakby nie było, kawałek naszej wspólnej historii z firmą Protopia.

PZU pełni rolę Product Delivery. Moim produktem jest ogólnie pojęty obszar integracji. Czyli odpowiadam za wdrożenia w obszarze API Managementu, ale też integracji hybrydowej i integracji danych. Super. Wy API Management używacie już od jakiegoś czasu. To nie jest tak, że on był wdrażany celowo pod platformy agentowe, o których w serii naszej dzisiejszej mówimy. Powiedz mi, co was motywowało do tego, żeby ten API Management u was się pojawił, zaistniał? Jak to wdrożenie w ogóle, z czego ono wynikało? No to skrócę historię, bo ona jest taka długa i burzliwa i ma różne tam zwroty wydarzeń.

API Management był jednym z elementów naszej strategii transformacji obszaru integracji w PZU. Tę strategię opracowywaliśmy na przełomie 2021-2022 i zanim właściwie API Management wdrożyliśmy, Opracowaliśmy naszą wewnętrzną platformę hybrydową, takiego wewnętrznego IPAS-a. Wdrożyliśmy nowy silnik do obsługi procesów biznesowych, no i brakowało nam takiego jednego kluczowego komponentu, czyli w jaki sposób się dostać do tych narzędzi. Brakowało takiej fasady czy czegoś, co my nazywaliśmy i nazywamy dalej lekkie proxy. I to wynikało z takiej strategii, a ta strategia miała służyć do tego, żebyśmy mogli gładko wyjść z platformy SOA. Więc jak złączyliśmy sobie te wszystkie wymagania, to wyszedł nam właśnie przepis na platformę API Management.

Ważnym aspektem jest również to, że potrzebowaliśmy narzędzia, które przyciągnie API, które nie było wówczas i nadal jeszcze. Nie są niektóre API PZU integrowane z wykorzystaniem platformy integracyjnej, więc naszym planem było to, żeby te właśnie API przyciągnąć do nas, te zespoły wytwórcze, żeby weszły na naszą platformę. No bo zależało nam na tym, żeby budować efekt skali jednak jak najwięcej tych API po to, żeby... Mieć bardzo atrakcyjny portfel API PZU. To było takim głównym motywatorem, tak? No wiesz, jak ja słyszę SOA, to mi się kojarzy taka architektura sprzed, nie wiem, 20 lat, może nawet więcej. Jakieś bizdoki, inne rzeczy. Rozumiem, że to zamiast tej platformy SOA powstał taki, powiedziałbym, nowy świat, który ma API Management gdzieś tam na wejściu.

Jakie korzyści z tego, to pewnie za chwilę sobie porozmawiamy. No i Platformę Integracyjną gdzieś pomiędzy tymi backendami a tym API Management. Tak to chyba mniej więcej u was w tym momencie wygląda, prawda? Tak, dokładnie tak to wygląda. Te kilkanaście lat, które przynajmniej ja pamiętam. Ja rozpocząłem pracę w PZU z małą przygrywką właśnie w obszarze integracji i do dzisiaj ta integracja jest dla mnie niezwykle atrakcyjnym obszarem i bardzo się dobrze czuję w tym w ogóle obszarze. Daje mi to sporo satysfakcji. I jeśli chodzi właśnie o tę platformę, platformę SOAT, no to wówczas to był, że tak powiem, główna architektura, w której nie wyobrażał... Główna architektura, żadna duża organizacja sobie nie wyobrażała tego.

Tak. I ja powiem, że dużo, że tak powiem, udało nam się na tej platformie ciekawych rzeczy zrealizować, natomiast jak wszystkie technologie, w którymś momencie kończy się ich potencjał i dzisiaj kończy się powoli ten potencjał, który właśnie w tej platformie do niedawna jeszcze był, Potrzebujemy czegoś o wiele bardziej elastycznego, czegoś, co pozwala nam dopasowywać siebie do biznesu, a nie odwrotnie. Jasne. Wiesz co, na poprzednim nagraniu, w poprzednim odcinku, ja dużo mówiłem na temat takiego pojęcia API Economy. Też troszkę omawiałem, jak... Taka powiedziałbym architektura zorientowana na API wpływa na biznes. Gdybyś mógł powiedzieć, jak z twojej perspektywy to wygląda w PZU?

Czyli macie te API, one stały się bardziej dostępne. Czy bardziej dostępne, to też pewnie możesz powiedzieć. Natomiast są wystawione. Są wystawione na zewnątrz, wewnątrz. Co się zmieniło? Przede wszystkim biznes, bo to jest jakby nasz główny klient. Ten biznes w sensie, który reprezentuje klienta zewnętrznego. Ciebie, mnie, wiele osób, które... Czyli ja przez biznes rozumiem jakiś tam obszar, nie wiem, likwidacji szkód, obszar na przykład, nie wiem, tworzenia, sprzedaży, polis, być może jakaś tam życiówki, inne rzeczy. Ale też nasz back office, który musi obsługiwać przeróżne zgłoszenia chociażby od klientów, więc musi sięgać też do danych, które są gdzieś na zewnątrz. Więc na pewno w dużej mierze biznes nauczył się korzystać z API i wie, że to API to jest pewnym naturalnym takim sposobem komunikacji, który funkcjonuje.

Zresztą też Te podmioty zewnętrzne, jakieś podmioty partnerskie, z którymi współpracujemy, czy nawet start-upy, które przychodzą i oferują w PZU jakieś innowacyjne rozwiązania, dla nich też API jest tym punktem wejścia i to jest dla nich naturalne. Taką, powiedziałbym, naturalną metodą integracji. Czyli co? Czyli macie takie coś, że, nie wiem, że przychodzi firma zewnętrzna, podpisujecie jakiś, nie wiem, kontrakt, papiery, no bo ja rozumiem, że... W takiej firmie jak PZU to raczej takie ogólnodostępne API dla wszystkich raczej nie są wystawione, ale w modelu B2B, nie wiem, przychodzi jakaś firma i ona sobie, nie wiem, dogaduje się, że taka, taka informacja będzie wystawiona, tak? Tak to mniej więcej wygląda. Tak. W dużej mierze to tak właśnie wygląda, czyli...

Jednym z takich chyba najciekawszych przykładów, powiedzmy, które realizowaliśmy dla klienta zewnętrznego, to jest ta integracja z jedną z popularnych porównywarek ubezpieczeń. Więc to jest takie naturalne dla nas podejście, czyli... Czyli pewne parametry POLIS są wystawione i ta porównywarka jakby wysyłając przez API te konkretne parametry, dostaje konkretną kwotację i może ją porównać z jakimiś innymi ofertami, tak? Tak. I ten cały proces był udostępniany właśnie przez API Management, czyli my na siebie przejmujemy chociażby to, żeby odpowiednio to API zabezpieczyć, w jakiś sposób nawet możemy wspierać takie testy porównawcze, możemy też kierować na przykład część zapytań na API, część możemy kierować w jakiś inny system, żeby porównać sobie na przykład działanie tego.

Tak, możemy na przykład, jeżeli system nie odpowiada w satysfakcjonującym czasie, te reguły, które mamy na API managemencie, może nie w tym konkretnym przypadku, ale pozwalają na przykład na to, żeby przekierować klienta na infolinie. Więc tutaj oferujemy dla biznesu szereg różnych możliwości takich, żeby obsłużyć klienta. No w tym konkretnym kanale właśnie udostępniamy to API systemu polisowego. Drugim takim przykładem, który myślę, że jest też ciekawy, to jest udostępnianie danych, które są na zewnątrz, chociażby danych z tych rejestrów państwowych. To jest też taka funkcja API Managementu, która wspiera chociażby np. audytowalność, czyli biznes korzystając z tych rejestrów państwowych musi zapewnić to, żeby w odpowiednim momencie, czy na żądanie w ogóle tej instytucji, która te dane udostępnia, żeby mógł

Udokumentować, kto w jakim kontekście chciał, jakie dane pozyskał. Więc to też zdejmuje z biznesu taki obowiązek, żeby gdzieś te dane gromadzić. API Management, ponieważ my te dane już posiadamy, możemy je odłożyć do jakichś baz audytowych po to, żeby potem do tego się... Jasne. To mi całą masę pytań w tym momencie zrodziło, które pewnie osoby oglądające też takie pytania mają. Pierwsza rzecz, która mi przyszła do głowy, jesteście firmą ubezpieczeniową, jesteście branżą regulowaną. Jak to wszystko, nie wiem, używanie platformy API Management, która jest platformą chmurową, jakbyśmy nie nazywali. Jak to się przekłada na KNF, na DORE, na RODO, dane ubezpieczeniowe, brak tych danych ubezpieczeniowych?

Jak to ogarnęliście wewnętrznie? Do momentu jak był komunikat KNF-u i on obowiązywał. Komunikat murowy, tak, załącznik. No to zresztą sam wiesz, bo Protopia oczywiście wspólnie z nami wdrożała tę platformę, więc mieliśmy szereg wątpliwości, szereg obaw. Wtedy przyszedł nam w sukurs Self Hosted Gateway jako taka architektura, która umożliwiła... Hybryda, o tej mówiłem już na poprzednim nagraniu. Umożliwiła nam właśnie wykorzystanie architektury hybrydowej, No niby mamy usługę chmurową, ale jednak dane są po stronie infrastruktury. Samy przepływ danych jest w ramach on-premises. Jest po stronie PZU, więc to... Na pewno ułatwiło nam w ogóle wdrożenie tej platformy. Dzisiaj mamy Dorę.

Dzisiaj mamy środowisko i świat, w którym trochę mniej już się boimy, bo z jednej strony PZU w tym czasie wykonało bardzo dużo pracy, żeby dopasować się, dostosować się do wymogów Dory. Zresztą API Management już nie jest jedyną platformą, właściwie jedynym rozwiązaniem chmurowym. PZU bardzo ważnie weszło w chmurę, więc przy okazji... Te wszystkie zalecenia, które się wiążą z DORA zostały spełnione w innych kontekstach, a z tego możemy dzisiaj korzystać. Więc na pewno dzisiaj z większym spokojem możemy Chociażby przygotowywać się do tego, żeby uruchomić bramę w chmurze, która do tej pory była niewykorzystywana przez nas, żeby chociażby zaadresować potrzeby agentów.

O tym pewnie jeszcze pomęczę, o tych agentach. Natomiast rzeczywiście ta brama chmurowa gdzieś tam jest elementem istotnym. Natomiast generalnie przez te kilkanaście lat KNF czy DORA, wszystkie RODO to nie są aspekty, jedyne aspekty, które płynęły dla obszaru integracji, jeżeli chodzi o wymagania regulatora, bo tak jak wspomniałem przed chwilą to chociażby taka audytowalność. Dobre pytanie, jak to realizujecie? Czyli wszystkie wywołanie API gdzieś tam odkładacie w jakiś log biznesowy, log audytowy? Zarówno na platformie SOA do tej chwili mamy takie rozwiązania, w których odkładamy to właśnie do baz audytowych. W API Management przenieśliśmy ten wzorzec i możemy w API bezpośrednio na odpowiedź, która przychodzi z systemu tego rejestru państwowego, który tej audytowalności wymaga,

Możemy to odkładać punktowo dla poszczególnych operacji, dla poszczególnych nawet wywołań, jeżeli taka jest potrzeba. To mamy zaszyte w naszych politykach i w logice. Z tego co pamiętam, wy odkładacie te logi i one chyba... Generalnie ta historia wywołań leci po pierwsze do CMA, prawda? Czyli tam do działu bezpieczeństwa, żeby oni sobie monitorowali, co tam się dzieje. A druga rzecz to chyba przez Kafka jest integracja, jeżeli dobrze pamiętam. To troszkę też pokazuje, ile ten API Management jest w stanie z siebie wydobyć. To znaczy, jak łatwo Jesteśmy w stanie takie integracje zbudować, tak? Czyli to nie jest tak tylko, że ten API Management nie jest taka przelotka, jakieś proste polityki i tak dalej, tylko możemy zrobić trochę więcej, podejrzewam, niż by się mogło wydawać. Więcej nie zawsze klient musi o to się martwić, prawda?

No bo to... Dokładnie, bo to robi udzielona platforma. Gdybyśmy się integrowali bezpośrednio do API, no to wtedy z poziomu każdej aplikacji, która dzwoni do API lub też każdego API, musielibyśmy jakiś tam naddatek robić tej logiki odkładania. Tak, i dokładnie ta sama korzyść, jeżeli chodzi o API Management, płynie z tego, że po stronie klienta, czy po stronie systemu, który korzysta z API, my oczekujemy bardzo prostej metody, chociażby autoryzacji dostępu do samego API, przedstawiania się na platformie. Autoryzacja w sposób taki zunifikowany powiedziałbym, a niekoniecznie, że każdy API, każdy deweloper, a to wewnętrzny deweloperze, a to zewnętrzny, a to jakiś vendor przyszedł. Każdy wymyślił jakiś swój sposób, a to kluczem, a to certyfikatem. Znaczy nawet jeżeli sobie to wymyślą.

Do tego systemu się uwierzytelni w odpowiedni sposób, natomiast ci, którzy do API Management będą dzwonić, mogą to zrobić w sposób taki ustandaryzowany. To jest moim zdaniem ogromna korzyść. Z takich jeszcze rzeczy, które my, ponieważ jakby to, o czym powiedziałem na samym początku, czyli ten efekt skali, to jest coś, na czym nam najbardziej zależy. Czyli żeby zbudować bardzo atrakcyjny portfel API PZU, Po to, żeby później można z tego było budować kolejne rozwiązania, czy tą automatyzację, która jest bardzo powszechna, agentyzację, taka inteligentna orkiestracja tych API, no wymaga tego, żeby tych ciekawych, potrzebnych API było jak najwięcej, żeby można z tego było budować. Więc żeby to się stało, my też pokazujemy API nie tylko jako właśnie warstwę zabezpieczenia, czy warstwę audytowalności,

Żeby przyciągnąć deweloperów systemów dziedzinowych, to nie wystarcza. My oprócz tego bardzo nam zależało, żebyśmy dostarczyli deweloperom też chociażby Observability, które zbudowaliśmy na naszej platformie. I to wszystko deweloper dostaje z pudełka, czyli czy jesteś deweloperem, który swoje API chce opublikować na platformie API Management? Czy jesteś deweloperem, który chce skorzystać? To martwisz się tylko o to, żeby Z jednej strony albo podłączy się do danego API, albo z drugiej strony, żeby je po prostu tylko opublikować. A my bierzemy na siebie całą resztę i w politykach, które mamy już zbudowane, dostajesz właśnie chociażby z pudełka to security. To też ważne, żeby pamiętać, że w API Management te polityki, czyli ta logika, taka orkiestracyjna, czy też zabezpieczanie, możemy aplikować na różnych poziomach.

Na poziomie wszystkich API, pojedynczych API, pojedynczych metod na API. Czy wersji konkretnej. Jak to jest z tymi developerami u was? No bo w wielu firmach jest tak, że jest dział integracji, tak jak u was, i on staje się wąskim gadłem bardzo często. Wy z kolei robicie inaczej, macie tę automatyzację i wpuszczacie developerów na środowisko de facto, żeby sobie sami te API konfigurowali. Dobrze mówię? Tak, dzisiaj pełnimy dwie role. Oczywiście jesteśmy tym centrum kompetencji, czyli tym center of excellence, ponieważ to jest nasza platforma, nadal my ją utrzymujemy i odpowiadamy za jej stabilność, więc staramy się wdrażać niezbędny poziom standaryzacji, niezbędny poziom uprawnień.

Do tego, żeby można na tej platformy się poruszać. Natomiast celem wdrożenia, jak pamiętasz, pewnie z tego etapu wdrożeniowego, kiedy oczekiwaliśmy chociażby od tej platformy, żeby miała wysoki stopień samoobsługi. I dzisiaj? Ta sama obsługa jest wdrożona. Dzisiaj deweloperzy, którzy chcieliby swoje API opublikować, mają dostęp do środowiska deweloperskiego, mogą sobie w tym środowisku to API wyklikać. Za chwilę będą mogli to zrobić bezpośrednio od siebie z kodu. Z kodu chyba już teraz mogą, ale ty mówisz jeszcze o czymś innym. Mówię tak, o uproszczeniu tej ścieżki. Czyli żeby mogli strzelić takiego cola po prostu i żeby ich automatyzacja wręcz zakładała to API. Żeby pracowali z API Managementem tak, jakby to był moduł ich aplikacji, żeby nie musieli wchodzić w jakieś niwące.

Czyli API, API Managementu. Wchodzimy na jakiś tam kolejny poziom zagnieżdżenia, tak? Management API do API Managementu. Więc to są takie, powiedzmy, ułatwienia, którym właśnie mają dążyć do tego, żeby deweloper mógł się sam obsłużyć na naszej platformie. I to się sprawdza. Jest szereg zespołów deweloperskich, które to API wystawiają. Coraz śmielej, że te końce poczynają z naszym repozytorium kodu, więc też na to pozwalamy. Też się z siebie uczymy. To też trzeba mieć świadomość, że to jest taki proces, w którym zanim ktoś rzeczywiście wejdzie, będzie miał więcej uprawnień do tej platformy, to musi odrobinę się nauczyć. Nauczyć, ale też pokazać, że... Że jest współodpowiedzialny za to. Mi się pojawia inne pytanie, no bo jeżeli tych API macie, no popraw mnie, jeżeli się mylę, powiedzmy więcej niż 50 w tym momencie, być może bliżej 100 już na niej produkcjach.

Myślę, że ta druga wartość jest dzisiaj. Tak, okej. No to zaczyna się robić pewien problem. Problem polega na tym, jak wy zarządzacie tymi API, jak wygląda governance, bo jeżeli macie już powiedzmy ileś tam API, one muszą trzymać się standardu i potrzebujemy w jakiś sposób kontrolować ten standard. Tak samo jak mamy tych deweloperów, którzy coś robią, no to muszą się odnosić do pewnych tam wytycznych czy standardów. Jak te standardy staracie się implementować czy też utrzymywać? Jakiś governance, tego typu rzeczy wokół tego? Jedynym standardem, o którym deweloper może nie wiedzieć, a który jest zdrżany, to są właśnie te polityki, czyli Pilnujemy tego, żeby narzędzia observability przede wszystkim były nawadniane informacjami, które nam są niezbędne, żeby móc prowadzić proces diagnostyki.

To jest jedyna ukryta, że tak powiem, jedyny ukryty chyba standard, który mamy. Czyli robicie takiego klasycznego hardeningu na zasadzie usuwania jakichś tam nagłówków, innych rzeczy, przynajmniej na dzień dzisiejszy? Nie, chyba, że będzie takie rzeczy. No ale macie wewnętrznie przede wszystkim to API wykorzystywane, także... Tak, natomiast czasami jest tak, że rzeczywiście deweloperzy nie są przyzwyczajeni do tego, żeby spełniać czyjeś zalecenia, więc to jest taki standard, który wymuszamy. Tak się trochę śmieję, że on jest jedynym takim, który jest niewidoczny z punktu widzenia. Oczywiście mamy to dobrze udokumentowane i deweloperzy doskonale wiedzą tak naprawdę, z czym się muszą liczyć, wchodząc na API Management. Natomiast oprócz tego, równolegle w ogóle do całego procesu rozwoju dalej platformy, dużo pracy wkładamy też w to, żeby tworzyć standardy, żeby na etapie wytwórczym już wychwytywać ewentualne rozbieżności względem pewnych przyjętych dobrych praktyk, po to, żeby to API, które wchodzi już na środowiska nieprodukcyjne, a potem na produkcję, żeby było o wiele bardziej dojrzałe.

A przede wszystkim, patrząc na to, w jaki sposób świat, ten IT przynajmniej się zmienia i tych technologii wokół aplikacyjnych, czyli mówię tutaj głównie o tej automatyzacji czy o agentyzacji, o agentach i tym szeroko pojętym AI, to my musimy mieć takie standardy, które umożliwią w sposób bezpośredni, bez dodatkowych jakichś narzędzi, zrozumienie tego, co to API robi chociażby właśnie dla mechanizmów AI. OK. A powiedz mi takie rzeczy jak API Center wiem, że używacie. Powoli? Powoli. Powoli. Przybywa. API Center jest dla nas ciekawym rozwiązaniem, bo jest właściwie z pudełka dużo takich rzeczy. PZU ma w roadmapie, tak bym to delikatnie nazwał.