Eine KI-Suche beantwortet eine interne Frage mit einem treffenden Zitat. Technisch beeindruckend – aber durfte die fragende Person die zitierte Unterlage überhaupt lesen? Genau hier entscheidet sich, ob eine RAG-Lösung unternehmenstauglich ist.
RAG verbindet Suche und Sprachmodell.
Retrieval-Augmented Generation ergänzt eine Anfrage um passende Informationen aus Quellen. Dokumente werden aufbereitet und durchsuchbar gemacht; ausgewählte Auszüge dienen anschließend als Kontext für das Sprachmodell. Das Modell kann daraus eine Antwort mit Quellenhinweisen erstellen.
Diese Verbindung ist nützlich, wenn die richtigen Informationen aktuell und für den Benutzer freigegeben sind. Sie wird gefährlich, wenn ein gemeinsam nutzbarer Index sämtliche Unterlagen ohne wirksame Rechtebegrenzung liefert. Die Anmeldung an der Chatoberfläche ist dann noch keine Berechtigung für jedes darin auffindbare Dokument.
Die Zugriffskontrolle muss vor dem Modell greifen.
Die Anwendung ermittelt die Benutzeridentität aus einem vertrauenswürdigen Anmeldeverfahren. Die Suche begrenzt Treffer und Auszüge auf den zulässigen Umfang. Erst dieser erlaubte Kontext wird an das Sprachmodell übergeben. Der Index selbst, seine Verwaltungszugänge und die Verbindung zur Quelle brauchen ebenfalls passende Kontrollen.
Eine Prompt-Anweisung, vertrauliche Informationen nicht auszugeben, kommt als alleiniger Zugriffsschutz zu spät. Die unerlaubten Daten wären bereits verarbeitet worden. Auch das nachträgliche Ausblenden eines Zitats behebt diesen Datenweg nicht.
Die kleinen Nebenwege entscheiden mit.
- Trefferüberschriften
- Ein Titel wie eine geplante Personalmaßnahme kann bereits vertraulich sein. Nicht nur der vollständige Dokumenttext benötigt einen Rechtefilter.
- Zwischenspeicher
- Eine für Benutzer A erstellte Antwort darf nicht ungeprüft für B wiederverwendet werden. Identität, Mandant und passende Rechte müssen im Cachekonzept berücksichtigt werden.
- Quellenlinks
- Ein klickbarer Beleg braucht einen weiterhin berechtigten Originalabruf. Ein privater Downloadlink darf keine allgemeine Freigabe erzeugen.
- Protokolle
- Suchanfragen, Auszüge und Fehlerdetails können Geschäftsgeheimnisse enthalten. Einsicht und Aufbewahrung werden begrenzt.
Rechte ändern sich schneller als manche Indizes.
Eine Person wechselt die Abteilung, ein Projekt endet oder eine Freigabe wird zurückgenommen. Der Quellbestand und die Suchrechte müssen wieder zusammenpassen. Dafür braucht die Architektur einen beschriebenen Aktualisierungsweg und eine passende Reaktionszeit.
Ein besonders wichtiger Test ist der Rechteentzug: Eine zunächst erlaubte Frage wird nach der Änderung mit demselben Konto erneut gestellt. Zusätzlich wird geprüft, ob ältere Caches, Vorschauen oder gespeicherte Antworten noch Zugriff ermöglichen. Das Ergebnis muss dokumentiert werden; ein erfolgreich beendeter Importlauf allein genügt nicht.
Produktfunktionen sind kein austauschbarer Baukasten.
Manche Suchdienste unterstützen native dokumentbezogene Kontrollen, andere benötigen ausdrücklich durchgesetzte Filter und eigene Synchronisierung. Bei Azure AI Search unterscheidet die aktuelle Dokumentation etwa Sicherheitsfilter von zusätzlichen integrierten Verfahren, die teilweise als Preview gekennzeichnet sind. API- und Versionsstand gehören deshalb in die Architekturentscheidung.
Unabhängig vom Werkzeug sollte die Abnahme nachweisen, welche Quelle eine Testidentität sehen darf und welche sie nicht erhält. Die gewünschten Grenzen werden nicht erst aus einer zufälligen Modellantwort abgeleitet.
Ein prüfbarer Pilot verbindet Nutzen und Schutz.
DAXS kann mit einem abgegrenzten Wissensbestand beginnen: benannte Quellenverantwortliche, aktuelle Dokumente, Testkonten, klare Antwortkriterien und nachvollziehbare Negativtests. Erst wenn Suche, Rechte und Quellenbezug passen, wird der Umfang erweitert.
Die Fachseite Unternehmenswissen & RAG beschreibt Import und Anfrage im Zusammenhang. KI-Sicherheit vertieft Oversharing, Identitäten und Agentenrechte.
Quellen: Microsoft: Document-Level Access Control · OWASP: Vector and Embedding Weaknesses. Das Schaubild zeigt eine mögliche Architektur ohne Kundendaten.