Eine Beraterin sucht im gemeinsamen Assistenten nach «Kündigungsfrist». Sie darf den Vertrag von Mandant Erle und die Vorlagenbibliothek des Büros sehen. Auf Mandant Birke hat sie keinen Zugriff. Dort hat ein anderes Team in der Vorwoche eine ähnliche Klausel ausgehandelt. Ruft der Assistent breit ab und filtert erst danach, ist die Grenze schon verletzt, bevor ein Wort auf dem Bildschirm erscheint.
Die Möglichkeit bleibt dennoch wertvoll. Ein gemischtes professionelles Büro kann jahrelange Mandantendokumente durchsuchbar machen, ohne alle Rechte in einem gemeinsamen Ordner einzuebnen. Die Berechtigungsentscheidung muss Teil des Abrufs selbst werden.
Ein lokaler Dokumentenassistent ermöglicht nützliche dokumentübergreifende Suche, wenn die aktuelle Berechtigung bestimmt, welche Belege das Modell erreichen. Dateirechte müssen OCR, Aufteilung, Indexierung, Zitate, Chatverlauf und Export überstehen.
Ein gezieltes KI-Entwicklungsprojekt sollte diesen Berechtigungspfad vor der Feinabstimmung des Antwortstils bauen. Dokumentenverarbeitung mit KI-Agenten behandelt Extraktion und Prozessaktionen breiter. Hier verfolgen wir den engeren Lebenszyklus der Berechtigung von der Quelldatei bis zur Löschung.
Das Berechtigungsproblem beginnt vor der Frage
Retrieval-Augmented Generation kopiert Dokumenttext üblicherweise in einen Index, damit ein Suchdienst relevante Passagen für das Modell findet. Diese abgeleitete Kopie ist nützlich, weil Mitarbeitende natürliche Fragen über Verträge, Berichte, Rechnungen und Korrespondenz stellen können. Sie ist zugleich eine neue Zugriffsfläche.
Der Anwendungsdienst kann breite Leserechte für den Index besitzen. Ignoriert er die Mandanten- oder Fallrechte der anfragenden Person, bietet eine starke Dateisystem-ACL auf dem Quellordner wenig Schutz. Eine gespeicherte Antwort, der Titel eines Zitats oder eine Vorschau des Verlaufs kann Informationen preisgeben, selbst wenn der endgültige Text die sensible Passage weglässt.
Microsofts aktuelle RAG-Hinweise für Foundry warnen ausdrücklich, dass Abruf sensible Inhalte offenlegen kann. Sie empfehlen Zugriffskontrolle zum Abrufzeitpunkt und die Behandlung abgerufener Dokumente als nicht vertrauenswürdige Eingabe. Zudem können quellenbasierte Ergebnisse unvollständig oder ungenau bleiben.
Für einen lokalen Stack gelten diese Punkte als Designanforderungen. Die Ausführung im Büro verändert einen Netzwerkpfad. Sie überträgt keine Quellrechte auf Abschnitte und entscheidet nicht, was eine angemeldete Person abrufen darf.
Der Nutzen hängt deshalb von einer Berechtigungskette ab. Funktioniert sie, kann eine Anwältin einen Fall durchsuchen, ein Treuhänder einen Mandanten abfragen und ein gemeinsames Serviceteam dieselbe genehmigte Vorlagenbibliothek verwenden. Alle erhalten über denselben Dienst unterschiedliche Belege.
Übertragen Sie Quellrechte auf jeden Abschnitt
Das Dokumentenrepository bleibt das massgebliche System. Für jede Datei sollte der Konnektor vor der Indexierung eine stabile Quell-ID, Mandant oder Fall, zuständige Person, Klassifizierung, Aufbewahrungsklasse und aktuelle Zugriffsliste oder Gruppenkennungen erfassen.
Eine Datei ohne Zuständigkeit, Mandanten-ID oder Zugriffsmetadaten gelangt in Quarantäne. Sie darf nie aus Bequemlichkeit in einen breit lesbaren Index aufgenommen werden.
OCR und Aufteilung erzeugen kleinere Passagen. Jeder Abschnitt muss behalten:
- Quell-ID sowie Seite oder Absatz
- Version der Zugriffsliste und berechtigte Personen oder Gruppen
- Mandanten- oder Fallkennung und Aufbewahrungsstatus
- Extraktionsstatus zur Einordnung von Text und Zitat
Bewahren Sie diese Metadaten bei Embedding, Reranking, Cache und Zitaterzeugung. Ein Abschnitt ohne Berechtigungsmetadaten bleibt undurchsuchbar. Dieselbe Regel gilt für Tabellenzellen oder Bildtext aus OCR.
Microsoft beschreibt dokumentbezogene Zugriffsmuster in Azure AI Search, die die Identität mit ACL- oder Rollenmetadaten im Index vergleichen und unberechtigte Dokumente zur Abfragezeit ausschliessen. Dies ist eine nützliche Implementierungsreferenz. Manche nativen Mechanismen sind Vorschaufunktionen und Änderungen der Quellrechte hängen von der Synchronisierung ab. Eine lokale Implementierung muss gleichwertiges Verhalten bereitstellen und testen, statt das Vorhandensein dieser Azure-Funktionen anzunehmen.
Autorisieren Sie die Person vor dem Abruf
Bei einer Frage authentifiziert die Anwendung die anfragende Person und löst ihre aktuelle Mandanten- oder Fallzugehörigkeit im Identitätssystem auf. Sie prüft einen aktuellen Sperrvermerk oder eine Berechtigungsversion, bevor sie den Index abfragt. Erst danach wendet sie den Filter auf Stichwort-, semantische und Vektorsuche an.
Die Reihenfolge ist entscheidend. Ein breiter Abruf mit späterem Filtern erfolgt zu spät, wenn das Modell den Text bereits erhalten hat. Modell, Protokoll oder Cache können die unberechtigte Passage schon enthalten.
Ist der Identitäts- oder Richtliniendienst nicht verfügbar, verweigert das System den Abruf und erklärt, dass der Zugriff nicht geprüft werden konnte. Es darf nicht auf die zuletzt bekannten breiten Rechte zurückgreifen. Direkte Suche, Folgefragen, Chatverlauf, Dateinamenvorschläge und Zitate benötigen dieselbe Entscheidung.
Nach einer Berechtigungsänderung blockiert ein Sperr- oder Versionscheck veraltete Abschnitte sofort, während die Synchronisierung den Index nachführt. Damit wird die Zeit zwischen Änderung der Quell-ACL und Aktualisierung der kopierten Metadaten geschlossen. Anschliessend kann die Synchronisierung betroffene Abschnitte neu verarbeiten oder entfernen und Caches gemäss Richtlinie leeren.
Dieses Design kann die Trefferquote verringern, weil der Assistent einen kleineren Belegsatz durchsucht. Das ist richtig, wenn das fehlende Dokument einem anderen Mandanten gehört. Messen Sie die Vollständigkeit innerhalb jedes berechtigten Satzes und zeigen Sie bei einem leeren Satz ausdrücklich «keine Belege gefunden».
Halten Sie nicht vertrauenswürdige Dateien in einem begrenzten Belegpfad
Ein Vertrag, eine Rechnung oder eine gescannte E-Mail kann Text enthalten, der sich an das Modell richtet, etwa die Aufforderung, alle Mandanten offenzulegen oder ein verbundenes Werkzeug aufzurufen. Das endgültige NIST-Profil für generative KI beschreibt indirekte Prompt Injection über wahrscheinlich abgerufene Daten und nennt Forschungsdemonstrationen zu Datendiebstahl und entfernter Codeausführung.
Die Anweisung an das Modell, feindlichen Dokumenttext zu ignorieren, ist hilfreich. Sie kann die Begrenzung nicht allein bilden. Die Anwendung muss den Schutz auch dann durchsetzen, wenn das Modell der Dateianweisung folgt.
Für den ersten Pilotversuch:
- Autorisieren Sie den Abruf, bevor Dokumenttext das Modell erreicht
- Übergeben Sie nur ausgewählte Abschnitte in einem klar markierten und begrenzten Belegfeld
- Deaktivieren Sie Werkzeuge zum Mailversand, zur Repository-Änderung oder zur Rechteänderung
- Isolieren Sie Parser, weisen Sie ausführbare Anhänge ab und begrenzen Sie Datei- oder Seitenumfang
- Verlangen Sie professionelle Freigabe für Exporte oder spätere Schreibaktionen
Werden nach dem Pilotversuch Werkzeuge ergänzt, verwenden Sie enge Positivlisten und eine getrennte Freigabe für jede Aktion mit Nebenwirkungen. Das Modell darf nie universelle Repository-Zugangsdaten oder einen unbeschränkten Shellpfad erhalten.
Testen Sie feindliche Anweisungen in normalem Dateitext, OCR-Ausgabe und Metadaten. Ein bestandener Test enthält kein unberechtigtes Dokument, ruft kein Werkzeug auf und protokolliert ein Ereignis zur Prüfung. Er belegt das Verhalten der gewählten Konfiguration, ohne eine allgemeine Lösung für Prompt Injection zu behaupten.
Weitere Anwendungsrisiken behandelt die Sicherheit von KI-Agenten.
Beziehen Sie Zitate und Exporte in die Kontrolle ein
Der Assistent sollte Quell-ID und Seite neben jeder wesentlichen Aussage anzeigen. Ein Zitat hilft der Fachperson bei der Prüfung und macht einen Abruffehler schnell sichtbar. Es belegt keine Berechtigung. Diese Entscheidung muss vor dem Abruf gefallen sein.
Antwort oder Entwurf bleiben in einem temporären Arbeitsbereich, bis eine benannte Fachperson sie prüft. Ein Export sollte gegebenenfalls Mandanten- oder Fall-ID, prüfende Person, Zeitstempel und Aufbewahrungsklasse tragen. Protokollieren Sie den Export neben Identität, Berechtigungsentscheidung, Abschnitts-IDs, Modell- und Embedding-Version, Promptvorlage und Zitaten.
Downloads, E-Mail-Anhänge, Zwischenablagen und Ausdrucke schaffen neue Datenflüsse. Ein Suchentzug kann sie im Allgemeinen nicht zurückholen. Benötigt das Büro fortlaufende Kontrolle, muss es einen bestimmten Mechanismus wie eine verwaltete Ansicht oder ein rechtegeschütztes Dokument einführen und dessen tatsächliche Abdeckung testen.
Dies ist auch eine Produktentscheidung. Ein Ablauf mit unbeschränktem Kopieren kann für besonders sensible Fallklassen ungeeignet sein, obwohl die Suchisolation einwandfrei funktioniert. Der Pilotversuch sollte festhalten, welche Exportwege aktiviert sind und weshalb.
Trennen Sie Entzug von der Löschung abgeleiteter Daten
Entzug und Löschung laufen nach unterschiedlichen Zeitplänen. Wird der Mandantenzugriff entfernt, muss die aktuelle Berechtigungsprüfung die nächste Anfrage sofort blockieren. Neuindexierung, Cachebereinigung und Löschung veralteter Abschnitte folgen als Lebenszyklusarbeit. Beide Funktionen sind erforderlich.
Löschung oder Korrektur einer Quelle startet einen eigenen Ablauf. Identifizieren Sie jeden abgeleiteten Speicher: bereitgestellte Dateien, extrahierten Text, Embeddings, Reranker-Caches, Chatverlauf, Entwürfe, Protokolle und Sicherungen. Jeder benötigt Zweck, Zuständigkeit, Aufbewahrungsregel und Löschverfahren. Das massgebliche Repository folgt seinem Mandat und seinen Aufbewahrungspflichten.
Die EDÖB-Hinweise zur Auftragsdatenbearbeitung verlangen angemessene Regelungen zwischen Verantwortlichem und Auftragsbearbeiter, darunter Unterstützung bei Berichtigung oder Löschung, Sicherheit, Vertraulichkeit und grenzüberschreitende Bekanntgabe. Die Rollen hängen von Mandat und Datenfluss ab. Auch eine lokale Appliance benötigt benannte Administratoren und dokumentierte Datenspeicher. Ein verwalteter Dienst benötigt zusätzlich durchsetzbare Anbieterpflichten.
Suchen Sie nach der Löschung abgeleiteter Daten eines synthetischen Mandanten danach, prüfen Sie Caches und stellen Sie eine Testsicherung wieder her. Führen Sie das Löschverfahren danach erneut aus. Sicherungen können einem dokumentierten Ablaufdatum folgen, statt sofort gelöscht zu werden. Zuvor exportierte Dateien ausserhalb des kontrollierten Systems brauchen einen eigenen Prozess.
Embeddings sollten ausdrücklich als abgeleitete sensible Daten behandelt werden. Ihre Inhalte sind für Mitarbeitende nicht bequem lesbar. Das macht sie nicht harmlos. Zugriffs- und Löschkontrollen bleiben erforderlich.
Belegen Sie den Berechtigungszyklus in einem kleinen Pilotversuch
Verwenden Sie zwei synthetische Mandanten und zwei Mitarbeitendenidentitäten. Geben Sie jeder Person Zugriff auf einen eingeschränkten Mandanten und beiden Zugriff auf eine gemeinsame Dokumentvorlage. Nehmen Sie doppelte Namen, einen geschlossenen Fall und Dateien in den tatsächlich verwendeten Sprachen auf.
Der Pilotversuch sollte prüfen:
- Positiver Zugriff: Jede Identität findet ihre berechtigten Dateien mit richtigen Seitenzitaten.
- Negativer Zugriff: Direkte, semantische, nachfolgende und mandantenübergreifende Fragen legen keinen unberechtigten Text, Dateinamen, Metadaten oder Zitate offen.
- Sofortiger Entzug: Das Entfernen des Zugriffs blockiert die nächste Anfrage, während Index und Cache bereinigt werden.
- Synchronisierungsfehler: Wird die Berechtigungssynchronisierung gestoppt, bleibt veraltetes Material nach einer Änderung der Quell-ACL unzugänglich.
- Bestehende Kopien: Ein synthetischer Export folgt nach dem Suchentzug weiterhin der getrennten Richtlinie für Kopien.
- Injection: Feindliche Anweisungen in Text und Metadaten verursachen weder unberechtigten Abruf noch Werkzeugaktionen.
- Löschung: Abschnitte, Embeddings, Caches und Chatdaten folgen nach Wiederherstellung einer Testsicherung dem dokumentierten Verfahren.
Protokollieren Sie jede Berechtigungsentscheidung und Quell-ID. Beobachten Sie ausgehenden Verkehr bei Inferenz, Indexierung, Modellupdates, Telemetrie, Sicherung und Support. Eine lokale Benutzeroberfläche allein belegt nicht, dass jeder Verarbeitungsschritt auf dem Gerät bleibt.
Qualität gehört in dieselbe Freigabeentscheidung. Bewerten Sie Zitatgenauigkeit, Enthaltung und Akzeptanz durch Prüfer innerhalb des Belegsatzes jedes Mandanten. Ein Rechtefilter mit Datenleck blockiert die Freigabe. Hält ein Filter zu viel zurück, muss der Abruf vor der Nutzung abgestimmt werden.
Wählen Sie ein Betriebsmodell, das die Grenze aufrechterhält
Lokale Inferenz kann die routinemässige Übertragung von Prompts und abgerufenem Text an einen gehosteten Endpunkt verringern. Dafür übernimmt das Büro oder seine Administration Identitätsintegration, Patches, Überwachung, Sicherungswiederherstellung und Berechtigungssynchronisierung.
Ein verwalteter privater Dienst kann stärkere Identitäts- und Überwachungskontrollen bieten, sofern Verträge, Verarbeitungsorte, Supportzugriff und Anbieterprüfung akzeptabel sind. Vergleichen Sie ihn anhand derselben synthetischen Mandanten und Tests mit der lokalen Option. Entscheidend ist das Berechtigungsverhalten der gelieferten Konfiguration.
Beginnen Sie mit einer engen Aufgabe, etwa einer Klauselsuche oder einer belegten Prüfliste. Halten Sie Mailversand, Änderungen am Quellrepository und mandantenwirksame Entscheidungen aus der ersten Version heraus. Erweitern Sie erst, wenn Berechtigungszyklus und professionelle Prüfung zuverlässig funktionieren.
Ein gemischtes Büro kann dann eine breite Wissensbasis durchsuchen, während jede Person nur aktuell berechtigte Quellen erhält. Der Abnahmetest verfolgt diese Grenze von der Originaldatei über Abruf, Prüfung und Export bis zur Löschung.
Häufige Fragen
Wie setzt ein lokaler Dokumentenassistent Mandantenrechte durch?
Der Assistent sollte die anfragende Person authentifizieren, aktuelle Mandanten- oder Fallrechte im Identitätssystem des Büros auflösen und die Anfrage vor der Suche autorisieren. Jeder Textabschnitt und jedes Zitat muss von der Quelle geerbte Berechtigungsmetadaten tragen. Fehlende Identitäts- oder Richtliniendaten müssen den Abruf verhindern. Das Modell erhält nur die durch diesen Prozess ausgewählten berechtigten Abschnitte.
Was geschieht, wenn der Dokumentenzugriff einer Person entzogen wird?
Die aktuelle Abfrageberechtigung sollte den nächsten Abruf sofort blockieren. Indexsynchronisierung, Ablauf des Cache und Löschung abgeleiteter Abschnitte können anschliessend weiterlaufen, während veraltete Inhalte unerreichbar bleiben. Bereits heruntergeladene, gemailte oder gedruckte Kopien liegen ausserhalb dieses Pfads und benötigen eine eigene Richtlinie. Testen Sie sowohl die sofortige Verweigerung als auch die spätere Bereinigung.
Macht lokale Ausführung einen Dokumentenassistenten privat?
Lokale Inferenz kann einen gehosteten Modellendpunkt aus dem Prompt- und Abrufpfad entfernen. Datenschutz und Vertraulichkeit hängen weiterhin von Quellrechten, Administration, Sicherungen, Protokollen, Supportzugriff, Exporten und Anwendungssicherheit ab. Ein verwalteter privater Dienst kann dieselben Anforderungen mit passenden Verträgen und einer geeigneten Implementierung erfüllen. Das Büro sollte das vollständige Betriebsmodell vergleichen und die gelieferten Kontrollen testen.
Wie kann ein Dokumentenassistent Prompt Injection aus einem PDF begrenzen?
Die Anwendung sollte den Abruf autorisieren, bevor das Modell Text sieht, nur begrenzte Belege übergeben, Werkzeuge deaktivieren oder eng zulassen und Freigaben für Schreibaktionen verlangen. Dokumenttext im Prompt als nicht vertrauenswürdig zu markieren ist hilfreich, garantiert aber allein keine Begrenzung. Testen Sie feindliche Anweisungen in Text und Metadaten und prüfen Sie, dass weder unberechtigte Inhalte noch Werkzeugaktionen auftreten.
Lassen sich abgeleitete KI-Daten löschen und Quelldaten behalten?
Ja, wenn das System das massgebliche Repository von abgeleiteten Speichern trennt und auf jeden die richtige Regel anwendet. Abschnitte, Embeddings, Caches, Chatverlauf, Entwürfe, Protokolle und Sicherungen können unterschiedliche Zwecke und Fristen haben. Ein Löschtest sollte das beabsichtigte Ergebnis nach einer Wiederherstellung bestätigen und zugleich Quelldaten bewahren, die das Büro wegen des Mandats oder einer geltenden Aufbewahrungspflicht behalten muss.