Une consultante recherche « délai de résiliation » dans l’assistant commun du cabinet. Elle peut consulter le contrat du client Alder et la bibliothèque de modèles de documents du cabinet. Elle n’a aucun accès au client Birch, pour lequel une autre équipe a négocié une clause similaire la semaine précédente. Si l’assistant effectue une recherche large et filtre ensuite la réponse, la limite a déjà cédé avant même qu’un mot n’apparaisse à l’écran.
L’opportunité mérite tout de même d’être poursuivie. Un bureau réunissant plusieurs professions peut rendre interrogeables des années de documents clients sans aplatir tous les droits dans un dossier partagé. La décision d’autorisation doit intégrer la recherche elle-même.
Un assistant documentaire local peut offrir une recherche utile dans plusieurs documents lorsque l’autorisation actuelle détermine quelles preuves atteignent le modèle. Les droits des fichiers doivent survivre à l’OCR, au découpage, à l’indexation, aux citations, à l’historique de conversation et à l’export.
Un projet ciblé de développement IA doit construire ce chemin de droits avant d’affiner le style des réponses. Le traitement documentaire avec des agents IA aborde plus largement l’extraction et les actions de processus. Cet article suit le cycle de vie plus précis des droits, du fichier source à la suppression.
Le problème des droits commence avant la question
La génération augmentée par la recherche copie généralement le texte des documents dans un index afin qu’un service de recherche puisse trouver des passages pertinents pour le modèle. Cette copie dérivée est utile, car le personnel peut poser des questions en langage naturel sur des contrats, rapports, factures et correspondances. Elle crée aussi une nouvelle surface d’accès.
Le service applicatif peut posséder un identifiant largement autorisé à lire l’index. S’il ignore les droits du client ou du dossier de l’appelant, une ACL solide sur le dossier source offre peu de protection. Une réponse en cache, le titre d’une citation ou l’aperçu d’un historique de conversation peut révéler des informations même si le texte final omet le passage sensible.
Les directives actuelles de Microsoft sur le RAG dans Foundry signalent explicitement que la recherche peut exposer du contenu sensible. Elles recommandent de contrôler les accès au moment de la recherche et de traiter les documents retrouvés comme des entrées non fiables. Elles précisent aussi qu’un résultat fondé sur des sources peut rester incomplet ou inexact.
Ces points s’appliquent à une pile locale comme exigences de conception. Exécuter le modèle dans le bureau modifie un chemin réseau. Cette installation ne transfère pas les droits de la source vers les segments et ne décide pas ce qu’un utilisateur connecté peut retrouver.
La valeur métier dépend donc d’une chaîne de droits. Lorsqu’elle fonctionne, un avocat peut chercher dans un dossier, une fiduciaire peut interroger un client et une équipe de services partagés peut utiliser une bibliothèque de modèles approuvée dans la même interface. Chacun reçoit des preuves différentes à partir du même service.
Transmettre les droits sources à chaque segment
Commencez par considérer le référentiel documentaire comme la source de vérité. Pour chaque fichier, le connecteur doit enregistrer un identifiant source stable, le client ou le dossier, le responsable, la classification, la classe de conservation ainsi que la liste d’accès ou les identifiants de groupes actuels avant que le texte puisse être recherché.
Un fichier sans responsable, identifiant client ou métadonnées d’accès part en quarantaine. Il ne doit jamais entrer par défaut, pour des raisons pratiques, dans un index largement lisible.
L’OCR et le découpage divisent ensuite le fichier en passages plus petits. Chaque segment doit conserver :
- L’identifiant source ainsi que la page ou l’emplacement du paragraphe
- La version de la liste d’accès et les utilisateurs ou groupes autorisés
- L’identifiant du client ou du dossier et l’état de conservation
- L’état de l’extraction nécessaire pour interpréter le texte et la citation
Préservez ces métadonnées pendant l’embedding, le reclassement, la mise en cache et la production des citations. Un segment dépourvu de métadonnées de droits reste impossible à rechercher. La même règle doit couvrir les cellules de tableaux ou le texte d’images produit par OCR.
Microsoft décrit des modèles d’accès au niveau des documents dans Azure AI Search qui comparent l’identité de l’appelant aux métadonnées d’ACL ou de rôles dans l’index et écartent les documents non autorisés au moment de la requête. Il s’agit d’une référence de mise en œuvre utile. Certains mécanismes natifs sont en préversion et les changements de droits sources dépendent d’une synchronisation. Une mise en œuvre locale doit fournir et tester un comportement équivalent au lieu de supposer la présence de ces fonctions Azure dans sa pile.
Autoriser l’appelant avant la recherche
Lorsqu’un utilisateur soumet une question, l’application l’authentifie et résout son appartenance actuelle au client ou au dossier dans le système d’identité du bureau. Elle contrôle un enregistrement de refus actuel ou la version des droits avant d’interroger l’index. Ce n’est qu’ensuite qu’elle applique le filtre propre à chaque segment à la recherche par mots-clés, sémantique et vectorielle.
L’ordre compte. Retrouver un vaste ensemble de résultats et le filtrer après que le modèle a reçu le texte intervient trop tard. Le modèle, les journaux ou le cache peuvent déjà contenir le passage non autorisé.
Si le service d’identité ou de politique est indisponible, l’application refuse la recherche et explique que l’accès n’a pas pu être vérifié. Elle ne doit pas se rabattre sur le dernier ensemble de droits généraux connu. La recherche directe, les questions de suivi, l’historique de conversation, les suggestions de noms de fichiers et les citations doivent tous appliquer la même décision d’autorisation.
Lorsqu’un droit change, un contrôle de refus ou de version bloque immédiatement les segments périmés pendant la mise à jour du synchroniseur d’index. Il ferme la période au cours de laquelle les ACL sources ont changé sans que les métadonnées copiées suivent encore. Le synchroniseur peut ensuite retraiter ou supprimer les segments concernés et vider les caches associés conformément à la politique.
Cette conception peut réduire le rappel, car l’assistant recherche dans un ensemble de preuves plus petit. C’est le bon compromis si le document absent appartient à un autre client. Mesurez la complétude des réponses dans chaque ensemble autorisé et affichez explicitement « aucune preuve trouvée » lorsque celui-ci est vide.
Maintenir les fichiers non fiables dans un chemin de preuves délimité
Un contrat, une facture ou un e-mail numérisé peut contenir du texte destiné au modèle, comme une instruction de révéler tous les clients ou d’appeler un outil connecté. La version finale du profil du NIST consacré à l’IA générative décrit l’injection indirecte de prompts par des données susceptibles d’être retrouvées et mentionne des démonstrations de recherche portant sur le vol de données et l’exécution de code à distance.
Dire au modèle d’ignorer les instructions hostiles contenues dans un document est utile, mais ce prompt ne peut pas constituer la limite de confinement. L’application doit appliquer cette limite même si le modèle suit l’instruction du fichier.
Pour le premier pilote :
- Autorisez la recherche avant que le moindre texte documentaire n’atteigne le modèle
- Transmettez uniquement les segments sélectionnés dans un champ de preuves clairement indiqué et délimité
- Désactivez les outils qui envoient des e-mails, modifient le référentiel ou changent les droits
- Isolez les analyseurs, refusez les pièces jointes exécutables et plafonnez la taille des fichiers ou le nombre de pages
- Exigez l’approbation d’un professionnel pour tout export ou toute action d’écriture ultérieure
Si des outils sont ajoutés après le pilote, utilisez des listes d’autorisation étroites et une approbation séparée pour chaque action ayant des effets. Le modèle ne doit jamais recevoir un identifiant universel pour le référentiel ou un accès shell illimité.
Testez des instructions hostiles dans le texte ordinaire des fichiers, les résultats OCR et les métadonnées. Un test réussi ne contient aucun document non autorisé, n’appelle aucun outil et consigne un événement à examiner. Il prouve le comportement de la configuration choisie. Il n’établit pas que l’injection de prompt est résolue de manière universelle.
Des menaces applicatives plus larges sont présentées dans les risques de sécurité des agents IA.
Intégrer les citations et les exports au contrôle
L’assistant doit afficher l’identifiant de la source et la page à côté de chaque affirmation substantielle. Une citation aide le professionnel à vérifier la réponse et révèle rapidement une erreur de recherche. Elle ne prouve pas que l’utilisateur possédait les droits nécessaires. Cette décision doit déjà avoir été prise avant la recherche.
La réponse ou le projet reste dans un espace de travail temporaire jusqu’à son examen par un professionnel désigné. Un export doit porter l’identifiant du client ou du dossier, le réviseur, l’horodatage et, si nécessaire, la classe de conservation. Consignez l’événement d’export avec l’identité de l’appelant, la décision d’autorisation, les identifiants des segments, les versions du modèle et de l’embedding, le modèle de prompt et les citations.
Les téléchargements, les pièces jointes d’e-mails, les copies du presse-papiers et les pages imprimées créent de nouveaux flux de données. La révocation de la recherche ne peut généralement pas les rappeler. Si le bureau doit conserver un contrôle après l’export, il doit adopter un mécanisme précis, comme une visionneuse gérée ou un document protégé par des droits, puis tester ce que ce mécanisme couvre réellement.
C’est aussi une décision relative au produit. Un processus permettant une copie illimitée peut être inadapté aux catégories de dossiers particulièrement sensibles même si l’isolation de la recherche fonctionne parfaitement. Le pilote doit préciser les chemins d’export activés et leur raison.
Séparer la révocation de la suppression des données dérivées
La révocation et la suppression suivent des calendriers différents. Le retrait de l’accès d’un utilisateur à un client doit bloquer immédiatement la requête suivante au moyen de l’autorisation actuelle. La réindexation, le nettoyage du cache et la suppression des segments périmés suivent comme tâches du cycle de vie. Ces mécanismes ne se remplacent pas.
La suppression ou la correction d’une source crée un processus séparé. Identifiez chaque espace dérivé : fichiers préparés, textes extraits, embeddings, caches du reclasseur, historique de conversation, projets, journaux et sauvegardes. Chacun nécessite une finalité, un responsable, une règle de conservation et une procédure de suppression. Le référentiel faisant autorité reste soumis à son propre mandat et à ses propres exigences de conservation.
Les directives du PFPDT sur l’externalisation du traitement de données exigent des dispositions appropriées entre le responsable du traitement et le sous-traitant, notamment pour la rectification ou la suppression, la sécurité, la confidentialité et les transferts transfrontaliers. Les rôles exacts dépendent du mandat et du flux de données. Une appliance locale a toujours besoin d’administrateurs nommés et d’espaces documentés. Un service géré exige en plus des obligations exécutoires pour le prestataire.
Après avoir supprimé les données dérivées d’un client synthétique, recherchez-les, inspectez les caches et restaurez une sauvegarde de test. Exécutez ensuite à nouveau la procédure de suppression. Les sauvegardes peuvent suivre un calendrier d’expiration documenté plutôt qu’un effacement immédiat. Les fichiers exportés auparavant hors du système contrôlé exigent leur propre processus.
Les embeddings méritent un traitement explicite comme données sensibles dérivées. Leur contenu n’est pas facilement lisible par le personnel, mais cela ne les rend pas inoffensifs et ne supprime pas la nécessité des contrôles d’accès et de suppression.
Prouver le cycle de vie des droits avec un petit pilote
Utilisez deux clients synthétiques et deux identités de collaborateurs. Donnez à chaque personne l’accès à un client restreint et à toutes deux l’accès à un modèle de document partagé. Incluez des noms identiques, un dossier clos et des fichiers dans les langues réellement traitées par le bureau.
Le pilote doit tester :
- Accès autorisé : chaque identité trouve les fichiers auxquels elle a droit avec les bonnes citations de pages.
- Accès refusé : les questions directes, sémantiques, de suivi et transversales ne révèlent aucun texte, nom de fichier, métadonnée ou citation non autorisés.
- Révocation immédiate : le retrait des droits bloque la requête suivante pendant la poursuite du nettoyage de l’index et du cache.
- Échec de synchronisation : l’arrêt du synchroniseur de droits entraîne le refus du contenu périmé après une modification des ACL sources.
- Copies existantes : un export synthétique reste soumis à la politique distincte de gestion des copies après la révocation de l’accès à la recherche.
- Injection : les instructions hostiles dans le texte et les métadonnées d’un document n’entraînent aucune recherche ou action d’outil non autorisée.
- Suppression : les segments dérivés, embeddings, caches et historiques de conversation suivent le processus documenté après la restauration d’une sauvegarde de test.
Consignez chaque décision d’autorisation et chaque identifiant source. Observez le trafic sortant pendant l’inférence, l’indexation, les mises à jour du modèle, la télémétrie, la sauvegarde et le support. Une interface locale ne peut pas prouver à elle seule que chaque étape de traitement reste sur l’appareil.
La qualité fait partie de la même décision de mise en service. Évaluez l’exactitude des citations, l’abstention et l’acceptabilité par le réviseur dans l’ensemble de preuves de chaque client. Une fuite provoquée par les filtres bloque la mise en service. Des filtres qui retiennent trop d’éléments exigent un réglage de la recherche avant que le personnel puisse compter sur l’assistant.
Choisir le modèle d’exploitation capable de maintenir la limite
L’inférence locale peut réduire le transfert habituel des prompts et du texte retrouvé vers un point de terminaison hébergé. Elle confie cependant au bureau ou à son administrateur l’intégration des identités, les correctifs, la surveillance, la restauration des sauvegardes et la synchronisation des droits.
Un service privé géré peut offrir de meilleurs contrôles d’identité et de surveillance, sous réserve de contrats, lieux de traitement, accès du support et diligence envers le prestataire acceptables. Il doit être comparé à l’option locale avec les mêmes clients synthétiques et les mêmes tests. La preuve pertinente est le comportement des droits dans la configuration livrée.
Commencez par une tâche étroite, par exemple trouver une clause ou préparer une liste sourcée. Laissez les e-mails, les modifications du référentiel source et les décisions destinées aux clients hors de la première version. Élargissez le périmètre seulement lorsque le cycle de vie des droits et le contrôle professionnel fonctionnent de manière constante.
Un cabinet mixte peut alors interroger une vaste base de connaissances tout en ne remettant à chaque personne que les sources actuellement autorisées. Le test d’acceptation suit cette limite du fichier d’origine à la recherche, au contrôle, à l’export et à la suppression.
Questions fréquentes
Comment un assistant documentaire local doit-il appliquer les droits des clients ?
L’assistant doit authentifier l’appelant, résoudre ses droits actuels sur le client ou le dossier dans le système d’identité du bureau et autoriser la requête avant toute recherche. Chaque segment de texte et chaque citation doit conserver les métadonnées de droits héritées de sa source. L’absence de données d’identité ou de politique doit arrêter la recherche. Le modèle reçoit uniquement les segments autorisés sélectionnés par ce processus.
Que se passe-t-il lorsque l’accès d’un utilisateur à un document est révoqué ?
L’autorisation actuelle doit bloquer immédiatement la prochaine recherche de l’utilisateur. La synchronisation de l’index, l’expiration du cache et la suppression des segments dérivés peuvent se poursuivre ensuite tandis que le contenu périmé reste inaccessible. Les copies déjà téléchargées, envoyées ou imprimées se trouvent hors du chemin de requête et exigent une politique distincte. Testez le refus immédiat et le nettoyage ultérieur comme deux événements séparés.
L’exécution locale rend-elle un assistant documentaire privé ?
L’inférence locale peut retirer le point de terminaison d’un modèle hébergé du chemin des prompts et de la recherche, mais la confidentialité dépend toujours des droits sources, des administrateurs, des sauvegardes, des journaux, du support, des exports et de la sécurité de l’application. Un service privé géré peut répondre aux mêmes exigences avec un contrat et une mise en œuvre acceptables. Le bureau doit comparer le modèle d’exploitation entier et tester les contrôles livrés.
Comment contenir une injection de prompt provenant d’un PDF ?
L’application doit autoriser la recherche avant que le modèle voie le texte, transmettre uniquement des preuves délimitées, désactiver les outils ou les limiter à une liste très étroite et exiger une approbation pour les écritures. Signaler le texte documentaire comme non fiable dans le prompt est utile, mais ne garantit pas le confinement. Testez des instructions hostiles dans le texte et les métadonnées, puis vérifiez qu’aucun contenu ni aucune action non autorisés n’apparaissent.
Peut-on supprimer les données dérivées par l’IA tout en conservant les documents sources ?
Oui, si le système sépare le référentiel faisant autorité des espaces dérivés et applique la politique adaptée à chacun. Les segments, embeddings, caches, historiques de conversation, projets, journaux et sauvegardes peuvent répondre à des finalités et durées distinctes. Un test de suppression doit confirmer le résultat attendu après restauration d’une sauvegarde, tout en préservant les documents sources que le bureau doit conserver en vertu du mandat ou d’une obligation applicable.