Una consulente cerca «preavviso di risoluzione» nell’assistente condiviso dello studio. Può vedere il contratto del Cliente Ontano e la raccolta di modelli dello studio. Non ha accesso al Cliente Betulla, per il quale un altro team ha negoziato una clausola simile la settimana precedente. Se l’assistente recupera tutto e filtra la risposta soltanto dopo, il confine è già fallito prima che una parola compaia sullo schermo.
Vale comunque la pena cogliere l’opportunità. Uno studio multidisciplinare può rendere ricercabili anni di documenti senza appiattire ogni permesso in una cartella condivisa. La decisione sui permessi deve entrare nel recupero stesso.
Un assistente documentale locale può offrire una ricerca utile tra più documenti quando l’autorizzazione corrente determina quali prove raggiungono il modello. I permessi devono sopravvivere a OCR, suddivisione in frammenti, indicizzazione, citazioni, cronologia delle chat ed esportazione.
Un progetto mirato di sviluppo AI dovrebbe costruire questo percorso di autorizzazione prima di perfezionare lo stile delle risposte. La gestione documentale con agenti AI tratta più ampiamente estrazione e azioni. Qui seguiamo il ciclo più circoscritto dei permessi, dal file di origine alla cancellazione.
Il problema dei permessi inizia prima della domanda
La generazione aumentata dal recupero copia in genere il testo dei documenti in un indice, affinché un servizio di ricerca possa trovare i passaggi pertinenti per il modello. La copia derivata è utile: permette di porre domande in linguaggio naturale su contratti, rapporti, fatture e corrispondenza. Costituisce però una nuova superficie di accesso.
Il servizio applicativo può disporre di credenziali ampie per leggere l’indice. Se ignora i permessi di chi interroga per cliente o fascicolo, un solido ACL sulla cartella di origine protegge ben poco. Una risposta in cache, il titolo di una citazione o l’anteprima della cronologia possono rivelare informazioni anche se il testo finale omette il passaggio sensibile.
Le attuali linee guida Microsoft sul RAG in Foundry avvertono esplicitamente che il recupero può esporre contenuti sensibili. Raccomandano il controllo degli accessi al momento del recupero e il trattamento dei documenti recuperati come input non attendibile. Precisano inoltre che un risultato fondato sulle fonti può restare incompleto o inesatto.
Questi punti valgono come requisiti anche per uno stack locale. Eseguire il modello in ufficio cambia un percorso di rete. Non trasferisce automaticamente i permessi delle fonti ai frammenti, né decide che cosa può recuperare una persona autenticata.
Il business case dipende quindi da una catena di permessi. Quando funziona, un avvocato può cercare in un fascicolo, una fiduciaria interrogare i dati di un cliente e un team condiviso usare la raccolta di modelli approvata attraverso la stessa interfaccia. Ognuno riceve prove diverse dallo stesso servizio.
Trasferisci i permessi della fonte a ogni frammento
Parti dal repository documentale come sistema di riferimento. Per ogni file, prima di renderne ricercabile il testo, il connettore deve registrare un ID stabile, cliente o fascicolo, responsabile del documento, classificazione, classe di conservazione ed elenco corrente degli accessi o identificativi dei gruppi.
Un file privo di responsabile, ID cliente o metadati di accesso va in quarantena. Non deve mai entrare per comodità in un indice ampiamente leggibile.
OCR e suddivisione generano poi passaggi più piccoli. Ogni frammento deve conservare:
- ID della fonte e posizione per pagina o paragrafo
- Versione dell’elenco di accesso e utenti o gruppi autorizzati
- Identificativo del cliente o fascicolo e stato di conservazione
- Stato dell’estrazione necessario a interpretare testo e citazione
Conserva i metadati attraverso embedding, reranking, cache e creazione delle citazioni. Un frammento senza metadati dei permessi resta non ricercabile. La stessa regola vale per celle di tabelle o testo di immagini prodotto dall’OCR.
Microsoft documenta schemi di accesso a livello di documento in Azure AI Search che confrontano l’identità con metadati ACL o ruoli nell’indice e rimuovono i documenti non autorizzati al momento della richiesta. È un riferimento utile. Alcuni meccanismi nativi sono in anteprima e le modifiche dei permessi dipendono dalla sincronizzazione. Un’implementazione locale deve offrire e provare un comportamento equivalente, senza presumere che le funzioni Azure esistano nel proprio stack.
Autorizza chi interroga prima del recupero
Quando un utente invia una domanda, l’applicazione lo autentica e risolve nel sistema di identità l’appartenenza corrente a cliente o fascicolo. Verifica un rifiuto corrente o una versione dei permessi prima di interrogare l’indice. Soltanto allora applica il filtro a ricerca per parole chiave, semantica e vettoriale.
L’ordine è decisivo. Recuperare un insieme ampio e filtrarlo dopo che il modello ha ricevuto il testo è troppo tardi. Modello, log o cache potrebbero contenere già il passaggio non autorizzato.
Se il servizio di identità o regole non è disponibile, il sistema nega il recupero e spiega che non è stato possibile verificare l’accesso. Non deve ripiegare sull’ultimo insieme ampio di permessi conosciuto. Ricerca diretta, domande successive, cronologia, suggerimenti dei nomi di file e citazioni richiedono tutti la stessa decisione.
Quando cambia un permesso, un rifiuto o una verifica della versione blocca subito i frammenti obsoleti mentre il sincronizzatore aggiorna l’indice. Così si chiude l’intervallo tra la modifica degli ACL della fonte e quella dei metadati copiati. Il sincronizzatore può poi rielaborare o rimuovere i frammenti e pulire le cache secondo le regole.
Questo disegno può ridurre il richiamo perché l’assistente cerca in un insieme più piccolo. È il compromesso corretto quando il documento mancante appartiene a un altro cliente. Misura la completezza della risposta entro ogni insieme autorizzato e mostra esplicitamente «nessuna prova trovata» quando è vuoto.
Contieni i file non attendibili in un percorso probatorio circoscritto
Un contratto, una fattura o un’e-mail scansionata può contenere testo rivolto al modello, per esempio un ordine di rivelare ogni cliente o invocare uno strumento collegato. Il Profilo NIST finale per l’AI generativa descrive la prompt injection indiretta tramite dati che saranno probabilmente recuperati e cita dimostrazioni di ricerca sul furto di dati e sull’esecuzione remota di codice.
Dire al modello di ignorare istruzioni ostili aiuta, ma quel prompt non costituisce il confine di contenimento. L’applicazione deve applicarlo anche quando il modello segue l’istruzione nel file.
Per il primo progetto pilota:
- Autorizza il recupero prima che il testo raggiunga il modello
- Passa soltanto i frammenti selezionati in un campo probatorio delimitato e chiaramente indicato
- Disattiva gli strumenti che inviano e-mail, modificano il repository o cambiano permessi
- Isola i parser, rifiuta allegati eseguibili e limita dimensioni di file o pagine
- Richiedi l’approvazione di un professionista per esportazioni o future scritture
Se aggiungi strumenti dopo il progetto, usa elenchi di permessi ristretti e un’approvazione separata per ogni azione con effetti. Il modello non deve mai ricevere credenziali universali per il repository o accesso illimitato a una shell.
Inserisci istruzioni ostili nel normale testo, nell’OCR e nei metadati. Un risultato positivo non contiene documenti non autorizzati, non invoca strumenti e registra un evento da esaminare. La prova dimostra il comportamento della configurazione scelta, senza affermare che la prompt injection sia stata risolta universalmente.
Altri rischi applicativi sono trattati nei rischi di sicurezza degli agenti AI.
Includi citazioni ed esportazioni nel controllo
L’assistente deve mostrare ID e pagina della fonte accanto a ogni affermazione rilevante. Una citazione aiuta il professionista a verificare la risposta e rende subito visibile un errore di recupero. Non dimostra che l’utente fosse autorizzato. La decisione deve essere già avvenuta prima del recupero.
La risposta o bozza resta in uno spazio temporaneo finché un professionista designato non la esamina. L’esportazione deve riportare, quando opportuno, ID cliente o fascicolo, revisore, data e ora e classe di conservazione. Registra l’evento con identità, decisione di autorizzazione, ID dei frammenti, versioni di modello ed embedding, modello di prompt e citazioni.
Download, allegati e-mail, copie negli appunti e pagine stampate creano nuovi flussi. Revocare la ricerca non consente generalmente di richiamarli. Se l’ufficio necessita controllo dopo l’esportazione, deve adottare un meccanismo specifico, come un visualizzatore gestito o un documento con gestione dei diritti, e provarne l’effettiva copertura.
È anche una decisione sul prodotto. Un flusso che permette copie illimitate può essere inadatto a fascicoli particolarmente sensibili, anche se l’isolamento della ricerca funziona perfettamente. Il progetto pilota deve indicare quali esportazioni sono attive e perché.
Separa la revoca dalla cancellazione dei dati derivati
Revoca e cancellazione seguono tempi diversi. La rimozione dell’accesso a un cliente deve bloccare subito la richiesta successiva tramite l’autorizzazione corrente. Reindicizzazione, pulizia della cache e cancellazione dei frammenti obsoleti seguono come attività del ciclo di vita. Una non sostituisce l’altra.
La cancellazione o correzione di una fonte avvia un flusso separato. Identifica ogni archivio derivato: file temporanei, testo estratto, embedding, cache del reranker, cronologia, bozze, log e backup. Ciascuno richiede finalità, responsabile, regola di conservazione e procedura di cancellazione. Il repository di riferimento resta soggetto al mandato e agli obblighi di conservazione propri.
Le linee guida dell’IFPDT sul trattamento esternalizzato richiedono accordi adeguati tra titolare del trattamento e responsabile del trattamento, compreso il supporto a rettifica o cancellazione, sicurezza, riservatezza e comunicazione transfrontaliera. I ruoli esatti dipendono dal mandato e dal flusso. Anche un appliance locale necessita di amministratori nominati e archivi documentati. Un servizio gestito richiede inoltre obblighi applicabili al fornitore.
Dopo la cancellazione dei dati derivati di un cliente sintetico, cercali, esamina le cache e ripristina un backup di prova. Esegui poi di nuovo la cancellazione. I backup possono seguire una scadenza documentata invece di essere cancellati subito. I file già esportati fuori dal sistema controllato richiedono un processo proprio.
Gli embedding meritano un trattamento esplicito come dati sensibili derivati. Il fatto che non siano facilmente leggibili dal personale non li rende innocui, né elimina la necessità di controlli su accesso e cancellazione.
Prova l’intero ciclo dei permessi con un piccolo progetto pilota
Usa due clienti sintetici e due identità del personale. Assegna a ogni persona un cliente ristretto e a entrambe un modello di documento condiviso. Includi nomi duplicati, un fascicolo chiuso e file nelle lingue effettivamente usate.
Il progetto deve provare:
- Accesso positivo: ogni identità trova i file autorizzati con citazioni corrette delle pagine.
- Accesso negativo: domande dirette, semantiche, successive o tra clienti non rivelano testo, nome file, metadato o citazione non autorizzati.
- Revoca immediata: la rimozione dell’accesso blocca la richiesta successiva mentre indice e cache si puliscono.
- Guasto della sincronizzazione: dopo una modifica all’ACL di origine, fermare il sincronizzatore fa sì che il materiale obsoleto resti inaccessibile.
- Copie esistenti: un’esportazione sintetica resta soggetta alla regola separata sulle copie dopo la revoca della ricerca.
- Injection: istruzioni ostili nel testo e nei metadati non provocano recupero o azioni non autorizzati.
- Cancellazione: frammenti, embedding, cache e chat seguono il processo documentato dopo il ripristino di un backup di prova.
Registra ogni decisione di autorizzazione e ID della fonte. Osserva il traffico in uscita durante inferenza, indicizzazione, aggiornamento del modello, telemetria, backup e assistenza. Una semplice interfaccia locale non prova che ogni passaggio resti sul dispositivo.
La qualità fa parte della stessa decisione di rilascio. Valuta correttezza delle citazioni, astensione e accettabilità per il revisore nell’insieme di prove di ciascun cliente. I filtri che lasciano sfuggire dati bloccano il rilascio. Quelli troppo restrittivi richiedono regolazione del recupero prima dell’uso.
Scegli il modello operativo capace di mantenere il confine
L’inferenza locale può ridurre il trasferimento ordinario di prompt e testo recuperato a un endpoint ospitato, affidando però all’ufficio o all’amministratore integrazione delle identità, patch, monitoraggio, ripristino dei backup e sincronizzazione dei permessi.
Un servizio privato gestito può offrire controlli più solidi su identità e monitoraggio, purché contratti, luoghi di trattamento, accesso dell’assistenza e verifica del fornitore siano accettabili. Va confrontato con l’opzione locale usando gli stessi clienti sintetici e le stesse prove. Conta il comportamento dei permessi nella configurazione consegnata.
Comincia con un’attività circoscritta, per esempio trovare una clausola o preparare una checklist con citazioni. Lascia e-mail, modifiche al repository e decisioni rivolte ai clienti fuori dalla prima versione. Espandi soltanto quando il ciclo dei permessi e la revisione professionale funzionano con continuità.
Uno studio multidisciplinare può così cercare in una base di conoscenza ampia, mentre ogni persona riceve soltanto fonti attualmente autorizzate. La prova di accettazione segue questo confine dal file originale al recupero, alla revisione, all’esportazione e alla cancellazione.
Domande frequenti
Come deve applicare i permessi dei clienti un assistente documentale locale?
L’assistente deve autenticare chi fa la richiesta, risolvere gli accessi correnti a cliente o fascicolo nel sistema di identità dell’ufficio e autorizzare prima della ricerca. Ogni frammento e citazione deve conservare i metadati dei permessi ereditati dalla fonte. L’assenza di dati su identità o regole deve impedire il recupero. Il modello riceve soltanto i frammenti autorizzati selezionati dal processo.
Che cosa accade quando viene revocato l’accesso ai documenti?
L’autorizzazione corrente deve bloccare il recupero successivo dell’utente immediatamente. La sincronizzazione dell’indice, la scadenza delle cache e la cancellazione dei frammenti derivati possono proseguire dopo, mentre i contenuti obsoleti restano irraggiungibili. Le copie già scaricate, inviate per e-mail o stampate sono fuori da questo percorso e richiedono una regola separata. Prova sia il rifiuto immediato, sia la pulizia successiva.
Eseguire localmente un assistente documentale lo rende privato?
L’inferenza locale può eliminare un endpoint ospitato dal percorso di prompt e recupero, ma la riservatezza dipende ancora da permessi delle fonti, amministratori, backup, log, accesso dell’assistenza, esportazioni e sicurezza dell’applicazione. Un servizio privato gestito può soddisfare gli stessi requisiti con contratto e implementazione adeguati. L’ufficio deve confrontare l’intero modello operativo e provare i controlli consegnati.
Come può l’assistente contenere la prompt injection proveniente da un PDF?
L’applicazione deve autorizzare il recupero prima che il modello veda il testo, passare soltanto prove circoscritte, disattivare gli strumenti o limitarli strettamente e richiedere approvazione per le scritture. Segnalare nel prompt che il documento è non attendibile aiuta, ma non garantisce da solo il contenimento. Inserisci istruzioni ostili nel testo e nei metadati, poi verifica che non emergano contenuti o azioni non autorizzati.
Si possono cancellare i dati AI derivati conservando i documenti di origine?
Sì, se il sistema separa il repository ufficiale dagli archivi derivati e applica a ciascuno la regola corretta. Frammenti, embedding, cache, cronologia, bozze, log e backup possono avere finalità e scadenze diverse. Una prova di cancellazione deve confermare il risultato previsto anche dopo il ripristino di un backup, preservando i documenti di origine che l’ufficio deve conservare per il mandato o per un obbligo applicabile.