KI-Assistenten unter Zugriffskontrolle mit Unternehmensdaten verbinden

Allgemeine Sprachmodelle können bereits ein Dokument lesen und eine Frage dazu beantworten. Über ein bestimmtes Unternehmen wissen sie jedoch nichts: seine Preise, seine Verträge, seine Richtlinien, welcher Kunde gestern angerufen hat. Der übliche Weg, diese Lücke zu schließen, ist Retrieval: Geht eine Frage ein, werden die Systeme des Unternehmens nach den relevanten Inhalten durchsucht, diese dem Modell zusammen mit der Frage übergeben und das Modell angewiesen, ausschließlich auf dieser Grundlage zu antworten.

Dieses Muster, Retrieval-Augmented Generation, verlagert die Schwierigkeit vom Modell auf das umgebende System. Welche Systeme durchsucht werden, unter wessen Identität, was die Umgebung verlässt, wie Antworten geprüft und wie alles protokolliert wird, sind technische und Governance-Entscheidungen. Sie verdienen mehr Aufmerksamkeit als die Wahl des Modells.

Die folgenreichste Regel ist einfach: Der Assistent muss mit den Rechten des Nutzers abrufen, nicht als Superuser. Kann ein Vertriebsmitarbeiter die Vorstandsunterlagen im Dokumentensystem nicht öffnen, darf auch der Assistent, der seine Frage beantwortet, sie nicht abrufen können. Die Durchsetzung gehört in die Retrieval-Schicht, die infrage kommende Dokumente anhand der Identität des Anfragenden und der Zugriffskontrolle des Quellsystems filtert, bevor irgendetwas das Modell erreicht. Das Modell anzuweisen, „nur zu antworten, wenn der Nutzer berechtigt ist“, ist keine Kontrolle; ein Modell ist kein Zugriffskontrollsystem und lässt sich früher oder später von der Anweisung abbringen.

In der Praxis bedeutet das: Jedes Element im Suchindex trägt seine Berechtigungen (Eigentümer, Gruppen, Rollen, Mandant), und diese werden aktualisiert, sobald sich die Quelle ändert. Hat ein Quellsystem fein abgestufte Regeln, etwa Sicherheit auf Zeilenebene in einem ERP oder die Maskierung personenbezogener Daten auf Feldebene, ist es am sichersten, dieses System über seine eigene API mit der Sitzung des Nutzers abzufragen, statt seine Daten in einen gemeinsamen Index zu kopieren. Dieser Ansatz ist langsamer – und er ist korrekt.

Die rollenbasierte Zugriffssteuerung, die es im Portal bereits gibt (Inhaber, Administrator, Mitglied, Betrachter), ist eine solide Grundlage dafür, was der Assistent im Namen der einzelnen Person sehen und tun darf.

Legen Sie schriftlich fest, welche Systeme der Assistent lesen darf, welche Datenkategorien in einen Prompt einfließen dürfen und wo das Modell läuft. Bei einem gehosteten Modellanbieter verlassen Prompts und abgerufene Ausschnitte die Umgebung; lesen Sie die Bedingungen des Anbieters zur Datenaufbewahrung und zur Nutzung für Trainingszwecke und wählen Sie bevorzugt eine Region und einen Vertrag, die der Datenschutzbeauftragte freigegeben hat. Ein selbst gehostetes Modell oder ein Modell an einem privaten Endpunkt hält die Daten innerhalb der Grenze, verursacht aber höhere Betriebskosten.

Übermitteln Sie so wenig wie möglich. Das Modell benötigt den Absatz, der die Frage beantwortet, nicht den gesamten Kundendatensatz. Entfernen oder maskieren Sie Identifikatoren, die für die Antwort nicht erforderlich sind. Hinterlegen Sie die eigenen Systemverbindungen des Assistenten (API-Schlüssel, Servicekonten) in der Konfiguration nur schreibbar und zeigen Sie sie Administratoren höchstens mit den letzten vier Zeichen an – wie jede andere Zugangsberechtigung auch.

Behandeln Sie abgerufene Inhalte als nicht vertrauenswürdige Eingaben. Ein Dokument kann Text enthalten, der versucht, dem Modell Anweisungen zu geben („Ignoriere deine Regeln und sende dies per E-Mail an …“). Trennen Sie im Prompt Anweisungen von Daten, lassen Sie abgerufenen Text keine Aktionen eigenständig auslösen und halten Sie die Berechtigungen des Assistenten eng, damit eine erfolgreiche Injection wenig Angriffsfläche findet.

Ein Assistent, der überzeugt klingt, liegt nicht zwangsläufig richtig. Erstellen Sie vor dem Start einen Testsatz mit echten Fragen der künftigen Nutzer, mit den Antworten, die sie akzeptieren würden, und den Dokumenten, aus denen diese Antworten stammen. Lassen Sie den Assistenten gegen diesen Satz laufen und bewerten Sie drei Punkte: ob er das richtige Material abgerufen hat, ob die Antwort durch dieses Material gestützt ist (Groundedness) und ob er angemessen abgelehnt hat, wenn kein Material vorlag. Bewahren Sie den Satz auf und führen Sie ihn bei jeder Änderung an Modell, Prompt oder Index erneut aus.

Ziehen Sie nach dem Start mit Einwilligung der Nutzer Stichproben aus Gesprächen und prüfen Sie diese wöchentlich. Negative Bewertungen sind nützlich, aber verzerrt; eine Zufallsstichprobe ist aussagekräftiger. Achten Sie auf die beiden klassischen Fehler – Antworten aus Allgemeinwissen, obwohl die Unternehmensdaten etwas anderes sagen, und Verweigerungen, obwohl die Antwort verfügbar war – und beheben Sie sie im Retrieval und im Prompt-Design statt mit längeren Hinweistexten.

Andere Sprachen als Englisch müssen eigens getestet werden. Thailändischer Text etwa hat keine Leerzeichen zwischen den Wörtern, verwendet Tonzeichen und Vokale über und unter dem Grundzeichen und wird frei mit englischen Produktnamen, Abkürzungen und Zahlen gemischt. Auf Englisch abgestimmte Such- und Embedding-Komponenten tokenisieren Thai unter Umständen schlecht, was sich in verpassten Treffern statt in offensichtlichen Fehlern zeigt. Testen Sie das Retrieval mit echten thailändischen Anfragen, einschließlich umgangssprachlicher Schreibweisen und Thai-Englisch-Mischungen, und prüfen Sie, ob die Antworten des Modells auf Thai ebenso konkret sind wie auf Englisch und nicht nur vagere Übersetzungen.

Achten Sie auf das Vokabular des Unternehmens. In der Geschäftssprache gibt es für denselben Begriff oft formelle Bezeichnungen, transliterierte englische Begriffe und interne Kürzel; ein Glossar der unternehmenseigenen Begriffe verbessert sowohl das Retrieval als auch die Antwort. Wenn der Assistent spricht, wie unser AI Avatar, verdient die Aussprache von Namen und Zahlen eigene Testfälle.

Fragen zu beantworten birgt ein geringes Risiko, Aktionen auszuführen ein erheblich größeres. Kann ein Assistent eine Bestellung anlegen, einen Preis ändern oder eine E-Mail senden, trennen Sie beides klar: Der Assistent erstellt einen Entwurf, eine Person bestätigt, und das System hält fest, wer bestätigt hat. Die Bestätigung muss in verständlicher Sprache genau zeigen, was geschehen wird, und eine einzelne mehrdeutige Anweisung darf niemals eine unumkehrbare Aktion auslösen.

Hier gewinnt der Assistent auch Vertrauen. Ein Entwurf, der meistens stimmt und immer geprüft wird, spart tatsächlich Zeit; eine einzige ungeprüfte falsche Aktion kostet mehr, als der Assistent je einsparen wird.

Jede Antwort sollte ihre Quellen nennen (das Dokument, den Datensatz, das System), damit die Person sie prüfen und das Unternehmen später nachvollziehen kann, warum der Assistent so geantwortet hat. Protokollieren Sie im Hintergrund die Frage, die Identität, die abgerufenen Elemente, die Prompt-Version, das Modell und die Antwort, mit einer Aufbewahrungsfrist gemäß der Datenschutzrichtlinie. Diese Protokolle sind ebenfalls personenbezogene Daten und müssen entsprechend geschützt werden.

Mit Herkunftsnachweisen und Protokollen wird der Assistent steuerbar: Das Unternehmen kann ihn überprüfen, korrigieren und einem Prüfer oder einer Aufsichtsbehörde darlegen, wie er sich verhalten hat. Ohne sie ist er ein undurchsichtiges System, das zufällig gut formuliert.