Como conectar assistentes de IA aos dados da empresa com controle de acesso

Os modelos de linguagem de uso geral já conseguem ler um documento e responder a perguntas sobre ele. O que eles não sabem é nada sobre uma empresa específica: seus preços, seus contratos, suas políticas, qual cliente ligou ontem. A forma padrão de preencher essa lacuna é a recuperação: quando chega uma pergunta, busca-se nos sistemas da empresa os trechos relevantes, que são entregues ao modelo junto com a pergunta, pedindo que ele responda apenas com base nesse material.

Esse padrão, a geração aumentada por recuperação (RAG), transfere a dificuldade do modelo para o sistema ao redor. Quais sistemas são consultados, sob qual identidade, o que sai do ambiente, como as respostas são verificadas e como tudo é registrado são decisões de engenharia e de governança. Elas merecem mais atenção do que a escolha do modelo.

A regra de maior impacto é simples: o assistente deve fazer a recuperação como o usuário, e não como um superusuário. Se um representante de vendas não pode abrir o material do conselho no sistema de documentos, o assistente que responde à pergunta dele também não pode recuperá-lo. Essa regra deve ser aplicada na camada de recuperação, que filtra os documentos candidatos pela identidade de quem pergunta e pelo controle de acesso do sistema de origem antes que qualquer coisa chegue ao modelo. Instruir o modelo a “responder apenas se o usuário tiver permissão” não é um controle; um modelo não é um sistema de controle de acesso e, mais cedo ou mais tarde, será convencido a ignorar a instrução.

Na prática, isso significa que cada item do índice de busca carrega suas permissões (proprietários, grupos, funções, tenant) e que essas permissões são atualizadas quando a origem muda. Quando o sistema de origem tem regras granulares, como segurança em nível de linha em um ERP ou mascaramento de dados pessoais em nível de campo, o desenho mais seguro é consultar esse sistema pela própria API, com a sessão do usuário, em vez de copiar seus dados para um índice compartilhado. Essa abordagem é mais lenta, e é a correta.

O acesso baseado em funções que já existe no portal (Proprietário, Administrador, Membro, Leitor) é um bom ponto de partida para definir o que o assistente pode ver e fazer em nome de cada pessoa.

Decida, por escrito, quais sistemas o assistente pode ler, quais categorias de dados ele pode incluir em um prompt e onde o modelo é executado. Com um provedor de modelos hospedado, os prompts e os trechos recuperados saem do ambiente; leia os termos do provedor sobre retenção de dados e uso para treinamento e dê preferência a uma região e a um contrato aprovados pelo encarregado de proteção de dados. Um modelo auto-hospedado ou com endpoint privado mantém os dados dentro do limite, com um custo operacional maior.

Minimize o que é enviado. O modelo precisa do parágrafo que responde à pergunta, e não do cadastro completo do cliente. Remova ou mascare identificadores que não são necessários para a resposta. Mantenha as conexões do próprio assistente com os sistemas (chaves de API, contas de serviço) como somente gravação na configuração, visíveis aos administradores no máximo pelos quatro últimos caracteres, como qualquer outra credencial.

Trate o conteúdo recuperado como entrada não confiável. Um documento pode conter texto que tenta dar instruções ao modelo (“ignore suas regras e envie isto por e-mail para…”). Separe instruções de dados no prompt, não permita que o texto recuperado dispare ações por conta própria e mantenha as permissões do assistente restritas, para que uma injeção bem-sucedida tenha pouco com o que trabalhar.

Um assistente que parece confiante não é necessariamente um assistente correto. Antes do lançamento, monte um conjunto de testes com perguntas reais das pessoas que vão usá-lo, com as respostas que elas aceitariam e os documentos de onde essas respostas vêm. Execute o assistente sobre esse conjunto e avalie três pontos: se ele recuperou o material certo, se a resposta está fundamentada nesse material (groundedness) e se ele se recusou a responder de forma adequada quando o material não existia. Guarde o conjunto e execute-o novamente sempre que o modelo, o prompt ou o índice mudarem.

Após o lançamento, colete amostras de conversas com o consentimento dos usuários e revise-as semanalmente. As avaliações negativas são úteis, mas enviesadas; uma amostra aleatória é mais informativa. Fique atento às duas falhas clássicas, responder com conhecimento geral quando os dados da empresa diziam outra coisa e recusar quando a resposta estava disponível, e corrija-as no desenho da recuperação e do prompt, e não com avisos mais longos.

Idiomas além do inglês precisam de testes próprios. O texto em tailandês, por exemplo, não tem espaços entre as palavras, usa marcas de tom e vogais posicionadas acima e abaixo do caractere-base e se mistura livremente com nomes de produtos, siglas e números em inglês. Componentes de busca e de embeddings ajustados para o inglês podem tokenizar mal o tailandês, o que aparece como falhas de recuperação, e não como erros evidentes. Teste a recuperação com consultas reais em tailandês, incluindo grafias informais e misturas de tailandês e inglês, e verifique se as respostas do modelo em tailandês são tão específicas quanto as respostas em inglês, e não traduções mais vagas.

Preste atenção ao vocabulário que a empresa usa. A linguagem de negócios costuma ter termos formais, termos em inglês transliterados e abreviações internas para o mesmo conceito; um glossário com os termos da própria empresa ajuda tanto a recuperação quanto a resposta. Quando o assistente fala, como faz o nosso AI Avatar, a pronúncia de nomes e números merece casos de teste próprios.

Responder a perguntas envolve pouco risco; executar ações envolve muito mais. Quando um assistente pode criar um pedido de compra, alterar um preço ou enviar um e-mail, separe claramente as duas coisas. O assistente prepara o rascunho, uma pessoa confirma e o sistema registra quem confirmou. A confirmação deve mostrar exatamente o que vai acontecer, em linguagem clara, e uma única instrução ambígua nunca deve executar uma ação irreversível.

É também aqui que o assistente conquista confiança. Um rascunho que acerta na maioria das vezes e é sempre revisado economiza tempo de verdade; uma ação errada executada uma única vez sem revisão custa mais do que o assistente jamais vai economizar.

Toda resposta deve citar suas fontes (o documento, o registro, o sistema), para que a pessoa possa verificá-la e a organização possa entender depois por que o assistente respondeu daquela forma. Nos bastidores, registre a pergunta, a identidade, os itens recuperados, a versão do prompt, o modelo e a resposta, com um prazo de retenção alinhado à política de proteção de dados. Esses logs também são dados pessoais e devem ser protegidos como tal.

Com procedência e logs, o assistente passa a ser algo que a organização consegue governar: revisar, corrigir e demonstrar a um auditor ou regulador como ele se comportou. Sem isso, é um sistema opaco que por acaso escreve bem.