Kennis heeft een toegangsgrens

Een bronvermelding wijst naar een contract, maar dat contract hoort bij de verkeerde klant. In dit denkbeeldige geval zoekt een klantenserviceassistent in de mappen van twee klanten naar een verlengingsdatum. Hij vindt een vergelijkbaar contract van de andere klant, neemt het op in de context en antwoordt vloeiend.

Dit is geen gemeld incident. De bronvermelding laat het antwoord zorgvuldig lijken terwijl het gegevens van de verkeerde klant prijsgeeft. De fout ontstond voordat het model een zin schreef.

Een opgenomen lezing over waar AI-kennis hoort maakt een nuttig architectuurpunt: kennis die per gebruiker verschilt, vraagt een zoeklaag met toegangscontrole. Microsofts richtlijnen voor toegang per document beschrijven rechten op geïndexeerde documenten en de identiteit bij de zoekopdracht. De algemene regel is eenvoudiger dan elk zoekproduct: alleen toegestaan materiaal mag de antwoordroute bereiken.

Zet de grens vóór het antwoord

Een prompt kan een assistent vragen kort te zijn, bronnen te noemen of verduidelijking te vragen. Maar de prompt kan niet veilig zeggen ‘denk eraan geen documenten van de verkeerde klant te gebruiken’ terwijl het model die documenten wel krijgt. Als de zoekstap de grens al is overgegaan, moet de prompt een toegangsprobleem terugdraaien.

De applicatie moet de identiteit van de aanvrager vaststellen. De zoekopdracht moet de resulterende afbakening dragen: tenant, rol, account of documentrechten, afhankelijk van het domein. Kandidaten moeten worden gefilterd of geautoriseerd voordat hun tekst het model bereikt. Kan een antwoord een schrijfactie starten, dan moet die actie de rechten op het doelrecord opnieuw controleren.

Dit is geen probleem dat alleen vectorzoekmachines treft. Zoeken op trefwoorden, opgeslagen samenvattingen, gespreksgeheugen en toolresultaten kunnen ook privé-inhoud bevatten. Een samenvatting uit een document van één tenant blijft privé nadat de oorspronkelijke tekst is ingekort.

Onze gids voor het verbinden van bedrijfstools vraagt wie eigenaar is van elk record en welk systeem gezaghebbend is. Voor een assistent komt er een vraag bij: wie mag weten dat dit record bestaat?

Een klein voorbeeld toont de volgorde

Stel dat een denkbeeldige index vier documenten bevat: twee openbare hulpartikelen, één contract voor Tenant A en één voor Tenant B. Een gebruiker van Tenant A vraagt naar factureringsvoorwaarden. Het beste semantische zoekresultaat is toevallig het contract van Tenant B.

Een onbeperkte zoekstap geeft het terug. Een latere instructie ‘antwoord alleen voor Tenant A’ biedt geen garantie; de inhoud staat al in de modelcontext. Een afgebakende zoekstap verwijdert het document van B voordat de rangschikking plaatsvindt of geeft alleen toegestane kandidaten terug. De assistent kan dan antwoorden uit het contract van A of zeggen dat de benodigde bron ontbreekt.

De precieze uitvoering hangt van het platform af. Het beveiligingsfilterpatroon van Azure AI Search koppelt groepsidentificaties aan documenten en past bij elke zoekopdracht een filter toe. De documentatie waarschuwt ook dat een toestemmingsveld verbergen in het antwoord op zichzelf geen toegangscontrole is. Het afdwingbare deel is het filter, samen met de gecontroleerde gebruikersidentiteit.

Het onderscheid telt als rechten veranderen. Verliest een medewerker toegang, dan mag een oude cache of verouderde index het document niet blijven tonen. Teams hebben een vast pad voor updates nodig en tests voor intrekking, niet alleen voor het voor het eerst verlenen van toegang. Als de zoekdienst de toegangsregels van de bron niet kan volgen, is het kopiëren van die bron naar de index misschien de verkeerde architectuur.

Toestemming en relevantie zijn verschillende tests

Een toegestaan document kan irrelevant of verouderd zijn. Een juist antwoord kan onbevoegd zijn. Dit zijn verschillende fouten die je apart moet beoordelen.

Test eerst de grens: kan een gebruiker van de ene tenant privé-inhoud van een andere opvragen, citeren of afleiden? Gebruik directe vragen, parafrases en samenvattingen. Test daarna de antwoordkwaliteit binnen de toegestane verzameling: kiest de assistent het huidige beleid en erkent hij ontbrekend bewijs? Microsofts RAG-richtlijnen raden uitdrukkelijk toegangscontrole tijdens het zoeken aan en behandelen gevonden inhoud als onbetrouwbaar.

Dat kost werk. Indexen met rechten per document vragen metagegevens, koppeling van identiteiten en verwerking van ingetrokken rechten. Na het filteren zullen sommige zoekopdrachten niets opleveren. Dat is juist als de gebruiker geen toegang heeft tot bewijs. Een zelfverzekerde gok zou van een toegangsbeveiliging een nauwkeurigheidsprobleem maken.

Deze grens is ook een praktische test van de bredere regel voor uitzonderingen bij automatisering: wat gebeurt er als de toegestane zoekset leeg is? Een goed ontwerp kan zeggen ‘Ik heb geen toegang tot een bron voor dit antwoord’ en de juiste route voor hulp bieden. Het mag niet bij een andere tenant zoeken, een oud antwoord hergebruiken of privégegevens afleiden uit een documenttitel. Behandel het lege resultaat als een normale, testbare toestand van de workflow. Toestemming hoort bij correctheid en is geen reparatie voor na de lancering.

Een nuttige assistent weet niet alles binnen het bedrijf. Hij vindt het juiste bewijs binnen de bevoegdheid van de gebruiker en zegt wanneer die grens een antwoord verhindert.