Kurz gesagt
Ja. Eine KI-Suche gibt Inhalte preis, die der Anwender nicht öffnen dürfte, sobald der Index mit einem Konto aufgebaut wurde, das alles lesen darf, und die Rechte erst bei der Anzeige der Treffer geprüft werden. Dann stehen die Inhalte schon in der Antwort. Die Prüfung gehört in den Abruf selbst, mit der Identität des Anwenders. In einer Stunde lassen sich die groben Fehler finden, ein Nachweis der Sicherheit braucht mehr.
Warum das passiert
Ein verbreiteter Aufbau legt den Suchindex mit einem technischen Konto an. Dieses Konto darf alles lesen, was in den Index soll, und das ist meist mehr, als ein einzelner Anwender sehen darf. Stellt ein Anwender eine Frage, holt das System die passenden Textstellen aus dem Index und gibt sie dem Sprachmodell als Kontext mit. Wird erst danach geprüft, was der Anwender sehen darf, ist es zu spät. Die Zusammenfassung enthält bereits, was in der Personalakte oder im Vorstandsprotokoll steht, auch wenn das Dokument selbst in der Trefferliste fehlt.
Für die Antwort gelten dieselben Grenzen wie für das Öffnen eines Dokuments. Was ich nicht lesen darf, darf ich auch über einen Umweg nicht erfahren.
Woran man einen sicheren Aufbau erkennt
Zwei Bauweisen halten die Grenze ein. Entweder sucht das System mit der Identität des angemeldeten Anwenders und sieht damit nur, was er auch im Dokumentenmanagement sieht. Oder der Index trägt zu jedem Abschnitt die Berechtigung mit und filtert die Treffer, bevor sie an das Modell gehen. Beides setzt voraus, dass die Rechte im ECM gepflegt sind, denn die KI macht nur sichtbar, was dort schon falsch war.
Fragen, die ein Anbieter beantworten können muss:
- Mit welcher Identität greift die Suche auf die Dokumente zu, mit der des Anwenders oder mit einem Dienstkonto?
- An welcher Stelle werden die Rechte geprüft, vor der Übergabe an das Sprachmodell oder erst bei der Anzeige?
- Wie schnell wirkt ein entzogenes Recht in der Suche, sofort oder erst nach dem nächsten Indexlauf?
- Werden Rechte auf Dokumentebene oder auch auf Abschnittsebene beachtet, etwa bei einer Akte mit gemischten Inhalten?
- Wird protokolliert, welche Inhalte in eine Antwort eingeflossen sind?
So testet man es selbst
- Zwei Testkonten mit unterschiedlichen Rollen anlegen, etwa Sachbearbeitung und Personalabteilung.
- Ein Dokument ablegen, das nur eine der beiden Rollen lesen darf, mit einem Inhalt, der sich nicht erraten lässt, zum Beispiel einer erfundenen Zahl.
- Mit beiden Konten dieselbe Frage nach genau diesem Inhalt stellen.
- Nennt die Antwort des unberechtigten Kontos den Prüfwert, der nur im gesperrten Dokument steht, liegt eine unzulässige Offenlegung vor. Die technische Ursache ist danach zu untersuchen. Verweigern beide Konten die Antwort, ist der Test nicht aussagekräftig und wird mit einer anderen Frage wiederholt.
- Dem berechtigten Konto das Recht entziehen und die Frage in einer neuen Sitzung wiederholen. Die Zeit bis zur korrekten Antwort ist die Lücke, mit der das Unternehmen lebt. Was in einer früheren Sitzung rechtmäßig angezeigt wurde, lässt sich durch den Entzug nicht zurückholen.
- Dieselben Fragen in Varianten stellen, nach einem Gruppenwechsel und nach dem Leeren eines eventuellen Antwortcaches. Auch Titel und Zitate in der Trefferliste zählen als Offenlegung.
Dieser Test deckt die groben Fehler auf, er beweist keine Sicherheit. Er gehört vor die Freigabe jeder KI-Suche und nach jedem größeren Update, ergänzt um eine Prüfung der Architektur mit dem Anbieter. Warum das Thema an den Anfang eines Projekts gehört, steht in Berechtigungen gehören an den Anfang eines KI-Projekts.