Beachtet die KI-Suche die Zugriffsrechte unserer Dateien?

Das Problem

Eine KI-Wissenssuche verspricht viel: Statt in Ordnern zu graben, fragen Sie in einfachen Worten und erhalten eine Antwort mit Quellen. Dafür liest die Lösung Ihre Dateien ein. Die entscheidende Frage lautet: Weiss sie danach noch, wer welche Datei sehen darf?

In Ihrem Betrieb gelten Rechte: Die Buchhaltung sieht Rechnungen, die Geschäftsleitung sieht Protokolle, nicht alle sehen die Lohndaten. Wenn die KI-Suche diese Rechte ignoriert, kann eine Kollegin über eine harmlose Frage an Inhalte gelangen, die ihr bisher verschlossen waren.

Das passiert nicht aus Bosheit, sondern aus der Technik: Manche Systeme legen von allen Dateien eine Kopie des Inhalts in einem eigenen Suchindex ab (einer Art Stichwortverzeichnis). Dieser Index kennt die ursprünglichen Rechte nur, wenn sie ausdrücklich mitgeführt werden.

So lösen Sie es mit KI – Schritt für Schritt

1. Fragen Sie nach der Funktionsweise. Wenden Sie sich an Ihre IT oder den Anbieter: Greift die Suche live auf die Dateien zu oder arbeitet sie mit einem Index? Beachtet sie die Rechte der fragenden Person bei jeder Anfrage?
2. Lassen Sie sich die Antwort schriftlich geben. Vertrauen Sie nicht auf Werbeaussagen. Bitten Sie um die Beschreibung in der Dokumentation des Anbieters oder eine schriftliche Bestätigung Ihres Dienstleisters.
3. Richten Sie eine Testumgebung ein. Wählen Sie einen kleinen Bereich, etwa einen Ordner für Tests. Verwenden Sie keine echten Unterlagen.
4. Legen Sie erfundene Testdateien an. Erstellen Sie zwei Dateien mit eindeutigen erfundenen Inhalten, zum Beispiel «Testbericht Alpha» und «Testbericht Beta». Erlauben Sie nur Gruppe A den Zugriff auf Alpha und nur Gruppe B auf Beta.
5. Fragen Sie mit zwei verschiedenen Konten. Melden Sie sich als Person der Gruppe A an und fragen Sie nach dem Inhalt von Beta. Die KI darf ihn nicht nennen, auch nicht indirekt in einer Zusammenfassung. Wiederholen Sie es umgekehrt.
6. Ändern Sie Rechte und prüfen Sie erneut. Entziehen Sie einer Person das Recht und fragen Sie nochmals. Veraltete Indexe zeigen manchmal noch Inhalte, die nicht mehr zugänglich sein sollten. Siehe Suchindex und gelöschte Berechtigungen.
7. Dokumentieren Sie das Ergebnis. Halten Sie fest, wann Sie getestet haben, mit welchen Konten und mit welchem Ergebnis. Bei Mängeln öffnen Sie die Suche noch nicht für alle.
8. Wiederholen Sie die Prüfung regelmässig. Neue Ordner, Umstrukturierungen oder Software-Updates können Rechte verändern. Planen Sie einen festen Termin.

Vorlage zum Kopieren

Dieses Prompt-Muster hilft, einen Testplan zu erstellen. Es kommt ohne echte Dateien aus.

Erstelle einen Testplan für eine interne KI-Wissenssuche in einem Betrieb mit [Anzahl] Mitarbeitenden. Ziel: prüfen, ob die Suche die Dateirechte der fragenden Person beachtet.

Gegeben:
- Gruppen: [z. B. Buchhaltung, Verkauf, Geschäftsleitung]
- Erfundene Testdateien je Gruppe: [Dateinamen mit erfundenem Inhalt]

Erstelle:
1. eine Tabelle «Wer fragt – was wird gefragt – erwartetes Ergebnis – tatsächliches Ergebnis – Datum»,
2. 8 Testfragen, darunter 3 Umgehungsversuche (z. B. «Fasse alle Dokumente zum Thema [Thema] zusammen»),
3. eine kurze Anleitung für den Ablauf in einfacher Sprache.

Regeln: Keine echten Personendaten, keine erfundenen technischen Funktionen. Weise auf offene Fragen an den Anbieter hin.

Führen Sie die Tests selbst durch. Die KI kann Ihren Plan vorbereiten, aber nicht prüfen, was Ihre Suche tatsächlich tut.

Wie eine Suche mit Rechten umgehen kann

Worauf Sie achten müssen

• Antworten verraten mehr als Dateinamen. Auch wenn die Datei nicht angezeigt wird, kann eine Zusammenfassung ihren Inhalt enthalten. Prüfen Sie Antworten, nicht nur Trefferlisten.
• Fehlerhafte Rechte im Ausgangssystem schlagen durch. Wenn ein Ordner schon heute zu offen ist, zeigt die KI das nur deutlicher. Räumen Sie zuerst auf. Mehr zu den Grundlagen: Welche Zugriffsrechte braucht eine KI?.
• Manipulierte Dokumente. Versteckte Anweisungen in Dateien können die KI zu ungewollten Aktionen verleiten. Das gehört zu den bekannten Risiken, die das OWASP-Projekt für LLM-Anwendungen beschreibt.
• Datenschutz. Beim Einlesen von Personendaten gelten die Grundsätze des Datenschutzes, wie sie der EDÖB erläutert. Klären Sie den Einzelfall mit einer Fachperson.
• Ein einmaliger Test genügt nicht. Rechte ändern sich laufend. Eine wiederholte Kontrolle ist Teil des Betriebs.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in Zug führt eine KI-Wissenssuche ein. Frau Müller, die das Sekretariat leitet, legt zwei Testordner an: einen für «Lohnbuchhaltung» mit einer erfundenen Datei, einen für «Allgemein».

Vorher war unklar, ob Lernende über die Suche an Lohndaten kommen. Sie meldet sich mit einem Lernenden-Konto an und fragt nach dem Inhalt der Lohndatei. Die Suche nennt tatsächlich Zahlen aus der Testdatei.

Nachher wird die Suche nicht freigeschaltet. Der Dienstleister stellt auf rechtebewusste Abfragen um, und der Test wird wiederholt. Erst dann dürfen alle die Suche nutzen.

So hilft Ihnen Alpasana

Alpasana mit KI-Beratung und digitaler Transformation unterstützt, wenn Sie KI-Anwendungen planen und einführen: Prozesse aufnehmen, Schnittstellen konzipieren, Systeme verbinden und die Umsetzung dokumentieren, dazu Einsatzregeln für KI-Agenten und Piloten. Rechte und Datenzugriffe gehören in so ein Konzept.

Den Rechtetest an Ihrer Ablage führen Sie oder Ihre IT durch. Projekte werden individuell offeriert.

Häufige Fragen

Reicht es, wenn der Anbieter «Enterprise-Sicherheit» verspricht?

Nein. Der Begriff sagt wenig darüber, wie Rechte konkret geprüft werden. Verlangen Sie eine genaue Beschreibung und testen Sie selbst mit zwei Konten.

Was, wenn die Suche die Rechte nicht beachtet?

Öffnen Sie sie nicht für alle. Beschränken Sie den Datenbestand auf unkritische Dokumente oder verlangen Sie vom Anbieter eine rechtebewusste Lösung. Auf keinen Fall hilft es, Mitarbeitende nur zu bitten, «nichts Heikles zu fragen».

Kann die KI selbst prüfen, ob die Rechte stimmen?

Nein, sie kennt die Konfiguration Ihrer Systeme nicht. Sie kann Testpläne und Tabellen vorbereiten, aber die Prüfung selbst machen Menschen an der echten Suche.