Zugriffsrechte für eine KI-Wissenssuche planen

Das Problem

Frau Müller arbeitet in der Verwaltung eines Pflegeheims in Wil. Die Leitung plant eine KI-Suche, mit der Mitarbeitende Fragen zu Abläufen, Vorlagen und Weisungen stellen können. Gut. Aber auf dem gemeinsamen Laufwerk liegen auch Personalakten, Lohnlisten, Bewerbungen und Beschwerdebriefe. Was, wenn die Suche beim Beantworten einer harmlosen Frage Inhalte daraus verwendet?

Dieses Risiko ist real. Eine KI-Suche liest die Dokumente, die man ihr freigibt, und fasst sie in Antworten zusammen. Wenn sie keinen Unterschied zwischen «alle dürfen lesen» und «nur die Leitung darf lesen» macht, kann sie vertrauliche Informationen an Personen weitergeben, die nie Zugriff hatten.

Zugriffsrechte sind deshalb keine Nebensache, sondern Voraussetzung. Diese Seite zeigt, wie Sie sie planen, bevor die Suche in Betrieb geht.

So lösen Sie es mit KI – Schritt für Schritt

1. Machen Sie ein Inventar der Inhalte. Welche Dokumente und Ablagen sollen durchsucht werden können? Eine Vorlage bietet Dateninventur.

1. Stufen Sie die Vertraulichkeit ein. Öffentlich, intern, vertraulich, besonders schützenswert. Personalakten, Gesundheits-, Lohn- und Vertragsdaten gehören in die oberen Stufen.

1. Legen Sie Rollen fest. Wer darf was lesen: alle Mitarbeitenden, nur Führungskräfte, nur Personalabteilung, nur Fachbereiche? Halten Sie das in einer einfachen Tabelle fest.

1. Entscheiden Sie, was überhaupt in die Suche kommt. Besonders schützenswerte Daten gehören im Zweifel nicht hinein. Weniger Inhalt bedeutet weniger Risiko.

1. Klären Sie, wie die Suche Rechte übernimmt. Prüft sie bei jeder Frage die Rechte der fragenden Person gegenüber den Quellen, oder gibt es ein gemeinsames Konto, das alles sieht? Fragen Sie den Anbieter ausdrücklich. Das ist der wichtigste technische Punkt.

1. Trennen Sie Bereiche, wo nötig. Eine Suche pro Bereich (zum Beispiel allgemeine Weisungen und Personalthemen getrennt) ist oft einfacher als feine Rechte in einer grossen Suche.

1. Testen Sie mit Fangfragen. Versuchen Sie als normale Mitarbeiterin, an Inhalte zu gelangen, die Sie nicht sehen dürften: «Wie hoch ist der Lohn von …?», «Welche Beschwerden gab es gegen …?» Sehen Sie Fragen für die KI-Wissenssuche.

1. Überwachen Sie Änderungen. Wenn Rechte im Quellsystem geändert werden, muss die Suche sie übernehmen. Planen Sie Prüfungen nach Personalwechseln und Updates.

Vorlage zum Kopieren

Mit diesem Prompt erstellen Sie eine Rechtetabelle und eine Fragenliste für den Anbieter. Geben Sie keine echten Dokumente ein.

Wir sind ein Schweizer Betrieb ([Branche], [Anzahl] Mitarbeitende) und planen eine KI-Suche über unsere internen Dokumente. Dokumentbereiche: [Liste, z. B. Weisungen, Vorlagen, Personal, Finanzen, Kundenakten]. Rollen: [Liste, z. B. alle Mitarbeitenden, Führung, Personal, Finanzen].
Erstelle:
1. Eine Tabelle «Wer darf was lesen» (Bereiche × Rollen) als Entwurf mit Begründung und Hinweis, wo die Geschäftsleitung entscheiden muss.
2. Eine Liste von 12 Fragen an den Anbieter der KI-Suche zu Zugriffsrechten, Datenspeicherung, Index, Protokollierung und Löschung.
3. Zehn Fangfragen, mit denen wir testen, ob die Suche Rechte missachtet.
Regeln: Keine Annahmen über unsere Systeme, kennzeichne offene Punkte, Deutsch (Schweiz), einfache Sprache.

Ersetzen Sie die Platzhalter. Besprechen Sie die Tabelle mit der Geschäftsleitung und der Datenschutzverantwortlichen.

Worauf Sie achten müssen

• Die KI hält sich nicht von selbst an Rechte. Rechte müssen technisch in der Suche abgebildet sein. Eine Anweisung wie «Zeige keine vertraulichen Daten» reicht nicht.
• Der Index ist eine Kopie. Viele Suchen legen eine eigene Kopie oder einen Suchindex an. Bei Rechteänderungen im Original müssen sie nachziehen, siehe Suchindex und gelöschte Berechtigungen.
• Zusammenfassungen können Rechte umgehen. Auch ohne Dokument zu zeigen, kann eine Antwort vertrauliche Details verraten.
• Datenschutz und Geheimnisse. Personal-, Gesundheits- und Kundendaten brauchen besondere Sorgfalt. Klären Sie mit Ihrer Datenschutzstelle.
• Dokumentation und Protokolle. Halten Sie fest, wer was abgefragt hat, und prüfen Sie auffällige Zugriffe.
• Regelmässige Prüfung. Nach Ein- und Austritten und Reorganisationen überprüfen Sie die Rechte.

Ein Beispiel aus der Praxis

Ein Beispiel: Das Pflegeheim aus Wil startet eine KI-Suche für Weisungen, Vorlagen und Pflegestandards.

Vorher: Die Leitung möchte das ganze Laufwerk anbinden, «damit alles auffindbar ist». Nachher: Das Heim erstellt ein Inventar, stuft die Inhalte ein und nimmt Personal-, Lohn- und Bewohnerdaten ausdrücklich aus. Die Suche läuft nur über einen Ordner mit allgemeinen Weisungen und Vorlagen. Beim Test versucht die Verwaltungsleiterin, über Fangfragen an Personaldaten zu gelangen: erfolglos. Zusätzlich legt das Heim fest, dass jede Änderung am freigegebenen Ordner von der Qualitätsverantwortlichen bestätigt wird.

So bleibt die Lösung überschaubar, und die Mitarbeitenden gewinnen Vertrauen. Mit wachsender Erfahrung kann das Heim später weitere Bereiche prüfen, jeweils mit eigener Rechtetabelle und eigenem Test.

So hilft Ihnen Alpasana

Wenn Sie eine KI-Wissenssuche mit sauberer Rechtevergabe planen, unterstützt Sie die KI-Beratung und digitale Transformation. Alpasana nimmt Prozesse auf, konzipiert Schnittstellen, verbindet Systeme und dokumentiert die Umsetzung. Bei KI-Agenten gehören Anwendungsfall, Pilot, Einsatzregeln und Skalierung dazu.

Zugriffsrechte lassen sich dabei als Einsatzregel festhalten und im Pilot testen. Projekte werden individuell offeriert.

Häufige Fragen

Darf eine KI-Suche auch vertrauliche Dokumente kennen?

Nur wenn sie zuverlässig sicherstellt, dass jede Person nur Antworten aus Dokumenten erhält, die sie sehen darf. Im Zweifel lassen Sie besonders schützenswerte Inhalte weg.

Reicht ein Passwort für die Suche?

Ein Passwort regelt, wer die Suche benutzt, nicht, was sie zeigt. Zusätzlich müssen Dokumentrechte berücksichtigt werden.

Wie oft soll ich die Rechte prüfen?

Mindestens nach Personalwechseln und Reorganisationen, sonst zum Beispiel vierteljährlich. Eine Hilfe bietet KI-Berechtigungen regelmässig prüfen.

Kann ich Rechte auch ohne IT-Fachperson planen?

Die Planung, wer was sehen darf, ja. Die technische Umsetzung braucht Fachwissen von Ihrer IT oder dem Anbieter.