El conocimiento tiene un límite de acceso

Una cita apunta a un contrato, pero pertenece al cliente equivocado. En este caso ilustrativo, un asistente de soporte busca la fecha de renovación en las carpetas de dos clientes. Encuentra un contrato parecido del otro cliente, lo incluye en el contexto y responde con fluidez.

No es un incidente documentado. La cita hace que la respuesta parezca cuidadosa, pero revela los datos de otro cliente. El fallo ocurrió antes de que el modelo escribiera una frase.

Una charla sobre dónde debe residir el conocimiento de IA plantea una idea arquitectónica útil: el conocimiento que varía según la persona usuaria necesita una capa de recuperación con control de acceso. La guía de Microsoft sobre permisos a nivel de documento describe comprobaciones de permisos vinculadas a documentos indexados y a la identidad en el momento de la consulta. La regla general es más sencilla que cualquier producto de búsqueda: solo el material autorizado debe llegar al recorrido de respuesta.

Aplica el límite antes de responder

Un prompt puede pedirle al asistente que sea conciso, cite fuentes o solicite aclaraciones. No puede decir con seguridad «recuerda no usar los documentos del cliente equivocado» mientras se le entregan esos documentos al modelo. Si la recuperación ya ha cruzado el límite, se le está pidiendo al prompt que deshaga un fallo de acceso.

La aplicación debe establecer la identidad de quien consulta. La consulta de búsqueda debe incluir el alcance correspondiente: inquilino, función, cuenta o permisos sobre documentos, según lo que requiera el dominio. Los resultados candidatos deben filtrarse o autorizarse antes de proporcionar su texto al modelo. Si una respuesta puede activar una escritura, la ruta de escritura debe volver a comprobar la autorización contra el registro de destino.

El problema no se limita a la búsqueda vectorial. La búsqueda por palabras clave, los resúmenes almacenados en caché, la memoria de conversación y los resultados de herramientas también pueden contener información privada. Un resumen derivado del documento de un inquilino sigue siendo privado aunque el texto de origen se haya acortado.

Nuestra guía para conectar herramientas empresariales pregunta quién es responsable de cada registro y qué sistema es la fuente autorizada. Para un asistente, añade otra pregunta: ¿quién tiene permiso para saber que este registro existe?

Un ejemplo pequeño muestra el orden correcto

Supongamos que un índice ilustrativo contiene cuatro documentos: dos artículos públicos de ayuda, un contrato del inquilino A y otro del inquilino B. Una persona del inquilino A pregunta por las condiciones de facturación. La coincidencia semántica más cercana resulta ser el contrato del inquilino B.

Una recuperación sin alcance devuelve ese contrato. Una instrucción posterior para «responder solo sobre el inquilino A» no puede garantizar la seguridad: el contenido ya ha entrado en el contexto del modelo. Una recuperación acotada elimina el documento del inquilino B antes de ordenar los resultados o devuelve solo candidatos autorizados. El asistente puede responder con el contrato del inquilino A o indicar que no tiene la fuente necesaria.

La implementación concreta depende de la plataforma. El patrón de filtro de seguridad de Azure AI Search asocia identificadores de grupo a los documentos y aplica un filtro en cada consulta. Su documentación también advierte que ocultar un campo de permisos en la respuesta no constituye por sí solo un control de acceso. La parte aplicable es el filtro y la identidad de quien consulta que lo sustenta.

La distinción importa cuando cambian los permisos. Si alguien pierde acceso, una caché antigua o un índice obsoleto no debe seguir sirviendo el documento. Los equipos necesitan una ruta de actualización definida y pruebas de revocación, no solo pruebas de concesión inicial. Si el servicio de recuperación no puede respetar el modelo de acceso del origen, quizá no convenga copiar ese origen al índice.

Los permisos y la relevancia son pruebas distintas

Un documento autorizado puede ser irrelevante o estar desactualizado. Una respuesta correcta puede carecer de autorización. Son modos de fallo distintos y deben evaluarse por separado.

Primero, prueba el límite: ¿puede alguien de un inquilino recuperar, citar o deducir contenido privado de otro? Incluye preguntas directas, paráfrasis y resúmenes. Después prueba la calidad de las respuestas dentro del conjunto permitido: ¿elige el asistente la política vigente y reconoce cuándo faltan pruebas? La guía de Microsoft sobre RAG recomienda explícitamente aplicar el control de acceso en el momento de la recuperación y tratar el contenido recuperado como no confiable.

Hay un coste. Indexar con permisos requiere metadatos, asignación de identidades y gestión de revocaciones. Después del filtrado, algunas búsquedas no devolverán resultados. Si quien consulta no tiene pruebas, ese es el resultado correcto. Rellenar el vacío con una conjetura segura de sí misma convertiría una salvaguarda de acceso en un problema de precisión.

Este límite también sirve para poner a prueba la regla sobre excepciones en la automatización: ¿qué debería ocurrir cuando el conjunto de búsqueda autorizado está vacío? Un buen diseño puede responder «no puedo acceder a una fuente para contestar» y ofrecer la vía de escalamiento adecuada. No debería buscar en otro inquilino, reutilizar una respuesta antigua ni deducir detalles privados del título de un documento. Trata ese resultado vacío como un estado normal y comprobable del flujo de trabajo. El permiso forma parte de la corrección; no es un caso especial que se arregla después del lanzamiento.

Un asistente útil no es el que conoce todo lo que sabe la empresa. Es el que encuentra las pruebas adecuadas dentro de la autoridad de quien consulta y reconoce cuándo ese límite impide responder.