O conhecimento tem um limite de acesso

Uma citação aponta para um contrato, mas ele pertence ao cliente errado. Neste caso ilustrativo, um assistente de suporte pesquisa pastas de dois clientes para encontrar a data de renovação. Encontra um contrato parecido de outro cliente, coloca o documento no contexto e responde com fluência.

Não se trata de um incidente relatado. A citação faz a resposta parecer cuidadosa, ao mesmo tempo que revela dados do cliente errado. O defeito surgiu antes de o modelo escrever a primeira frase.

Uma discussão sobre onde guardar o conhecimento usado por IA traz um ponto de arquitetura útil: conhecimento que varia conforme a pessoa precisa de uma camada de busca com controle de acesso. A orientação da Microsoft sobre acesso por documento descreve verificações de permissão ligadas aos documentos indexados e à identidade na consulta. A regra geral é mais simples que qualquer produto de busca: só material autorizado deve entrar no caminho da resposta.

Coloque o limite antes da resposta

Um prompt pode pedir respostas concisas, citações ou uma pergunta de esclarecimento. Não é seguro dizer “lembre-se de não usar documentos do cliente errado” enquanto se entregam esses documentos ao modelo. Se a busca já ultrapassou o limite, espera-se que o prompt desfaça uma falha de acesso.

O aplicativo precisa estabelecer a identidade de quem consulta. A busca deve carregar o escopo resultante: cliente, função, conta ou permissões por documento, conforme o domínio. Os candidatos devem ser filtrados ou autorizados antes que o texto entre no contexto do modelo. Se uma resposta puder iniciar uma gravação, o caminho da gravação precisa verificar a autorização novamente para o registro de destino.

Não é só um problema de busca vetorial. Busca por palavras, resumos em cache, memória da conversa e resultados de ferramentas também podem conter dados privados. Um resumo derivado do documento de um cliente continua privado mesmo depois que o texto original foi abreviado.

Nosso guia para conectar ferramentas de negócios pergunta quem controla cada registro e qual sistema é a fonte confiável. Para um assistente, acrescente outra pergunta: quem pode saber que o registro existe?

Um pequeno exemplo mostra a ordem correta

Suponha um índice ilustrativo com quatro documentos: dois artigos públicos de ajuda, um contrato do Cliente A e outro do Cliente B. Uma pessoa do Cliente A pergunta sobre condições de cobrança. O resultado semanticamente mais próximo por acaso é o contrato do Cliente B.

Uma busca sem escopo o devolve. Uma instrução posterior para “responder apenas sobre o Cliente A” não garante segurança; o conteúdo já entrou no contexto do modelo. Uma busca com escopo remove o contrato do Cliente B antes da classificação ou devolve apenas candidatos autorizados. Então o assistente pode responder com base no contrato do Cliente A ou dizer que não encontrou a fonte necessária.

A implementação exata depende da plataforma. O padrão de filtro de segurança do Azure AI Search associa identificadores de grupo aos documentos e aplica um filtro a cada consulta. A documentação também alerta que esconder da resposta um campo de permissão não constitui, por si só, controle de acesso. O que pode ser aplicado é o filtro ligado à identidade da pessoa.

A distinção importa quando as permissões mudam. Se alguém perde acesso, um cache antigo ou índice desatualizado não pode continuar servindo o documento. A equipe precisa de um caminho definido de atualização e testes de revogação, não apenas testes de concessão inicial. Se o serviço de busca não consegue respeitar o modelo de acesso da origem, copiar a fonte para esse índice pode ser a arquitetura errada.

Permissão e relevância são testes diferentes

Um documento autorizado pode ser irrelevante ou antigo. Uma resposta exata pode ser não autorizada. São modos de falha separados, portanto devem ser avaliados separadamente.

Primeiro teste o limite: uma pessoa de um cliente consegue buscar, citar ou inferir conteúdo privado de outro? Inclua perguntas diretas, paráfrases e resumos. Depois teste a qualidade da resposta dentro do conjunto permitido: o assistente escolhe a política atual e admite a ausência de evidência? A orientação da Microsoft sobre RAG recomenda explicitamente controlar o acesso durante a busca e tratar conteúdo recuperado como não confiável.

Isso tem um custo. Indexação com permissões requer metadados, mapeamento de identidades e tratamento de revogações. Alguns resultados ficam vazios depois do filtro. Esse é o resultado correto quando a pessoa não tem acesso à evidência. Preencher a lacuna com um palpite confiante trocaria uma proteção de acesso por um problema de precisão.

Esse limite também testa a regra das exceções na automação: o que fazer quando a busca autorizada não devolve nada? Um bom projeto pode dizer “não tenho acesso a uma fonte para esta resposta” e oferecer o caminho correto de encaminhamento. Não deve pesquisar outro cliente, reutilizar uma resposta antiga nem inferir dados privados pelo título de um documento. Trate o resultado vazio como estado normal e testável do fluxo. Permissão faz parte da correção, não é um caso especial para consertar depois do lançamento.

Um assistente útil não é aquele que sabe tudo sobre a empresa. É aquele que encontra a evidência certa dentro da autoridade de quem pergunta e reconhece quando esse limite deixa a questão sem resposta.