Permissions dans la recherche par IA : pour que chacun ne puisse trouver que ce qu’il est autorisé à voir

Une recherche IA dans l’entreprise doit respecter les mêmes autorisations que le stockage et le disque réseau. Cela peut être réalisé si chaque section de texte dans la base de données vectorielle possède les droits de son document source en tant que métadonnées et que chaque recherche est filtrée pour l’utilisateur connecté – avant que le modèle de langage ne réponde, pas après.

La plus grande inquiétude concernant une recherche par IA est justifiée : si quelqu’un demande « Combien gagne mon collègue ? », la réponse ne doit pas venir de la paie. Cet article montre comment résoudre cela de manière techniquement propre.

Pourquoi le problème survient

Dans la génération augmentée par récupération (RAG), les documents sont décomposés en sections et stockés dans une base de données vectorielle. Sans action supplémentaire, il s’agit d’un grand pot commun. La recherche trouve la section la plus appropriée – quel que soit le dossier dont elle provienne. Le modèle de langage lui-même n’a aucun droit ; il ne formule que ce qui lui est confié.

Le principe : les droitiers migrent avec eux

1. Lors de l’importation: Pour chaque document, les utilisateurs ou groupes autorisés sont lus depuis le système source, tel que Paperless-ngx, Nextcloud ou le disque réseau.
2. Lors de l’enregistrement: chaque section obtient ces droits en tant que métadonnées, par exemple « Groupes : Ressources humaines, Gestion ».
3. Lors de la recherche: l’application connaît l’utilisateur connecté et ses groupes et envoie un filtre: seulement les sections dont les groupes correspondent aux groupes de l’utilisateur.
4. Pour les modifications: Si les droits sont modifiés dans le système source, cela est ajouté à la base de données vectorielle.

Les bases de données vectorielles telles que Qdrant prennent en charge de tels filtres directement sur les métadonnées dans la recherche. Avec d’autres solutions, il faut vérifier si des filtres stricts fournissent encore suffisamment de résultats – l’article Qdrant ou pgvector explique la différence.

Erreurs typiques

Solution simple pour commencer

Toutes les entreprises n’ont pas besoin de droits par document. Il suffit souvent de créer des collections de connaissances séparées selon la confidentialité – générale, commerciale, personnel, gestion – et de les attribuer à des groupes. Dans Open WebUI, cela peut se faire via des groupes et des autorisations par collection. Des droits plus finis sont intéressants si les documents sont automatiquement transférés depuis une archive.

Protection des données et preuve de preuves

Ce qui compte pour le RGPD, c’est que seules les personnes autorisées voient les données personnelles. Documentez comment les droits sont pris en charge et vérifiés, et testez avec des comptes de différents groupes. Vous pouvez en savoir plus sur la protection des données dans les recherches IA dans l’article recherche de documents IA et RGPD.

Notre recherche de documents IA prend en charge les droits du système source et filtre pour l’utilisateur connecté dans Qdrant avant chaque réponse.

Le conseil et la mise en œuvre accompagnée sont éligibles au financement : grâce au coaching INQA, le gouvernement fédéral prend en charge 80 % des coûts de consultation allant jusqu’à 1 200 € par jour pendant 12 jours, soit jusqu’à 11 520 € de subvention. En Mecklembourg-Poméranie occidentale et dans les autres nouveaux États fédéraux, le financement du conseil BAFA est également éligible à 80 % jusqu’au 31.12.2026 (50 % dans les anciens États fédéraux). Le financement est prévu pour le conseil, et non pour le logiciel. Le contrôle de financement indique quel programme correspond.

Questions fréquemment posées

Une recherche IA peut-elle respecter les droits d’accès ?

Oui, si les droits des documents sources sont stockés comme métadonnées et filtrés pour l’utilisateur connecté à chaque recherche.

ChatGPT connaît-il mes droits de dossier ?

Non. Un modèle de langage ne connaît aucun droit. L’application qui l’entoure doit s’assurer que seul le contenu autorisé est transmis au modèle.

Que se passe-t-il lorsque les droits changent ?

Une comparaison régulière avec le système source transfère les droits modifiés à la base de données vectorielle. La fréquence dépend de la rapidité avec laquelle les changements doivent intervenir.

Des collections distinctes de connaissances suffisent-elles ?

Pour commencer, souvent oui. Des droits plus finis par document sont utiles si les grandes archives sont automatiquement intégrées.

Souhaitez-vous créer une recherche IA avec des droits propres ? Contactez-nous via la page de contact.