Bestehende Rechte sind der Ausgangspunkt

Microsoft beschreibt, dass Microsoft 365 Copilot auf Inhalte zugreift, für die die jeweilige Person mindestens Leseberechtigung besitzt. Das steht in der Dokumentation zu Datenschutz und Berechtigungen.

Damit bleibt eine wichtige Aufgabe beim Unternehmen: Prüfen, ob diese Rechte tatsächlich angemessen sind. Eine versehentlich für alle Mitarbeitenden freigegebene Bibliothek wird durch eine KI-Einführung nicht automatisch vertraulich.

Diese Aussage betrifft das dokumentierte Microsoft-Produkt. Bei einer selbst entwickelten Suche mit eigener Datenübernahme müssen Sie die Berechtigungslogik gesondert entwerfen und nachweisen.

Zuerst die Freigaben inventarisieren

Beginnen Sie mit den Bibliotheken, die in den Pilot aufgenommen werden sollen. Lassen Sie die zuständige Fachperson bestätigen, welche Gruppen welche Inhalte sehen dürfen.

• Welche Teams und Personen haben Zugriff?

• Gibt es sehr breite Gruppen oder Freigabelinks?

• Welche externen Gäste sind noch berechtigt?

• Werden Rechte vererbt oder auf einzelnen Dokumenten abweichend gesetzt?

• Wer entscheidet bei unklaren oder veralteten Freigaben?

Korrigieren Sie die Quelle der Berechtigung. Ein Hinweis im KI-Prompt, vertrauliche Dokumente nicht zu zeigen, ist keine technische Zugriffskontrolle.

Ein Test mit zwei Rollen

Richten Sie einen Test mit einer Serviceperson und einer Person aus der Personalabteilung ein. Verwenden Sie dafür harmlose Testdokumente mit eindeutig unterscheidbaren Inhalten.

Beide Rollen dürfen ein allgemeines Handbuch finden. Nur die Personalrolle darf ein definiertes HR-Testdokument lesen. Stellen Sie dieselbe Frage mit beiden Konten und prüfen Sie Antwort, Quellenlinks, Vorschautexte und Folgefragen.

Entziehen Sie anschliessend ein Recht. Prüfen Sie nach der dokumentierten Synchronisationszeit erneut. So erkennen Sie, ob ein Suchindex oder ein Zwischenspeicher veraltete Berechtigungen weiterverwendet.

Eigene RAG-Lösungen brauchen Rechte im Datenfluss

Beim Export in einen separaten Index reicht es nicht, nur den Dokumenttext zu übernehmen. Die Anwendung muss die Identität der anfragenden Person zuverlässig kennen und die erlaubten Quellen vor der Antwortbildung auswählen.

Prüfen Sie zusätzlich temporäre Dateien, Protokolle und Antwort-Caches. Ein gemeinsamer Cache darf keine Antwort aus einer berechtigten Sitzung an eine unberechtigte Person ausliefern. Der Zugriff muss durch die Anwendung kontrolliert werden, nicht durch eine Interpretation des Sprachmodells.

Auffindbarkeit und Zugriff unterscheiden

Microsoft bietet mit Restricted Content Discovery eine Möglichkeit, die Auffindbarkeit bestimmter SharePoint-Inhalte in organisationsweiten Such- und Copilot-Erlebnissen einzuschränken. Die Funktion ist als vorübergehende Unterstützung bei Governance-Prüfungen gedacht.

Sie ändert bestehende Zugriffsrechte nicht. Wer bereits berechtigt ist, kann Inhalte weiterhin direkt erreichen. Prüfen Sie die aktuellen Voraussetzungen und den betroffenen Suchkontext, bevor Sie die Funktion als Massnahme einplanen. Sie ersetzt keine Bereinigung zu weit gefasster Freigaben.

Quellen müssen im Alltag nutzbar bleiben

Eine gute Antwort verweist auf das tatsächlich verwendete Dokument und dessen gültige Fassung. Testen Sie, ob der Link für die fragende Person funktioniert und ob die Antwort bei widersprüchlichen Versionen vorsichtig bleibt.

Dokumentverantwortliche brauchen zudem einen Weg, falsche oder überholte Inhalte zu korrigieren. Die Grundlagen dafür beschreibt unser Beitrag zur internen Wissensdatenbank.

Einen begrenzten Bestand freigeben

Starten Sie mit einer fachlich gepflegten Bibliothek und einem klaren Nutzerkreis. Dokumentieren Sie die Testergebnisse und erweitern Sie erst, wenn Rechte, Aktualisierung und Quellenqualität nachvollziehbar funktionieren.

Unsere KI-Beratung für Schweizer Unternehmen verbindet diese technische Prüfung mit dem konkreten Nutzen für Ihr Team.