AI sui documenti aziendali: chi vede cosa?

C’è una scena che si ripete in molte aziende che stanno provando l’AI sui propri documenti.

La demo va benissimo. Il responsabile fa una domanda, il sistema risponde in due secondi citando il contratto giusto, tutti sono contenti. Si decide di aprirlo a tutta l’azienda. Passa qualche settimana e qualcuno, per curiosità, chiede: “Quanto guadagna il direttore commerciale?”.

E il sistema risponde.

Non perché sia stato bucato, e non perché l’AI abbia fatto qualcosa di strano. Ha fatto esattamente il suo lavoro: cercare tra i documenti a cui aveva accesso. Il problema è che aveva accesso a tutto.

Il punto che sfugge: l’AI non legge per conto tuo

Quando cerchi un file sul portale aziendale, il portale sa chi sei. Se apri una cartella che non ti compete, ti dice di no. Quel controllo esiste da anni e funziona.

Quando fai una domanda a un assistente AI, in mezzo c’è un passaggio in più. L’assistente cerca i documenti, li legge, e poi scrive una risposta per te. La domanda decisiva è: quando è andato a cercare, con quale identità l’ha fatto? La tua, o la propria?

Nella maggior parte delle installazioni fatte in fretta, la risposta è: la propria. Al sistema è stato dato un accesso ampio all’archivio, perché così indicizza tutto ed è più utile. E da quel momento ogni risposta che produce è costruita su tutto quello che lui può leggere, non su quello che puoi leggere tu.

È una differenza sottile che diventa evidente solo quando è tardi.

Non è un problema dell’AI. È un problema che avevi già

Qui arriva la parte scomoda.

Nella grande maggioranza dei casi, quei documenti erano già accessibili prima. La cartella condivisa con i permessi larghi, il file di budget finito nella cartella sbagliata, l’allegato con le condizioni economiche caricato dove capitava, la vecchia unità di rete che “tanto lì non ci va mai nessuno”. Tutto materiale che chiunque avrebbe potuto aprire, se solo avesse saputo dove guardare.

Il punto è proprio quello: nessuno sapeva dove guardare. La disorganizzazione faceva da serratura. Non era sicurezza, era attrito.

L’AI toglie l’attrito. È il suo mestiere. Non ti serve più sapere dove sta il documento, né come si chiama: fai una domanda in italiano e lui lo trova. Il che è meraviglioso finché il documento è il manuale delle procedure, e diventa un problema il giorno in cui è il verbale del consiglio di amministrazione.

Quindi no, l’AI non ha creato la falla. L’ha resa cercabile.

Non è una teoria: è quello che è successo nel trial di Microsoft 365 Copilot del governo australiano, dove alcuni dipendenti sono arrivati a documenti che non avrebbero dovuto vedere, e la causa era la gestione dei permessi che c’era prima. Se stai valutando Copilot, quella storia la raccontiamo per esteso in Copilot mostra documenti che non dovrebbe? Non è colpa di Copilot.

Le tre risposte che sembrano soluzioni, e non lo sono

Quando questo tema salta fuori, di solito arrivano tre rassicurazioni. Vale la pena saperle riconoscere.

”Lo diciamo all’AI di non rispondere”

Cioè: si scrive nelle istruzioni del sistema qualcosa come “non rivelare informazioni riservate”. È la più diffusa, ed è la più fragile. Un’istruzione scritta in linguaggio naturale non è un controllo di accesso: è una richiesta di buone maniere fatta a un sistema che ha già il documento davanti agli occhi.

Se il contenuto è arrivato fino al modello, tenerlo nascosto dipende dal fatto che il modello si comporti bene. E i modelli, sotto la giusta pressione, non sempre si comportano bene.

”Filtriamo la risposta dopo”

Cioè: il sistema cerca ovunque, e poi qualcosa a valle nasconde ciò che l’utente non dovrebbe vedere. È meglio della precedente, ma il ragionamento resta al contrario: quel contenuto non doveva entrare nella risposta, quindi non doveva nemmeno entrare nella ricerca.

C’è anche un effetto collaterale meno ovvio. Se la ricerca pesca dieci passaggi rilevanti e otto vengono scartati dopo, all’utente arriva una risposta costruita su due. Non gli dici che ne mancano otto, ma gli hai dato una risposta più povera senza spiegargli perché. Peggio: da quello che manca, a volte si capisce cosa c’era.

”L’archivio è protetto, i dati non escono”

Verissimo, e completamente scollegato dal problema. Che i documenti restino nella tua infrastruttura riguarda dove stanno i dati. I permessi riguardano chi, dentro casa tua, può leggerli. Un sistema installato sui tuoi server, che non manda un byte fuori, e che risponde a chiunque qualunque cosa, è perfettamente sovrano e perfettamente insicuro.

Sono due argomenti diversi. Diffida di chi risponde al secondo quando gli hai chiesto del primo. (Se invece è proprio il primo che ti interessa, cioè cosa lascia davvero la tua rete, ne abbiamo fatto l’elenco completo in cosa esce davvero dalla tua rete.)

Come dovrebbe funzionare

L’idea corretta è semplice da dire: il filtro va messo prima della ricerca, non dopo.

Il sistema non deve cercare in tutto l’archivio e poi nascondere. Deve cercare solo dentro l’insieme di documenti che quella specifica persona è autorizzata a vedere. Il resto non viene escluso dalla risposta: non entra proprio nella ricerca. Se un documento non è tuo, per la tua domanda è come se non esistesse.

Sono gli stessi passaggi, nello stesso ordine, con una sola differenza: dove sta il filtro. È tutto qui.

Ne discende una conseguenza che è il vero indicatore della serietà del sistema: quando i permessi di un documento non sono chiari, quel documento non si mostra. Non “nel dubbio lo faccio vedere, tanto probabilmente va bene”. Nel dubbio, no. Meglio una risposta incompleta che una risposta a chi non aveva diritto di riceverla.

C’è un ultimo dettaglio, e ammetto che è quello a cui tengo di più: la risposta non deve nemmeno far capire che esiste qualcosa che non puoi vedere. Un sistema che dice “ho trovato tre documenti ma non sei autorizzato a consultarli” ha appena rivelato una informazione riservata: che quei documenti esistono. Il modo giusto di comportarsi è rispondere con quello che si ha, e basta.

Cinque domande da fare al fornitore

Se stai valutando qualcosa del genere, queste cinque domande separano abbastanza in fretta i sistemi seri dal resto. Sono utili qualunque prodotto tu stia guardando, incluso il nostro.

1. Quando cerca, con quale identità cerca? Se la risposta è “il sistema ha un utente tecnico con accesso a tutto”, hai finito: ogni permessi che seguirà è una toppa.

2. Il filtro sui permessi avviene prima o dopo la ricerca? Vuoi sentirti dire “prima”, e vuoi che te lo spieghino. Se la spiegazione è confusa, di solito è confusa anche l’implementazione.

3. Cosa succede se i permessi di un documento non sono chiari? L’unica risposta accettabile è che il documento non venga mostrato. Se ti dicono “lo trattiamo come pubblico”, stai comprando una fuga di dati con il calendario già fissato.

4. Se cambio i permessi, dopo quanto tempo l’AI se ne accorge? Vale per le persone (uno cambia reparto, un altro se ne va) e per i documenti. Sul primo caso l’unica risposta buona è “subito, dalla domanda dopo”. Sul secondo, fatti dire da dove legge i permessi: se li rilegge dall’archivio, oppure se è una mappa configurata a parte, e in quel caso chi la tiene aggiornata e cosa succede quando qualcuno la cambia.

5. Chi non è autorizzato riesce a capire che il documento esiste? Chiedilo esplicitamente. È la domanda che quasi nessuno fa e che dice più di tutte le altre quanto ci hanno pensato davvero.

Un consiglio pratico che vale più di ogni brochure: in demo, chiedi due account. Uno di un profilo con pochi accessi, uno di un profilo con molti. Fai a entrambi la stessa domanda, scomoda, su un documento riservato vero. Le risposte devono essere diverse. Se sono uguali, hai la tua risposta.

Dove sta Reperix in tutto questo

Tocca dichiarare il conflitto di interessi: costruiamo un prodotto che fa esattamente questa cosa, quindi non sono un osservatore neutrale.

Reperix nasce con questo vincolo come primo requisito, non come funzionalità aggiunta dopo. Ogni frammento di documento porta con sé le regole di visibilità del documento da cui viene, e ogni ricerca è ristretta a quelle regole, applicate a chi sta facendo la domanda, prima che la ricerca parta. Se le regole mancano o non sono leggibili, il contenuto non è restituibile: non è una scelta prudente, è il comportamento predefinito, e non esiste un interruttore per disattivarlo né un profilo amministratore che lo scavalchi. Le risposte non segnalano l’esistenza di ciò che l’utente non può vedere: nemmeno i conteggi, che sono sempre calcolati sui soli documenti visibili a chi ha fatto la domanda.

Una precisazione onesta, perché è il punto su cui molti fornitori restano vaghi: quanto è fine quel controllo dipende da cosa espone l’archivio di origine. Per i documenti caricati direttamente in Reperix il controllo è sul singolo documento. Per gli archivi collegati dipende dall’archivio: DocuWare, per esempio, non espone i permessi del singolo documento in modo utilizzabile, quindi è l’amministratore a decidere dentro Reperix chi vede ogni raccoglitore, reparto per reparto. Il filtro è obbligatorio in entrambi i casi. Quello che cambia è quanto è dettagliata la mappa che gli diamo da applicare, e quella mappa la decidete voi, non noi.

Se vuoi vedere la stessa domanda fatta da due persone diverse, con due risposte diverse, è illustrato nella pagina su sicurezza e deployment. Se invece ti interessa il percorso che fa una domanda dall’inizio alla fine, sta in come funziona.

Ma il punto di questo articolo non è Reperix. È che la domanda va fatta, a chiunque tu stia valutando. Perché il giorno in cui qualcuno chiede al sistema quanto guadagna il collega, la risposta che ricevi dipende da una decisione architetturale presa mesi prima, da qualcun altro, magari senza dirtelo.