Berechtigungen
KI mit Rechten aus dem Active Directory
jeder sieht nur, was er sehen darf.
Die erste Frage jedes Betriebsrats und jedes Datenschutzbeauftragten lautet: Sieht dann jeder alles? Die Antwort muss nein sein, und sie muss prüfbar sein.
- Für wen
- Betriebe mit abgestuften Rechten in Ablage und Personalbereich
- Aufwand
- 15 Arbeitstage bis zur Spezifikation
- Förderung
- Wird für Ihr Bundesland geprüft
- Datenhaltung
- Komplett auf Ihrem Server, nichts geht nach außen
- Erster Schritt
- Dreißig Minuten Erstgespräch per Video
Kurz gesagt
In einem lokalen KI-System trägt jeder Textabschnitt im Index, wer ihn sehen darf, übernommen aus den Gruppen Ihres Active Directory. Vor jeder Antwort filtert das System auf die Rechte des Fragenden, erst danach sieht das Sprachmodell etwas. Ein Berechtigungstest gehört zur Abnahme: Wir prüfen mit Testkonten, dass niemand mehr sieht als in der Ablage.
Stand: September 2026
Sechs Regeln, die wir im System abbilden
Aus Projekten mit Personalakten, Kalkulationen und vertraulichen Projekten im selben Bestand.
- 01
Gruppen aus dem Active Directory werden zu Filtern im Index, nächtlich abgeglichen
- 02
Personalordner und Geschäftsführungsablage bleiben außen vor, wenn sie es heute auch sind
- 03
Projektbezogene Rechte: wer nicht im Projekt ist, findet die Akte nicht
- 04
Kalkulationen und Preise nur für die Rollen, die sie heute schon öffnen dürfen
- 05
Anmeldung über Ihr Verzeichnis, keine zweite Benutzerverwaltung
- 06
Protokoll, wer wann was gefragt hat, ohne daraus eine Leistungskontrolle zu machen
Für wen sich das lohnt
Betriebsrat
Sie wollen wissen, ob daraus eine Überwachung wird. Wir legen fest, was protokolliert wird und was nicht.
Datenschutz
Sie brauchen ein Rechtekonzept und einen Nachweis. Der Berechtigungstest ist Teil der Abnahme.
IT und Administration
Keine zweite Benutzerverwaltung. Was im Verzeichnis steht, gilt auch in der KI.
Warum Rechte nicht am Sprachmodell hängen dürfen
Ein Sprachmodell kennt keine Berechtigungen. Man kann es bitten, etwas nicht zu sagen, aber verlassen kann man sich darauf nicht. Deshalb wird vor der Suche gefiltert, nicht nach der Antwort. Was jemand nicht sehen darf, kommt gar nicht erst ins Fenster des Modells. Diese Reihenfolge ist der Unterschied zwischen einem sicheren und einem gefährlichen System.
Warum die Rechtefrage die schwierigste ist
Sie haben eine Rechtestruktur, und sie ist über Jahre gewachsen. Ein Suchsystem, das darauf aufsetzt, macht sichtbar, was darin steht: Gruppen, die niemand mehr kennt, Freigaben für Mitarbeiter, die nicht mehr da sind, Ordner, auf die alle zugreifen dürfen, weil es einmal schneller ging.
Technisch ist die Lösung klar: Das System prüft bei jeder Antwort, welche Dokumente der Fragende sehen darf, und berücksichtigt nur diese. Das muss bei der Suche geschehen und nicht erst bei der Anzeige, sonst kann eine Zusammenfassung Inhalte aus Dokumenten enthalten, die der Fragende nie öffnen dürfte.
Praktisch heißt das: Vor dem Einlesen wird aufgeräumt. Das ist unangenehm und der wertvollste Teil des Projekts, weil er ein Problem behebt, das Sie ohnehin hatten, nur bisher nicht sehen konnten.
Was wir dafür entwickeln
Rechte müssen bei der Suche greifen, nicht erst bei der Anzeige. Sonst reicht eine Zusammenfassung weiter, als sie darf.
So kommen Ihre Rechte ins System
- Schritt 1
Rechte aufnehmen
Welche Gruppen gibt es, welche Ordner hängen daran, wo gibt es Ausnahmen. Teil des Daten-Audits.
- Schritt 2
Vererben und filtern
Beim Einlesen wandert die Berechtigung in den Index, der Filter läuft vor jeder Suche, der Abgleich nachts.
- Schritt 3
Berechtigungstest
Mit Testkonten prüfen wir, dass niemand mehr sieht als in der Ablage. Erst dann geht das System live.
Was Betriebe an dieser Stelle fragen
Einwand
Was, wenn unsere Ordnerrechte historisch gewachsen sind?
Dann sieht man das im Audit sehr deutlich. Wir bilden ab, was gilt, und melden Auffälligkeiten. Aufräumen ist Ihre Entscheidung, nicht unsere.
Einwand
Können Chefs sehen, was Mitarbeiter fragen?
Nur wenn Sie es ausdrücklich so festlegen und der Betriebsrat zustimmt. Im Standard protokollieren wir technisch, nicht personenbezogen auswertbar.
Einwand
Funktioniert das auch ohne Active Directory?
Ja, über andere Verzeichnisdienste oder Gruppen aus Ihrer bestehenden Anmeldung. Ohne jede Rechtequelle empfehlen wir kein System.
Einwand
Wie oft werden Rechte abgeglichen?
Nächtlich, und bei Bedarf sofort. Wer heute aus einem Projekt geht, findet dessen Akte morgen nicht mehr.
Einwand
Gibt es Fördermittel für lokale KI?
Oft ja. Ob ein Zuschuss oder ein Darlehen greift, hängt an Ihrem Bundesland, an der Betriebsgröße und am Vorhaben. Hardware zählt in der Regel mit, wenn sie Teil des Vorhabens ist. Wir prüfen das vor dem Termin und sagen Ihnen, ob sich der Antragsaufwand lohnt.
Verwandte Seiten
Programme, mit denen Sie arbeiten
Zu jedem steht, was sich anbinden lässt, was dabei herauskommt und wo die Grenze liegt.
- RechteverwaltungVorhandene Rechte übernehmen, bei jeder Frage prüfen
- Microsoft 365Postfach, Ablage und Kalender lesend erschließen, ohne Umstellung
- SharePointBibliotheken über den Inhalt erschließen, Berechtigungen bleiben wie sie sind
- NextcloudEigene Ablage erschließen, der Weg bleibt vollständig im Haus
Sehen wir uns Ihren Bestand an.
Dreißig Minuten, per Video oder Telefon. Danach wissen Sie, ob lokale KI bei Ihnen trägt und was der erste Schritt ist.