يسأل موظف مساعد الذكاء الاصطناعي عن عقد لا يملك صلاحية الوصول إليه حسب دوره — فيحصل على إجابة دقيقة وموثقة جيدا بالنص الكامل للشروط. من الناحية الشكلية، عمل النظام بشكل ممتاز: وجد الوثيقة وأجاب بمصدر. لكن من حيث الجوهر، هذا تسرب بيانات، مر فقط عبر نافذة محادثة بدل مشاركة ملف.
لهذا بالضبط لا يمكن إضافة أمان RAG بعد أن يبدأ النظام في الإجابة عن الأسئلة — يجب أن يكون جزءا من معمارية الاسترجاع منذ البداية. يتعامل RAG المؤسسي مع عقود وبيانات شخصية ومخططات فنية وقرارات داخلية، والسؤال ليس «هل يمكن أن يقول النموذج شيئا زائدا عن طريق الخطأ» بل «هل يرى أصلا ما لا ينبغي أن يراه».
يؤطر NIST AI RMF (Generative AI Profile) ومعيار ISO/IEC 42001 هذا كمشكلة إدارية لا تقنية فقط: الأدوار والمساءلة، والضوابط عند مدخل النظام ومخرجه، والمراقبة، وعملية مراجعة منتظمة للسياسات — أي أن النظام لا ينبغي أن «يُعدَّ مرة واحدة» فحسب، بل أن يُدار كأي عملية مؤسسية أخرى لها صلاحية الوصول إلى بيانات حساسة.
بالعودة إلى مثال العقد: تُصفّي المعمارية الصحيحة السياق قبل أن يجد الاسترجاع الوثيقة أصلا — إذا لم تكن لدى المستخدم صلاحية على عقد، يجب ألا يرى النموذج نصه أصلا كي «لا يقتبس منه» لاحقا. التصفية بعد وقوع الأمر، حين تكون الوثيقة قد وُجدت بالفعل وتُخفى فقط في الواجهة، لا تحمي من تسرب يحدث عبر فعل توليد الإجابة نفسه.
إلى جانب التحكم في الوصول، يلزم أثر: من سأل، وماذا استُرجع، وبماذا أُجيب — لا للتقارير، بل لإعادة بناء حادثة محددة عند الحاجة لمعرفة ما إذا كان الإفصاح خطأ في الإعداد أو عطلا لمرة واحدة. وهناك سؤال منفصل حول مكان تخزين الفهرس فعليا — سحابة عامة، أم سحابة خاصة، أم محلي بالكامل — وهذا أيضا جزء من سياسة الوصول، لا مجرد اختيار للبنية التحتية.
في Knovium، يُغلق سيناريو العقد على مستوى المعمارية: يُطبَّق التحكم في الوصول حسب الدور (RBAC) قبل الاسترجاع، فلا يرى النموذج فعليا وثائق خارج صلاحيات المستخدم، بدلا من أن «يراها لكنه يعد بعدم إظهارها». يُسجَّل كل طلب، والمصادر المسترجعة، والإجابة النهائية، ويمكن أن يكون النشر محليا بالكامل حيثما تتطلب سياسة الشركة ذلك.