RAG com dado interno não é “indexar o drive”. É decidir o que não entra no prompt: dado pessoal, segredo, contrato sob sigilo, folha, senha, o que a ACL do sistema de origem já negaria ao usuário. Sem classificação e revisão, o retriever vira um vazamento com boa pontuação de similaridade.

O artigo RAG para conhecimento empresarial cobre o desenho. Este texto é a lista de recusa. Março é quando o piloto interno pede “todos os PDFs”. O trabalho útil é o contrário: o conjunto mínimo que o usuário já pode ver, no mesmo perfil.

O que fica fora — lista operacional

  • credencial, chave, dump de banco, log com token;
  • dado de saúde, financeiro identificável e o que a política da empresa já marca como restrito;
  • documento de terceiro com cláusula de não-IA / não-subprocessamento;
  • conteúdo que o usuário da sessão não teria permissão de abrir no sistema de origem;
  • prompt de sistema que ensina a contornar a recusa.

ACL no índice precisa espelhar a origem. Índice único “da empresa” com busca global é o anti-padrão. Se o analista não abre a pasta, o modelo tampouco deveria citá-la.

Revisão humana entra em dois momentos: curadoria do corpus (o que indexa) e amostragem de respostas (o que o modelo devolveu). Review humano do PR é o análogo no código; aqui o artefato é trecho recuperado.

Pipeline honesto

  1. Fonte com dono (sistema, não “o SharePoint da diretoria”).
  2. Classificação: público interno, restrito, proibido.
  3. Indexação só do permitido, com filtro de identidade na consulta.
  4. Log de o que foi recuperado — para incidente e para auditoria.
  5. Teto de trecho no contexto: mais documento no prompt não é mais verdade.

Limite de autonomia do agente aplica se o RAG dispara ação (enviar e-mail, abrir chamado). Recuperar já é ação de dado. Enviar é outra: o agente para antes.

Não prometemos “IA segura” como selo. Prometemos recusa explícita e dono do corpus. Vazamento zero não é afirmação honesta; processo de recusa é.

O que o piloto deve provar

Não prove que o chat “responde bem”. Prove que uma pergunta com usuário A não devolve trecho do usuário B. Prove que documento proibido não aparece. Isso é aceite. Qualidade de resposta vem depois, no recorte permitido.

Fábrica implementa o filtro e o log. Jurídico e segurança classificam. Produto escolhe a tarefa. Sem os três, o piloto é demo.

Como a Tech Coders trata RAG na fábrica

Na fábrica de software, RAG interno entra no sprint com ACL, lista de recusa e amostragem de resposta. Não indexamos “a empresa” por padrão. Sprint de 15 dias, review humano, sustentação 24×7 no serviço que já ficou interno — o corpus tem dono, o prompt tem teto.

Perguntas frequentes

Posso anonimizar e indexar tudo?

Anonimizar mal é dado pessoal com maquiagem. Classifique antes. Anonimização é projeto à parte, com dono, não um checkbox do retriever.

O modelo na nuvem muda a recusa?

Muda o contrato de subprocessamento. A recusa de conteúdo continua: o que não poderia ir para um analista externo não deveria ir para o provedor sem acordo. Dado proibido fica proibido.

Citação da fonte resolve o vazamento?

Citação ajuda auditoria. Não autoriza mostrar o trecho a quem não tem ACL. Fonte visível para a pessoa errada ainda é vazamento.

Quem é o dono do corpus?

A área dona do sistema de origem, com TI/segurança no guarda-corpo. Dono “o time de IA” sem a área é buraco na primeira auditoria.