L’autorizzazione al momento del recupero verifica se un utente o un servizio può accedere a dati specifici quando un’applicazione li richiede. A differenza del semplice affidamento ai controlli di accesso o alla valutazione delle autorizzazioni al momento dell’invio di un prompt, applica le regole di accesso ai record recuperati, tenendo conto dell’identità e delle autorizzazioni correnti di chi effettua la richiesta.
Questo è importante nei sistemi di IA collegati ad archivi di documenti, database o altri servizi interni. Se manca l’autorizzazione o questa viene applicata soltanto a livello di modello o di applicazione, il recupero dei dati può esporre informazioni che vanno oltre i diritti di accesso dell’utente. Tra le misure di difesa figurano l’applicazione delle autorizzazioni nel livello di recupero per ogni richiesta, l’uso di identità di servizio con privilegi minimi e la registrazione delle decisioni di accesso. Ciò contribuisce a garantire che un assistente di IA possa recuperare solo le informazioni che l’utente è autorizzato a vedere.