Unternehmenswissen KI: SharePoint und Confluence anbinden

Kurzantwort: Eine KI darf nur das Wissen nutzen, das der fragende Mensch auch im Quellsystem sehen darf. Dafür gibt es zwei Wege: vorhandene Funktionen, die Rechte aus SharePoint oder Confluence übernehmen, oder eine eigene Anbindung, die Berechtigungen mitführt und vor der Antwort filtert. Welcher Weg passt, entscheiden Rechtestand, Quellenmix und Aktualitätsbedarf. Starten Sie mit einem Bereich und prüfen Sie ihn mit Testfragen für mehrere Rollen.

Ein typischer Anlass: Im Qualitätsmanagement liegen Verfahrensanweisungen in SharePoint, die Servicekollegen pflegen Lösungen in Confluence, Zeichnungen und Prüfprotokolle liegen auf Netzlaufwerken, und im Ticketsystem stehen die tatsächlichen Fehlerbilder. Die Geschäftsführung fragt, ob eine KI das zusammenführen kann. Die technische Antwort ist meist ja. Die schwierigere Frage lautet, wie das ohne Rechtebruch geht. Den Grundaufbau von RAG beschreibt unser Beitrag RAG im Unternehmen. Hier geht es um die konkrete Anbindung von SharePoint, Confluence und Co.

Wo liegt Ihr Wissen und wer darf es sehen?

Bevor Sie eine Anbindung wählen, brauchen Sie ein kleines Quelleninventar. Es genügt eine Tabelle mit fünf Spalten pro Quelle: Inhalt, fachlicher Verantwortlicher, Rechtemodell, Änderungshäufigkeit, Datenklasse (zum Beispiel personenbezogen oder vertraulich).

Quelle	Typischer Inhalt	Was Sie vorab klären
SharePoint-Sites	Handbücher, Vorlagen, Richtlinien	Wer hat Zugriff, welche Freigabelinks existieren, gibt es Sites ohne Verantwortlichen
Confluence-Spaces	Prozesswissen, Service-Doku	Space-Rechte und Seitenbeschränkungen, veraltete Seiten
Netzlaufwerke	Zeichnungen, Protokolle, Altbestände	Rechte pro Ordner, Dubletten, Dateiformate
Ticketsystem	Fehlerbilder, Lösungen	Personenbezug, Qualitätsstatus, Aufbewahrung

Dieses Inventar liefert die Grundlage für alle weiteren Entscheidungen. Es zeigt außerdem früh, welche Quellen sich nicht eignen, etwa Laufwerke ohne erkennbare Struktur.

Vorhandene Funktion oder eigene RAG-Anbindung?

Prüfen Sie vorhandene Funktionen zuerst. Sie bringen Rechteübernahme und Betrieb schon mit. Eine eigene Anbindung lohnt, wenn Quellen, Rechte oder der Ablauf nicht passen. Die folgende Tabelle ist eine Entscheidungshilfe, keine Herstellerbewertung.

Option	Wann sie ein Kandidat ist	Was offen bleibt
Funktion im Quellsystem-Umfeld (zum Beispiel Microsoft Copilot für Inhalte in Microsoft 365, Atlassian Rovo für Inhalte in Atlassian-Produkten)	Das Wissen liegt überwiegend in einer Produktfamilie	Lizenz, Funktionsumfang, Quellen außerhalb der Produktfamilie, Prüfbarkeit der Antworten
Vorgefertigte Konnektoren für weitere Quellen	Eine zusätzliche Quelle soll ins selbe Werkzeug	Wie der Konnektor Rechte behandelt, wie oft er synchronisiert
Eigene RAG-Anbindung	Mehrere Quellen, eigene Rollenlogik oder Integration in Fachsoftware	Aufwand für Rechte, Synchronisation, Evaluation und Betrieb

Der Vergleich Standardwerkzeug gegen Eigenbau folgt derselben Logik wie in Copilot, ChatGPT oder eigene KI-Integration: gleiche Fälle, gleiche Daten, gemessene Restarbeit. Wir empfehlen kein Produkt. Welche Variante trägt, zeigt erst ein Test mit Ihren Quellen.

Wie bleiben Berechtigungen erhalten? Security Trimming in der Praxis

Security Trimming heißt: Treffer werden nach den Rechten des fragenden Nutzers gefiltert, bevor ein Textabschnitt das Sprachmodell erreicht. So beschreiben es die Hersteller für ihre eigenen Funktionen.

Microsoft. Nach der Microsoft-Dokumentation zu Daten und Datenschutz zeigt Copilot Unternehmensdaten nur an, auf die der einzelne Nutzer mindestens Leserechte hat. Microsoft weist dort selbst darauf hin, dass die vorhandenen Berechtigungsmodelle, etwa in SharePoint, sauber gepflegt sein müssen. Für externe Inhalte nennt Microsoft Graph-Konnektoren: Deren Daten können in Antworten erscheinen, wenn der Nutzer Zugriff hat. In der Beschreibung der externen Elemente steht, dass jedes Element eine Zugriffsliste mit Entra-Benutzern und Gruppen trägt und dass ein Verbot Vorrang vor einer Freigabe hat. Nutzer aus einem fremden System müssen auf Entra-Benutzer abgebildet werden, fremde Gruppen lassen sich als externe Gruppen synchronisieren.

Atlassian. Laut Atlassian-Dokumentation können eingeschränkte Inhalte in Rovo nur von Personen genutzt werden, die im Quellsystem bereits Zugriff haben. Wird eine Einschränkung entfernt, sehen alle Nutzer der Site den Inhalt wieder, gelöschte Dokumente verschwinden aus Suche, Chat und Agenten. Zu Verzögerungen der Rechtesynchronisation nennt die Seite keine Zeit. Das gehört in Ihren Test.

Ein wichtiger Unterschied steht in den Konnektortypen: Synchronisierte Konnektoren indizieren Inhalte mit einem Dienst- oder Administratorkonto, direkte Konnektoren holen Inhalte live über die Such-API des Anbieters. Bei Konnektoren von Drittanbietern beschreibt Atlassian, dass deren Fähigkeiten vom Entwickler selbst angegeben und nicht von Atlassian geprüft werden. Wird die Rechteübernahme nicht angegeben, können Daten für alle Nutzer der Site sichtbar sein. Prüfen Sie diese Angabe also vor dem Aktivieren.

Eigene Anbindung. Hier gibt es kein Herstellerversprechen. Unsere Empfehlung für den Aufbau:

1. Beim Import werden Zugriffsinformationen als Metadaten am Dokument und an jedem Abschnitt gespeichert.
2. Bei jeder Frage ermittelt die Anwendung Identität und Gruppen des Nutzers.
3. Die Suche filtert vor der Generierung. Das Sprachmodell entscheidet nie über Rechte.
4. Entzogene Rechte und Löschungen werden zeitnah in den Index übernommen.
5. Ein Standardzugriff ohne Freigabe gilt als verweigert.

Dazu passt das Kapitel zur Architektur im Hub-Beitrag. Für den Datenschutz ordnet der Beitrag zum RAG-Chatbot und der DSGVO die Fragen zu Verträgen, Speicherorten und Löschung ein.

Wie aktuell ist die Antwort? Synchronisation und Löschung

Eine KI antwortet auf Basis des Stands, den sie kennt. Bei synchronisierten Inhalten ist dieser Stand eine Kopie. Microsoft beschreibt für Konnektoren zwei Stellschrauben: inkrementelle Durchläufe (nur Ergänzungen) gegenüber vollständigen Durchläufen (erfasst auch Löschungen, ist aber aufwendiger) und ereignisbasierte gegenüber geplanten Intervallen. Ereignisbasiert empfiehlt Microsoft für dynamische oder sensible Daten wie Status, geplant für selten geänderte Inhalte wie Wikis.

Legen Sie je Quelle einen Anspruch fest:

• Wie schnell muss ein geändertes Dokument in der Antwort ankommen?
• Wie schnell muss ein entzogenes Recht wirken?
• Wie schnell muss ein gelöschtes Dokument verschwinden?

Bei direkten Konnektoren, die live abfragen, entfällt die Kopie. Dafür hängt die Antwort von der Verfügbarkeit des Quellsystems ab. Welcher Weg besser passt, ist eine Abwägung pro Quelle.

Dokumentqualität, Dubletten, Versionen und Anhänge

Die KI macht schlechte Ablage nicht besser. Sie macht sie schneller sichtbar. Das sehen wir als Hauptgrund, warum der Start mit einem Bereich sinnvoll ist.

• Dubletten und Versionen: Wenn „Handbuch_final“, „Handbuch_final_2“ und eine Wikiseite widersprüchliche Stände zeigen, kann auch die KI nur einen davon nennen. Legen Sie pro Thema eine führende Quelle und einen Gültigkeitsstatus fest.
• Veraltete und verwaiste Bereiche: Microsoft empfiehlt für SharePoint in der Vorbereitung auf Copilot, inaktive und verwaiste Sites zu erkennen und zu archivieren, damit aktuelle Inhalte referenziert werden. Das Prinzip gilt für Confluence-Spaces genauso.
• Anhänge und Scans: Die Microsoft-Dokumentation zu externen Elementen nennt Text und HTML als unterstützte Inhaltstypen. Binärdateien, Bilder oder Videos lassen sich vor dem Indizieren in Text umwandeln, etwa per Texterkennung. Klären Sie, welche Dateitypen in Ihrem Bereich vorkommen und ob Scans lesbar genug sind.
• Tabellen, Zeichnungen, Formulare: Prüfen Sie diese Formate im Test gesondert. Eine Antwort, die eine Tabelle falsch liest, wirkt trotzdem überzeugend.

Sensible Bereiche ausschließen und Nutzung protokollieren

Nicht alles, was technisch erreichbar ist, gehört in die KI. Halten Sie Ausschlüsse schriftlich fest: Personalakten, Geschäftsführungsunterlagen, Mandanten- oder Kundenakten, Angebotskalkulationen.

Für Microsoft 365 nennt die Microsoft-Anleitung mehrere Hebel: Berichte zur Rechteverteilung, eingeschränkter Zugriff auf Sites per Gruppe und „Restricted Content Discovery“, das Inhalte aus Copilot-Antworten und organisationsweiter Suche heraushält, ohne die Zugriffsrechte zu ändern. Sensitivitätslabels wirken laut der Datenschutzarchitektur ebenfalls: Bei verschlüsselten Inhalten braucht der Nutzer bestimmte Nutzungsrechte, damit Copilot sie verarbeiten darf. Bei Atlassian gilt laut Rovo-Support-Seite der Hinweis, Daten von Drittanbieter-Apps vor dem Verbinden auf Vereinbarkeit mit den Unternehmensregeln zu prüfen.

Zur Protokollierung schreibt Microsoft, dass Auditeinträge zu Eingaben, Antworten und referenzierten Inhalten erfasst werden können. Für eine eigene Anbindung gilt: Protokollieren Sie Nutzer, Frage, verwendete Quellen und Systementscheidung. Beachten Sie, dass Protokolle selbst vertrauliche Inhalte enthalten können, und legen Sie Zugriff und Löschfristen fest. Die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten.

Fiktives Beispiel: Qualitätshandbuch eines Maschinenbauers

Fiktives Beispiel, kein Kundenprojekt. Ein Betrieb mit etwa 200 Beschäftigten möchte Fragen zu Prüfanweisungen beantworten. Quellen sind eine SharePoint-Site „Qualität“ und der Confluence-Space „Service“. Beide haben unterschiedliche Rechte: Die Fertigung sieht Prüfanweisungen, nur der Service sieht Kundenfälle, nur das Qualitätsteam sieht Auditberichte.

Wir würden so vorgehen:

1. Nur die beiden Bereiche anbinden, Auditberichte per Ausschluss herausnehmen.
2. Drei Testnutzer anlegen: Fertigung, Service, Qualität.
3. Eine feste Liste von Testfragen schreiben (der Umfang ist ein Beispielwert, etwa 30 Fragen).

Testfrage	Rolle	Erwartetes Verhalten
„Welche Prüfschritte gelten für Baugruppe X?“	Fertigung	Antwort mit Quelle aus SharePoint
„Wie wurde Fehlerbild Y beim Kunden gelöst?“	Fertigung	Keine Antwort, Hinweis auf fehlende Quelle
„Wie wurde Fehlerbild Y beim Kunden gelöst?“	Service	Antwort mit Quelle aus Confluence
„Was steht im letzten Auditbericht?“	Service	Keine Antwort
„Welche Version der Prüfanweisung gilt?“	Qualität	Aktuelle Version, nicht die archivierte
Frage zu einer gestern geänderten Seite	alle	Neuer Stand, sobald der vereinbarte Synchronisationsweg gelaufen ist

Bestanden ist der Test erst, wenn auch die Verweigerungsfälle stimmen. Ein System, das nur gute Antworten liefert, aber Auditberichte vor der Fertigung zeigt, fällt durch.

Checkliste: Start mit einem Bereich

• Quelleninventar mit fachlichem Verantwortlichen je Quelle
• Rechte im Quellsystem geprüft (Freigabelinks, Sites ohne Verantwortlichen, breite Gruppen)
• Führende Quelle je Thema, Dubletten und alte Versionen bereinigt oder ausgeschlossen
• Dateitypen geprüft: lesbare Texte, Scans, Tabellen
• Ausschlüsse sensibler Bereiche schriftlich festgelegt
• Anspruch an Aktualität, Rechteentzug und Löschung je Quelle definiert
• Konnektoren auf Rechteübernahme geprüft (bei Drittanbietern die Herstellerangabe nachfragen)
• Testfragen mit Referenzquellen und Verweigerungsfällen für mehrere Rollen
• Protokollierung und Löschfristen geklärt
• Zuständigkeit im Betrieb: wer pflegt Quellen, Rechte, Testfragen

Die Entscheidung in einem Satz und der nächste Schritt

Beginnen Sie mit einem Bereich, prüfen Sie Rechte und Quellenqualität, testen Sie vorhandene Funktionen mit festen Fragen aus mehreren Rollen und bauen Sie nur dort selbst, wo diese Tests eine belegte Lücke zeigen.

Wenn Sie wissen möchten, ob Ihr Wissensbestand dafür taugt, prüfen wir das im bezahlten Discovery-Sprint: 4.900 € netto, 5 Arbeitstage, mit Live-Demo, Bewertung und Entscheidungsempfehlung. Ein produktiver Build ist ein gesonderter, optionaler Schritt zum Festpreis nach geklärtem Umfang. Unsere KI-Integration aus Mannheim beschreibt den Projektweg. Ihren Wissensbestand im Erstgespräch einordnen.