Rollen, Grenzen und Sicherheit

Ein KI-Assistent handelt mit den Rechten des Benutzers, der ihn verbunden hat, nie mit mehr. Zusätzlich entscheidet der Administrator pro Person, ob der Assistent nur lesen oder auch schreiben, ausführen und bauen darf, und pro Account, wie viel in einer Stunde erlaubt ist und welche Aktionen eine Freigabe brauchen. Jede Entscheidung trifft Pantarey auf dem Server und protokolliert sie. Was der Assistent selbst „verspricht“, spielt für die Sicherheit keine Rolle.

Die Rollen

Vergeben unter Benutzer → Benutzer verwalten → Berechtigungen. Die Zusatzrollen wirken nur zusammen mit der ersten.

Rolle	Wirkung
Externe KI-Assistenten (MCP) verbinden	Verbindung erlaubt. Der Assistent liest: Daten, Auswertungen, Prozesse, Aufgaben, Dashboards.
Externe KI-Assistenten (MCP): Datensätze direkt schreiben	Zusätzlich: Datensätze anlegen und ändern.
Externe KI-Assistenten (MCP): Prozesse und Aufgaben ausführen	Zusätzlich: Prozesse starten und Aufgaben erledigen.
Externe KI-Assistenten (MCP): bauen (Entwicklermodus)	Zusätzlich: Datenschemas anlegen und ihre Felder, Prüfregeln und Berechtigungen ändern, Prozesse anlegen und bauen, Dashboards ändern. Wirkt nur bei eingeschaltetem Entwicklermodus, siehe Bauen mit dem Assistenten.

Modus „nur Prozesse“: Wird nur die dritte Rolle vergeben, kann der Assistent Daten ausschließlich über die Prozesse verändern, die das Unternehmen definiert hat, etwa „Kontakt anlegen“ mit den dort eingebauten Prüfungen. Ein direktes Bearbeiten von Datensätzen ist dann nicht möglich.

Administratoren erhalten keine dieser Rollen automatisch. Auch für sie ist der Zugriff eine bewusste Entscheidung.

Rechte aus der App gelten weiter

Datenschemas: Berechtigungen aus dem Daten Designer (Auflisten, Lesen, Erstellen, Ändern, Abfragen) gelten für den Assistenten genauso. Ein Datensatz aus einem Schema ohne Leserecht wird nicht ausgeliefert, auch nicht als Verweis in einem anderen Datensatz.
Eigene Rechte für KI-Assistenten: Pro Berechtigung kann festgelegt werden, dass der Assistent weniger darf als der Benutzer in der App, etwa ein Schema in der App lesen, aber nicht im Chat. Standard ist „wie in der App“. Mehr dazu unter Rechte für KI-Assistenten.
Nur bestimmte Datensätze und Verbote: Darf ein Benutzer in einem Schema nur bestimmte Datensätze sehen, sieht auch der Assistent nur diese. Listen und Anzahlen beziehen sich dann nur auf diese Datensätze, und der Assistent sagt das dazu. Verbote gelten für den Assistenten genauso. Mehr dazu unter Nur für bestimmte Datensätze und Verbote.
Prozesse und Aufgaben: Nur Starts und Aufgaben, die dem Benutzer oder einer seiner Gruppen zugewiesen sind, können gestartet bzw. erledigt werden.
Auswertungen: SQL-Abfragen laufen nur über Tabellen, für die der Benutzer die Berechtigung „Abfragen“ hat. Darf er in einem Schema nur bestimmte Datensätze sehen, liefern auch SQL-Abfragen nur diese. Systemtabellen (prio_…) fragen nur Administratoren ab.
Bauen: Der Assistent baut nur, was der Benutzer auch selbst dürfte: Datenschemas im Daten Designer, Prozesse im Prozess Designer, Dashboards im Dashboard Designer.
Löschen: Datensätze, Prozesse und Vorgänge löscht der Assistent nie. Im Entwicklermodus kann er einzelne Felder und Berechtigungen eines Datenschemas löschen, jeweils mit Probelauf und ab Werk mit KI-Freigabe.

Grenzen & Schalter

Unter Benutzer → KI-Assistenten → Grenzen & Schalter gilt für den ganzen Account:

Schalter

KI-Assistenten erlaubt: Der Hauptschalter, standardmäßig aus. Ein Administrator schaltet ihn einmalig ein, bevor Assistenten genutzt werden können. Aus bedeutet: kein Zugriff, auch kein Lesen; verbundene Assistenten sehen keine Werkzeuge mehr. Rollen bleiben erhalten, der Schalter ist damit auch der Notaus.
Datensätze direkt schreiben: Anlegen und Ändern durch Assistenten, zusätzlich zur Rolle des Benutzers.
Prozesse starten und Aufgaben erledigen: zusätzlich zur Rolle des Benutzers.
Entwicklermodus aktiv: Assistenten dürfen bauen, etwa Datenschemas und Prozesse anlegen. Standardmäßig aus. Zusätzlich braucht der Benutzer die Rolle „bauen (Entwicklermodus)“ und die App-Rechte für das, was gebaut wird.

Ein ausgeschalteter Bereich ist sofort für alle Assistenten gesperrt, auch für bereits verbundene.

Grenzen pro Nutzer und Stunde (Standardwerte in Klammern)

Datensätze anlegen und ändern, Bauen (200)
Prozesse starten (50)
Aufgaben erledigen (100)

Die Grenzen sind eine Bremse gegen Schleifen und Missverständnisse. Erreicht ein Benutzer eine Grenze, lehnt Pantarey weitere Aufrufe dieser Art bis zur nächsten vollen Stunde ab. Der Assistent teilt das mit und verweist auf die App oder den Administrator. Gezählt wird in festen Stundenfenstern (volle Stunde, UTC). Der Wert 0 sperrt die jeweilige Art von Aufruf.

Legt der Assistent mehrere Datensätze auf einmal an, zählt jeder Datensatz einzeln. Ein Paket wird nur angenommen, wenn es vollständig in die verbleibende Grenze passt; sonst wird nichts angelegt und nichts gezählt, und der Assistent erfährt, wie viele noch frei sind. Probeläufe zählen nie.

Freigabe nötig

Pro Werkzeug wird festgelegt, ob ein Aufruf erst nach einer KI-Freigabe des Benutzers ausgeführt wird. Die Freigabe erscheint als Aufgabe „KI-Freigabe“ in seiner eigenen Aufgabenliste, mit Genehmigen und Ablehnen, und gilt einmal, genau für diesen Aufruf, bis zum Ablauf der eingestellten Gültigkeit (5 bis 1440 Minuten, Standard 60). Ab Werk braucht nur das Anlegen von Datenschemas und das Ändern von Feldern, Regeln und Berechtigungen eine Freigabe; Prozesse und Dashboards werden stattdessen im Designer übernommen. Auch das Anlegen von Datensätzen oder das Starten von Prozessen lässt sich auf Freigabe stellen. Einzelheiten unter KI-Freigaben.

Änderungen wirken sofort für alle Benutzer des Accounts.

Protokoll

Jeder Aufruf eines Assistenten wird in der Tabelle prio_mcp_usage_statistics in der Datenanalyse festgehalten. Abfragen können sie nur Administratoren, wie alle Systemtabellen, deren Name mit prio_ beginnt.

Spalte	Inhalt
`user_email`, `client`	Wer, mit welchem Assistenten
`tool`	Welches Werkzeug
`result`	ok, rejected (abgelehnt), denied (keine Berechtigung), invalid, error
`decision`, `guard`	Entscheidung der Prüfung (allow, approval_required, deny) und welcher Prüfer sie getroffen hat (switches, approval, precheck, budget, permission)
`target_ids`, `produced_id`	Betroffene Kennungen und bei schreibenden Aufrufen die erzeugte Kennung
`approval_id`	Die KI-Freigabe, die der Aufruf angefordert oder genutzt hat
`policy_version`	Version von Grenzen & Schaltern zum Zeitpunkt des Aufrufs
`duration_ms`, `execution_timestamp`	Dauer und Zeitpunkt

Inhalte von Datensätzen oder SQL-Texte werden nicht protokolliert, nur ein Prüfwert der Argumente.

Beispielabfrage:

SELECT execution_timestamp, user_email, tool, result, decision, guard
FROM prio_mcp_usage_statistics
ORDER BY execution_timestamp DESC
LIMIT 50

Beispiel

Ein Mitarbeiter soll Rechnungen per Chat auswerten, aber nichts verändern. Er erhält nur die Rolle „verbinden“. Sein Assistent kann suchen, lesen und SQL-Abfragen ausführen. Versucht er, einen Datensatz anzulegen, ist das Werkzeug dafür gar nicht vorhanden.

Häufige Fragen

Wie wird der Zugriff schrittweise eingeführt?

Erst nur „verbinden“ vergeben, nach einigen Tagen das Protokoll ansehen, dann Schreibrollen für einzelne Personen. Der Entwicklermodus lässt sich für die Dauer eines Projekts ein- und danach wieder ausschalten.

Was tun bei Verdacht auf Fehlverhalten?

KI-Assistenten erlaubt ausschalten: Damit ist jeder Zugriff sofort gesperrt, auch das Lesen. Dann das Protokoll prüfen und gezielt eine Rolle entziehen. Die Rollen bleiben beim Notaus erhalten.

Woran erkenne ich, dass eine Grenze zu niedrig ist?

Im Protokoll an guard = budget und result = rejected. Die Spalte tool zeigt, welche Art von Aufruf betroffen war; die zugehörige Grenze wird dann erhöht.

Sieht der Assistent Daten anderer Benutzer?

Nur, wenn der verbundene Benutzer sie auch in der App sieht. Es gibt keinen Sammelzugriff; jeder Assistent ist an genau ein Benutzerkonto gebunden.

Nächster Schritt

Unternehmen & Begriffe: dem Assistenten das Unternehmen erklären, damit er die Worte der Benutzer richtig versteht.