RAG empresarial: respuestas con fuentes, permisos y datos vigentes

La pregunta útil: ¿con qué evidencia responde?

La generación aumentada por recuperación, o RAG, conecta una pregunta con contenido relevante antes de generar una respuesta. Microsoft describe este patrón como una forma de fundamentar respuestas en contenido propio [1]. Sirve para consultar políticas, procedimientos e incidencias documentadas. El objetivo es reducir búsquedas manuales sin convertir una respuesta plausible en una decisión automática.

Para esta edición de octubre de 2026, la prioridad es pasar de una demostración de búsqueda a un servicio con identidad, actualización y evaluación. Añadir documentos o cambiar el modelo no corrige por sí solo un problema de permisos, versiones o evidencia.

Los permisos se aplican antes de la recuperación

La identidad autenticada y sus grupos determinan los documentos elegibles. El servicio aplica restricciones antes de seleccionar fragmentos y construir el contexto del modelo. Filtrar solo las citas en pantalla es insuficiente: el contenido restringido ya habría llegado al modelo. Microsoft documenta controles con metadatos de permisos en tiempo de consulta; algunas implementaciones están en preview y requieren revisar sus límites [2].

• Mantener identificador del documento, propietario, versión, clasificación y reglas de acceso junto a los fragmentos.
• Resolver la identidad en el servidor; no confiar en un grupo o tenant enviado libremente por el navegador.
• Revalidar permisos al abrir la fuente y aislar cachés por identidad y contexto de acceso.
• Rechazar la recuperación si faltan permisos o no es posible verificar su vigencia.

Un índice también necesita una política de retiro

Guardar la fecha de ingesta ayuda, pero no demuestra que una política siga vigente. Registrar versión de origen, fecha de modificación y estado permite retirar fragmentos reemplazados o eliminados. Los cambios de permisos deben propagarse al índice y a las cachés con una ventana definida. Si esa ventana no puede cumplirse para información sensible, el recuperador debe consultar una autorización vigente o suspender temporalmente ese contenido.

Ejemplo: un asistente para políticas de devoluciones

Un equipo empieza con un conjunto acotado de políticas aprobadas para dos países. Cada documento tiene país, vigencia y responsable. Ante una consulta, el servicio identifica al usuario, filtra su ámbito y recupera la política vigente. La respuesta incluye el apartado que respalda la condición y el enlace autorizado. Si existen políticas incompatibles, pide aclarar el país o escala la consulta. Este ejemplo es una propuesta de implementación, no un resultado atribuido a Cloudata ni una función confirmada de Dova.

Durante el piloto, el asistente explica procedimientos; no aprueba reembolsos ni modifica pedidos. Separar consulta y ejecución permite evaluar la calidad del conocimiento antes de introducir acciones con impacto económico.

Medir más que una respuesta que suena bien

Construya preguntas conocidas, ambiguas, sin respuesta y fuera de permisos. Mantenga los casos de prueba versionados y repítalos cuando cambien documentos, índices, prompts o modelos. Las evaluaciones permiten comprobar el comportamiento frente a criterios definidos [3]; los límites aceptables deben acordarse con el responsable del proceso.

Antes de abrirlo a más usuarios

• Definir documentos elegibles, responsable editorial y mecanismo de corrección.
• Probar cambios de grupos, documentos borrados y enlaces que ya no son accesibles.
• Revisar respuestas con fuentes contradictorias y contenido malicioso.
• Registrar evidencia y resultados de evaluación sin guardar secretos o documentos completos innecesariamente.
• Acordar alertas, retirada del servicio y un canal para reportar respuestas incorrectas.

Dova se presenta como una plataforma de integración de datos con mappings, workflows, sesiones, workers y monitoreo. Esas capacidades pertenecen a la preparación y operación de flujos de datos. Esta arquitectura RAG requiere componentes adicionales y validación propia; no presupone que Dova incluya un motor RAG o estos controles de autorización.