Accès lié à l'identité
Chaque action s'exécute sous une identité connue : pour les requêtes interactives, sous celle de l'utilisateur connecté ; pour les agents d'arrière‑plan, sous un compte de service explicite, aux droits étroitement définis. Dans les deux cas, les mêmes contrôles d'autorisation s'appliquent que pour un clic dans l'interface. Ce que l'identité n'a pas le droit d'ouvrir, l'IA ne peut ni le lire, ni le citer, ni le résumer.