Documentação se escreve para que alguém a consulte algum dia: lê-la é opcional, então um erro ali pode passar despercebido por muito tempo. A nossa base de conhecimento é lida por agentes antes de agir, todos os dias, e ninguém revisa cada resposta antes que ela conte. Quando regras normativas, informação de clientes e dados financeiros vivem sob o mesmo teto, uma leitura ampla pode trazer de volta algo que nunca deveria cruzar essa fronteira, sem que ninguém tenha feito nada de errado.
Por isso dividimos a base em três repositórios conforme quem pode ler o quê: um normativo, um com a informação de cada cliente, um de sensibilidade alta só para os sócios. A fronteira se fixa por onde o arquivo vive, decidida antes de a pergunta existir, não pela qualidade de quem responde a ela.
Antes de construir assim, testamos uma ferramenta de busca por relevância com dados de dois clientes fictícios. Uma pergunta específica os manteve separados. Uma pergunta ampla trouxe o cliente errado, como correspondência fraca. Foi isso que decidiu: a confidencialidade não pode depender do comportamento de uma busca.