SAP Joule mit eigenen Dokumenten: Was Document Grounding allen Nutzern zeigt und wie Unternehmen die Datenbasis absichern

Der Beitrag richtet sich an SAP-Verantwortliche, Fachbereiche mit eigenen Wissensbeständen sowie Datenschutz und Informationssicherheit, die Joule mit Unternehmensdokumenten verbinden wollen. Sinnvoll beginnt man nicht bei der Technik, sondern bei der Frage, welche Dokumente jeder Joule-Nutzer im Unternehmen sehen dürfte. Diese Menge ist der sichere Startpunkt.

Wo Document Grounding im SAP-Angebot steht

Joule ist der KI-Assistent in SAP-Anwendungen. Die Seite SAP Business AI im Überblick ordnet ihn zwischen SAP Business AI und den Erweiterungen mit Joule Studio ein und nennt als Prüfpunkt unter anderem die Datenqualität. Document Grounding ist eine optionale Funktion von Joule: Laut SAP Help Portal nutzt sie Informationen aus Dokumenten, die das Unternehmen in den Dienst lädt, und aus dem SAP Help Portal, um Joule-Antworten mit Kontext anzureichern.

Document Grounding betrifft Dokumente, nicht Geschäftsdaten in S/4HANA oder anderen SAP-Anwendungen. Welche Vorgänge Joule in der Anwendung ausführen darf und welche Rollen dafür nötig sind, beschreibt der Beitrag zu Joule-Rollen und Berechtigungen. Eigene Agenten mit Joule Studio behandelt der Beitrag zu Joule Studio. Hier geht es um die Wissensbasis: welche Dokumente hineingehören, wer sie sehen darf und wie sie aktuell bleiben.

Voraussetzungen, Quellen und Kosten

Für die Einrichtung verlangt SAP drei Dinge: die AI-Unit-SKU 8019164 mit AI Units, die Berechtigungen (Entitlements) für Document Grounding im Subaccount, in dem Joule abonniert ist, und den Identity Authentication Service. Angebunden werden können laut Einrichtungsseite Google Drive, Microsoft SharePoint, SAP Build Work Zone (advanced edition) und ServiceNow, jeweils mit festgelegten Dateitypen wie DOCX, PDF, PPTX, TXT und statischem HTML; bei ServiceNow nur Knowledge-Base-Artikel.

Je Pipeline sind laut Seite zur Einspeisung höchstens 8.000 Dokumente möglich, je Datei bis 40 MB. Ohne den Parameter includePaths wird alles eingespeist, was die Quelle hergibt, bis diese Grenze erreicht ist. Standardmäßig werden Pipelines einmal täglich aktualisiert; per Zeitplan oder manuellem Aufruf geht es öfter.

Abgerechnet wird laut Metering and Pricing monatlich nach Datensätzen: Ein Datensatz entspricht einem angefangenen 50-MB-Block und 0,005 AI Units, wobei je Dokument aufgerundet wird: Zehn Dateien mit je 5 MB ergeben laut SAP zehn Datensätze. Gelöschte Dokumente zählen im Monat der Löschung trotzdem mit, verbleibende werden in den Folgemonat übertragen. Den Preis je AI Unit nennt die Seite nicht, er hängt vom Vertrag ab. Ob eine Aktualisierung unveränderter Dokumente erneut Datensätze erzeugt, beschreibt SAP dort nicht; das sollte im Pilot anhand der Abrechnung geprüft werden.

Wer sieht welche Dokumente

Hier liegt der wichtigste Befund. Auf der Einrichtungsseite schreibt SAP, eingespeiste Dokumente seien für alle Joule-Geschäftsnutzer im jeweiligen Joule-Tenant verfügbar, und empfiehlt, keine vertraulichen oder anderweitig geschützten Dokumente einzuspeisen. Joule berücksichtige bei Antworten derzeit keine Kontextinformationen wie den Standort oder die Berechtigungen des Nutzers.

Eine Ausnahme beschreibt die Seite zur Zugriffskontrolle für SharePoint. Mit dem Parameter accessControlEnabled spiegelt Document Grounding die Berechtigungen aus SharePoint in den Index und gibt nur Dokumente zurück, die der angemeldete Nutzer dort sehen darf. Die Einschränkungen sind erheblich:

• Nur SharePoint Online, keine lokalen SharePoint-Installationen und keine anderen Quellen.
• Nur in den Rechenzentren eu10 (AWS, Frankfurt) und eu30 (Google Cloud, Frankfurt).
• Der Standard ist false: Ohne die Einstellung sind alle indizierten Dokumente für jeden angemeldeten Nutzer zugänglich. Einmal eingeschaltet, lässt sie sich für die Pipeline nicht mehr ausschalten.
• Gespiegelt werden Entra-ID-Sicherheitsgruppen, direkte Zuweisungen und geerbte Rechte, nicht aber klassische SharePoint-Gruppen, Vertraulichkeitsbezeichnungen (Sensitivity Labels) und Richtlinien für bedingten Zugriff.
• Rechteänderungen wirken erst nach dem nächsten Pipeline-Lauf, bei täglichem Lauf also bis zu einem Tag später. Die E-Mail-Adresse im Identity Authentication Service muss zu der in Entra ID passen.
• Es gelten Grenzen, etwa 1.000 Dokumente je Lauf, 50 Gruppen je Dokument und 50 Gruppen je Sammlung.

Die beiden SAP-Seiten widersprechen sich auf den ersten Blick. Die naheliegende Lesart: Ohne gesonderte Einstellung gilt die Aussage der Einrichtungsseite, mit Zugriffskontrolle in den genannten Rechenzentren filtert Document Grounding die Treffer anhand der synchronisierten SharePoint-Berechtigungen. Ob Joule dann auch Antworten verweigert, die auf gesperrten Dokumenten beruhen würden, sollte im Pilot mit gezielten Testfragen geprüft werden.

Die Animation zeigt den Unterschied an einem hypothetischen Beispiel mit zwei Nutzern und fünf Dokumenten.

Hypothetisches Beispiel und schematische Darstellung von AI-Fabrik nach dem SAP Help Portal (Set Up Document Grounding; Enable Document Access Control for Microsoft SharePoint), abgerufen am 14. November 2026. Dokumente, Gruppen und Nutzer sind erfunden.

Datenqualität: Was SAP prüft und was nicht

Der Prüfpunkt „Datenqualität“ auf der SAP-Anbieterseite bekommt bei Document Grounding eine konkrete Bedeutung. SAP selbst prüft den Inhalt nicht: Laut Einrichtungsseite hat die Funktion keinen Mechanismus, um die Art der verarbeiteten Daten zu bestimmen, und kann daher nicht erkennen, ob Dokumente personenbezogene Daten enthalten. Auch die Gültigkeit eines Dokuments kennt das System nicht. Ein veralteter Prozessleitfaden neben dem aktuellen ist für Joule eine gleichwertige Quelle.

Daraus ergeben sich vier Aufgaben für das Unternehmen:

Einordnung und Empfehlungen von AI-Fabrik auf Basis der SAP-Dokumentation. Die Umsetzung ist je nach Quelle unterschiedlich aufwendig.

Für ein kleineres Unternehmen mit einem Pilot im Einkauf genügt nach unserer Einschätzung ein eigener Ordner im Standard-Dokumentordner einer SharePoint-Site mit einer überschaubaren Zahl freigegebener Dokumente und einer verantwortlichen Person. Erst wenn mehrere Abteilungen eigene, nicht für alle bestimmte Bestände anbinden wollen, wird die Zugriffskontrolle nötig, und mit ihr die Bindung an SharePoint Online und die beiden Frankfurter Rechenzentren. Wer Joule in einem anderen Rechenzentrum betreibt, kann Dokumente nach der Dokumentation nicht nach Berechtigungen filtern lassen und muss bei einer Sammlung für alle bleiben.

Pilotfragen vor dem Einsatz

1. Welche Dokumente dürfte jeder Joule-Nutzer im Unternehmen sehen, und reicht diese Menge für einen ersten Anwendungsfall?
2. Brauchen wir Filterung nach Berechtigungen, und läuft unser Joule in eu10 oder eu30 mit SharePoint Online als Quelle?
3. Wer verantwortet Aufnahme, Gültigkeit und Entfernung jedes Dokuments, und wie schnell muss eine Löschung in Joule wirken?
4. Mit welchen Testfragen prüfen wir, dass Joule die richtige Quelle nennt und keine Inhalte aus gesperrten oder veralteten Dokumenten wiedergibt?
5. Wie viele Datensätze und AI Units fallen im Monat an, und erzeugen tägliche Aktualisierungen zusätzliche Kosten?

Fazit: Erst die Sammlung kuratieren, dann anbinden

Quellen

Weiterführende Artikel auf AI-Fabrik