Knowledge base per agenti AI: organizzare la conoscenza aziendale e darla in sicurezza

Sono le sei di sera, la scadenza è domani mattina e il fascicolo del cliente è aperto sullo schermo. Il dipendente seleziona tutto, copia, apre la chat dell’assistente AI, incolla e scrive: fammi un riepilogo. Funziona, la risposta arriva in dieci secondi ed è pure buona.

È anche il momento esatto in cui quel documento smette di essere un documento aziendale.

Di tutte le conversazioni che facciamo con le imprese sull’intelligenza artificiale, questa è quella che si sposta più in fretta dall’entusiasmo alla preoccupazione. Non perché l’AI faccia qualcosa di male, ma perché nessuno aveva pensato a cosa succede alle informazioni quando escono dai binari su cui l’azienda le teneva.

Cosa perde un documento quando lo incolli

Un file che vive su un server aziendale non è solo un contenuto. Si porta dietro quattro cose, e tutte e quattro restano indietro nel momento in cui viene copiato altrove.

1. Chi poteva vederlo. Sul server quel file sapeva di essere visibile a tre persone e non alle altre quaranta. La copia incollata in una chat non lo sa più, e non c’è modo di ricordarglielo.
2. Quanto era aggiornato. Aveva una data, forse un successore, magari un cartellino che diceva bozza. Il testo incollato è senza età: sembra vero adesso.
3. Da dove veniva. Nella risposta che l’AI produce, quel contenuto si mescola a tutto il resto. Chi legge la risposta non ha modo di risalire alla fonte, e spesso non ce l’ha nemmeno chi l’ha chiesta.
4. Cosa se ne poteva fare. Un vincolo di riservatezza, una clausola contrattuale, un limite d’uso concordato con il cliente: sono regole scritte altrove, che il testo non porta con sé.

Questa è la frase da tenere, perché tutto il resto dell’articolo discende da qui.

Il permesso vive sul documento, non sulla copia.

Costruire una knowledge base per l’AI non vuol dire ordinare meglio le cartelle. Vuol dire fare in modo che le regole viaggino insieme all’informazione, invece di restare attaccate al posto da cui l’informazione è stata presa. È una differenza che sembra sottile sulla carta e che decide tutto nella pratica.

Perché succede lo stesso, anche nelle aziende serie

La reazione istintiva è pensare a un problema di disciplina, e quindi a una circolare. Abbiamo visto scrivere parecchie circolari. Non funzionano quasi mai, e il motivo è meccanico più che umano.

Il dipendente che incolla non sta violando una regola: sta scegliendo l’unica strada che conosce per arrivare in tempo. Se la strada corretta esiste ma costa tre minuti in più, in un pomeriggio di scadenze perde sempre. Non è una questione di formazione, è una questione di attrito. Finché la via giusta è più lenta di quella sbagliata, vince quella sbagliata, e vince ogni giorno.

Tenete a mente questo punto: è anche la chiave della soluzione, e ci torniamo alla fine.

Cosa succede se non organizzi niente

Immaginate la procedura per la gestione di una pratica ricorrente. Sul drive condiviso ne esistono quattro versioni: quella del 2023, la revisione di febbraio, una copia che qualcuno aveva salvato sul desktop e poi ricaricato, e la versione buona. Nessuno ha mai dichiarato quale sia la versione buona, perché finora non serviva: le due persone che sanno come si fa quella pratica lo sanno e basta.

Quando collegate un assistente a quel drive, succede una cosa che vale la pena capire bene. Il sistema non ha alcun modo di sapere quale delle quattro vale. Non è che sceglie male: è che sceglie, e la risposta esce con lo stesso tono sicuro in tutti e quattro i casi. Chi legge non vede la differenza.

Il problema delle aziende non è avere poca documentazione. È averne troppa, contraddittoria, senza che nessuno abbia mai messo per iscritto quale versione vince. L’AI non risolve quel disordine. Lo amplifica, lo rende istantaneo e gli dà un tono autorevole. Una knowledge base non è l’insieme dei documenti che possedete: è l’insieme dei documenti di cui qualcuno ha detto che sono quelli buoni.

I rischi, in ordine di probabilità

Li mettiamo nell’ordine in cui li incontriamo davvero, che non è l’ordine in cui vengono raccontati di solito.

1. L’AI espone i permessi che avevate già sbagliati

Questo è il più frequente, ed è anche il più sottovalutato perché non assomiglia a un incidente. Un assistente aziendale ben configurato di norma rispetta i permessi esistenti: mostra a ciascuno quello a cui quella persona ha già accesso.

Il punto è che quasi nessuna azienda sa davvero a cosa ha accesso ciascuno. Cartelle condivise anni fa e mai richiuse, ereditarietà dei permessi rotta in un punto e dimenticata, gruppi nati per un progetto e mai sciolti. Sono errori latenti che finora non facevano danni, perché per trovare quel file bisognava sapere che esisteva e dove cercarlo.

Una domanda in linguaggio naturale cancella quella protezione. Nessuno ha violato niente: l’assistente ha semplicemente reso interrogabile un archivio che era protetto soltanto dalla propria disorganizzazione.

2. GDPR: i dati escono dal perimetro

È il rischio che preoccupa di più i nostri interlocutori, e a ragione, perché tocca due questioni distinte che vale la pena tenere separate.

La prima è dove finiscono i dati. Molti servizi di AI elaborano fuori dall’Unione Europea. Trasferire dati personali fuori dallo spazio europeo non è vietato, ma richiede una base giuridica e delle garanzie, e richiede soprattutto che qualcuno in azienda sappia che quel trasferimento sta avvenendo. Un dipendente che incolla non lo sta decidendo consapevolmente, e nella maggior parte dei casi non sa nemmeno di averlo fatto.

La seconda è cosa esce. Nel fascicolo di un cliente non ci sono solo numeri: ci sono nomi, indirizzi, situazioni familiari, a volte dati sanitari o giudiziari che il regolamento tratta con particolare rigore. Il principio di minimizzazione dice che si trattano i dati necessari a quella finalità e non uno di più. Incollare l’intero fascicolo per farsi riassumere due paragrafi è l’esatto contrario della minimizzazione.

C’è poi un aspetto che nelle discussioni si perde e che invece cambia la prospettiva del titolare: la responsabilità non si trasferisce insieme ai dati. Lo studio o l’azienda resta titolare del trattamento anche quando il calcolo lo fa un fornitore. Il fornitore è un responsabile, e il rapporto va regolato per contratto. Davanti a un cliente che chiede conto di dove sono finite le sue informazioni, la risposta “le ha elaborate un servizio americano” non chiude la questione, la apre.

3. Il documento avvelenato

Questo è meno probabile ma merita di essere conosciuto, perché è controintuitivo. Un’istruzione scritta dentro un documento può essere letta dall’agente come un comando, non come contenuto da riassumere. Il nome tecnico è prompt injection indiretta.

La parte scomoda è che i canali d’ingresso sono legittimi. Un allegato via email, un ticket aperto da un fornitore, un curriculum, un documento ricevuto da un cliente: tutta roba che entra normalmente nell’archivio. L’istruzione può essere invisibile a chi legge e perfettamente leggibile per la macchina. E un solo documento avvelenato agisce su tutti quelli la cui domanda lo va a pescare.

Non è un motivo per spaventarsi, è un motivo per sapere sempre cosa è entrato nell’archivio e da dove.

4. Non riuscire a ricostruire

L’ultimo rischio non produce titoli sui giornali, ma è quello che si paga più spesso. Se sei mesi dopo qualcuno chiede perché quella pratica è stata impostata così, e la risposta era stata costruita da un assistente su documenti che nessuno ha registrato, non c’è modo di ricostruire niente. Non potete correggere l’errore, perché non sapete da dove veniva. E non potete difendere la scelta, perché non avete nulla da mostrare.

È la stessa questione di cui abbiamo scritto parlando di come si verifica il lavoro di un agente, vista dal lato dell’ingresso: senza tracciabilità sull’informazione che entra, non esiste verifica possibile su quella che esce.

Cosa vuol dire organizzare, in pratica

A questo punto la reazione tipica è immaginare un progetto lungo e costoso. Non serve. Le mosse sono cinque e sono in ordine di costo crescente: le prime due si fanno con un foglio di calcolo e qualche riunione, e da sole tolgono di mezzo buona parte del problema.

1. Inventario. Che documentazione esiste davvero, dove sta, chi la possiede, chi può vederla. Non è un censimento totale: bastano gli archivi che l’assistente potrebbe toccare. Quasi sempre la prima sorpresa arriva qui.
2. Dichiarare chi vince. Per ogni ambito, una fonte è quella buona e le altre sono copie. Sembra banale, ed è la mossa che produce il salto di qualità più grande in rapporto a quanto costa.
3. Data e responsabile su ogni documento che conta. Quando è stato verificato l’ultima volta e chi risponde del suo contenuto. Servono a una persona che legge tanto quanto servono a un sistema che recupera.
4. Un percorso guidato al materiale giusto. Invece di lasciare che sia il dipendente a decidere cosa dare in pasto all’assistente, il sistema gli propone le fonti pertinenti alla domanda che sta facendo.
5. Tracciamento. Che cosa è stato consultato, da chi, per rispondere a che cosa. È la differenza fra poter rispondere a un cliente e dover dire non lo so.

Notate che nessuna di queste cinque mosse è una scelta tecnologica. Sono decisioni organizzative, e vanno prese prima di comprare qualunque cosa. Chi parte dallo strumento si ritrova con lo stesso disordine di prima, più veloce.

Il nome che si dà di solito a questo insieme di decisioni è data governance, un’espressione che ha il difetto di suonare come un progetto per grandi imprese. Nella pratica di una società di venti persone sono le cinque righe qui sopra, e si esauriscono in poche settimane di lavoro non continuativo.

Gli strumenti, e cosa fanno davvero

Quando le decisioni di sopra sono prese, serve qualcosa che le tenga in piedi. Il tipo di sistema che serve qui non è un archivio più ordinato: è uno strato che sta fra le fonti aziendali e l’agente, e che fa tre cose che un archivio non fa.

• Riconosce quando due fonti si contraddicono, e lo segnala invece di fonderle in silenzio. È il rimedio diretto al problema delle quattro versioni.
• Tiene traccia della provenienza di ogni informazione, così una risposta può sempre essere riportata ai documenti che l’hanno prodotta.
• Distingue quando un fatto era vero da quando l’azienda lo ha saputo. Sembra una sottigliezza da archivisti, ed è invece ciò che permette di rispondere a domande del tipo: che cosa sapevamo, a marzo, quando abbiamo deciso?

Uno dei progetti più interessanti in questo spazio è Semantica, open source con licenza MIT e oltre dodicimila stelle su GitHub. Costruisce quello che si chiama un grafo della conoscenza, in inglese knowledge graph: una mappa di entità e relazioni al posto di un mucchio di documenti sciolti, con sopra la provenienza e il doppio asse temporale. Si espone agli agenti come server MCP, che è lo stesso meccanismo con cui abbiamo collegato un assistente al gestionale in un altro progetto.

La differenza pratica fra un grafo e una cartella di documenti è che il grafo sa che quella persona è l’amministratore di quella società, che quella società ha quel contratto e che quel contratto ha quella scadenza. Una domanda che attraversa tre passaggi trova una strada da percorrere, invece di dover sperare che esista un documento in cui erano già scritti tutti e tre insieme.

Il caso: dallo scegliere a braccio al sistema che indirizza

Stiamo implementando in questi mesi un sistema di questo tipo con un’azienda. È un lavoro in corso, quindi raccontiamo come funziona e non che risultati produce: i dati non sono ancora sufficienti per dire numeri.

Il punto di partenza è quello descritto all’inizio di questo articolo. Le persone usavano già l’AI, e la usavano bene: incollavano o allegavano nella chat il documento che serviva, senza pensarci troppo, perché era la cosa naturale da fare. La scelta di che cosa condividere era interamente affidata al giudizio di chi in quel momento aveva una scadenza addosso.

Come funziona adesso. Il sistema è integrato con la chat e si mette in mezzo prima dell’invio, non dopo. Rileva il contesto della richiesta, analizza il materiale che sta per uscire e valuta se quella condivisione è ammissibile. Se non lo è, non si limita a bloccare: propone delle alternative, cioè altre fonti che rispondono alla stessa domanda senza esporre quello che non deve uscire.

La parte che ci interessa di più è però l’altra. Quando la condivisione è ammissibile, il sistema guarda comunque la domanda e può suggerire fonti aggiuntive che l’utente non aveva pensato di allegare. A schermo la persona vede le alternative o le integrazioni proposte, e sceglie. In questo modo aiutiamo l’utente ad usare sempre un contesto completo (unsa sorta di context engineering automatizzato).

Il controllo a posteriori. Il report periodico dice quante fonti sono state bloccate e per quale motivo. È il documento che permette al responsabile di rispondere alla domanda che prima non aveva risposta: che cosa esce da qui, e perché. Il tutto rispettando sempre la normativa e la privacy degli utilizzatori del sistema

Il punto che cambia tutto

Torniamo all’attrito: un sistema di controllo che si limita a bloccare è un sistema che le persone imparano ad aggirare. Rallenta chi lavora, e chi lavora sotto scadenza trova sempre una scorciatoia: il telefono personale, un altro strumento, la copia sul desktop. Abbiamo visto fallire così parecchi progetti di sicurezza, in azienda e non solo sull’AI.

Il livello di controllo giusto non è quello che protegge di più. È quello che le persone hanno interesse ad attraversare.

Il suggerimento delle fonti aggiuntive è quello che ribalta la faccenda. Se passando dal sistema il dipendente ottiene una risposta migliore, perché il sistema conosce materiale pertinente che lui non aveva considerato, allora la strada corretta smette di essere la più lenta e diventa la più conveniente. La conformità non si ottiene convincendo le persone: si ottiene rendendola la scelta più comoda.

È lo stesso principio per cui i controlli deterministici funzionano meglio delle circolari, e per cui un buon strumento batte una buona intenzione.

Cosa si sblocca, quando l’ordine c’è

Vale la pena dire anche il lato positivo, perché finora abbiamo parlato quasi solo di rischi e non è una rappresentazione onesta.

• Risposte che citano la fonte. Smettono di essere opinioni della macchina e diventano affermazioni verificabili in dieci secondi.
• Domande che attraversano i reparti. Quelle a cui oggi si risponde mettendo insieme tre persone in una stanza.
• La conoscenza tacita smette di essere un rischio. Quello che sanno soltanto due persone, e che oggi esce dall’azienda quando escono loro, diventa materiale consultabile.
• Decisioni ricostruibili. Non a beneficio di un revisore, ma vostro: capire perché sei mesi fa avete deciso così è la cosa che più spesso manca quando bisogna decidere di nuovo.

Da dove si comincia

Non dal grafo, e nemmeno dall’assistente. Si comincia da un elenco: che cosa esiste, chi lo possiede, chi lo può vedere. Nella nostra esperienza la prima mossa operativa quasi sempre toglie invece di aggiungere, perché il primo risultato dell’inventario è scoprire quanta roba è accessibile a persone che non dovrebbero vederla, da anni, senza che nessuno se ne fosse accorto.

È una parte del lavoro che facciamo prima ancora di parlare di agenti, e che rientra nella fase di qualificazione del metodo che chiamiamo harnessing. Se volete capire prima che cosa sia un agente e cosa possa fare per la vostra azienda, si parte da qui.

E se la domanda che avete in testa è più semplice, del tipo: che cosa sta uscendo in questo momento dalla nostra azienda dentro le chat che i dipendenti usano già? Quella è una domanda a cui vale la pena rispondere prima di aggiungere qualsiasi cosa. È il primo esercizio della diagnosi gratuita di quarantacinque minuti, e nella maggior parte dei casi la risposta sorprende chi ce l’ha in casa.