Knowledge base AI aziendale: come creare un sistema RAG

I manuali dei prodotti stanno in una cartella condivisa, le procedure nell’intranet e le regole sui prezzi nella testa del direttore commerciale: per una sola domanda può servire chiedere a tre persone. Una knowledge base AI permette a dipendenti o clienti di fare domande in linguaggio naturale e di ricevere una risposta basata sui documenti dell’azienda, con la fonte indicata. Ecco come funziona la RAG, come creare una knowledge base in sei passi, quale soluzione scegliere e che cosa sapere su costi e sicurezza.

In sintesi

Le knowledge base AI aziendali si costruiscono di solito con la RAG (retrieval-augmented generation): il sistema recupera i passaggi pertinenti dai documenti dell’azienda e un modello linguistico risponde a partire da quei passaggi, citandoli. La qualità dipende soprattutto da contenuti puliti, da un buon recupero e da permessi progettati fin dall’inizio, non dal modello scelto. Le piattaforme low-code sono la via più rapida per un progetto pilota, i modelli open-weight in self-hosting tengono i dati in casa e lo sviluppo su misura ripaga quando la knowledge base deve integrarsi a fondo con i sistemi aziendali.

Che cos’è una knowledge base AI (RAG)

Una knowledge base AI risponde a domande in linguaggio naturale a partire dai documenti dell’azienda, e il modo più diffuso per costruirla è la RAG, acronimo di retrieval-augmented generation (generazione aumentata dal recupero). Il termine nasce da un articolo del 2020 di Lewis e colleghi (in inglese), ricercatori di Facebook AI Research, University College London e New York University, che combinava ciò che un modello linguistico impara durante l’addestramento con un indice esterno di documenti consultato al momento della risposta.

Ogni risposta passa per tre fasi:

1. Recupero: la domanda viene trasformata in un vettore (una serie di numeri che ne rappresenta il significato) e confrontata con i frammenti indicizzati dei documenti.
2. Arricchimento: i passaggi più pertinenti vengono passati al modello insieme alla domanda.
3. Generazione: il modello risponde a partire da quei passaggi e indica i documenti che ha usato.

Poiché l’indice è esterno al modello, osservano gli autori, la conoscenza si aggiorna senza riaddestrare nulla: si sostituisce un file, lo si reindicizza e le risposte cambiano di conseguenza.

RAG, ChatGPT o fine-tuning: che differenza c’è?

La differenza sta in dove risiede la conoscenza aziendale: ChatGPT e gli altri assistenti generalisti conoscono solo il materiale pubblico su cui sono stati addestrati, il fine-tuning incorpora conoscenze o stile nel modello stesso e la RAG tiene la conoscenza in una libreria esterna consultata a ogni domanda.

• Un assistente generalista non conosce le schede tecniche, le regole di prezzo o le procedure dell’azienda. Caricare dei file funziona come soluzione temporanea, ma senza una versione unica e aggiornata e senza permessi per persona.
• Il fine-tuning riaddestra un modello sui dati aziendali. Aiuta per un formato fisso, un tono o un compito circoscritto, ma è un cattivo modo di conservare i fatti: quando i documenti cambiano bisogna riaddestrare, e le risposte non possono indicare una fonte. Lo stesso articolo sulla RAG osserva che i modelli puramente parametrici hanno bisogno di ulteriore addestramento per aggiornare le conoscenze e faticano a mostrare la provenienza delle risposte.
• La RAG recepisce i documenti aggiornati appena vengono reindicizzati, cita le fonti e può filtrare i contenuti in base a chi fa la domanda.

Per la maggior parte delle knowledge base aziendali conviene partire dalla RAG e aggiungere il fine-tuning solo quando servono un formato o un tono specifici.

A che cosa serve una knowledge base AI in azienda

Una knowledge base AI con la RAG funziona meglio con domande la cui risposta è scritta da qualche parte ma sepolta in troppi documenti: domande interne (note spese, istruzioni IT, inserimento dei nuovi assunti), assistenza clienti basata su manuali, politiche di reso e ticket passati sul sito web o su WhatsApp (vedi come creare un chatbot AI per aziende), materiale commerciale come schede tecniche, confronti e clausole standard, procedure e politiche di qualità citate clausola per clausola, e manuali tecnici.

Due tipi di attività si prestano poco. I dati in tempo reale, come le giacenze di magazzino o lo stato di un ordine, devono arrivare direttamente dai sistemi aziendali, per esempio tramite un’API o un server MCP collegato al gestionale, non da un foglio di calcolo esportato che potrebbe essere già superato. E la revisione di un intero contratto clausola per clausola non si risolve recuperando pochi passaggi.

Come creare una knowledge base AI in sei passi

Creare una knowledge base AI richiede sei passi: censire e ripulire i contenuti, suddividerli in frammenti e vettorializzarli, configurare recupero e reranking, applicare i permessi, citare le fonti, infine valutare e aggiornare. I primi due passi fissano il tetto della qualità.

1. Censire e ripulire i contenuti

Elenchi dove si trova la conoscenza (cartelle condivise, intranet, email, strumenti di ticketing), in quali formati e chi la mantiene. Elimini versioni obsolete e duplicati, applichi l’OCR ai documenti scansionati, ristrutturi le tabelle complesse e assegni a ogni documento reparto, livello di riservatezza, area geografica e data di validità. Se i documenti si contraddicono, si contraddirà anche l’AI. Raccolga inoltre le domande reali poste da colleghi e clienti, da usare nei test.

2. Suddividere in frammenti e vettorializzare

I documenti vengono suddivisi in frammenti (chunk), convertiti in vettori da un modello di embedding e salvati in un database vettoriale. Conviene dividere seguendo la struttura del documento: titoli, clausole, coppie domanda-risposta. Come riferimento, il servizio di retrieval di OpenAI (in inglese) usa per impostazione predefinita frammenti da 800 token con una sovrapposizione di 400, e le impostazioni dei frammenti di Dify prevedono una modalità parent-child che cerca su frammenti piccoli ma restituisce come contesto l’intera sezione.

Il problema più comune è la perdita di contesto. La ricerca di Anthropic sul Contextual Retrieval cita l’esempio di un frammento secondo cui i ricavi sono cresciuti del 3% rispetto al trimestre precedente, senza dire di quale azienda né di quale trimestre. La soluzione è anteporre a ogni frammento il titolo del documento, la sezione e una breve descrizione. Per contenuti in più lingue serve un modello di embedding che le supporti tutte.

3. Recupero e reranking

La sola ricerca vettoriale perde ciò che richiede una corrispondenza esatta, come codici prodotto o numeri di clausola, perciò la maggior parte dei sistemi aggiunge una ricerca per parole chiave come BM25 (“ricerca ibrida”) e poi un modello di reranking che riordina i risultati. Nei test di Anthropic su diversi ambiti di conoscenza, aggiungere contesto ai frammenti ha ridotto del 35% la quota di contenuti pertinenti esclusi dai primi 20 risultati; aggiungere la ricerca per parole chiave, del 49%; aggiungere il reranking, del 67% (dal 5,7% all’1,9%). Anche le impostazioni di recupero di Dify offrono ricerca vettoriale, full-text e ibrida, con reranking facoltativo.

4. Applicare i permessi

I permessi devono agire al momento del recupero: i documenti vengono filtrati in base a chi fa la domanda prima che qualcosa arrivi al modello, di solito tramite metadati come reparto o livello di riservatezza. Il servizio di retrieval di OpenAI può filtrare i file per attributi prima della ricerca semantica, e il filtro per metadati di Dify restringe il recupero in base ai campi dei metadati. Tenga separate la knowledge base per i clienti e quella interna. Un prompt che chiede al modello di mantenere i segreti non è un controllo degli accessi.

5. Citare le fonti

Ogni risposta deve mostrare la sua fonte: documento, sezione e, se possibile, un link. Il modello va istruito a rispondere solo con i passaggi recuperati e a dichiararlo quando non coprono la domanda. Le citazioni creano fiducia e indicano quale documento correggere quando una risposta è sbagliata; Dify chiama questa funzione “Citation and Attribution”.

6. Valutare e mantenere aggiornato

Prima del lancio, testi la knowledge base con le domande reali raccolte: è stato recuperato il documento giusto, la risposta è corretta, la citazione è precisa? Dopo il lancio, riveda le domande rimaste senza risposta e le risposte segnalate come poco utili, e intervenga. Assegni un responsabile a ogni gruppo di documenti, reindicizzi quando i file cambiano e ritiri i documenti scaduti.

Piattaforma, sviluppo su misura o AI privata: come scegliere

La soluzione giusta dipende da quanto in fretta si vuole un progetto pilota, da quanto sono sensibili i dati e da quanto profondamente la knowledge base deve collegarsi ai sistemi aziendali.

Le piattaforme low-code (come Dify o Coze) permettono di caricare file e configurare il recupero da un’interfaccia visuale: vanno bene per prototipi, progetti pilota e casi d’uso standard. Dify e Coze Studio, l’edizione open source di Coze, si possono installare sui propri server con Docker (vedi la guida Docker Compose di Dify, in inglese). Attenzione alle licenze: Coze Studio usa la Apache 2.0, mentre la licenza di Dify aggiunge condizioni alla Apache 2.0, come la necessità di una licenza commerciale per gestire un servizio multi-tenant. Modelli di permessi complessi o integrazioni profonde possono andare oltre ciò che una piattaforma supporta.

Lo sviluppo su misura significa costruire in proprio l’intera pipeline (lettura dei documenti, suddivisione in frammenti, database vettoriale, ricerca ibrida, permessi) dentro il gestionale, il CRM, l’intranet o il sito web. Offre il massimo controllo e riutilizza gli accessi e i ruoli già esistenti, al prezzo di un investimento iniziale maggiore e di una manutenzione continua.

L’AI privata in self-hosting esegue modelli open-weight sui server dell’azienda o in un cloud dedicato, così documenti e domande restano in casa. Tra le scelte più comuni ci sono DeepSeek e Qwen: codice e pesi di DeepSeek-R1 sono rilasciati con licenza MIT e il progetto dichiara che ne è consentito l’uso commerciale, mentre il team di Qwen3 dichiara che i suoi modelli open-weight sono rilasciati con licenza Apache 2.0. Verifichi la licenza di ogni modello: le versioni distillate di DeepSeek-R1 si basano su modelli Qwen o Llama e il progetto rimanda alle licenze originali di quei modelli di base. L’hardware dipende dalle dimensioni: DeepSeek-R1 completo ha 671 miliardi di parametri, mentre le versioni distillate ufficiali vanno da 1,5 a 70 miliardi e sono molto più leggere; conviene provarle sulle proprie domande.

Le opzioni si combinano bene, per esempio un Dify in self-hosting collegato a un modello open-weight locale.

Quanto costa una knowledge base AI: le voci di costo

Per una knowledge base AI non esiste un prezzo standard: il costo è fatto di lavoro una tantum e di costi ricorrenti.

• Una tantum: preparazione dei contenuti (la parte più sottovalutata, che cresce con fonti sparse, documenti scansionati e tabelle), configurazione o sviluppo, integrazioni come single sign-on, sito web, WhatsApp o CRM, test e messa a punto.
• Ricorrenti: uso del modello (tariffe per token nel cloud, oppure acquisto o noleggio di server con GPU in self-hosting), chiamate ai modelli di embedding e di reranking (la documentazione di Dify ricorda che il reranking consuma token del modello di rerank), archiviazione vettoriale, abbonamenti o licenze della piattaforma e gestione operativa: server, aggiornamenti di sicurezza, manutenzione dei contenuti e monitoraggio.

I fattori che pesano di più sono volume e complessità dei documenti, numero di utenti e di domande, permessi, lingue, modalità di deployment e precisione richiesta. Parta con un progetto pilota in un solo reparto, misuri il costo reale per risposta e poi decida se estendere.

Sicurezza dei dati: permessi, GDPR e avvelenamento

Una knowledge base AI concentra in un unico punto le informazioni aziendali, quindi la sicurezza va progettata fin dall’inizio.

• Permessi: l’OWASP Top 10 per le applicazioni LLM 2025 (in inglese) elenca tra i rischi le debolezze di vettori ed embedding: controlli di accesso deboli espongono contenuti sensibili, e team o clienti che condividono lo stesso database vettoriale possono vedere i dati altrui. OWASP raccomanda database vettoriali che tengano conto dei permessi e log dettagliati delle attività di recupero.
• Dati personali: per i dati personali di persone che si trovano nell’UE, il GDPR richiede di trattare solo i dati necessari (articolo 5), una sicurezza adeguata al rischio (articolo 32), un contratto con ogni fornitore che tratta dati per conto dell’azienda (articolo 28) e trasferimenti leciti fuori dall’UE (capo V). Molti casi d’uso non richiedono alcun dato personale.
• Avvelenamento dei dati: l’esempio di OWASP è un curriculum con testo nascosto, bianco su bianco, che ordina all’AI di raccomandare il candidato, inviato a un sistema di selezione che valuta i CV con la RAG. Indicizzi solo fonti affidabili e controlli i file caricati.
• Condizioni dei fornitori: con modelli in cloud, verifichi se i dati vengono usati per l’addestramento, dove vengono conservati e per quanto tempo, e fissi un periodo di conservazione per i log delle conversazioni. Per gli assistenti in abbonamento, il confronto ChatGPT vs Claude vs Gemini per aziende riassume che cosa dichiarano i fornitori.

Errori frequenti

• Caricare ogni file disponibile: documenti obsoleti e contraddittori peggiorano le risposte.
• Aspettarsi che la RAG elimini le allucinazioni: le riduce ma non le elimina, quindi il modello deve ammettere quando non sa e le risposte importanti vanno controllate.
• Usare solo la ricerca vettoriale: codici e nomi propri si perdono.
• Aggiungere i permessi in un secondo momento: un’informazione trapelata non si può più ritirare.
• Usare la RAG quando non serve: Anthropic osserva che una knowledge base sotto i 200.000 token (circa 500 pagine) può essere inserita direttamente nel prompt, se la finestra di contesto del modello è abbastanza ampia.
• Nessun set di test e nessun responsabile: nessuno sa se la qualità migliora e i contenuti invecchiano.

Domande frequenti

Come creare una knowledge base AI aziendale?

Una knowledge base AI si crea in sei passi: censire e ripulire i documenti, suddividerli in frammenti e vettorializzarli, recuperare con ricerca ibrida più reranking, filtrare in base ai permessi degli utenti, citare le fonti in ogni risposta e valutare con domande reali mantenendo aggiornati i contenuti. L’azienda prepara i documenti, con un responsabile per ciascuno, un insieme di domande reali e le regole su chi può vedere che cosa.

Che differenza c’è tra RAG e fine-tuning?

La RAG recupera passaggi da una libreria esterna di documenti al momento della domanda, quindi i documenti aggiornati contano appena vengono reindicizzati e le risposte possono citare le fonti. Il fine-tuning riaddestra il modello sui dati aziendali; è adatto a un formato fisso, a un tono o a un compito circoscritto, ma quando i fatti cambiano bisogna riaddestrare e le risposte non possono indicare una fonte. La maggior parte delle knowledge base aziendali parte dalla RAG.

Una knowledge base AI può funzionare interamente sui nostri server?

Sì. La piattaforma (per esempio Dify o Coze Studio in self-hosting), il database vettoriale e un modello open-weight come DeepSeek o Qwen possono funzionare tutti sui server dell’azienda o in un cloud dedicato, così documenti e domande restano in casa. In cambio l’azienda deve fornire e gestire l’hardware con GPU: verifichi la licenza di ogni modello e provi prima i modelli più piccoli sulle proprie domande.

UsualMatrix crea knowledge base AI per aziende di tutto il mondo, su una piattaforma low-code, con uno sviluppo su misura o con modelli open source sui server dell’azienda, e può collegarle a un chatbot AI per l’assistenza clienti sul sito web o su WhatsApp. Comunichiamo in cinese, spagnolo e inglese. Scopra il nostro servizio di soluzioni di intelligenza artificiale oppure ci contatti per parlare dei suoi documenti e dei suoi casi d’uso.

Nota: le informazioni sul GDPR contenute in questo articolo sono di carattere generale, aggiornate alla data di pubblicazione, e non costituiscono consulenza legale. Funzionalità e licenze di terze parti cambiano: verifichi la documentazione ufficiale aggiornata di ciascun fornitore.