Knowledge management AI per PMI: da Drive e WhatsApp a memoria unica

C’è un momento preciso in cui il titolare di una PMI capisce di avere un problema di conoscenza: quando deve rispondere a una domanda che qualcuno in azienda ha già risposto sei mesi prima, e non riesce a trovare dove. Il preventivo è su Drive, ma in quale cartella. La condizione commerciale che avevamo concesso a quel cliente è in una chat WhatsApp. La procedura di collaudo la sa solo Marco, e Marco è in ferie. Il knowledge management AI aziendale nasce esattamente da qui: non dal desiderio di avere un chatbot, ma dal costo quotidiano e invisibile di cercare cose che l’azienda possiede già.

Le stime su quanto costi questa dispersione circolano da anni e non concordano tra loro: chi misura il fenomeno arriva a risultati sensibilmente diversi, e vale la pena dirlo invece di scegliere la più drammatica. Il punto che sopravvive a tutte è però lo stesso: una quota a due cifre della giornata lavorativa se ne va in recupero di informazioni, e in una PMI da quindici persone quella quota non la vede nessuno, perché non è una voce di bilancio.

Questo articolo non spiega cos’è il knowledge management in astratto. Spiega come si costruisce, in pratica, una memoria aziendale interrogabile: quali sorgenti collegare, come funziona l’architettura minima che serve, come si gestiscono i permessi, cosa succede quando i documenti cambiano, e quanto costa davvero, con i numeri pubblici che si possono verificare e l’ammissione esplicita di quelli che non si possono.

In questo articolo scoprirai:

• Perché in una PMI l'informazione si perde tra Drive, chat e teste dei collaboratori
• Knowledge management AI aziendale: cosa vuol dire una memoria interrogabile
• Quali sorgenti collegare per prime, e quali lasciare fuori
• Chat WhatsApp e GDPR: cosa si può indicizzare senza violare la privacy
• Come si evita che un collaboratore ottenga documenti che non gli competono
• Aggiornamento: una knowledge base ferma è peggio di nessuna knowledge base
• Quanto costa davvero indicizzare l'archivio di una PMI
• Quando basta Gemini Notebook e quando serve un agente su misura

Perché in una PMI l’informazione si perde tra Drive, chat e teste dei collaboratori

Nelle grandi aziende la conoscenza si perde per eccesso di sistemi. Nelle PMI si perde per il motivo opposto: non c’è nessun sistema, e va bene così finché l’azienda sta in una stanza. Il problema arriva quando le persone diventate venti hanno prodotto, in dieci anni, un archivio che nessuno ha progettato.

La forma tipica è questa. I documenti formali, contratti, listini, capitolati, stanno su Google Drive o SharePoint, in una gerarchia di cartelle costruita per stratificazione, dove convivono tre versioni dello stesso listino e nessuna dice quale è quella buona. Le decisioni operative stanno nelle chat: WhatsApp col cliente, Teams o Slack interni, email. La conoscenza procedurale, come si fa una cosa, perché la facciamo così, cosa è andato storto l’ultima volta, non sta scritta da nessuna parte: sta nella testa di due o tre persone.

Le tre categorie hanno problemi diversi. I documenti sono cercabili ma ambigui: la ricerca per nome file funziona solo se ricordi il nome del file. Le chat sono ricchissime di contesto e completamente inutilizzabili: nessuno rilegge duemila messaggi per ricostruire una condizione commerciale. La conoscenza nelle teste è la più preziosa e la più fragile, perché ha gambe e un giorno esce dalla porta.

Cosa non risolve il problema: cartelle, wiki e buoni propositi

Il tentativo classico è riordinare: una nuova struttura di cartelle, una wiki interna, un manuale delle procedure. Funziona per tre settimane. Poi la wiki resta ferma alla versione di lancio, perché aggiornarla è lavoro che non produce fatturato e nessuno lo fa. Il fallimento non è di disciplina, è di attrito: qualsiasi sistema che richieda alle persone di scrivere due volte la stessa informazione verrà abbandonato.

La differenza di un approccio basato su un agente AI è che l’informazione non va riscritta: va indicizzata dov’è già. Il preventivo resta su Drive, la chat resta su WhatsApp, e sopra ci si mette uno strato che sa leggere entrambi e rispondere in italiano a chi chiede. Non è magia, è un’architettura precisa. Vediamola.

Knowledge management AI aziendale: cosa vuol dire una memoria interrogabile

Il meccanismo si chiama RAG, retrieval-augmented generation, e il suo funzionamento è meno esotico di quanto sembri. I documenti aziendali vengono spezzati in pezzi di qualche centinaio di parole. Ogni pezzo viene trasformato in un vettore, cioè in una lista di numeri che rappresenta il suo significato. Quando qualcuno fa una domanda, anche la domanda diventa un vettore, e il sistema cerca i pezzi di documento numericamente più vicini. Quei pezzi, non l’intero archivio, vengono passati al modello linguistico, che formula la risposta usando solo quelli. Se il concetto è nuovo, la nostra guida completa al RAG lo smonta pezzo per pezzo.

La conseguenza pratica più importante è che l’agente risponde citando la fonte: sa da quale documento viene ogni frase, e questo lo rende verificabile. Un’affermazione senza documento a monte è un’invenzione, e si vede subito.

Perché la ricerca semantica trova il documento vicino e non quello giusto

La ricerca per significato ha un difetto strutturale che i venditori non raccontano: la vicinanza numerica non è pertinenza. Due documenti che parlano dello stesso tema con le stesse parole risultano vicinissimi anche quando uno è la versione 2019 scaduta e l’altro il listino in vigore. Abbiamo dedicato un articolo intero al perché la similarità coseno trova la pagina vicina invece di quella giusta, ed è il singolo problema che fa fallire più progetti di knowledge base.

Le contromisure sono misurate, non opinabili. Anthropic ha pubblicato i numeri della sua tecnica di contextual retrieval, che prima di calcolare il vettore prepone a ogni pezzo una frase che spiega da dove viene: il tasso di fallimento del recupero scende dal 5,7% al 3,7%, e arriva all’1,9% aggiungendo la ricerca per parole chiave e un passaggio di riordino dei risultati (Anthropic, Contextual Retrieval). Detto altrimenti: un RAG costruito senza queste attenzioni sbaglia il recupero circa tre volte più spesso di uno costruito bene, a parità di documenti.

C’è anche un caso in cui tutto questo non serve. Sempre Anthropic è esplicita: sotto i 200.000 token, circa 500 pagine, conviene mettere l’intero archivio nel prompt e lasciar perdere il recupero. Se la tua conoscenza aziendale critica sta in cinquanta documenti, non ti serve un’infrastruttura: ti serve un buon prompt.

Quali sorgenti collegare per prime, e quali lasciare fuori

L’errore di impostazione più comune è partire dal volume: colleghiamo tutto il Drive, poi vediamo. Il risultato è una knowledge base che contiene le versioni vecchie, le bozze, i documenti personali di chi ha lasciato l’azienda, e che quindi risponde male dando l’impressione che la tecnologia non funzioni. La tecnologia funziona; l’archivio no.

L’ordine che ha senso è per densità di risposta: si parte dalle sorgenti che rispondono a domande che vengono fatte più volte alla settimana. In concreto, per una PMI manifatturiera o di servizi: listini e condizioni commerciali in vigore, capitolati e schede tecniche, procedure operative, storico offerte, documentazione post-vendita. Su SharePoint questo lavoro ha una sua specificità che abbiamo trattato a parte, in come l’AI può velocizzare la ricerca di informazioni su SharePoint.

Ci sono poi le sorgenti che non sono documenti e che vanno estratte prima di essere indicizzate: le fatture, per esempio, sono dati strutturati dentro un PDF, e il lavoro vero è tirarli fuori. Sul piano tecnico, il modo standard con cui un agente si collega a queste sorgenti è oggi il Model Context Protocol, che abbiamo spiegato nella guida all’MCP Server.

Si possono indicizzare le chat WhatsApp aziendali, e con quali vincoli

Sì, ma solo il canale business, e solo con una premessa organizzativa. La documentazione della Cloud API di WhatsApp (Meta for Developers) descrive il transito dei messaggi ma non promette alcuna conservazione dello storico: se vuoi la memoria delle conversazioni devi archiviarla tu, dal momento in cui il messaggio passa. È una scelta architetturale che va fatta prima, non dopo: chi collega il canale a settembre non avrà mai le conversazioni di agosto, e nessun fornitore potrà recuperargliele. Il primo giorno di archiviazione è il primo giorno di memoria.

Chat WhatsApp e GDPR: cosa si può indicizzare senza violare la privacy

Il vincolo serio è giuridico. Indicizzare il WhatsApp personale di un collaboratore significa trattare i dati personali di un interlocutore che non ha mai acconsentito a nulla: l’articolo 5 del GDPR impone che i dati siano «adeguati, pertinenti e limitati a quanto necessario» e conservati non oltre il necessario (GDPR, art. 5). La strada praticabile è un numero business separato, che rende netta la distinzione tra canale aziendale e canale privato, motivo per cui l’integrazione va progettata, non improvvisata: ne parliamo in perché è importante integrare un agente AI con WhatsApp e, dal lato ritorno commerciale, in come aumentare il ROI con un chatbot WhatsApp.

Ci sono poi due decisioni da mettere per iscritto prima di collegare il canale: per quanto tempo si conservano i messaggi indicizzati, e chi in azienda può interrogarli. Il principio di limitazione della conservazione non ammette il «teniamo tutto per sicurezza»: se una conversazione commerciale serve finché il contratto è in vigore, la sua utilità nell’indice finisce lì, e la data va scritta nei metadati come per qualsiasi altro documento. Vale anche l’informativa: che la conversazione venga archiviata e riusata per rispondere internamente è parte del trattamento, non un dettaglio implementativo. Il quadro degli adempimenti si allarga quando a elaborare i dati è un sistema di intelligenza artificiale, ed è il perimetro che abbiamo ricostruito nell’AI Act.

Come si evita che un collaboratore ottenga documenti che non gli competono

Questo è il punto su cui i progetti vengono bloccati in fase di revisione, ed è anche quello più sottovalutato in fase di preventivo. Il problema in una frase: quando il modello riceve i pezzi di documento recuperati, non ha alcun modo di sapere che l’originale era riservato all’amministrazione. Il filtro deve avvenire prima, nel recupero.

Microsoft ha imparato la lezione pubblicamente con Copilot, e la formulazione corretta è che Copilot non rompe i permessi di SharePoint: rende scopribili alla velocità di una conversazione i permessi già sbagliati. La contromisura che Microsoft documenta, la Restricted Content Discovery, è dichiaratamente un cerotto temporaneo, esclude un sito dalla ricerca e da Copilot ma «non cambia i permessi esistenti» e non rimuove nulla dall’indice, e su siti con oltre 500.000 elementi la propagazione può richiedere più di una settimana (Microsoft Learn). Serve a comprare tempo mentre si sistemano i permessi veri, non a sostituirli.

Le tre strade tecniche per i permessi in una knowledge base AI

La prima è il filtro sui metadati: a ogni pezzo indicizzato si attacca l’informazione su chi può vederlo, e la ricerca viene filtrata a monte. Amazon Bedrock lavora così, con operatori di confronto combinabili in gruppi (AWS, Knowledge Bases), e vale la pena notare che restituisce per default cinque risultati: un dettaglio che spiega molte risposte incomplete quando la domanda tocca più documenti.

La seconda è l’isolamento a livello di archivio vettoriale. Qdrant, per esempio, raccomanda esplicitamente di non creare una collezione per ogni utente ma di partizionare con un campo indicizzato marcato is_tenant=true, che oltre a filtrare co-loca fisicamente i vettori dello stesso gruppo migliorando le letture (documentazione Qdrant).

La terza è la sincronizzazione con i permessi del sistema di origine, la più corretta e la più costosa: le ACL vengono lette da Drive o SharePoint e replicate nell’indice, con il rischio noto della finestra di staleness, se revochi un accesso stamattina, l’indice lo sa quando si risincronizza. Anche Google espone la configurazione delle ACL come passo dedicato del suo motore di ricerca aziendale (Google Cloud). Sul fronte accademico il tema è attivo: il lavoro su SecMulti-RAG propone un generatore locale con filtro di sicurezza sui prompt, per non far uscire informazione proprietaria verso modelli esterni.

Aggiornamento: una knowledge base ferma è peggio di nessuna knowledge base

Un archivio che non si aggiorna non è neutro, è dannoso: risponde con sicurezza usando il listino dell’anno scorso, e la sicurezza della risposta è esattamente ciò che impedisce a chi legge di dubitarne. Il costo di un errore autorevole è più alto del costo di non avere risposta.

Le decisioni da prendere sono tre, e sono operative. La prima è la frequenza di sincronizzazione: continua sui documenti che cambiano spesso, notturna sul resto. La seconda è la gestione delle versioni: quando un listino viene sostituito, la versione precedente va rimossa dall’indice o marcata come superata, altrimenti il recupero continuerà a pescarla perché è semanticamente identica a quella nuova. La terza è la scadenza: alcuni documenti hanno una data oltre la quale non devono più rispondere, e va scritta nei metadati.

Va poi presidiata la qualità del recupero nel tempo, con un set di domande reali su cui si verifica periodicamente che le risposte siano ancora giuste. Non è un vezzo da laboratorio: è l’unico modo per accorgersi di una degradazione prima che se ne accorga un cliente. E c’è la parte umana, che pesa più della tecnica: un sistema che le persone non interrogano non produce nessun ritorno, ed è il tema del change management per agenti AI. Il corollario è quello che abbiamo argomentato in se l’AI generativa non genera ROI, il problema non è la tecnologia: quando manca il ritorno, quasi sempre manca il processo intorno allo strumento.

Quanti documenti servono perché la ricerca funzioni, e quanto costa indicizzarli

La domanda sul numero minimo di documenti ha una risposta controintuitiva: non esiste una soglia sotto la quale il recupero non funziona, esiste una soglia sotto la quale non serve. Sotto le 500 pagine circa, come visto, l’intero corpus entra in un prompt. Il recupero diventa necessario quando l’archivio supera la finestra di contesto del modello, e diventa difficile quando i documenti sono molti e simili tra loro: è la somiglianza, non la quantità, il vero fattore di difficoltà. Cento contratti quasi identici sono un problema più duro di diecimila documenti eterogenei.

Quanto costa costruire una knowledge base AI per una PMI

Sui costi di infrastruttura si possono dare numeri verificabili. Immaginiamo un archivio di 5.000 documenti da 2.000 parole: circa 13 milioni di token. Calcolare gli embedding con text-embedding-3-small costa 0,02 $ per milione di token, cioè meno di mezzo dollaro per l’intero archivio; con il modello grande si sale a 0,13 $ per milione (OpenAI, pricing). Applicare la contestualizzazione descritta sopra costa 1,02 $ per milione di token di documento, quindi una quindicina di dollari una volta sola.

Sono cifre da bar, ed è il dato più importante di questa sezione: indicizzare la conoscenza di una PMI costa decine di euro, non decine di migliaia. Il costo del progetto sta altrove, nel capire quali documenti sono in vigore, nel sistemare i permessi che nessuno ha mai revisionato, nell’estrazione dai formati sporchi, nel definire le domande su cui misurare la qualità. È lavoro di persone su un archivio specifico, e chiunque preventivi un knowledge management aziendale senza aver guardato l’archivio sta preventivando alla cieca. Su cosa distingue un preventivo serio da uno costruito a listino, abbiamo scritto cosa aspettarsi da un partner di consulenza sugli agenti AI.

Basta Gemini Notebook o serve un agente su misura: come scegliere e cosa chiedere

La domanda è legittima e la risposta onesta è: dipende da quanto è stabile il tuo archivio. Gemini Notebook, il prodotto nato come NotebookLM, accetta fino a 500.000 parole o 200 MB per singola fonte (supporto Google) e per una raccolta chiusa di documenti da interrogare in autonomia è ottimo, oltre che immediato. È lo strumento giusto per un progetto, una gara, una due diligence.

Diventa insufficiente per tre ragioni ricorrenti. Non si sincronizza con le tue sorgenti: i documenti si caricano a mano, e un archivio che cambia ogni giorno non regge il caricamento manuale. Non ha permessi per persona: chi accede al notebook vede tutto quello che c’è dentro. E non è interrogabile da dove lavorano le persone, WhatsApp, il CRM, il gestionale, ma solo dalla sua interfaccia. È la stessa logica che abbiamo applicato a un altro caso concreto in presentazioni con AI: ChatGPT o agente su misura.

Le domande da fare a un fornitore, in ordine di capacità di smascherare un progetto fragile, sono cinque: come vengono ereditati i permessi dal sistema di origine e con quale ritardo; ogni quanto si risincronizza l’indice e cosa succede alle versioni superate; come si misura la qualità del recupero e su quali domande di riferimento; dove risiedono i dati e quale modello li elabora; cosa resta nostro se il rapporto finisce. Una griglia più ampia sta in come scegliere il partner AI in Italia.

La mappatura iniziale è il lavoro, non l’accessorio

È qui che si decide l’esito, e in genere è la parte che nessuno vuole pagare. Con Mimír la mappatura delle sorgenti è la prima fase dell’onboarding e la facciamo noi con te: si guarda dove sta l’informazione, si stabilisce quale versione è quella in vigore, si decide chi può vedere cosa e cosa resta fuori dall’indice. Non è un questionario da compilare, è un lavoro di ricognizione su un archivio reale, e nessun prodotto lo fa al posto tuo. Come si svolge in concreto lo abbiamo descritto nella guida pratica all’onboarding di agenti AI in azienda.

Se il problema descritto in questo articolo somiglia al tuo, informazioni sparse, risposte che dipendono da chi è in ufficio, un archivio che nessuno ha mai riordinato, la strada per capire se un agente AI ti conviene passa da una conversazione sul tuo caso, non da una demo. Puoi scriverci da mimir.bot: guardiamo insieme quali sorgenti hai, cosa si può indicizzare subito e cosa conviene rimandare. Se la risposta è che non ti serve, te lo diciamo.

Fonti:

• Anthropic — Introducing Contextual Retrieval
• Microsoft Learn — Restricted Content Discovery in SharePoint
• Meta for Developers — WhatsApp Cloud API, overview
• AWS — Amazon Bedrock Knowledge Bases, configurazione del recupero
• Qdrant — Multitenancy e partizionamento delle collezioni
• Supporto Google — limiti delle fonti in NotebookLM / Gemini Notebook
• Google Cloud — controllo degli accessi
• SecMulti-RAG — arXiv 2504.13425
• GDPR — articolo 5, principi del trattamento
• OpenAI — pricing API