Il problema: ChatGPT non può leggere i tuoi contratti
Gli LLM pubblici (ChatGPT, Gemini, Claude via claude.ai) sono potenti, ma non conoscono la tua azienda. Se carichi documenti perché li analizzino, trasferisci dati personali e segreti commerciali a una terza parte, di solito con server fuori dalla UE.
La risposta non è vietare l'IA — questo sposta solo il problema sullo shadow-IT dei dipendenti. La risposta è offrire dentro il tuo BPM un LLM che conosca i tuoi documenti, rispetti i tuoi permessi e lasci una traccia auditabile.
Questa è la promessa del RAG (Retrieval-Augmented Generation) implementato dentro Dokuflex: l'LLM non "sa" nulla della tua azienda, ma cerca e cita i tuoi documenti in ogni query.
Cos'è il RAG, senza marketing
RAG = Retrieval-Augmented Generation. Invece di chiedere all'LLM di "ricordare" informazioni del suo addestramento (dove può allucinare), gli forniamo un processo in due fasi:
- Retrieval (recupero): il sistema cerca in un database vettoriale i frammenti (chunk) di documenti più rilevanti per la domanda. La ricerca è semantica, non per parola chiave.
- Generation (generazione): l'LLM riceve la domanda dell'utente insieme ai chunk recuperati come contesto e produce una risposta basata solo su quel contesto, con citazioni alla fonte.
L'effetto: l'LLM risponde sui tuoi contratti, policy e pratiche senza che quei documenti facciano parte dell'addestramento del modello. E se l'informazione non è nella base vettoriale, il sistema risponde "non trovo informazioni su questo" invece di inventare.
Per un'azienda europea il RAG risolve tre problemi insieme: allucinazioni, sovranità del dato e auditabilità.
Architettura RAG dentro Dokuflex
Questi sono i componenti distribuiti, tutti nella UE, tutti governati dal BPM:
| Livello | Componente Dokuflex | Localizzazione dato |
|---|---|---|
| Fonte documentale | Repository Dokuflex (pratiche, contratti, PDF). | UE (ES/DE/FR/NL) |
| Elaborazione (OCR + chunking) | Pipeline di ingestion: OCR, segmentazione semantica, pulizia PII opzionale. | UE |
| Embedding | Modello di embedding europeo (Mistral, E5-multilingual, BGE-m3). | UE |
| Vector store | Database vettoriale dedicato per cliente (pgvector, Qdrant, Weaviate). | UE |
| Recupero | Hybrid search (semantico + BM25), filtri di permessi ACL. | UE |
| LLM (generazione) | Mistral Large, Llama 3.1 / 3.3, Claude (AWS Bedrock EU), modello Dokuflex on-prem. | UE |
| Orchestrazione | BPM Dokuflex con human-in-the-loop e approvazioni. | UE |
| Audit | Log immutabile: domanda, fonti recuperate, risposta, utente, timestamp. | UE |
Il cliente sceglie il datacenter (Spagna, Germania, Francia, Paesi Bassi) e il modello LLM. Nessun transito tramite gli USA in alcun momento del pipeline.
Casi d'uso reali in Dokuflex
Sei scenari in cui il RAG produce valore immediato dentro un BPM:
Assistente sui contratti
"Quali clausole di penalità abbiamo con il fornitore X?" — risposta basata sui contratti firmati, con citazione al PDF e alla clausola precisa.
Ricerca semantica sui ticket
L'agente descrive il problema in linguaggio naturale e il sistema recupera i ticket simili già risolti, con la loro soluzione e il tempo medio di risoluzione.
Assistente sul CCNL
Il dipendente chiede dei giorni di permesso per trasloco e ottiene la risposta esatta dal contratto collettivo applicabile, con citazione dell'articolo.
Ricerca nelle policy interne
"Qual è la nostra policy di retention dei log per i dati finanziari?" — risponde citando il manuale di compliance vigente.
Analisi della pratica
L'analista chiede rischi ed eccezioni in una pratica — l'LLM riassume documenti KYC, bilanci e precedenti, con citazioni.
Redazione assistita con contesto
Il redattore legale genera un atto basato su template + giurisprudenza interna + dati della pratica, con human-in-the-loop prima della firma.
Conformità GDPR: come si traduce nella pratica
I requisiti GDPR per l'IA applicati al RAG di Dokuflex:
- Art. 5 · Minimizzazione: l'LLM riceve solo i chunk recuperati, non l'intero corpus. E solo i chunk per cui l'utente è autorizzato.
- Art. 6 · Base giuridica: trattamento basato sul legittimo interesse del titolare (efficienza operativa) o sull'esecuzione contrattuale, registrato nel Registro dei trattamenti.
- Art. 22 · Decisioni automatizzate: Dokuflex insiste sul human-in-the-loop per qualsiasi decisione che riguardi le persone (HR, credit scoring). L'LLM propone, la persona decide.
- Art. 32 · Sicurezza tecnica: cifratura a riposo (AES-256), in transito (TLS 1.3), permessi ereditati dal BPM, log immutabili.
- Art. 44 · Trasferimenti internazionali: evitati per design. Niente Schrems-II né Schrems-III: lo stack vive nella UE.
- Art. 35 · Valutazione d'impatto (DPIA): forniamo un template di DPIA specifico per l'uso del RAG su dati personali.
- Art. 15-22 · Diritti dell'interessato: diritto di accesso, rettifica e cancellazione propagati al vector store: se elimini un documento dal BPM, i suoi chunk spariscono dall'indice e dalla cache.
EU AI Act: classificazione e obblighi
Il Regolamento (UE) 2024/1689 classifica i sistemi di IA in quattro livelli. La maggior parte dei casi d'uso tipici di Dokuflex rientra nel rischio limitato o nel rischio minimo:
- Assistente documentale, ricerca, riassunto, redazione assistita: rischio limitato → obbligo di trasparenza (informare l'utente che sta interagendo con un'IA).
- Classificazione di documenti, estrazione di dati: rischio minimo → buone pratiche, nessun obbligo specifico.
- Decisioni che riguardano le persone (HR, credito): rischio alto → human-in-the-loop, registro del modello, DPIA, supervisione umana.
Dokuflex documenta in ogni deploy quale modello viene usato, quale provider, quale versione, quali dati sono stati elaborati e con quale finalità. Quella documentazione copre il requisito del registro dei sistemi di IA che entra in vigore per fasi nel 2026-2027.
RAG in Dokuflex vs ChatGPT Enterprise / Microsoft Copilot
Non sostituisce ChatGPT per uso generale. Copre i casi sensibili che non dovresti inviare a un LLM esterno:
| Dimensione | LLM/RAG Dokuflex | ChatGPT Enterprise / Copilot |
|---|---|---|
| Localizzazione dato | UE (ES/DE/FR/NL) | USA / UE secondo contratto (con DPF) |
| Addestramento sui tuoi dati | No, per contratto | No, per contratto |
| Origine UE del modello | Sì (Mistral, Llama via Azure EU) | No (OpenAI USA, Anthropic USA) |
| Permessi BPM ereditati | Sì, a livello di chunk | Solo a livello SharePoint/Drive |
| Citazioni alla fonte | Obbligatorie, con link al PDF | Opzionali, non sempre affidabili |
| Audit completo | Log immutabile esportabile a SIEM | Limitato al tenant |
| Integrazione con il workflow | Nativa: approvazioni, firma, archiviazione | Esterna via API |
La regola pratica: ChatGPT per la conoscenza generica, Dokuflex RAG per i tuoi documenti sensibili.
Come lo distribuiamo nella tua organizzazione
- Discovery (1 settimana): identifichiamo 2-3 casi d'uso prioritari e il corpus documentale rilevante. Validiamo la base giuridica (Registro trattamenti, DPIA se necessaria).
- Ingestion pilota (1 settimana): indicizziamo 1.000-5.000 documenti del cliente in un vector store dedicato. OCR + chunking + embedding.
- Validazione con esperti (1 settimana): utenti reali testano l'LLM con domande reali, validano accuratezza e citazioni. Tuning di prompt e filtri.
- Rollout progressivo (2-4 settimane): scalata sul resto del corpus, integrazione con i flussi BPM, formazione dei team, metriche di adozione.
- Governance continua: revisione mensile di adozione, qualità delle risposte, casi rifiutati, evoluzione del modello e del prompt.
Tempo totale per avere un primo caso d'uso in produzione: da 4 a 8 settimane. Senza migrare il tuo BPM né riscrivere i processi.
Domande frequenti
Cos'è il RAG e perché è importante per un'azienda europea? +
Il RAG (Retrieval-Augmented Generation) è l'architettura in cui un LLM risponde basandosi su documenti reali recuperati in tempo reale da un database vettoriale. Invece di inventare, cita. È importante in Europa perché permette di usare l'IA senza inviare l'intero corpus al modello (minimizzazione GDPR) e mantiene la tracciabilità: ogni risposta punta alla sua fonte, requisito chiave per gli audit e per l'EU AI Act.
I miei dati vengono usati per addestrare modelli esterni? +
No. In Dokuflex l'LLM viene invocato in modalità inferenza sui tuoi documenti vettorializzati, ma i dati non vengono mai utilizzati per addestrare né riaddestrare il modello base. Gli accordi con i provider di modelli (Mistral, Llama via Azure EU, Claude via AWS Bedrock EU, modello Dokuflex on-premise) escludono esplicitamente il riaddestramento sui dati del cliente.
Dove sono ospitati i dati e gli embedding? +
Nell'Unione Europea. Il vector store, i documenti originali, i log e gli embedding risiedono in datacenter situati in Spagna, Germania, Francia o Paesi Bassi a seconda del cliente. Non ci sono trasferimenti verso gli Stati Uniti, nemmeno nell'ambito del Data Privacy Framework: Dokuflex evita il rischio Schrems-III mantenendo l'intero stack all'interno della UE.
Come si controlla quali documenti può vedere l'LLM? +
Il RAG di Dokuflex eredita i permessi del BPM: l'LLM recupera solo i frammenti dei documenti che l'utente è autorizzato a vedere. Un utente HR non potrà ottenere risposte basate su contratti commerciali anche se li richiede. L'autorizzazione viene valutata a ogni query a livello di chunk, non a livello di collezione.
Tutto questo è conforme all'EU AI Act? +
Sì, per i casi d'uso tipici di Dokuflex (assistente documentale, classificazione, estrazione, redazione assistita) che sono a rischio limitato o minimo. Includiamo le misure richieste: trasparenza, tracciabilità con citazione, human-in-the-loop e registro del modello e del provider. Per i casi ad alto rischio si applica una governance aggiuntiva documentata.
Servono GPU o server costosi? +
No. Dokuflex offre l'LLM e il vector store come servizio gestito nella UE: il cliente paga solo per le query e per i documenti indicizzati. Per i clienti con esigenze on-premise (difesa, sanità pubblica, banca tier-1) esiste una versione installabile con modelli aperti (Llama 3.1, Mistral) sull'infrastruttura del cliente.
IA aziendale sovrana, in produzione in 4-8 settimane
Prenotiamo una sessione guidata di 60 minuti per vedere l'LLM funzionare con i tuoi documenti in un ambiente isolato nella UE. Include template DPIA, Registro dei trattamenti e comparativa dei modelli europei.