AI-assistent på företagets dokument: arkitektur, GDPR och kostnad

De flesta företag som efterfrågar en “AI-chatbot” behöver egentligen en intern assistent: något medarbetarna kan fråga “vilken uppsägningstid har vi i avtalet med leverantör X?” eller “vilka av våra produkter är godkända för utomhusbruk?” och få ett korrekt svar med en länk till källan. Den här guiden är för er som ansvarar för IT eller verksamhet och planerar en sådan assistent. Det korta svaret: bygg den på sökning i era egna dokument och system, tillämpa behörigheterna när innehållet hämtas, håll data inom EU och testa svaren mot en uppsättning riktiga frågor innan någon förlitar sig på dem. En enkel version över en dokumentsamling kostar oftast 20 000–30 000 € (ca 220 000–330 000 kr). Att koppla den till era system och ta den i produktion är vad vår AI Production Launch till fast pris är till för.

Den här texten handlar om interna assistenter. En publik chatbot på er webbplats är ett annat projekt, med andra risker.

Vad är en intern AI-assistent, och hur skiljer den sig från en chatbot?

En intern AI-assistent svarar på medarbetarnas frågor utifrån företagets egna dokument och data, med källhänvisningar, i stället för utifrån modellens allmänna kunskap. Nästan alla bygger på RAG (retrieval-augmented generation): systemet söker först fram relevanta stycken ur era källor och ber sedan modellen svara utifrån enbart dem.

Det hjälper att vara tydlig med vilken av tre saker ni bygger:

Börja med en assistent som bara läser. Lägg till åtgärder senare, med en person som godkänner var och en.

Vilka dokument och system kan den svara utifrån?

De bästa första källorna är dokument som folk frågar om hela tiden och som har en tydlig ägare:

• Policyer och handböcker: HR, IT, kvalitet och arbetsmiljö.
• Avtal: leverantörs- och kundavtal, förlängningsdatum, ansvarsbegränsningar och servicenivåer.
• Produktdata: specifikationer, certifieringar och godkännanden från ert PIM eller affärssystem.
• Projektdokument, tidigare anbud och offerter.

De ligger oftast i SharePoint eller OneDrive, Google Drive, Confluence, på en filserver eller i ett affärssystem eller CRM som nås via API. En skillnad är viktig: data som ändras från timme till timme, som priser, lagersaldo eller orderstatus, ska slås upp direkt i systemet via API när någon frågar, inte kopieras in i indexet. Annars ger assistenten gårdagens svar med full säkerhet. Börja med en eller två källor, inte hela intranätet.

Hur ser arkitekturen ut?

Källor: SharePoint, avtal, PIM/affärssystem
   |  synka, tolka, dela upp i stycken, behåll behörigheter
   v
Sökindex: nyckelords- och vektorsökning, med åtkomstlistor
   |  hitta de stycken den här användaren får se
   v
Assistenttjänst  <-->  modell-API i en EU-region
   |  svar med källa, eller "finns inte i dokumenten"
   v
Teams, intranät eller webbapp  ->  loggar, utvärdering, kostnadsövervakning

1. Inläsning: kopplingar synkar dokumenten och tolkar dem, även tabeller och skannade sidor (med OCR). Varje stycke behåller sin metadata: källa, ägare, datum, version och vem som får se det.
2. Sökindex: dokumenten delas upp i stycken och indexeras för både nyckelordssökning och vektorsökning (sökning på betydelse). Ni behöver båda, eftersom artikelnummer, avtalsnummer och exakta termer lätt missas med enbart vektorsökning.
3. Hämtning: systemet filtrerar först på användarens behörighet, rangordnar sedan de stycken som återstår och behåller de bästa.
4. Svar: modellen får frågan och de styckena, med instruktioner att bara svara utifrån dem, ange källan och säga till när svaret saknas. Modellen körs via en tjänst i en EU-region.
5. Direktuppslag: för priser, lagersaldo eller orderstatus anropar assistenten affärssystemet eller CRM:et i samma stund som frågan ställs.
6. Gränssnitt: lägg assistenten där folk redan arbetar, till exempel i Microsoft Teams, på intranätet eller i en enkel webbapp med inloggning via SSO.
7. Loggning och övervakning: frågor, hämtade källor, svar, användarnas omdömen och kostnad per svar.

Vi använde samma byggstenar, RAG över affärsdata och AI-agenter anpassade efter varje användares roll, i UpliftIQ:s plattform för beslutsstöd.

Hur säkerställer ni att folk bara ser det de har behörighet till?

Det här är den del som oftast går fel, och den del er säkerhetsansvarige frågar om först.

• Spegla behörigheterna från källsystemen, till exempel grupper i SharePoint eller roller i affärssystemet, och koppla dem till er inloggning, till exempel Microsoft Entra ID.
• Filtrera vid hämtningen. Modellen ska aldrig få ett stycke som användaren inte hade kunnat öppna i källsystemet. Instruktioner i prompten är ingen behörighetsstyrning.
• Synka ändrade behörigheter lika ofta som ändrat innehåll, så att den som byter roll förlorar åtkomsten samma dag.
• Låt det känsligaste, som löner, hälsouppgifter eller pågående personalärenden, stå utanför indexet om det inte finns ett tydligt behov och ett separat beslut.
• Testa med minst två roller. En behörighetsläcka stoppar lanseringen; den är inte en bugg att rätta senare.

Vad innebär GDPR för en assistent på företagets data?

Det här är ingen juridisk rådgivning, men de här punkterna kommer upp i varje projekt:

• Era dokument innehåller personuppgifter: namn i avtal, uppgifter om anställda i HR-filer. Bestäm ändamålet, kontrollera den rättsliga grunden och lämna utanför det assistenten inte behöver.
• Driv applikationen och kör modellen i en EU-region, via en tjänst som inte använder era data för träning. Varje leverantör som är inblandad ska finnas med som underbiträde i ert personuppgiftsbiträdesavtal.
• Även frågorna innehåller ofta personuppgifter. Maskera loggarna där det går, spara dem en kort och bestämd tid och begränsa vem som får läsa dem.
• Om leverantörens utvecklare sitter utanför EU måste avtalet täcka den överföringen. Våra utvecklare arbetar från Ukraina, så vi tecknar ett personuppgiftsbiträdesavtal med EU:s standardavtalsklausuler innan någon i teamet rör personuppgifter. Detaljerna finns på vår sida om säkerhet och dataskydd.
• Om assistenten hanterar känsliga uppgifter eller mycket personaldata, gör en konsekvensbedömning (DPIA) före lansering. Integritetsskyddsmyndigheten (IMY) har vägledning om när en sådan krävs.
• EU:s AI-förordning räknar AI som används för beslut om anställda, till exempel rekrytering eller prestationsbedömning, som högrisk. En assistent som svarar på frågor om policyer hör inte dit, men användarna ska ändå veta att de pratar med en AI.

Hur vet ni att svaren är tillräckligt bra?

Bygg utvärderingsmängden innan ni bygger assistenten. Be dem som svarar på frågorna i dag, till exempel HR, IT-supporten eller säljstödet, om 50–100 riktiga frågor från de senaste månaderna, var och en med rätt svar och källdokument. Ta med frågor där svaret inte finns i dokumenten, och frågor som den som frågar inte har behörighet att få svar på. Bygg med tiden ut mängden till 200–1 000 frågor med hjälp av fel från produktion.

Kör om mängden varje gång ni ändrar prompten, modellen, sökinställningarna eller källorna. Så upptäcker ni att en ändring gjorde saker sämre innan användarna gör det.

Vad kostar en intern AI-assistent?

Driften tillkommer. Modellanvändningen för en assistent med 250 användare i veckan är ungefär 3 100 USD om året i rena tokenkostnader med en modell i mellanklassen till dagens priser, och ungefär det dubbla med utvärderingskörningar och testmiljöer. Drift i ert eget molnkonto kostar oftast från några tiotal till några hundra euro i månaden. Den kostnad som är lättast att glömma är människor: någon måste äga varje källa och hålla den aktuell. Vi bryter ner siffrorna i vad AI-implementering kostar.

Varför fallerar dokumentassistenter efter lansering?

• Inaktuellt innehåll. Gamla versioner av en policy ligger kvar i indexet och assistenten citerar dem. Ge varje källa en ägare, märk dokument med ett giltighetsdatum och ta bort ersatta versioner.
• Gissningar i stället för att avböja. En assistent som alltid ger ett svar ger säkra, felaktiga svar med källhänvisning. Gör “finns inte i dokumenten” till ett godkänt svar, och testa för det.
• Genvägar i behörigheterna “bara under piloten” som aldrig tas bort.
• Den ligger utanför de verktyg folk använder, så ingen öppnar den efter första veckan.
• Omdömen som ingen läser. Svar med tummen ner är era bästa testfall; gå igenom dem varje vecka.
• Omfattningen sväller. “AI till allt” innan det första användningsfallet har fått förtroende.

Ska ni bygga eget, eller använda Copilot eller ChatGPT Enterprise?

Om era dokument finns i Microsoft 365 och allmän sökning och sammanfattning räcker, prova ett färdigt verktyg som Microsoft 365 Copilot först. Det går snabbare och är billigare att komma igång. Bygg eget när ni behöver data direkt från affärssystemet eller PIM, strikta behörigheter per dokument över flera system, svar kopplade till specifika avtalsklausuler, kontroll över modell, drift och loggar, eller när assistenten ska vara ett steg i ett flöde snarare än ett separat chattfönster.

Vad ni kan göra nu

Välj en grupp som får samma frågor om och om igen, till exempel HR, IT-supporten eller säljstödet, och samla 50 riktiga frågor från den senaste månaden med rätt svar. Det är er första utvärderingsmängd, och det snabbaste sättet att se om en assistent skulle hjälpa. När ni vill ha den byggd och i produktion börjar AI Production Launch med en genomlysning på 5 dagar för 3 500 € (ca 38 500 kr). Genomlysningen ger er ett fast pris för lanseringen, någonstans mellan 20 000 och 35 000 € (ca 220 000–385 000 kr), och räknas av fullt ut mot den om ni startar inom 60 dagar.