一、RAG知识库最先要审的，不是模型，而是资料从哪里来

（一）资料越多，不等于风险越小

很多企业做RAG项目时，第一反应是把问题放在技术效果上。

回答准不准，检索快不快，知识库大不大，能不能接企业微信、飞书、钉钉、OA、CRM、ERP，能不能把公司所有资料都放进去。

这些问题当然重要。

但从法务和合规角度看，RAG项目真正要先问的不是“模型能不能回答”，而是“资料能不能被放进去”。

这些资料从哪里来。

谁有权提供。

能不能放进知识库。

能不能被AI检索、摘要、引用、改写。

能不能用于客户项目。

能不能用于其他客户。

能不能沉淀为AI企业自己的通用能力。

这些问题如果没审清，知识库越大，风险越大。

因为RAG知识库一旦搭起来，资料就不再只是静态文件，而会被切分、向量化、索引、检索、组合、摘要、引用和输出。原本分散在不同部门、不同项目、不同客户、不同授权范围里的资料，会被技术系统重新组织到一起。

最危险的情况，不是资料不够多，而是资料混在一起以后，没人说得清哪些能用、哪些不能用、哪些只能在特定场景使用。

（二）RAG不是训练，但不代表没有数据和版权风险

RAG通常是把资料切分、向量化、索引化后，在用户提问时检索相关片段，再交给模型生成回答。

它和大模型预训练、微调不完全一样。

但不能因此简单说“RAG不训练模型，所以没有风险”。

RAG仍然可能涉及复制、存储、加工、检索、展示、引用、摘要、改写、输出等处理行为。

如果资料本身来源不清，RAG回答越准确，越可能把有问题的资料原样或近似输出。

如果知识库中混入客户保密资料，系统可能把某个客户的业务经验输出给另一个客户。

如果知识库中混入个人信息，系统可能在不适当的权限范围内展示、总结或扩散。

如果知识库中混入第三方报告、付费数据库、公众号文章、培训课件、行业标准、论文、图片、图表，系统可能在未经许可的范围内复制、摘要、引用、商业使用。

所以，RAG项目不能只说“我们没有训练模型”。

法务真正要看的是，资料为什么可以进入知识库，可以被谁检索，可以输出到什么程度，项目结束后如何删除，客户能否要求隔离，AI企业能否沉淀为通用能力。

（三）RAG资料来源审查要覆盖九个环节

RAG知识库上线或交付前，资料来源审查至少要覆盖九个环节。

第一，公开资料。网上能搜到，不等于可以复制入库、长期存储和商业使用。

第二，客户资料。客户提供资料，通常是为了完成该客户项目，不当然等于AI企业可以通用化。

第三，企业内部资料。内部资料本来就有权限和密级，不能因为接入RAG就全部打通。

第四，第三方数据库和报告。付费购买不等于可以机器读取、切分、向量化和对外提供问答。

第五，员工经验和专家知识。经验可以沉淀，但要看权属、授权、保密和人格权益边界。

第六，用户交互记录。用户输入和问答记录能否进入知识库，要看告知、同意、用途和个人信息规则。

第七，网页抓取和外部内容。RAG不能变成隐形爬虫。

第八，资料入库、检索、输出、更新和删除机制。资料能进入，不代表永远能用。

第九，客户合同中的责任分配。谁提供资料，谁保证来源，谁负责删除，谁承担投诉和赔偿，都要写清。

二、公开资料不是当然可用资料

（一）“公开可见”不是“可以任意使用”

企业最容易误解公开资料。

很多RAG项目会把官网文章、公众号文章、新闻报道、行业报告、论文、标准规范、产品说明书、公开招投标文件、论坛问答放入知识库。

业务团队常见判断是：网上能搜到，公开可见，没有付费墙，所以可以直接入库使用。

这个判断不完整。

公开可见，只能说明资料可以被看到，不等于可以任意复制、加工、长期存储、商业使用或对外提供问答服务。

一篇公众号文章公开发布，不代表其他企业可以抓取全文入库并向客户收费问答。

一份行业报告能在网络找到，不代表可以拆分成知识片段用于商业产品。

一份产品说明书公开展示，不代表可以批量入库后服务竞争性业务。

一份论坛问答公开可见，也不代表其中的个人信息、用户评论、专业意见可以被自由沉淀和复用。

（二）公开资料至少要查四件事

公开资料入库前，至少要查四件事。

第一，是否受著作权保护。

文章、报告、图片、图表、产品说明书、培训课件、数据库内容，都可能涉及著作权或其他受保护利益。公开发布并不当然放弃权利。

第二，网站或平台规则是否限制抓取、复制和商用。

公开页面也可能有使用条款。平台可能禁止爬虫、批量抓取、商业使用、再分发或用于训练和自动化服务。

第三，是否包含个人信息、商业秘密或敏感信息。

信息已经公开，不代表可以无限再处理。尤其是个人姓名、联系方式、履历、病例、交易记录、用户评论、投诉内容，仍要考虑个人信息保护和合理使用边界。

第四，是否允许用于商业知识库服务。

内部阅读、临时检索、企业内部知识管理、对客户收费问答、对公众开放服务，是不同使用层级。不能因为内部研究可以参考，就推定可以作为商业RAG产品资料源。

（三）公开资料要按用途分层使用

RAG使用公开资料时，应当按用途分层。

内部研究参考，风险相对较低，但仍要注意复制和传播边界。

企业内部知识库，要控制访问范围、引用来源和输出比例，不宜大段输出受保护内容。

对客户提供商业服务，要更谨慎审查授权、来源和输出方式。客户付费使用RAG问答时，AI企业实际上在把资料处理能力商品化。

对公众开放问答，版权、个人信息、内容合规和不正当竞争风险更高。因为输出对象扩大，传播范围更不可控。

不同用途不能混用一套“公开资料可用”的结论。

较稳妥的做法是：资料入库前标记来源、许可状态、使用场景、输出限制。对来源不清、授权不明、平台规则限制较强的资料，先隔离或只保留链接和索引，不直接全文入库。

三、客户资料不能自然变成AI企业的资产

（一）客户给资料，是为了完成特定项目

RAG项目中，客户经常会向AI企业提供大量资料。

内部制度、产品手册、业务流程、客服知识库、历史工单、合同模板、客户问答、销售资料、培训材料、技术文档，都可能进入知识库。

这些资料通常是为了完成该客户项目。

不等于AI企业可以拿去服务其他客户。

不等于可以用于模型训练。

不等于可以沉淀为通用行业知识库。

不等于可以在项目结束后继续保留和复用。

如果合同没写清，后续客户很可能主张AI企业滥用其资料和业务经验。

例如，一家制造企业将设备维修手册、售后工单、故障处理经验交给AI企业建设知识库。AI企业如果把其中的故障判断逻辑、客户工况数据、维保流程直接用于其他同行客户，就可能被客户认为侵犯其商业秘密、合同权益或业务经验。

（二）客户资料要先分三层

客户资料至少要分三层。

第一层，客户专有资料。

包括客户内部制度、业务流程、客户名单、定价策略、运营数据、内部知识库、销售方案、项目文档、技术参数、未公开合同、内部培训材料。这类资料原则上只能用于该客户项目，不应外溢。

第二层，客户授权项目资料。

即客户授权AI企业为本项目实施、部署、调试、问答服务使用的资料。使用目的限定在该项目范围内，不能自动转化为通用资产。

第三层，可沉淀通用能力资料。

经过脱敏、去客户化、抽象化后，可以形成通用方法、模板、流程或行业能力。例如通用问答流程、常见故障分类框架、行业术语规则、标准化部署经验。但前提是合同允许，并且不能反向识别客户信息或泄露客户专有经验。

如果不做分层，AI企业很难证明自己没有把客户专有资料用于其他客户。

（三）客户合同中必须写清资料使用边界

客户合同中必须写清资料使用边界。

客户资料是否只用于本项目。

是否可用于系统优化。

是否可用于模型训练或微调。

是否可用于RAG知识库更新。

是否可用于其他客户项目。

是否可脱敏、去标识、去客户化后沉淀为通用能力。

项目结束后资料如何返还、删除、留存。

客户是否有权要求删除向量库、缓存、备份和日志中的资料。

AI企业是否可以保留必要日志用于争议处理和审计。

没有这些约定，“知识沉淀”很容易变成“资料滥用”。

对AI企业而言，最稳妥的做法不是笼统写“AI企业可以沉淀项目经验”，而是明确区分客户原始资料、客户专有知识库、项目交付成果、通用能力和脱敏衍生经验。

四、企业内部资料入库，要先分权限和密级

（一）自建知识库最容易犯“一锅端”的错误

企业自建RAG知识库，最容易犯的错误，是把全部资料一锅端。

企业内部资料可能包括制度文件、人事资料、财务资料、合同文本、客户信息、投标文件、研发文档、会议纪要、诉讼资料、审计报告。

这些资料原本在企业内部就有不同权限。

不是所有员工都能看。

更不是所有部门都能检索。

财务数据可能只有财务和管理层可见。

人事资料可能只有HR和特定管理人员可见。

客户合同可能只限销售、法务和项目团队。

研发文档可能涉及技术秘密。

诉讼资料可能涉及律师工作成果、证据材料和案件策略。

如果RAG知识库打破原有权限，原来被隔离的资料被统一检索，可能导致内部越权访问和信息泄露。

（二）内部资料入库前要做权限映射

内部资料入库前，要先做权限映射。

原系统里谁能看。

知识库里谁能问。

回答中能不能展示原文。

能不能下载引用资料。

能不能跨部门检索。

管理员能不能查看全部问答记录。

离职员工权限如何撤销。

外部顾问、外包和实习生能不能访问。

是否允许移动端访问。

是否允许复制、导出、转发。

RAG不是简单把文件搬进另一个系统。

它会改变资料被检索、组合和输出的方式。

如果原来某员工只能看到一个项目文件夹，RAG上线后却能通过问答获得其他部门合同、客户名单、定价策略，这就不是效率提升，而是权限失控。

（三）知识库不是越开放越好

知识库不是越开放越好。

可以设置全员公开知识库、部门知识库、项目知识库、管理层知识库、涉密或敏感资料库。

不同知识库应有不同访问、引用、下载和日志规则。

全员公开知识库可以放制度、常见流程、公开培训资料。

部门知识库可以放本部门业务文档。

项目知识库只服务特定项目成员。

管理层知识库可以包含经营分析、财务报告、战略材料。

涉密或敏感资料库应严格控制访问、输出和日志查看。

不能因为技术上可以统一检索，就取消企业原有权限体系。

RAG项目如果破坏企业内部访问控制，数据安全风险会高于普通文件系统。

因为它不仅让人“找到文件”，还可能直接把敏感信息总结出来、合并出来、推理出来。

五、第三方数据库、行业报告和专业资料要看授权范围

（一）付费购买不等于可以进入AI知识库

企业可能购买行业数据库、研究报告、法律数据库、金融数据、标准规范、论文数据库、专利数据库、商业资讯服务。

企业常见误区是：我已经付费购买，所以可以把资料导入RAG系统。

但购买使用权通常有范围。

阅读、下载、内部传阅、商业分析、系统集成、机器读取、模型训练、客户服务，可能是完全不同的授权层级。

有的数据库只允许注册用户在线查询，不允许批量下载。

有的报告只允许企业内部阅读，不允许拆分入库。

有的法律或金融数据库允许检索，但禁止缓存、复制、再分发。

有的标准规范允许购买者使用，但禁止作为商业知识服务的一部分对外输出。

所以，付费不是终点，授权范围才是关键。

（二）第三方资料授权要查六个问题

第三方资料授权至少要查六个问题。

第一，是否允许复制和存储。

如果只能在线阅读，导入本地知识库就可能超出范围。

第二，是否允许机器读取、切分、向量化和索引。

很多传统授权条款没有明确AI处理场景，需要谨慎解释。

第三，是否允许内部多人检索。

单用户授权、部门授权、企业授权，范围不同。

第四，是否允许对客户提供问答服务。

内部使用和对外商业服务不是一个授权层级。

第五，是否允许生成摘要、改写或引用。

有的资料允许合理引用，但不允许系统性摘要、批量输出或替代原数据库服务。

第六，是否允许继续用于训练、微调或产品优化。

RAG入库和模型训练要分开审。即使允许检索，也未必允许训练。

如果授权条款没有覆盖，不应默认可以用于RAG商业化。

必要时，应向供应商补充取得机器处理、知识库入库、商业问答、客户服务等专项授权。

（三）专业资料还要关注责任边界

专业资料还要关注责任边界。

例如法律、医疗、金融、工程、税务、安规资料。

RAG系统即使引用资料准确，生成答案仍可能因场景、期限、适用条件不同而错误。

法律条文可能已经修订。

监管口径可能已经变化。

医疗指南可能有适用人群和禁忌。

金融数据可能有时效性和风险提示。

工程标准可能与项目所在地、行业类别、设备型号有关。

专业资料入库时，应设置版本日期、来源标注、适用范围、失效提示和人工复核要求。

尤其是法律、医疗、金融、税务等场景，不应让用户把RAG回答理解为最终专业意见。

RAG更适合做检索、整理、提示和辅助，而不是替代专业判断。

六、员工经验和专家知识，不是随便可以固化进知识库

（一）RAG知识库经常会吸收人的经验

RAG知识库经常会吸收人的经验。

员工问答记录、客服沟通记录、销售话术、项目复盘、专家访谈、内部培训、导师经验、离职员工文档，都会被整理成知识库内容。

这些内容看起来像企业知识资产。

但仍要审来源、权属、保密和人格权益边界。

尤其是把某个人的表达风格、判断方法、经验体系长期固化到知识库时，不能只当普通资料处理。

例如，企业把某位资深销售的全部沟通记录、话术、成交经验整理成“销售专家知识库”，供全国销售团队使用。

如果其中包含客户信息、个人表达、未公开交易策略、第三方资料，甚至带有某位员工鲜明个人风格，就不能简单说“资料在公司系统里，所以公司当然可以任意用”。

（二）员工在职成果和个人经验要区分

员工在职期间形成的工作文档、培训资料、项目复盘，更可能属于公司业务资料。

但员工个人长期积累的经验、表达风格、私人笔记，未必当然可以由公司商业化复用。

离职员工聊天记录、邮件、会议发言，更要注意个人信息、人格权益和内部保密边界。

不能因为资料留在公司系统里，就当然可以用来打造“某某员工知识库”或“某某专家分身”。

企业可以沉淀岗位经验、流程方法、项目复盘。

但不宜未经授权将员工个人形象、声音、姓名、表达风格、个人经验体系直接包装成可对外服务的AI能力。

如果企业希望将员工经验产品化，至少应当进行去个人化、去客户化、去敏感化处理，并通过员工手册、劳动合同、知识产权协议、内部制度或专项确认文件明确成果归属和使用边界。

（三）专家知识入库要有书面授权

专家知识入库，更应有书面授权。

要写清专家提供哪些内容，是否允许整理成知识库，是否允许商业使用，是否允许对客户开放，是否允许改写、摘要、拆分、标签化，是否保留署名，是否有期限和退出机制。

如果专家只是参加一次咨询会议，不等于企业可以永久复用其全部表达和经验。

如果顾问只是为某个客户项目提供咨询，不等于AI企业可以把其行业判断沉淀为通用产品能力。

顾问协议、专家访谈授权和成果确认文件要提前补齐。

尤其是医疗、法律、金融、教育、工程等专业领域，专家知识的使用还要注意资质、责任、适用条件和对外免责声明，不能让用户误以为系统输出就是专家本人持续背书。

七、用户交互记录能不能进入知识库，要看告知、同意和用途

（一）用户问答记录不能默认复用

用户问答记录是RAG优化的重要来源。

用户在系统里可能输入个人信息、客户问题、内部资料、商业秘密、真实业务案例、合同内容、患者信息、员工信息、消费者信息。

这些记录对优化知识库很有价值。

但复用边界必须明确。

不能因为用户使用了产品，就默认其输入内容都可进入通用知识库。

例如，企业客户员工在RAG系统中询问某个客户合同风险，上传了合同扫描件和交易背景。AI企业不能当然把这些内容用于优化通用合同知识库。

再如，客服系统中用户输入了投诉、联系方式、订单信息。AI企业不能当然把这些记录用于训练或跨客户知识库沉淀。

（二）涉及个人信息时，要符合个人信息处理规则

如果用户交互记录中包含个人信息，就要符合个人信息处理规则。

个人信息处理应遵循合法、正当、必要和诚信原则，应具有明确、合理目的，并限于实现处理目的的最小范围。

RAG项目中要区分服务必要处理和优化处理。

为回答本次问题临时处理用户输入，是一类目的。

为安全审计和争议处理保留日志，是另一类目的。

为优化知识库和产品效果复用问答记录，是更进一步的目的。

为训练模型、服务其他客户或形成通用能力，授权要求更高。

如果涉及敏感个人信息，审查强度应更高。应考虑是否具有特定目的和充分必要性，是否采取严格保护措施，是否进行了单独告知或取得单独同意。

如果是企业客户员工输入，还要看企业客户是否有权授权、是否已履行员工告知、是否明确员工输入内容的处理规则。

（三）用户交互记录复用要分层

用户交互记录复用要分层。

第一层，服务运行所需。为回答本次问题临时处理。

第二层，日志留存所需。为安全、审计、争议处理，在限定期限内保存。

第三层，产品优化所需。用于改进检索、知识库和问答质量。

第四层，通用训练或跨客户复用。用于其他客户或通用产品能力。

越往后授权要求越高。

不能用一个隐私政策笼统覆盖所有用途。

对企业客户项目，更稳妥的做法是默认不将客户交互记录用于通用训练或跨客户复用。如确需使用，应另行约定脱敏、去标识、去客户化、排除敏感内容，并给客户选择权。

八、网页抓取和外部内容接入，要防止把RAG做成隐形爬虫

（一）外部网页接入和长期抓取不是一回事

很多RAG系统会接入外部网页。

自动抓取行业新闻，抓取政策法规，抓取竞品信息，抓取电商评论，抓取社媒内容，抓取论坛问答。

如果只是让用户临时搜索，和长期批量抓取、存储、索引、商业化使用，风险不同。

RAG企业不能只说资料都来自公开网页，就忽略数据获取方式和平台规则。

尤其是系统定时抓取、大规模抓取、绕过反爬、保存全文、建立行业数据库、向客户收费提供问答服务时，就不只是简单浏览网页。

（二）外部内容抓取要查三类边界

外部内容抓取要查三类边界。

第一，获取方式。

是否违反网站条款、robots规则、访问频率限制、反爬措施。是否绕过登录限制、验证码、技术屏障。是否对目标网站造成不合理负担。

第二，内容权利。

是否包含文章、图片、图表、报告、数据库内容、个人信息、用户评论、商业数据、平台整理成果。

第三，使用方式。

只是链接跳转，还是复制入库。

只是生成摘要，还是输出原文。

只是内部参考，还是服务客户。

只是临时缓存，还是长期保存。

只是检索辅助，还是用于训练模型。

这些边界不清，RAG项目可能从知识服务变成数据抓取争议。

（三）外部内容接入的稳妥做法

更稳妥的做法，是优先使用官方API、授权数据源或开放许可内容。

对外部网页，只保存必要索引和摘要。

保留来源链接和时间戳。

设置删除和更新机制。

避免绕过技术限制批量抓取。

避免把受限内容用于跨客户商业服务。

必要时取得数据供应商授权。

如果资料来源高度依赖某个平台或某类外部网站，还应建立平台规则审查机制。平台明确禁止抓取、复制、商业使用或AI训练时，不应继续默认接入。

九、资料入库后，输出方式也要审

（一）RAG风险不只在入库，也在输出

RAG风险不只在资料入库，也在输出。

RAG系统可能输出原文片段、摘要、改写、结论、引用链接、表格整理、综合报告。

不同输出方式的风险不同。

如果系统大量输出原文，版权和保密风险更高。

如果系统生成结论但不标来源，误导和责任风险更高。

如果系统混合多个来源输出，却不说明依据，用户很难判断答案是否可靠。

如果系统把客户专有资料输出给其他客户，可能形成严重违约和商业秘密风险。

所以，资料来源审查不能停在“能不能入库”，还要审“能不能输出、输出给谁、输出到什么程度”。

（二）输出方式要按资料类型限制

输出方式应按资料类型限制。

公开且可引用资料，可以摘要、引用并标注来源，但不宜大段替代原文。

内部普通资料，可以在权限范围内摘要和检索。

内部敏感资料，应限制原文展示和下载，必要时只输出结论或提示联系资料负责人。

客户专有资料，只能在客户项目范围内输出，不得跨客户调用。

第三方付费资料，应按授权限制摘要、引用或展示。

个人信息资料，应尽量脱敏、最小化展示。

商业秘密资料，应严格限制访问、输出和日志查看。

这些限制最好做成系统能力，而不是只写在合同里。

例如，资料入库时打标签：可摘要、可引用、不可展示原文、不可下载、仅项目组可见、仅客户A可用、授权到期删除、禁止训练。

（三）RAG回答要保留引用和边界

RAG回答建议保留资料来源、引用段落、资料日期、适用范围和不确定提示。

不要让系统把多个来源混合后输出确定性结论，却不说明依据。

尤其是法律、医疗、金融、税务等专业场景，应提示人工复核。

这不仅是产品体验问题，也是责任边界问题。

如果RAG系统回答一个法律问题，却不说明引用的是哪一部法律、哪个版本、哪个地区、是否存在例外，用户很容易误用。

如果医疗知识库回答健康问题，却不提示就医和专业判断边界，风险也会升高。

RAG的价值不是让答案看起来更肯定，而是让答案更可追溯、更可复核。

十、资料更新和删除机制，是RAG项目的长期风险点

（一）知识库不是建完就结束

RAG知识库不是建完就结束。

资料可能过期，被修改，被撤回，授权到期，客户要求删除，个人要求删除，法规政策变化，内部权限调整。

如果RAG知识库不更新，可能输出过时、错误或无权继续使用的信息。

例如，法律法规已修改，但知识库仍引用旧版本。

客户已终止合同，但客户资料仍留在系统中。

第三方报告授权已到期，但知识库继续检索输出。

员工离职后权限撤销了，但其账号仍可访问知识库。

个人提出删除请求，但向量库、缓存、备份中仍保留资料。

这些都不是一次性上线能解决的问题。

（二）合同中要写清更新责任

合同中要写清更新责任。

谁负责提供新资料。

谁负责删除旧资料。

谁负责确认资料失效。

更新频率是多少。

更新后是否重新向量化和索引。

旧版本资料是否保留。

保留多久。

是否影响历史回答和日志。

客户提供资料的RAG项目，客户应负责资料真实性、完整性、合法性和更新通知。

AI企业应负责按合同约定执行入库、更新、删除、隔离和技术处理。

双方不能都不负责，最后让系统长期输出过期资料。

（三）删除不是简单从文件夹删掉

删除不是简单从文件夹删掉。

RAG系统中资料可能存在于原始文件库、切分片段、向量数据库、缓存、日志、备份、导出文件。

客户或个人提出删除要求后，只删除原文件不一定够。

还要看切分片段是否删除，向量索引是否删除，缓存是否清理，日志是否需要保留或脱敏，备份何时覆盖，导出文件如何处理。

否则，资料在文件夹里消失了，但系统仍可能通过向量检索把内容找出来。

合同和产品都应支持资料删除、知识片段删除、向量删除、权限撤销和删除记录留痕。

十一、RAG项目合同中，资料来源责任必须写清

（一）客户提供资料时，客户应作出保证

客户提供资料时，应作出明确保证。

资料来源合法。

客户有权提供给AI企业处理。

资料不侵犯第三方知识产权、商业秘密或个人信息权益。

资料可用于合同约定的知识库建设和问答服务。

客户已取得必要内部审批、员工告知或第三方授权。

客户资料存在使用限制的，应提前书面说明。

客户不得向AI企业提供其无权提供、禁止复制、禁止入库、禁止商业使用、含有违法内容或未经授权个人信息的资料。

如果客户违反上述保证导致第三方投诉、监管问询、权利主张或损失，应按合同承担相应责任。

（二）AI企业处理资料时，也应承担义务

AI企业不能只要求客户保证，自己也要承担处理义务。

按合同目的处理资料。

不超范围使用客户资料。

不擅自用于其他客户。

不擅自用于模型训练或通用能力沉淀。

采取合理安全措施。

按客户要求删除、返还或隔离资料。

发生投诉或泄露时及时通知和协助。

对RAG企业来说，这些义务不仅是合同义务，也会影响客户信任。

企业客户最担心的不是AI企业能不能把资料放进去，而是资料放进去以后，会不会流到别的客户、别的产品、别的模型里。

（三）双方要共同确认资料清单

RAG项目应尽量形成资料清单。

资料名称。

来源。

权利主体。

授权范围。

使用用途。

访问权限。

保密等级。

更新周期。

删除期限。

输出限制。

是否可训练。

是否可跨客户复用。

没有资料清单，RAG项目后期很难证明哪些资料可以用、哪些资料已经删除、哪些资料只能给特定用户使用。

资料清单不一定要复杂，但必须可追溯。

否则发生客户争议、投资人尽调、监管问询或第三方投诉时，企业只能靠事后回忆。

十二、RAG知识库上线前，建议做八张表

（一）资料来源表

第一张，是资料来源表。

列明公开资料、客户资料、内部资料、第三方数据库、行业报告、员工经验、用户交互记录、网页抓取资料。

资料来源表解决的是“资料从哪里来”。

（二）授权范围表

第二张，是授权范围表。

列明可阅读、可复制、可入库、可检索、可摘要、可对外服务、可训练、可跨客户复用。

授权范围表解决的是“资料能怎么用”。

（三）资料权利表

第三张，是资料权利表。

列明著作权、数据库内容权益和许可限制、个人信息、商业秘密、客户保密资料、第三方许可限制。

资料权利表解决的是“资料上可能有什么权利和限制”。

（四）访问权限表

第四张，是访问权限表。

列明全员、部门、项目组、管理层、客户专属、外包或顾问、禁止访问。

访问权限表解决的是“谁能看、谁能问、谁能下载”。

（五）输出限制表

第五张，是输出限制表。

列明能否展示原文、能否摘要、能否引用、能否下载、能否复制、是否必须标来源、是否必须脱敏。

输出限制表解决的是“答案能输出到什么程度”。

（六）更新删除表

第六张，是更新删除表。

列明更新责任、更新周期、授权到期、资料撤回、客户删除、个人删除、备份和日志处理。

更新删除表解决的是“资料过期、撤回、删除时怎么办”。

（七）客户合同分责表

第七张，是客户合同分责表。

列明客户资料保证、AI企业处理义务、超范围使用限制、投诉处理、资料删除、赔偿边界。

客户合同分责表解决的是“出问题谁负责”。

（八）风险处置表

第八张，是风险处置表。

列明来源不清资料、授权不足资料、含个人信息资料、含商业秘密资料、版权高风险资料、过期资料、客户争议资料。

风险处置表解决的是“高风险资料如何隔离、替换、删除或补授权”。

十三、RAG知识库的核心资产，不是资料多，而是资料能合法、稳定、可控地用

（一）资料多不是壁垒，资料可控才是壁垒

RAG知识库的核心资产不是“资料多”，而是“资料能合法、稳定、可控地用”。

资料多但来源不清，不是优势，是风险。

资料新但授权不足，不是壁垒，是隐患。

资料准但只能用于单一客户，不能当成通用产品能力。

资料贵但授权不支持机器处理，不能直接入库商用。

资料有价值但包含个人信息和商业秘密，必须设置权限、脱敏和输出限制。

真正能支撑AI企业商业化的，不是把所有资料都放进去，而是能证明每一类资料为什么能进、谁能看、怎么输出、何时删除、能否复用。

（二）RAG项目最怕三种混用

RAG项目最怕三种混用。

第一，把公开资料和受限资料混用。

公开资料可以适当摘要引用，受限资料可能只能内部阅读或禁止入库。混在一起后，输出时很难区分边界。

第二，把客户资料和通用资料混用。

客户资料本来只服务该客户，混进通用知识库后，可能被其他客户检索到。

第三，把项目资料和训练资料混用。

项目资料可能只能用于交付，不能用于训练、微调或通用能力沉淀。混用后，后续融资、并购、客户审计都会被追问。

这三种混用一旦发生，后续很难解释哪些答案来自哪里，哪些资料有权使用，哪些内容可以输出给谁。

（三）AI企业应把RAG资料管理做成产品能力

AI企业应把RAG资料管理做成产品能力。

资料来源可登记。

授权范围可配置。

访问权限可控制。

输出来源可追溯。

资料删除可执行。

过期资料可提醒。

客户资料可隔离。

高风险资料可标记。

这些能力本身就是企业客户愿意采购RAG产品的重要原因。

企业客户真正需要的，不只是“问答更准”，还包括“资料不乱用、权限不乱开、答案能追溯、删除能执行、客户资料不会外溢”。

如果AI企业能把这些合规能力产品化，反而会成为竞争优势。

十四、RAG不是资料整理项目，而是知识资产处理项目

RAG知识库最大的错觉，是“只是把资料放进去问答，不算训练，所以没什么风险”。

但实务上，资料进入RAG系统后，会被复制，会被切分，会被索引，会被检索，会被摘要，会被引用，会被输出。

这些环节都可能触碰版权、数据、保密和合同边界。

RAG项目不是简单的资料整理项目，而是知识资产处理项目。

既然是知识资产处理，就必须回答几个基础问题。

资料从哪里来。

谁有权提供。

能不能入库。

谁能检索。

能不能展示原文。

能不能对外服务。

能不能用于其他客户。

能不能训练或沉淀。

过期和删除怎么处理。

出了投诉谁负责。

这些问题越早说清，RAG项目越稳。

如果一开始只追求“把资料都放进去”，等到客户争议、第三方投诉、投资人尽调或监管问询时再回头找来源、找授权、找日志，往往已经很被动。

对AI企业来说，RAG知识库的长期价值，不在于资料堆得多，而在于资料来源清楚、授权边界清楚、访问权限清楚、输出规则清楚、删除机制清楚。

只有这样，RAG才能从一个“好用的问答系统”，变成企业真正敢长期使用的知识基础设施。