RAG en entreprise : un assistant IA interne qui cite vos documents

Qu’est-ce qu’un RAG d’entreprise, et en quoi diffère-t-il de ChatGPT ?

Un RAG d’entreprise (génération augmentée par récupération, en anglais Retrieval-Augmented Generation) est un assistant qui cherche d’abord dans vos documents les passages qui répondent à la question, puis les transmet à un modèle de langage chargé de rédiger la réponse à partir d’eux seuls. Chaque réponse indique le document d’où vient l’information.

ChatGPT utilisé seul ne connaît ni vos procédures ni vos conditions commerciales. Il répond avec ce qu’il a appris sur le web public, ou avec ce que vous collez dans la conversation, ce que beaucoup d’équipes n’osent pas faire avec un contrat. Un modèle entraîné sur vos données (le fine-tuning) coûte plus cher à produire, se fige à la date de l’entraînement et ne sait pas dire de quel document vient une phrase. Le RAG laisse le modèle tel quel et lui fournit, à chaque question, des extraits à jour.

Un chatbot sur vos documents internes fonctionne en trois temps :

1. Indexation. Chaque document est découpé en passages. Un modèle d’embeddings, choisi selon votre projet, convertit chaque passage en vecteur, une suite de nombres qui représente son sens. Ces vecteurs sont rangés dans Qdrant, une base de données vectorielle open source.
2. Recherche. La question du collaborateur est convertie de la même façon, et Qdrant renvoie les passages dont le sens est le plus proche.
3. Réponse. Le modèle de langage reçoit la question et ces passages, rédige la réponse et affiche le titre et le lien des documents utilisés.

La Direction générale des Entreprises a publié en novembre 2024 un guide du RAG destiné aux entreprises : cas d’usage, prérequis, coûts, bonnes pratiques et choix technologiques. C’est une bonne lecture avant un premier projet de RAG pour entreprise.

VIVR, studio parisien d’automatisation de processus métier et d’IA appliquée pour les PME, a déjà mis en place un RAG pour un chatbot qui répond aux clients. L’assistant interne repose sur le même mécanisme, appliqué aux questions de vos équipes.

Quand un RAG n’est-il pas la bonne réponse ?

Un RAG se justifie quand la réponse se trouve dans du texte (procédures, contrats, fiches) réparti dans de nombreux documents que vos équipes consultent souvent. Dans les situations ci-dessous, une autre solution convient mieux, souvent plus simple, et le compte rendu du diagnostic le dit.

Un stock ou un statut de commande change dans la journée. Indexé comme un document, il produirait une réponse périmée accompagnée d’une source qui a l’air fiable. Pour ces données, l’assistant interroge la base au moment où la question est posée.

Un chatbot interne d’entreprise est, la plupart du temps, un RAG avec une fenêtre de conversation : les deux termes désignent le même outil.

Vous hésitez entre un RAG, un serveur MCP ou l’outil de votre suite ? Le diagnostic gratuit tranche, avec un compte rendu écrit sous 48 h.

Quels documents brancher, et qui voit quoi ?

On branche un corpus restreint et tenu à jour : les procédures d’un service, les fiches produits, les conditions commerciales en vigueur. Chaque passage indexé garde la trace de son dossier d’origine et des personnes autorisées à le lire, et l’assistant ne cherche que dans ce que la personne qui pose la question a le droit de voir.

Les sources. Google Drive, SharePoint, Notion, Confluence, une GED ou des fiches exportées d’un ERP : la plupart de ces outils ont une API, et nous savons connecter vos sources par API. Nous indexons les documents qui font foi plutôt que tout le Drive, brouillons et doublons compris. Un assistant nourri de trois versions d’une même procédure donne trois réponses différentes.

Les droits d’accès. À l’indexation, chaque passage reçoit des métadonnées : dossier, service, groupe autorisé. Qdrant sait filtrer une recherche sur ces métadonnées, que sa documentation appelle payload. L’assistant identifie la personne qui pose la question et limite la recherche aux passages qu’elle peut lire. Les droits sont repris de vos dossiers partagés ou définis par groupe au cadrage, selon le principe de moindre privilège que recommande la CNIL.

Paie, santé, dossiers RH. Un RAG sur ces documents est possible. Il demande des précautions supplémentaires, décidées avec votre DPO avant toute indexation :

• un hébergement maîtrisé, avec Qdrant et n8n sur un serveur chez vous ou dans le cloud d’un fournisseur français, à votre choix ;
• un cloisonnement par utilisateur : un salarié ne retrouve que ses propres documents, le service RH ceux de son périmètre ;
• une journalisation des consultations (qui a demandé quoi, quand, et quels passages ont été renvoyés), conservée sur une durée fixée. La CNIL recommande une période glissante de six mois à un an, sauf obligation particulière ;
• une durée de conservation de l’index alignée sur celle des documents d’origine ;
• une analyse d’impact (AIPD) quand le traitement est, selon les termes de la CNIL, susceptible d’engendrer un risque élevé.

Pour les données de santé, un cadre spécifique peut s’ajouter. L’article L1111-8 du code de la santé publique encadre l’hébergement, pour le compte d’un tiers, de données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social : c’est le régime des hébergeurs de données de santé (HDS). Le même article impose à l’hébergeur de données numériques d’être titulaire d’un certificat de conformité (la certification HDS). Nous vérifions avec votre DPO si vos documents entrent dans ce périmètre avant de choisir l’hébergement.

Un corpus vivant. Un workflow n8n suit les dossiers branchés. Un document ajouté est indexé, un document modifié remplace son ancienne version, un document supprimé disparaît de l’index et n’est plus cité. Votre base de connaissance IA reste ainsi alignée sur l’état réel de vos dossiers, sans réindexation manuelle.

Comment vérifier que l’assistant répond juste ?

Avant la mise en service, nous écrivons avec votre équipe une liste de questions réelles, chacune avec la réponse attendue et le document qui la contient. L’assistant doit les passer selon des critères fixés à l’avance, et il les repasse à chaque changement de documents ou de consignes.

1. Collecter les vraies questions. Celles que le collègue référent reçoit chaque semaine, formulées comme elles arrivent, abréviations comprises. On y ajoute des questions dont la réponse n’existe pas dans le corpus, pour vérifier que l’assistant sait le dire.
2. Fixer les critères avant le test. Une réponse est bonne si elle est exacte et cite le bon document. Sur une question hors corpus, la seule bonne réponse est « je ne sais pas ». Le niveau exigé pour la mise en service se décide avec vous, avant d’avoir vu les résultats.
3. Rejouer à chaque changement. Nouveau lot de documents, consigne modifiée, autre modèle : le jeu de questions repasse, et une régression se voit avant que vos équipes ne la subissent.
4. Lire les questions sans réponse. Le journal des « je ne sais pas » donne la liste des documents qui manquent ou qui sont mal rédigés.

La source citée sert deux fois. Le collaborateur ouvre le document s’il doute, et l’évaluation contrôle que la réponse s’appuie sur le bon passage. Nous ne publions aucun taux de bonnes réponses : il dépend de vos documents et ne se mesure que sur vos propres questions.

Où vont vos données, et que dit le RGPD ?

L’index de vos documents et les workflows restent sur un serveur que vous choisissez : chez vous, ou dans le cloud d’un fournisseur français. À chaque question, seuls la question et les passages retrouvés partent vers le modèle de langage qui rédige la réponse. Le corpus entier ne lui est jamais envoyé.

L’index et les workflows. Qdrant est publié sous licence Apache 2.0 et s’installe sur vos propres serveurs. n8n tourne sur une instance à votre nom, comme sur chaque projet VIVR.

Le modèle de langage. Deux options, selon la sensibilité de vos documents :

• Un modèle open source sur une machine chez vous. Les questions et les extraits ne quittent pas votre infrastructure, à condition que le modèle d’embeddings y tourne aussi. Cette option demande une machine dimensionnée pour faire tourner le modèle, dont le coût entre dans le devis.
• Mistral, par son API. Mistral AI est une société anonyme de droit français, établie à Paris. Selon son centre d’aide, les données sont hébergées par défaut dans l’Union européenne ; certaines fonctions peuvent les transférer temporairement hors de l’UE. Sa documentation propose un point d’accès européen qui traite les requêtes dans des centres de données de l’UE et de l’AELE, sans préciser de pays. Ses conditions commerciales excluent l’usage de vos données et des réponses pour entraîner ses modèles, sauf exceptions qu’elles listent (accord donné, retour envoyé, modèles en préversion). Le lieu exact du traitement se vérifie dans le contrat, et nous l’écrivons dans le compte rendu.

Le modèle d’embeddings. Il lit chaque passage au moment de l’indexation, puis chaque question. Nous le choisissons avec vous selon les mêmes contraintes d’hébergement que le modèle de langage.

Le RGPD. Dès que les documents contiennent des données personnelles, le traitement entre dans votre registre. Nous vous remettons la description du flux : sources, données concernées, destinataires, durées de conservation, mesures de sécurité. La qualification juridique et l’éventuelle analyse d’impact reviennent à votre DPO ou à votre conseil, et nous ne délivrons pas d’attestation de conformité.

La sécurité. L’ANSSI a publié le 29 avril 2024 des recommandations de sécurité pour un système d’IA générative, de la conception jusqu’au déploiement en production. Plusieurs de ses 35 recommandations s’appliquent directement à un RAG : prendre en compte le besoin d’en connaître dès la conception (R8, le guide cite la base de données vectorielle parmi les outils où gérer les droits), prévoir des tests fonctionnels métier avant la mise en production (R24), journaliser l’ensemble des traitements (R29) et, dans un cloud public, privilégier un hébergement qualifié SecNumCloud (R14). Votre DSI ou votre prestataire informatique peut s’en servir pour relire l’architecture proposée.

L’AI Act. L’article 50 du règlement européen sur l’IA (UE 2024/1689), applicable depuis le 2 août 2026, impose qu’un système d’IA destiné à interagir directement avec des personnes les informe qu’elles échangent avec une IA, sauf si c’est évident dans le contexte. Un assistant interne présenté comme tel à vos équipes y répond. Le texte de l’article 50 est consultable sur le service d’assistance AI Act de la Commission européenne.

Assistant, agent ou extraction de documents : lequel vous faut-il ?

Tout dépend de ce que vous attendez de l’IA :

• Un collaborateur pose une question sur un stock de documents. C’est l’assistant IA interne décrit sur cette page.
• L’IA doit agir dans un outil, par exemple créer une commande, envoyer une réponse ou mettre à jour une fiche. Il vous faut un agent IA d’entreprise, qui décide et exécute avec validation humaine en cas de doute.
• Des documents entrants doivent être saisis dans l’ERP ou la comptabilité. Vos factures et bons de commande relèvent de l’extraction des factures et bons de commande.

Un assistant qui répond à vos clients, sur votre site, relève d’un chatbot service client : même mécanisme, mais un autre public et d’autres règles de réponse, donc un projet distinct, cadré lui aussi lors du diagnostic. Et quand le besoin est un enchaînement de tâches sans lecture de texte libre, l’automatisation des processus métier suffit.

Décrivez-nous les questions que vos équipes se posent et l’endroit où sont rangés les documents en réservant un diagnostic gratuit. Sous 48 h, le compte rendu écrit dit si un RAG se justifie ou quelle solution plus simple suffit, recommande l’option de modèle adaptée à vos données et chiffre l’option retenue, prix fixe annoncé avant de commencer. Le détail de ce que comprend chaque offre est en ligne.