Le RAG (Retrieval-Augmented Generation, ou génération augmentée par la recherche) est la technique qui permet de brancher une IA générative sur les documents internes d’une entreprise. À chaque question, le système recherche les passages pertinents dans vos procédures, contrats ou fiches techniques, puis les transmet à un modèle de langage qui rédige une réponse en citant ses sources. Le modèle n’apprend pas vos documents : il les lit au moment de la question, ce qui permet de les mettre à jour et d’appliquer des droits d’accès sans réentraînement. La qualité d’un RAG dépend d’abord de la recherche et du respect des droits, bien plus que du modèle choisi.
Cet article explique le fonctionnement concret d’un RAG, ses cas d’usage dans une PME ou une ETI, les choix qui font sa qualité et les règles de sécurité à ne pas négocier.
Comment fonctionne un RAG ?
Le principe a été formalisé en 2020 par une équipe de chercheurs de Facebook AI Research dans un article intitulé « Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks ». L’idée : plutôt que de compter sur ce qu’un modèle a mémorisé pendant son entraînement, on lui fournit à la demande les connaissances dont il a besoin.
Dans une application d’entreprise, le fonctionnement se déroule en deux temps.
En amont, l’indexation :
- Les documents sont collectés depuis leurs emplacements (intranet, gestion documentaire, partages de fichiers, base de tickets).
- Ils sont découpés en passages de taille raisonnable, quelques paragraphes en général.
- Chaque passage est transformé en vecteur (ou embedding) : une représentation numérique de son sens, qui permet de retrouver des passages proches d’une question même s’ils n’emploient pas les mêmes mots.
- Les vecteurs sont stockés dans un index avec leurs métadonnées : document d’origine, date, auteur et surtout droits d’accès.
À chaque question :
- La question de l’utilisateur est transformée en vecteur.
- Le système recherche les passages les plus proches, parmi ceux que cet utilisateur a le droit de voir.
- Les meilleurs passages sont transmis au modèle de langage avec la question et une consigne : répondre uniquement à partir de ces extraits et citer les sources.
- La réponse s’affiche avec les liens vers les documents d’origine.
La documentation de Microsoft sur le RAG décrit la même architecture, en insistant sur deux points : la qualité d’un RAG dépend de la façon dont le contenu est préparé pour la recherche, et les utilisateurs ne doivent récupérer que du contenu auquel ils sont autorisés à accéder.
RAG, recherche classique ou entraînement : quelle différence ?
| Approche | Principe | Mise à jour des connaissances | Droits d’accès par document | Réponses sourcées |
|---|---|---|---|---|
| Moteur de recherche classique | Liste de documents correspondant aux mots-clés | Immédiate après indexation | Oui | Oui, mais l’utilisateur doit lire |
| Modèle généraliste seul | Répond à partir de ses connaissances d’entraînement | Impossible sans nouveau modèle | Non | Non |
| Modèle entraîné ou affiné sur vos documents | Les documents sont « absorbés » dans le modèle | Lourde : nouvel entraînement | Non | Difficilement |
| RAG | Recherche des passages, puis rédaction d’une réponse | Immédiate après indexation | Oui | Oui |
La colonne des droits d’accès est décisive. L’ANSSI le souligne dans son guide de sécurité pour l’IA générative : la gestion des droits d’accès n’est pas possible sur les données d’entraînement d’un modèle, alors qu’elle l’est sur les données additionnelles utilisées en production. Autrement dit, ce qu’un modèle a appris, il peut le restituer à n’importe qui. Ce qu’un RAG retrouve peut être filtré utilisateur par utilisateur.
Quels cas d’usage pour une PME ou une ETI ?
Le RAG est utile partout où des collaborateurs passent du temps à chercher une information qui existe déjà quelque part.
- Procédures et qualité : « Quelle est la procédure en cas de non-conformité sur un lot ? » Réponse en trois lignes, avec le lien vers la procédure à jour.
- Support technique : un technicien interroge les fiches produits, les notices et l’historique des tickets résolus avant de rappeler le client.
- Commerce : « Quelles sont nos conditions de garantie pour ce client ? » à partir des conditions générales et des contrats signés.
- RH : questions courantes sur les congés, la mutuelle, les notes de frais, à partir des accords et du règlement intérieur.
- Accueil des nouveaux arrivants : un point d’entrée unique pour découvrir l’organisation et ses règles.
- Portail client : une aide en ligne qui répond à partir de votre documentation publique et de l’historique du client.
Le RAG trouve naturellement sa place dans un intranet ou un extranet, où les documents, les utilisateurs et leurs droits sont déjà organisés. Pour une vue plus large des usages de l’IA dans les outils internes, consultez notre article sur les cas d’usage de l’IA générative.
Ce qui fait la qualité d’un RAG
La plupart des RAG décevants échouent à l’étape de recherche, pas à l’étape de rédaction. Si les bons passages ne sont pas retrouvés, le modèle répond à côté, ou invente.
Le découpage des documents
Un passage trop court perd son contexte, un passage trop long dilue l’information. Anthropic illustre bien le problème dans un article sur la « recherche contextuelle » : un extrait qui dit « le chiffre d’affaires a progressé de 3 % » est inutilisable s’il ne précise ni l’entreprise ni la période. La technique proposée consiste à ajouter à chaque passage un court résumé de son contexte avant l’indexation. Sur leurs tests, combinée à une recherche par mots-clés, elle a réduit de 49 % le taux d’échec de la recherche, et de 67 % avec une étape supplémentaire de reclassement des résultats.
La recherche hybride
La recherche par vecteurs trouve des passages proches par le sens ; la recherche par mots-clés trouve les références exactes (un code article, un numéro de norme, un nom de client). Les deux se complètent, et les meilleurs systèmes les combinent.
La qualité de la base documentaire
Un RAG ne corrige pas une documentation obsolète : il la cite avec aplomb. Avant de brancher l’IA, il faut savoir quelles versions font foi, retirer les doublons et les brouillons, et désigner un responsable par grande famille de documents. C’est souvent le chantier le plus utile du projet, avec ou sans IA.
Le droit de dire « je ne sais pas »
La consigne donnée au modèle doit l’autoriser, et même l’obliger, à répondre qu’il n’a pas trouvé l’information plutôt qu’à combler le vide.
Quand le RAG n’est pas nécessaire
Selon le même article d’Anthropic, une base de connaissances de moins de 200 000 tokens (environ 500 pages) peut être fournie en entier au modèle à chaque question, sans moteur de recherche. Pour un petit corpus homogène sans droits d’accès différenciés, c’est une option plus simple à envisager.
Les règles de sécurité à ne pas négocier
Un RAG ouvre un accès en langage naturel à des documents qui étaient jusque-là dispersés et protégés par des droits. Mal conçu, il devient une fuite d’information très efficace.
- Respect strict des droits d’accès. L’IA ne doit retrouver que les documents que l’utilisateur pourrait ouvrir lui-même. L’OWASP recommande des contrôles d’accès fins et des bases vectorielles « conscientes des permissions », avec un cloisonnement des données entre groupes d’utilisateurs.
- Filtrage à la recherche, pas à l’affichage. Le filtre par droits s’applique avant que les passages soient transmis au modèle. Un passage confidentiel envoyé au modèle puis masqué dans la réponse a déjà fuité.
- Méfiance envers le contenu des documents. Un document peut contenir des instructions cachées que l’IA risque de suivre. L’OWASP décrit ce scénario d’injection indirecte de prompt et recommande de séparer et signaler clairement le contenu non fiable. Les documents venant de l’extérieur (e-mails, pièces jointes de clients) demandent une vigilance particulière.
- Journalisation. Questions posées, documents retrouvés, réponses produites : l’ANSSI recommande de journaliser l’ensemble des traitements du système d’IA, en protégeant ces journaux, qui contiennent eux-mêmes des données sensibles.
- Choix de l’hébergement. Les passages retrouvés sont transmis au modèle de langage. Pour des documents sensibles, le lieu d’hébergement du modèle et les engagements contractuels du fournisseur comptent autant que ceux de la base documentaire. Notre article sur l’hébergement d’une application métier détaille les options.
Construire un RAG : par où commencer ?
- Choisir un périmètre : une famille de documents, un public, une question métier récurrente. Par exemple, les procédures qualité pour les chefs d’atelier.
- Nettoyer ce périmètre : versions à jour, doublons retirés, responsable désigné.
- Écrire une cinquantaine de questions réelles avec la réponse attendue et le document source. Ce jeu de test sert à mesurer la qualité à chaque réglage.
- Construire et régler la recherche (découpage, recherche hybride, filtrage par droits) avant de soigner la rédaction des réponses.
- Intégrer l’assistant là où les gens travaillent : dans l’intranet, l’outil métier ou l’environnement Microsoft 365 existant, plutôt que dans un outil de plus.
- Ouvrir à un groupe pilote, recueillir les questions sans réponse et les réponses jugées fausses, puis élargir.
Si vos documents vivent aujourd’hui dans SharePoint, notre comparatif SharePoint ou intranet sur mesure vous aidera à décider où construire cet assistant.
Ce qu’il faut retenir
Le RAG est aujourd’hui la façon la plus sûre et la plus économique de faire travailler une IA sur les connaissances de l’entreprise : pas d’entraînement, des réponses sourcées, une base qui se met à jour en continu et des droits d’accès respectés. Sa réussite repose sur trois piliers : une documentation propre, une recherche bien réglée et une sécurité pensée dès la conception.
Vous souhaitez rendre vos procédures, contrats ou fiches techniques interrogeables par vos équipes ? Décrivez votre projet dans notre diagnostic de projet : il prend deux minutes et nous revenons vers vous avec une première analyse.
