Le RAG : faire répondre l’IA à partir de vos documents

Le 22 mai 2020, des chercheurs de Facebook AI Research, de l’University College London et de New York University ont mis en ligne l’article qui a donné son nom au RAG, pour retrieval-augmented generation, ou génération augmentée par récupération (international · NeurIPS 2020). L’idée : adosser un modèle de langue à un index de documents, pour qu’il réponde à partir de sources et en indique la provenance. Le 18 juillet 2024, le régulateur français a précisé que l’organisation qui branche une IA sur sa propre base de connaissances est responsable de ce traitement dès que la base contient des données personnelles (France · CNIL). En octobre 2025, les autorités allemandes de protection des données ont consacré au RAG une orientation entière (Allemagne · DSK).

Le principe tient en une phrase ; sa mise en œuvre engage la sécurité, la protection des données et l’hébergement. Un RAG vaut ce que valent son index et ses droits d’accès, pas seulement son modèle.

Ce qu’il faut retenir

• Le principe (international · NeurIPS 2020) : au lieu de se fier à la mémoire du modèle, on cherche d’abord les passages utiles dans vos documents, puis on les lui transmet avec la question. Il répond à partir de ces extraits et peut citer ses sources.
• L’intérêt (France · CNIL) : des réponses fondées sur des données « plus faciles à actualiser que le modèle lui-même » et plus traçables (FAQ du 18 juillet 2024). Pour des données personnelles ou des documents sensibles, la CNIL juge généralement plus sûr un déploiement sur site.
• Les droits d’accès (France · ANSSI) : impossibles à gérer sur les données d’entraînement d’un modèle, ils sont possibles sur les données ajoutées en production, comme celles d’un RAG (guide du 29 avril 2024).
• L’effacement (Allemagne · DSK) : les entrées d’une base vectorielle sont supprimables une à une, ce qui reste impossible dans les paramètres du modèle (octobre 2025).

Pour aller plus loin : la mécanique

• Le découpage. Les documents sont coupés en fragments (chunks), en général de quelques centaines de jetons, les unités de texte du modèle. Trop court, un fragment perd son contexte ; trop long, il noie l’information.
• La vectorisation. Un modèle d’embeddings transforme chaque fragment en une suite de nombres, un vecteur. Deux textes de sens proche donnent des vecteurs proches : on cherche ainsi par le sens, et non par mots-clés.
• La recherche hybride. On y ajoute une recherche lexicale classique (BM25), plus fiable sur les noms propres, les références et les codes. Selon une étude du 19 septembre 2024 (États-Unis · Anthropic), l’association des deux fait mieux que les embeddings seuls.
• Le reclassement. Un second modèle relit les meilleurs candidats et les réordonne. Dans la même étude, enrichir chaque fragment d’un court résumé de son contexte réduit de 35 % les recherches ratées, de 49 % avec la recherche hybride, et de 67 % avec un reclassement en plus.
• La fenêtre de contexte. Les fragments retenus entrent dans la consigne du modèle, de taille limitée. Plus elle s’allonge, moins le modèle y retrouve bien l’information (États-Unis · Anthropic, septembre 2025).

Le vrai enjeu : mesurer, et hériter des droits

Un RAG s’évalue sur trois axes. L’exactitude : la réponse est-elle juste et fidèle aux extraits ? La couverture : le bon document a-t-il été retrouvé ? Les citations : chaque affirmation renvoie-t-elle à un passage qui la soutient vraiment ? Il faut pour cela un jeu de questions de référence, construit avec les métiers et rejoué à chaque changement de modèle, de découpage ou d’index.

Le second enjeu se voit moins. Un RAG doit appliquer, à chaque question, les droits d’accès des documents sources. Sinon, n’importe quel utilisateur peut obtenir en une phrase le résumé d’une note réservée à la direction. L’OWASP classe ce risque parmi les dix principaux des applications de grands modèles de langue (international · OWASP, LLM08:2025). L’ANSSI recommande de revoir les droits des outils d’IA générative dès leur activation, puis régulièrement, par exemple chaque mois.

Trois points de vigilance

1. Les vecteurs sont des données personnelles. Des chercheurs de l’université Cornell ont reconstitué à l’identique 92 % de textes de 32 jetons à partir de leurs seuls embeddings, et retrouvé des noms complets dans des notes cliniques (États-Unis · Cornell, EMNLP 2023). La base vectorielle se protège donc comme les documents : chiffrement, hébergement, durée de conservation, et une base légale, rappelle la DSK.

2. La mise à jour et l’effacement. Un document modifié ou supprimé à la source doit l’être aussi dans l’index. Sinon, le RAG cite une version périmée, ou une donnée qu’une personne a fait effacer au titre du RGPD. C’est un avantage du RAG sur l’entraînement, à condition d’être outillé.

3. Les coûts et les alternatives. Chaque question déclenche une recherche, souvent un reclassement, puis un appel au modèle chargé de milliers de jetons. Sous 200 000 jetons, soit environ 500 pages, Anthropic estime qu’on peut placer toute la base dans la consigne. L’affinage (fine-tuning) modifie le modèle : utile pour un style, mal adapté à des faits qui changent, et sans gestion de droits sur ce qu’il a appris. Enfin, des agents cherchent eux-mêmes dans les fichiers, avec des outils comme grep, plus lentement qu’avec un index préparé.

Ce qu’il faut exiger d’un prestataire

1. Le lieu d’hébergement de chaque brique : documents, base vectorielle, modèle d’embeddings, modèle de génération, journaux. Un RAG dit souverain dont le modèle tourne hors d’Europe ne l’est qu’à moitié.
2. L’héritage des droits d’accès depuis l’annuaire et la gestion documentaire, vérifié à chaque requête et testé avec plusieurs profils.
3. L’absence de réutilisation de vos données (documents, questions, réponses) pour entraîner des modèles, écrite dans le contrat de sous-traitance prévu par l’article 28 du RGPD.
4. Un jeu d’évaluation livré avec le système, avec des seuils d’acceptation et un rejeu à chaque mise à jour.
5. Un délai de purge garanti entre une suppression à la source et sa disparition de l’index, avec une preuve.
6. La journalisation des questions, des fragments retrouvés et des réponses, comme le recommande l’ANSSI, avec une durée de conservation fixée.
7. Une clause de réversibilité : export des documents, fragments, métadonnées et paramétrages.

Le modèle rédige la réponse ; l’index décide de ce qu’il sait, et pour qui.

La question à poser lundi matin

À votre DSI et à votre délégué à la protection des données : « Si un collaborateur interroge notre assistant sur un document qu’il n’a pas le droit d’ouvrir, que se passe-t-il, et pouvons-nous le prouver ? »