Assistant IA documentaire : quelle procédure fait foi ?

Un assistant IA documentaire peut retrouver une réponse dans vos procédures internes, à condition de montrer le passage qui la justifie, sa version applicable et sa date. Il doit aussi limiter sa recherche aux documents que la personne a le droit de consulter. Je vous propose six cas à faire vérifier avant de l'ouvrir à votre équipe, y compris ceux où la bonne réponse consiste à s'arrêter.

« Il faut encore le questionnaire de fin de session ? » La procédure existe, mais un collègue a gardé l'ancienne version. Une réponse bien tournée ne règle pas ce problème : il faut savoir quel document fait foi. C'est le point de départ du scénario fictif de cet article.

Comment un assistant retrouve-t-il une réponse dans vos documents ?

Un assistant documentaire cherche des passages dans un ensemble de fichiers, puis les utilise pour rédiger sa réponse. Cette méthode est souvent appelée RAG, pour génération enrichie par une recherche documentaire. Pour l'équipe, le résultat utile est simple : une réponse courte, un extrait pertinent et un lien qui ouvre la bonne source.

La CNIL décrit cette approche comme une façon d'enrichir les réponses avec des données externes plus faciles à actualiser que le modèle lui-même. Elle rappelle aussi qu'un modèle peut produire une réponse fausse mais plausible. Questions-réponses de la CNIL, publiées le 18 juillet 2024.

• La réponse : ce que votre collaborateur doit comprendre ou faire.
• La preuve : le passage précis, avec titre, version, date d'application et section.
• La limite : ce qui manque ou reste à faire confirmer par le responsable.

Un lien vers un document ne prouve pas que ce document justifie la réponse. Ouvrez le passage cité : parle-t-il bien du même dossier, de la même situation et de la règle applicable ? La lecture automatique de montants relève d'un autre besoin, traité dans le guide sur la lecture des factures fournisseurs.

---

Quelle version de la procédure doit faire foi ?

La réponse opérationnelle doit s'appuyer sur la version approuvée et applicable à la situation. Je demande que cette règle soit explicite avant le branchement de l'assistant. La date de modification d'un fichier ne suffit pas : un brouillon enregistré hier peut coexister avec une procédure toujours en vigueur.

Voici le petit ensemble de documents utilisé pour préparer les essais. Tous les intitulés, règles et dates de ce scénario sont fictifs. Ils ne décrivent ni une obligation du secteur de la formation, ni une procédure client.

Les cinq documents du scénario

L'ancienne procédure peut expliquer un changement, sans devenir la règle à suivre. Pour répondre à la question du questionnaire, l'assistant doit citer B, version 2, section 3, applicable au 1er novembre. Si on lui demande pourquoi la liste a changé, A peut servir à expliquer l'écart, avec son statut obsolète visible.

---

Comment vérifier les droits avant la lecture des documents ?

L'application doit identifier la personne et appliquer ses droits avant de récupérer les extraits destinés à sa question et de les envoyer au modèle. Une consigne telle que « ne révèle pas le dossier direction » ne remplace pas ce contrôle. Le rôle doit venir du compte connecté, pas d'une phrase saisie dans la conversation.

L'OWASP, organisme qui publie des recommandations de sécurité informatique, demande de conserver les droits sur les extraits et de les vérifier au moment de la recherche, avant que le contenu atteigne le modèle. Microsoft documente également des filtres qui excluent les documents non autorisés dans Azure AI Search. Ce sont des mécanismes à configurer et à vérifier. Recommandations OWASP et contrôles documentaires décrits par Microsoft.

« Le système d'IA doit intégrer la question des droits d'accès et du respect du besoin d'en connaître dans les réponses qu'il apporte. »
ANSSI, agence française de cybersécurité, guide du 29 avril 2024, page 13. Lire le guide.

Une réponse qui cache le code ne prouve pas que le document réservé a été écarté. Pour le vérifier, demandez la trace des documents sélectionnés et du contenu réellement envoyé au modèle. Le titre, le lien et l'extrait affichés doivent eux aussi respecter les droits : une citation peut divulguer une information.

---

Quels essais demander avant d'ouvrir l'assistant à l'équipe ?

Faites poser les mêmes questions avec deux comptes de test, l'un « gestion », l'autre « direction ». Pour chaque cas, comparez le résultat attendu aux documents sélectionnés, à la réponse et aux citations. Cette grille décrit une recette à demander, c'est-à-dire les vérifications qui permettent d'accepter une livraison. Elle ne présente pas les performances d'un logiciel.

Six cas et leurs résultats attendus

Que montre le contrôle local de cet exemple ?

Le 11 novembre 2026, un petit programme local, sans IA, a reproduit les sélections prévues pour ces six situations. Les rôles étaient simulés. Dans le cas « gestion », le fichier E n'a pas été ouvert. Cela illustre un contrôle avant lecture sur ces fichiers fictifs ; aucune connexion utilisateur ni réponse générée par une IA n'a été évaluée.

Une reformulation a aussi révélé une limite : « Que faut-il enregistrer pour terminer le dossier après la session ? » ne retrouve aucune source, alors que B contient la réponse. Ce résultat montre pourquoi il faut varier les formulations pendant la recette. Les six cas ci-dessus restent à vérifier dans la solution choisie, avec de vrais comptes et ses réponses finales.

Une contradiction dans les sources appelle une décision du responsable. L'assistant ne doit pas désigner le responsable administratif parce que cette réponse semble plus vraisemblable. Il doit permettre à la personne qui tient la procédure de corriger C ou D.

Conservez la date, la solution et ses réglages avec les résultats observés. Rejouez les questions après une modification des sources ou des droits, notamment après le retrait d'un accès. Un passage réussi sur ce petit scénario ne mesure pas la fiabilité générale. Pour intégrer ces contrôles à une demande de chiffrage, consultez le guide du devis d'automatisation.

---

Que deviennent les documents et les questions posées ?

Vérifiez séparément l'usage pour entraîner les modèles, la conservation des conversations et la suppression des copies utilisées pour la recherche. L'engagement de ne pas entraîner un modèle avec vos données ne signifie pas que rien n'est enregistré. Les règles dépendent de l'offre souscrite, des réglages et des services reliés.

Microsoft indique par exemple que Copilot conserve des questions et des réponses, y compris leurs citations, dans l'historique d'activité. Des politiques de conservation peuvent s'appliquer, alors que ces données ne servent pas à entraîner les modèles de base. Documentation Microsoft sur les données conservées.

• Où vont les données ? Faire préciser l'hébergement, le traitement par le modèle et les prestataires concernés.
• Qui voit l'historique ? Vérifier les accès des utilisateurs, administrateurs et intervenants.
• Que retire une suppression ? Vérifier le fichier, ses extraits de recherche et les réponses enregistrées, selon les règles de conservation retenues.

Retirer le fichier d'origine ne suffit pas si ses extraits restent recherchables. L'OWASP recommande de propager la suppression aux copies dérivées et aux réponses conservées pour être réutilisées. Le traitement des journaux doit suivre les exigences de conservation applicables. Recommandations OWASP sur la suppression.

---

Quelles questions reviennent avant un premier essai ?

Commencez par vérifier la recherche disponible dans vos outils et la qualité de vos procédures. L'assistant devient intéressant quand l'équipe a besoin d'une réponse qui assemble les bons passages, avec des preuves et des limites visibles.

---

Que faut-il retenir pour commencer ?

Choisissez les procédures d'un seul service et des questions que son responsable sait vérifier. Préparez les réponses attendues, désignez la version applicable et testez deux profils d'accès. Si une recherche classique ouvre déjà le bon passage sans difficulté, elle peut suffire.

Les trois décisions avant le branchement

Pour cadrer un outil interne relié à vos documents, vous pouvez me décrire vos procédures et les questions de votre équipe. Le service concerné, un exemple de question et les profils autorisés suffisent au premier échange. Gardez les fichiers confidentiels dans vos espaces habituels.