RAG Enterprise : passer du prototype à la production

Un prototype RAG (Retrieval-Augmented Generation) se construit en un après-midi : un modèle de langage, une poignée de documents, un index vectoriel, et la démonstration impressionne. La distance entre ce prototype et un système RAG utilisable en production, lui, se compte en mois — et la plupart des projets sous-estiment cette distance parce que la démonstration initiale masque exactement les problèmes qui rendent l'industrialisation difficile.

Ce que le prototype ne montre pas

Un prototype fonctionne sur un corpus propre, choisi à la main, sans droits d'accès différenciés, sans obligation de traçabilité, et sans utilisateurs simultanés. La production impose les quatre à la fois. Le corpus réel contient des documents contradictoires, obsolètes ou mal classés. Chaque utilisateur ne doit voir que ce qu'il a le droit de voir — un vendeur ne doit pas récupérer, via le RAG, des informations RH auxquelles il n'aurait jamais eu accès autrement. Et chaque réponse générée doit pouvoir être retracée jusqu'à ses sources, pour des raisons de confiance autant que de conformité.

Quatre chantiers pour industrialiser

La qualité et la structuration des données. Un RAG n'est jamais meilleur que le corpus qu'il interroge. Avant d'indexer, il faut décider ce qui entre dans le socle documentaire, qui en est responsable, et selon quelle fréquence il est mis à jour — un document obsolète cité avec assurance par un modèle de langage est plus dangereux qu'une absence de réponse.

La sécurité et le contrôle d'accès. L'indexation vectorielle doit respecter les mêmes permissions que les systèmes sources. Cela demande une architecture qui propage les droits d'accès jusqu'à la couche de récupération, pas seulement jusqu'à l'interface.

La supervision. Un système RAG en production a besoin de ses propres indicateurs : pertinence des documents récupérés, taux de réponses correctement sourcées, coût par requête, dérive du modèle dans le temps. Sans ces mesures, une dégradation de qualité passe inaperçue jusqu'à ce qu'un utilisateur la signale — trop tard.

La conformité RGPD et IA Act. Le RGPD s'applique dès qu'une donnée personnelle transite par le système, y compris dans les documents indexés. L'IA Act européen classe certains usages selon leur niveau de risque et impose des obligations de transparence et de traçabilité proportionnées. Ces exigences se traitent en amont, dans l'architecture, pas en aval par un correctif.

Le rôle de la gouvernance

Industrialiser un RAG n'est pas seulement un chantier technique. C'est une question de gouvernance : qui décide de ce qui entre dans le corpus, qui est responsable de la qualité des réponses, quel budget de calcul est alloué et comment il est arbitré. Sans cette gouvernance, chaque équipe qui adopte le RAG le fait à sa manière, avec ses propres règles implicites — ce qui reconstitue exactement la fragmentation que l'architecture d'entreprise cherche à éviter.

• La démonstration d'un prototype RAG masque les problèmes qui rendent l'industrialisation difficile.
• Quatre chantiers structurent le passage en production : données, sécurité, supervision, conformité.
• Le RGPD et l'IA Act se traitent dans l'architecture, pas comme un correctif après coup.
• Sans gouvernance explicite, chaque équipe adopte le RAG à sa manière — et la fragmentation revient.