Le RAG n'est pas de la gouvernance : la recherche documentaire en environnement réglementé
La génération augmentée par recherche a gagné sa popularité honnêtement. Au lieu de faire confiance à un modèle pour se souvenir d'un fait depuis ses poids, vous récupérez le passage pertinent dans vos propres documents et vous le donnez au modèle comme contexte. La réponse est ancrée dans votre matériel, l'hallucination baisse, et vous pouvez pointer la source. Pour un chatbot de base de connaissances, c'est souvent suffisant.
Sauf qu'en environnement réglementé, une réponse ancrée et une réponse conforme ne sont pas la même chose, et les confondre est l'une des erreurs les plus coûteuses qu'une équipe sérieuse puisse commettre. La recherche contrôle ce que le modèle lit. Elle ne dit rien de ce que le modèle a le droit de lire, ni si la source lue était à jour, ni si le passage était authentique, ni si la décision résultante aurait dû aller à une personne. Le RAG est une technique d'ancrage. La gouvernance est une autre discipline, et le RAG ne la contient pas.
La version inconfortable de l'affirmation est celle-ci. Le RAG fait paraître une réponse autoritaire sans la rendre responsable. Une citation à côté d'une réponse fausse ou non autorisée ne corrige pas la réponse. Elle la blanchit, en habillant une sortie non gouvernée de l'apparence de la provenance. Dans un processus réglementé, c'est pire qu'une supposition évidente, parce que ça passe la revue en ayant l'air soigneux.
La provenance est une affirmation qu'il faut pouvoir prouver
Commencez par la citation elle-même, parce que c'est la fonctionnalité à laquelle tout le monde se fie le plus et qu'on inspecte le moins.
Quand un système RAG renvoie une réponse « fondée sur » un extrait récupéré, la citation ne vaut que ce que vaut la plomberie derrière. Trois choses doivent tenir, et aucune n'est automatique. Le passage récupéré doit réellement étayer l'affirmation, plutôt qu'être un extrait sémantiquement voisin que le modèle a paraphrasé librement. Le document d'où vient l'extrait doit être la version authentique et à jour, pas un brouillon remplacé qui se trouvait encore dans l'index. Et le lien entre l'affirmation et la source doit être enregistré, pas reconstitué après coup en demandant au modèle d'où il pense que la réponse vient.
Ce dernier point compte plus qu'il n'y paraît. Un modèle à qui l'on demande de citer ses sources produira des citations plausibles, que ce soient ou non les passages qu'il a réellement utilisés. Une provenance que vous générez en demandant au modèle de s'expliquer n'est pas une provenance. C'est une seconde hallucination portant une note de bas de page. La vraie provenance est une piste de preuves captée par la couche de recherche au moment de la recherche : cette requête, contre cette version d'index, a renvoyé ces identifiants de documents, et la réponse a été générée exactement à partir d'eux. Cet enregistrement doit être écrit avant que la réponse ne soit servie, pas assemblé quand un auditeur le demande.
L'agent ne doit récupérer que ce que son identité a le droit de voir
Voici le mode d'échec qui transforme un système RAG utile en incident de conformité, et il n'a rien à voir avec l'hallucination.
La plupart des systèmes de recherche sont construits pour la pertinence, pas pour l'autorisation. L'index vectoriel contient tout, et le moteur renvoie ce qui est sémantiquement le plus proche de la requête. C'est exactement l'inverse de ce qu'il faut en environnement réglementé, où c'est le demandeur qui détermine ce qui peut être renvoyé. Un agent de support interrogeant un corpus ne devrait pas pouvoir récupérer un passage d'un document que la personne qu'il sert n'est pas habilitée à voir. Mais si le contrôle d'accès ne vit qu'à la porte d'entrée de l'application et pas à l'intérieur de la recherche, une requête habilement formulée peut tirer un passage restreint dans la fenêtre de contexte, et de là dans une réponse, un e-mail ou un journal.
Le contrôle d'accès doit être appliqué au moment de la recherche, contre l'identité propre de l'agent, pas greffé ensuite. L'agent tourne sous sa propre identité non humaine avec un périmètre défini, et la couche de recherche filtre l'ensemble des candidats sur ce que cette identité a le droit de voir avant le classement, pas après. La vérification de permission fait partie de la requête, ce n'est pas un post-filtre qu'un prompt peut contourner par la parole. Autrement, votre politique de contrôle d'accès est appliquée partout sauf au seul endroit où le modèle lit réellement vos données.
Cela recadre la recherche comme une action avec un rayon d'action, ce qu'elle est. Un agent qui récupère un document exerce une capacité, et comme toute capacité que détient un agent, elle devrait être cadrée, à moindre privilège et journalisée.
Des corpus obsolètes et empoisonnés sont une dérive que vous n'avez pas planifiée
Les gens de la gouvernance comprennent déjà qu'un modèle dérive quand il est mis à jour. Le corpus dans lequel un système RAG puise dérive aussi, et de façons plus faciles à manquer parce que rien du modèle n'a changé.
L'obsolescence est la version silencieuse. Un document de politique est remplacé, mais l'ancienne version reste dans l'index, et le système continue de citer avec assurance une règle qui ne s'applique plus. La réponse est ancrée, sourcée et fausse, parce que le sol a bougé. Les corpus réglementés ont besoin de la même discipline de cycle de vie que la politique réglementée : versionnage, cadence d'expiration et de revue, et garantie qu'un document remplacé est retiré de la recherche et pas seulement marqué obsolète quelque part où le moteur ne regarde jamais.
L'empoisonnement est la version adverse. Le corpus dans lequel un agent puise est souvent alimenté par du contenu que l'organisation n'a pas écrit : documents téléversés, e-mails ingérés, flux tiers. Si un attaquant peut faire entrer du texte dans ce corpus, il peut planter un passage qui ressemble à une instruction et attendre que l'agent le récupère. C'est de l'injection de prompt indirecte livrée par la base de connaissances elle-même, et elle se contient comme toute entrée non fiable : le composant qui lit le contenu récupéré est traité comme lisant des données contrôlées par l'adversaire et ne peut structurellement pas agir dessus comme s'il s'agissait d'une commande. Étiqueter la provenance de ce qui entre en mémoire et de ce qui ressort de la recherche n'est pas de la paperasse. C'est ainsi que vous empêchez votre propre index de devenir une surface d'attaque.
Le RAG a besoin de la même piste de preuves et du même gate humain que toute action d'agent
Mettez les trois fils ensemble et la conclusion est directe. La recherche n'est pas un raccourci qui contourne la gouvernance. C'est une action d'agent de plus, qui doit se placer dans les mêmes contrôles que toutes les autres.
Cela veut dire la machinerie identique à celle sur laquelle tourne le reste du système. Une piste de preuves append-only qui enregistre ce qui a été récupéré, depuis quelle version d'index, sous quelle identité, et comment la réponse a été dérivée, écrite avant que la décision ne s'engage. Un accès appliqué contre l'identité de l'agent au moment de la recherche. Des règles de cycle de vie du corpus qui rendent l'obsolescence visible et l'empoisonnement contenable. Et, pour les sorties à conséquence, le même gate humain : une réponse ancrée qui porte un poids réglementaire se résout en REQUIRE-HUMAN, parce qu'une citation est une preuve pour une décision, pas un substitut à la prise de décision.
Rien de tout cela n'est un argument contre le RAG. La recherche est l'un des outils les plus utiles dont nous disposons pour ancrer un agent dans le matériel réel d'une organisation, et l'alternative, un modèle qui répond depuis ses poids, est pire sur tous les axes qui comptent ici. L'argument porte contre l'hypothèse tacite que l'ancrage est de la gouvernance, qu'une citation est une piste d'audit, et qu'un système qui cherche soigneusement est donc un système que vous pouvez défendre.
La question à apporter à votre prochaine revue de conception n'est donc pas « notre système RAG cite-t-il ses sources ? ». C'est : l'agent ne peut-il récupérer que ce que son identité a le droit de voir, pouvons-nous prouver d'où vient chaque réponse, et une réponse ancrée mais à conséquence s'arrête-t-elle quand même à une personne ? Si la recherche se tient hors de votre gouvernance plutôt que dedans, vous avez construit quelque chose qui a l'air responsable et ne l'est pas, ce qui, dans un processus réglementé, est la chose la plus dangereuse à construire.
Si vous voulez éprouver où se situe la recherche par rapport à votre gouvernance sur un corpus réel, prenez rendez-vous et apportez-nous celui qui contient les documents les plus sensibles.