L'AI Act et les assistants RAG : quelles obligations pour une base de connaissances interrogeable par l'IA ?
L'AI Act européen ne contient pas de catégorie « RAG » ou « base de connaissances », mais il s'applique dès qu'un assistant documentaire entre dans l'une de ses catégories de risque. Dans la grande majorité des cas, un assistant qui répond à partir de documents relève du risque limité et doit surtout respecter des obligations de transparence : dire qu'il s'agit d'une IA, permettre de vérifier les sources. Cet article fait le point sur ce qui s'applique, ce qui n'est pas couvert, et les étapes concrètes pour s'y préparer. Il ne constitue pas un conseil juridique : pour qualifier précisément votre cas, faites-le valider par un juriste spécialisé.
L'AI Act, en bref, pour qui construit un assistant documentaire
Le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689, est entré en vigueur en août 2024. Son application est progressive : les pratiques interdites s'appliquent depuis février 2025, les obligations pour les modèles d'IA à usage général (GPAI) depuis août 2025, et la majorité des obligations liées aux systèmes à haut risque s'appliquent à partir d'août 2026, avec quelques échéances étalées jusqu'en 2027 pour des cas particuliers. L'approche du texte n'est pas technologique mais fonctionnelle : il ne régule pas « le RAG » en tant que technique, il régule l'usage qui en est fait, selon le niveau de risque qu'il représente pour les personnes concernées. Un assistant qui interroge un livret d'accueil RH n'a donc pas le même statut qu'un outil qui trie des candidatures ou qui évalue une éligibilité à une aide publique.
Pour comprendre les briques techniques derrière ces assistants (récupération, citation de passages, génération encadrée), ce guide sur le RAG pose les bases avant d'aborder les questions de conformité.
Les quatre niveaux de risque, et où se situe un assistant RAG
L'AI Act classe les systèmes d'IA en quatre niveaux. Un assistant documentaire se situe presque toujours dans les deux niveaux du bas, sauf s'il est utilisé pour prendre ou influencer une décision ayant un effet significatif sur une personne.
Niveaux de risque de l'AI Act et exemples d'assistants RAG
| Niveau de risque | Exemple d'usage RAG | Obligations typiques |
|---|---|---|
| Inacceptable (interdit) | Notation sociale généralisée, manipulation subliminale | Interdiction pure et simple, hors périmètre d'un assistant documentaire classique |
| Haut risque | Assistant qui filtre des CV, évalue l'éligibilité à un crédit ou à une aide, aide à une décision judiciaire | Gestion des risques, qualité des données, documentation technique, supervision humaine, traçabilité |
| Risque limité | Chatbot qui répond aux questions RH, juridiques ou techniques à partir de documents internes ou publics | Transparence : informer l'utilisateur qu'il échange avec une IA, permettre l'identification des sources |
| Risque minimal | Moteur de recherche interne sans génération de texte libre, FAQ statique | Pas d'obligation spécifique au titre de l'AI Act |
La frontière entre risque limité et haut risque dépend moins de la technologie (RAG, fine-tuning, prompt simple) que de la finalité : un assistant qui informe reste généralement en risque limité ; un assistant qui décide, classe ou filtre des personnes peut basculer en haut risque, même s'il s'appuie sur la même base de connaissances.
Transparence : l'obligation qui concerne presque tous les assistants RAG
L'article de l'AI Act consacré à la transparence impose, pour les systèmes destinés à interagir avec des personnes physiques, d'informer clairement ces personnes qu'elles échangent avec une intelligence artificielle, sauf si c'est déjà évident du contexte. Pour un assistant RAG interne ou public, cela se traduit concrètement par un message visible (« Réponse générée par une IA à partir de vos documents »), par une distinction claire entre la réponse générée et les passages cités, et par un moyen simple de consulter la source d'origine.
C'est là qu'un mécanisme de réponses sourcées prend tout son sens au-delà du confort d'usage : il devient un outil de conformité. Sur Kopik, chaque réponse générée en mode base de connaissances renvoie vers les passages exacts des documents utilisés, ce qui permet à l'utilisateur de vérifier l'origine de l'information plutôt que de faire confiance aveuglément au texte généré. Pour aller plus loin sur cette vérification, cet article explique comment contrôler une réponse d'IA à partir de ses sources.
Transparence ne veut pas dire exactitude garantie
Informer que l'on parle à une IA et citer des sources réduit le risque de confusion, mais ne garantit pas l'absence d'erreur. Associer la transparence à un travail de fond sur la fidélité des réponses reste nécessaire, voir cet article sur l'évaluation d'un système RAG.
Quand un assistant RAG peut basculer en « haut risque »
L'annexe III de l'AI Act liste des domaines sensibles : emploi et gestion des travailleurs (recrutement, évaluation, promotion), éducation et formation professionnelle, accès à des services essentiels publics ou privés (crédit, assurance, prestations sociales), application de la loi, migration et administration de la justice. Un assistant RAG qui se contente de répondre à des questions sur une convention collective ou un règlement intérieur reste, en principe, un outil d'information. Le même assistant devient potentiellement un système à haut risque s'il est utilisé pour trancher automatiquement une décision individuelle : accepter ou refuser une candidature, calculer une notation d'employé, orienter une décision d'octroi d'aide.
Pour les cas RH, cet article sur un assistant IA pour les politiques RH détaille comment garder un usage purement informatif. Pour les cabinets d'avocats et services juridiques, où le risque de confusion entre information et conseil est plus élevé, ce dossier sur le RAG juridique, RH et conformité détaille les pièges à éviter.
Ce que l'AI Act ne couvre pas (et qu'il ne faut pas confondre)
- La protection des données personnelles reste régie par le RGPD, pas par l'AI Act : un assistant RAG peut être parfaitement transparent au sens de l'AI Act et non conforme au RGPD s'il traite des données personnelles sans base légale claire. Les deux textes se complètent, voir cette checklist RGPD pour le RAG.
- Le statut de fournisseur d'un modèle d'IA à usage général (obligations GPAI) ne concerne généralement pas une entreprise qui construit un assistant RAG au-dessus d'un modèle existant : elle est plutôt « déployeur », avec des obligations plus légères que le fournisseur du modèle sous-jacent.
- Un moteur de recherche documentaire sans génération de texte libre, qui renvoie uniquement des passages bruts sans reformulation, échappe le plus souvent aux obligations de transparence liées à la génération de contenu, puisqu'il n'y a pas de texte « créé » par l'IA à proprement parler.
- La qualité ou la fiabilité des réponses n'est pas directement un sujet AI Act dans le cas du risque limité : elle relève davantage de la responsabilité contractuelle et de bonnes pratiques de fidélité documentaire.
Checklist pratique avant de déployer un assistant RAG
- Qualifier l'usage réel : l'assistant informe-t-il, ou participe-t-il à une décision individuelle dans un domaine listé à l'annexe III ?
- Afficher clairement que les réponses sont générées par une IA, et distinguer visuellement le texte généré des passages sources cités.
- Garder une traçabilité des sources utilisées pour chaque réponse, utile à la fois pour la conformité et pour le débogage des erreurs.
- Documenter le périmètre des documents indexés (dates, versions, propriétaire) pour pouvoir justifier l'origine d'une réponse en cas de litige.
- Prévoir un canal de signalement simple pour qu'un utilisateur puisse contester ou corriger une réponse jugée fausse.
- Vérifier séparément la conformité RGPD si des données personnelles figurent dans les documents indexés ou dans les questions posées.
- Revoir la qualification du cas d'usage à chaque évolution significative (ajout d'une fonctionnalité de décision automatisée, par exemple).
Cette logique de traçabilité et de citation des sources rejoint ce qui est déjà une bonne pratique pour la fiabilité d'un RAG, indépendamment de toute obligation réglementaire. Un glossaire des notions clés peut aider à cadrer les discussions avec des équipes juridiques ou des parties prenantes non techniques, voir ce glossaire IA et LLM pour les professionnels.
Construire un assistant documentaire traçable
Avant de vous poser la question de la conformité, assurez-vous que votre assistant cite systématiquement ses sources. Créez une base de connaissances gratuitement et testez le mode réponses sourcées.
Pour aller plus loin
Les entreprises qui exposent un assistant RAG via une API ou un serveur MCP (pour Claude, Cursor ou ChatGPT) doivent appliquer la même logique de transparence côté intégration : documenter clairement, dans la réponse de l'API, l'origine des passages utilisés. Ce guide développeur sur l'ajout d'une API de base de connaissances et cet article sur la connexion d'une base de connaissances à Claude via MCP détaillent les mécanismes techniques à prévoir pour que la traçabilité des sources survive à l'intégration dans un agent tiers.
En résumé
Pour la très grande majorité des assistants RAG documentaires, l'AI Act se traduit par une obligation de transparence simple à mettre en œuvre : dire que l'on parle à une IA, et rendre les sources vérifiables. Le vrai point de vigilance n'est pas la technologie RAG elle-même, mais l'usage qui en est fait dans des domaines sensibles listés par le règlement. Qualifier correctement son cas d'usage, documenter ses sources et garder un œil sur les évolutions fonctionnelles de l'assistant reste la meilleure protection, en complément d'un avis juridique dès que le cas d'usage touche à l'emploi, au crédit, à la santé ou à la justice.
Questions fréquentes
Un chatbot interne qui répond sur des documents RH est-il concerné par l'AI Act ?
S'il se contente d'informer (expliquer une politique de congés, citer un article de convention collective), il relève le plus souvent du risque limité et doit surtout respecter une obligation de transparence. S'il participe à une décision individuelle (tri de candidatures, évaluation de performance), il peut basculer en système à haut risque au sens de l'annexe III.
Qui est responsable au sens de l'AI Act : l'éditeur du modèle ou l'entreprise qui déploie l'assistant RAG ?
L'AI Act distingue le fournisseur du modèle d'IA à usage général et le déployeur, c'est-à-dire l'entreprise qui met en œuvre le système dans un contexte précis. Une entreprise qui construit un assistant RAG au-dessus d'un modèle existant est généralement considérée comme déployeur, avec des obligations centrées sur l'usage concret qu'elle en fait, notamment la transparence envers les utilisateurs finaux.
Quelle différence entre l'AI Act et le RGPD pour un assistant RAG ?
L'AI Act régule le risque posé par le système d'IA lui-même (transparence, sécurité, supervision humaine selon le niveau de risque). Le RGPD régule le traitement des données personnelles, indépendamment de la technologie utilisée. Un assistant RAG peut être conforme à l'un et pas à l'autre : les deux analyses doivent être menées séparément.
Un assistant RAG public proposé sur une place de marché comme Kopik est-il concerné par l'AI Act ?
Oui, dans la mesure où il interagit avec des personnes physiques : l'obligation de transparence (indiquer qu'il s'agit d'une IA) s'applique. Le niveau de risque dépend ensuite du sujet traité par la base de connaissances et de l'usage qui en est fait par les personnes qui la consultent, pas du fait qu'elle soit publique ou privée.
À partir de quand les obligations de l'AI Act doivent-elles être respectées ?
Le calendrier est progressif : les pratiques interdites s'appliquent depuis février 2025, les obligations pour les modèles d'IA à usage général depuis août 2025, et la majorité des obligations liées aux systèmes à haut risque à partir d'août 2026, avec quelques échéances étalées jusqu'en 2027 pour des cas particuliers. Les obligations de transparence visées à l'article 50 suivent globalement le même calendrier que les systèmes à haut risque.
Faut-il un avis juridique avant de déployer un assistant RAG en entreprise ?
Pour un usage purement informatif interne, une analyse rapide suffit souvent. Dès que l'assistant touche à l'emploi, au crédit, à la santé, à l'éducation ou à une décision administrative, un avis juridique spécialisé est recommandé pour qualifier précisément le niveau de risque et les obligations associées.
Recevez la newsletter Kopik
Nouvelles bases de connaissances, guides sur le RAG et nouveautés du produit. Un mail toutes les une à deux semaines, désinscription en un clic.
En vous abonnant, vous acceptez de recevoir notre newsletter. Votre adresse n'est jamais partagée.