Un assistant interne n’a pas de jugement : il a vos permissions.

Ce qui se passe réellement lors d’une question

La plupart des assistants internes reposent sur une architecture de génération augmentée par la recherche, formalisée dans la littérature depuis 2020 : la question est transformée en recherche, quelques extraits de documents sont récupérés, puis transmis au modèle avec la consigne de répondre à partir d’eux.

Une conséquence en découle immédiatement, et elle est souvent découverte trop tard : le modèle ne sait pas qui pose la question. Il reçoit du texte. Si la couche de recherche lui transmet l’extrait d’une note salariale, il l’utilisera pour répondre, exactement comme il utiliserait une procédure publique. Le contrôle d’accès ne peut donc pas être une consigne dans l’invite — il doit être appliqué au moment de la recherche, avec l’identité de la personne qui interroge.

Les guides d’architecture de Microsoft sur ces solutions insistent sur ce point : la sécurité s’applique à l’index et à la requête, pas à la génération. Demander poliment au modèle de ne pas divulguer une information n’est pas un contrôle, c’est une préférence.

L’assistant comme révélateur de permissions

Dans une organisation de taille moyenne, les espaces de fichiers accumulent quinze ans de partages. Un dossier ouvert « temporairement » à toute l’entreprise en 2019. Un espace d’équipe hérité d’un projet terminé. Des permissions attribuées à une liste de diffusion dont plus personne ne connaît les membres.

Rien de tout cela ne pose problème tant que retrouver un document exige de savoir qu’il existe. Un assistant supprime cette friction. Ce qui était théoriquement accessible devient effectivement consultable, en langage naturel, par toute personne qui pose la bonne question sans même savoir qu’elle la pose.

Un assistant interne ne crée pas de fuite. Il rend utilisable ce que l’organisation avait déjà cessé de protéger.

C’est la raison pour laquelle un projet d’assistant devrait commencer par un inventaire des sources et de leur modèle d’accès, et non par une comparaison de modèles. L’exercice est ingrat et il déplace le projet vers la gouvernance documentaire — ce qui est précisément là où se trouve le travail.

Le contenu récupéré n’est pas une source de confiance

Un deuxième mécanisme est moins intuitif. Puisque le modèle reçoit du texte et suit des instructions, un document contenant lui-même une instruction peut influencer la réponse. Un courriel archivé, une note collée dans un fichier partagé ou une page importée d’un site externe peuvent contenir une consigne qui s’adresse à l’assistant plutôt qu’au lecteur.

Le classement des risques applicatifs liés aux grands modèles de langage publié par l’OWASP place cette catégorie — l’injection d’instructions — en tête de liste, aux côtés de la divulgation d’informations sensibles. Ce ne sont pas des scénarios exotiques : ce sont les deux risques les plus courants d’un assistant branché sur des contenus internes hétérogènes.

La fraîcheur pèse plus lourd que le modèle

Le dernier facteur est le plus banal et le plus déterminant. Un assistant répond avec ce qu’il trouve. Si la procédure de 2021 et sa version révisée de 2025 coexistent dans l’espace documentaire, il citera l’une ou l’autre selon la formulation de la question.

Aucune amélioration du modèle ne corrige cela. Ce qui le corrige tient à des décisions de gestion documentaire : désigner une version faisant foi, retirer ou marquer les versions périmées, attribuer un propriétaire responsable de la mise à jour, et exposer la source dans la réponse pour qu’un utilisateur puisse vérifier.

C’est la conclusion qui surprend le plus les équipes de direction : la qualité perçue d’un assistant interne dépend surtout de l’hygiène documentaire de l’organisation. Une entreprise dont les procédures sont tenues à jour obtient un bon assistant avec un modèle ordinaire. Une entreprise dont les documents se contredisent obtiendra un assistant qui répète ces contradictions, plus vite et avec plus d’assurance.