Guide de conformité à l'EU AI Act pour les systèmes de génération augmentée par récupération (RAG)

Les systèmes de génération augmentée par récupération (RAG) relient les référentiels de données de l'entreprise aux grands modèles de langage pour produire des réponses ancrées et adaptées au contexte. En vertu de l'EU AI Act, le déploiement d'une architecture RAG introduit des obligations juridiques et techniques distinctes selon la classification sous-jacente de l'application.

Décomposition de la classification des risques

La classification d'une architecture RAG dépend strictement de sa destination et du secteur dans lequel elle opère :

1. Mises en œuvre à haut risque (Annexe III) : Si l'application RAG éclaire les décisions relatives à l'emploi, détermine l'accès au crédit, évalue l'admissibilité à l'éducation ou trie les alertes d'infrastructures critiques, elle est classée à Haut Risque. Les déployeurs doivent satisfaire à des exigences rigoureuses de gestion de la qualité et de documentation technique.
2. Intégrations d'IA à usage général (GPAI) : Si le pipeline RAG se connecte à des modèles de fondation tiers, les déployeurs doivent clarifier la répartition des responsabilités entre le fournisseur du modèle en amont et les contrôles de l'application en aval.
3. Systèmes soumis à des obligations de transparence (Article 50) : Les bots RAG orientés client interagissant directement avec des personnes physiques doivent indiquer clairement que les utilisateurs interagissent avec un système automatisé.

Documentation technique et gouvernance des données

L'exploitation d'un pipeline RAG conforme nécessite une cartographie continue des contrôles à chaque étape d'ingestion et de récupération :

• Provenance du corpus et propriété intellectuelle : Tous les plongements vectoriels (embeddings) indexés doivent avoir une traçabilité vérifiable, attestant que les documents internes, les données extraites et les bases de données de référence respectent le droit d'auteur et les exigences de confidentialité en vertu du RGPD.
• Journalisation de la récupération et non-déterminisme : Mettre en œuvre une journalisation immuable des requêtes, des fragments de contexte récupérés, des invites système et des sorties de modèle pour préserver une auditabilité complète pour la surveillance après commercialisation.
• Contrôles des hallucinations et d'ancrage factuel : Les flux de travail à haut risque nécessitent des garde-fous automatisés qui mesurent l'adhérence au contexte et préviennent les dérives factuelles avant que les jetons de sortie n'atteignent les opérateurs humains ou les API en aval.

Attribution des contrôles et préparation continue aux audits

Pour maintenir la conformité sans ralentir le déploiement, les équipes d'ingénierie et juridiques doivent associer directement les articles 9 à 15 de l'EU AI Act à des indicateurs opérationnels. En établissant des contrôles automatisés aux niveaux de l'ingestion, de l'indexation et de l'inférence, les entreprises s'assurent que chaque interaction RAG laisse une piste de conformité prête pour l'audit.