Agents IA & automatisation — Du POC à l'industrialisation en production
Pour DSI, CTO et Chief Data Officer qui veulent dépasser le LLM brut. Agents IA sur stack Mistral, hébergement français possible. POC chiffré en quelques semaines, industrialisation selon le périmètre.
Nos clients types
#1. Agent IA vs LLM vs assistant : la clarification critique avant tout déploiement
La confusion sémantique coûte cher en cadrage projet. Il arrive qu'un POC signé pour « un agent IA » aboutisse à un simple wrapper ChatGPT sans intégration métier. Voici la grille de lecture qu'on pose dès le lancement d'un projet Nehos.
Un LLM (Large Language Model) — Mistral Large, Claude Sonnet 4, GPT-5, Llama 3.1 — c'est un modèle de langage. Il prend du texte en entrée, il produit du texte en sortie. Stateless par défaut. Il ne sait pas appeler une API, ne consulte pas votre CRM, ne garde aucune trace d'une session sur la suivante.
Un assistant (ChatGPT, Claude.ai, Le Chat Mistral) c'est un LLM emballé dans une interface conversationnelle, avec parfois un peu de mémoire et quelques outils intégrés (recherche web, code interpreter). Utile en usage individuel. Insuffisant pour un déploiement en production sous contrainte SI.
Un agent IA au sens 2026, c'est une architecture qui combine : un LLM (le cerveau), un ensemble d'outils accessibles via tool calling ou MCP (les bras — API CRM, base de données SQL, recherche documentaire RAG, envoi d'email), une couche d'orchestration (LangGraph, CrewAI, n8n) qui décide quel outil appeler dans quel ordre, et une mémoire persistante (souvent Postgres + pgvector).
L'agent IA observe le résultat de chaque action et adapte la suivante — c'est cette boucle qui le différencie d'un workflow statique.
Conséquence pratique pour un déploiement entreprise : on n'achète pas « un LLM », on déploie une architecture agent dans laquelle le LLM est interchangeable. C'est ce qui permet, par exemple, de migrer Mistral Large vers Claude Sonnet sur une partie du workflow sans réécrire l'agent.
#2. Quatre exemples de situations où un agent IA a du sens
#Exemple de situation 1 : agent IA pour conseillers bancaires (RAG sécurisé)
Une banque mutualiste régionale pourrait équiper ses conseillers d'un agent IA capable de répondre aux questions clients sur les produits (livrets réglementés, crédits immobiliers, assurance-vie, fiscalité). Contraintes : ACPR, RGPD strict, données client jamais en dehors du SI bancaire, traçabilité complète pour audit.
Architecture envisageable : Mistral 7B auto-hébergé chez un hébergeur qualifié SecNumCloud, RAG indexant la base produits, la base réglementaire et les FAQ internes, tool calling vers le core banking en lecture seule pour récupérer le contexte client, supervision humaine systématique sur les recommandations à enjeu (crédit, allocation patrimoniale).
Ce qu'on mesurerait pendant le pilote : le temps de recherche d'information par conseiller, le taux d'escalade vers le back-office produit, la satisfaction des conseillers. Un agent IA en banque ne remplace pas le conseiller, il lui libère du temps. C'est le cadrage AI Act « risque limité » avec supervision humaine forte.
#Exemple de situation 2 : agent IA SAV / support N1
Un éditeur SaaS B2B reçoit chaque mois un volume important de tickets, dont une bonne part de questions récurrentes (mot de passe, facturation, configuration de base). Les agents humains de niveau 1 passent beaucoup de temps sur des cas qu'un agent IA peut traiter en quelques secondes.
Architecture envisageable : Mistral Large via API, RAG sur la base de connaissances support, la documentation produit et les notes de version, intégration Zendesk + Stripe pour récupérer le contexte client, escalade automatique vers un humain si la confiance est sous un seuil ou si une émotion négative est détectée.
Ce qu'on mesurerait : part des tickets résolus sans intervention humaine, temps de première réponse, satisfaction client avant et après. La qualité de la base de connaissances conditionne le résultat : plus elle est structurée, mieux l'agent performe. C'est souvent là que se joue le projet, pas dans le choix du LLM.
#Exemple de situation 3 : agent IA de recherche documentaire interne (RAG entreprise)
Le cas le plus universel et le plus sous-estimé. Dans une ETI, les cadres passent un temps important à chercher des informations dans leurs propres documents. Le coût caché est réel, même s'il se chiffre mal sans mesure interne.
Architecture envisageable : RAG sur SharePoint, Google Drive, intranet, Confluence et base contrats, indexation incrémentale, agent IA avec citation systématique des sources (chaque réponse pointe vers le document d'origine, page précise quand possible). Mistral Large pour la génération, embedding bge-m3 pour la recherche sémantique multilingue.
Ce qu'on mesurerait : le temps de recherche déclaré par une enquête interne avant et après, la part des requêtes qui obtiennent une réponse avec source vérifiable, les refus de répondre quand aucun document pertinent n'existe (RAG strict, pour limiter les hallucinations).
C'est le cas d'usage qu'on recommande en premier projet IA pour une ETI qui n'a pas encore d'agent en production. Risque AI Act faible (catégorie « risque limité » voire « minimal »), adoption naturelle.
#Exemple de situation 4 : agent IA d'orchestration multi-tâches (Make + n8n + Mistral)
Un cas d'usage qui monte vite en 2025-2026. L'idée : combiner la puissance de raisonnement d'un LLM avec la capacité d'exécution d'outils no-code comme Make ou n8n. L'agent IA reçoit une demande (« prépare la revue trimestrielle pour le client Acme »), décide des étapes, déclenche les workflows Make/n8n appropriés (extraction CRM, génération de slides via Google Slides API, envoi du brouillon pour validation).
Architecture envisageable : Mistral Large comme cerveau, n8n auto-hébergé pour les workflows métier sensibles, Make pour les intégrations SaaS classiques, MCP (Model Context Protocol) pour exposer les workflows comme outils à l'agent. Postgres pour la mémoire de session, journal d'audit systématique.
Ce qu'on mesurerait : le nombre de processus manuels automatisés, le temps de saisie évité et le taux d'erreur avant et après, grâce à une double validation LLM + règles métier.
Limite à connaître : ce type d'agent multi-tâches augmente fortement la surface d'attaque (prompt injection peut déclencher des actions). Supervision humaine sur les actions à fort enjeu (paiements, modifications de données critiques) obligatoire — c'est non négociable dans nos déploiements.
→ Vous évaluez vos options ? Utilisez notre estimateur de budget en ligne pour obtenir une fourchette en 2 minutes, ou consultez nos tarifs détaillés.
#3. Stack souveraine pour agents IA en secteurs régulés
Question fréquente : « peut-on déployer un agent IA sans dépendance hyperscaler US ? ». Réponse : oui, voici la stack que nous mettons en place.
LLM : Mistral Large via l'API Mistral hébergée en France (souveraineté contractuelle) pour les cas d'usage classiques. Mistral 7B ou Mistral Small auto-hébergé chez un hébergeur qualifié SecNumCloud pour les cas d'usage hautement régulés (banque sous DORA, santé, secteur public sensible). Mistral 7B peut tourner en quantization 4-bit sur un petit nombre de GPU : un environnement maîtrisable.
Orchestration : LangGraph (Python) pour les workflows complexes avec branches conditionnelles et boucles d'observation. n8n auto-hébergé pour les workflows métier accessibles aux équipes ops non-dev.
RAG : Postgres 16 + pgvector pour les volumes < 10 millions de chunks. Qdrant pour les volumes supérieurs. Embedding bge-m3 (multilingue, MIT) en local pour ne pas envoyer les documents à un service externe.
Observabilité : Langfuse auto-hébergé pour la trace LLM (chaque prompt, chaque réponse, chaque tool call horodaté), Sentry pour les erreurs applicatives, Plausible pour l'usage produit.
Hébergement : un hébergeur qualifié SecNumCloud quand la qualification ANSSI est requise, un cloud public français sinon. Containerisation Docker + Kubernetes managé. Pas d'AWS, pas d'Azure, pas de GCP par défaut : on documente l'alternative seulement si le client est déjà engagé.
Selon les contraintes du client, une stack mixte (Claude d'Anthropic ou Azure OpenAI) reste possible.
#4. Conformité AI Act pour agents IA — la grille opérationnelle
L'AI Act est entré en vigueur le 2 février 2025 avec application progressive jusqu'à 2027. Pour un agent IA, quatre points opérationnels comptent vraiment.
Classification du système dès le cadrage projet : la plupart des agents IA sont en catégorie « risque limité » (chatbot RAG documentaire, assistant productivité). Les agents IA RH (screening CV, scoring candidats) basculent en « haut risque » avec obligations documentaires lourdes. Les agents IA dans l'éducation, le crédit scoring grand public, et certains usages biométriques sont également haut risque.
Supervision humaine paramétrable selon le niveau de risque. Pour un agent IA crédit : validation humaine systématique sur toute recommandation. Pour un agent IA support : escalade automatique sous seuil de confiance. La supervision n'est pas binaire — on définit des seuils par type d'action et par classe d'utilisateur.
Traçabilité complète : chaque interaction (prompt utilisateur, contexte injecté, sortie du LLM, tool calls effectués, réponse finale) est loggée avec horodatage et identifiant de session. La durée de rétention dépend du secteur et des obligations légales. C'est ce log qui permet l'audit ANSSI/CNIL et la défense en cas de litige.
Documentation obligatoire : fiche technique du système (data sources, métriques de fiabilité, biais évalués, supervision en place), procédure de gestion des incidents IA, plan de mise à jour du modèle. On livre cette documentation en standard sur tout projet Nehos.
Méthode complète : Méthode Nehos AI Act Compliance™.
#5. Du POC à l'industrialisation : notre méthodologie
Voici les fourchettes de durée que nous annonçons au cadrage. Elles dépendent du périmètre et sont confirmées dans le devis.
Phase POC : 4 à 12 semaines. 4 semaines pour un cas d'usage RAG documentaire classique sur stack standard. 8 semaines pour un agent IA avec intégrations SI (CRM, ERP) et supervision humaine paramétrée. 12 semaines pour un cas d'usage hautement régulé (banque, santé) avec audit sécurité en parallèle. Le livrable POC c'est un agent fonctionnel sur un périmètre restreint, avec KPI de référence mesuré et décision go/no-go documentée.
Phase industrialisation : 12 à 26 semaines. 12 semaines pour scaler un POC validé sur un périmètre élargi (ajout d'utilisateurs, ajout de cas d'usage adjacents). 18 semaines pour une intégration SI complexe (multi-systèmes legacy). 26 semaines pour un déploiement critique en banque ou secteur public avec audit ANSSI/CNIL, tests de charge, plan de continuité, formation des équipes.
Les deux jalons décisifs : la fin du POC (go/no-go honnête : on préfère invalider un projet que le prolonger) et le go-live production (rollback prêt, accompagnement renforcé après la mise en ligne, tableaux de bord en place dès le lendemain).
#6. Mesure du ROI agents IA — les KPIs qui comptent
On track systématiquement trois familles.
KPIs métier : heures économisées par semaine et par ETP utilisateur, coût évité mensuel (valorisation × volume), taux de résolution autonome (% de demandes traitées sans humain), NPS utilisateurs internes.
KPIs techniques : latence p95, taux d'hallucinations détecté, disponibilité mensuelle, coût LLM par requête. Les cibles sont fixées avec vous au cadrage, selon la complexité du cas d'usage.
KPIs business : impact sur le pipeline commercial, satisfaction client en bout de chaîne, indicateurs sectoriels spécifiques (taux de fraude détecté pour finance, délai de réponse pour SAV, taux d'erreur de saisie pour ops).
Le dashboard arrive en standard sur chaque MVP. Revue trimestrielle avec le sponsor exec. C'est ce qui transforme un POC en produit durable, mesuré et amélioré en continu.
Questions & réponses
Questions fréquentes — déploiement d'agents IA en entreprise
Un RAG (Retrieval Augmented Generation) sécurisé combine trois éléments. Premier : les documents sources restent dans votre SI (jamais envoyés à un service externe) — on indexe en local avec un embedding open source comme bge-m3. Deuxième : la base vectorielle (Postgres pgvector ou Qdrant) est auto-hébergée, idéalement chez un hébergeur qualifié SecNumCloud pour les secteurs régulés. Troisième : le LLM consulte uniquement les passages pertinents (top-k chunks) et cite systématiquement la source en sortie, ce qui réduit drastiquement les hallucinations. Un RAG strict (refus de répondre sans source) limite fortement le risque d'hallucination.
Quatre leviers cumulatifs. Un : RAG strict avec citation obligatoire des sources — l'agent refuse de répondre si aucun document pertinent n'est trouvé. Deux : prompt système contraint qui interdit explicitement la génération hors-contexte. Trois : guardrails programmatiques en sortie (filtres regex, vérification d'entités, détection de réponses suspectes). Quatre : observabilité fine via Langfuse pour identifier les patterns d'hallucination et ajuster en continu. Sur un cas d'usage de support bien cadré, le taux d'hallucination reste faible. Sur du juridique ouvert, il est plus élevé et la supervision humaine compense.
Trois niveaux selon la classification. Pour les systèmes à risque limité (chatbot RAG, assistant productivité), la supervision est légère : transparence vis-à-vis de l'utilisateur (« vous interagissez avec une IA »), possibilité d'escalade vers un humain. Pour les systèmes à haut risque (RH, scoring crédit, secteur public sensible), la supervision est forte : validation humaine obligatoire sur les décisions à enjeu, monitoring continu, capacité d'arrêt immédiat. Pour les systèmes interdits (manipulation, social scoring), pas de supervision possible — le système ne doit pas être déployé. Nehos classe systématiquement chaque agent en kickoff projet.
Notre maintenance logicielle démarre à 750 €/mois. Le coût dépend de trois variables. Volume (nombre d'utilisateurs, nombre de requêtes par jour) : plus il est élevé, plus la facture d'API et d'infrastructure augmente. Criticité (niveau de service, secteur régulé) : un agent en banque sous DORA implique un niveau de service élevé et un monitoring renforcé, donc un coût supérieur à un agent SaaS classique. Évolution (ajout de cas d'usage en continu ou run stable) : une maintenance active coûte plus qu'une maintenance pure. Le chiffrage est fait sur devis, en 48 h après un premier échange.
Sept points opérationnels. Un : hébergement souverain (chez un hébergeur qualifié SecNumCloud quand la qualification ANSSI est requise). Deux : segmentation stricte des permissions — l'agent IA n'accède qu'aux données auxquelles l'utilisateur appelant a déjà droit (pas d'élévation de privilège implicite). Trois : anonymisation systématique des données personnelles avant indexation RAG quand c'est possible. Quatre : pas de fine-tuning sur données sensibles sans AIPD préalable. Cinq : tests OWASP Top 10 LLM en phase MVP (prompt injection, data leak, model theft). Six : audit log complet et conservé selon la durée légale. Sept : revue de sécurité annuelle dans l'offre MCO.
Cela dépend du cas d'usage et de la qualité des données. Les cas à retour le plus rapide sont en général le support N1 / SAV, la recherche documentaire interne et l'automatisation des opérations de finance. Les cas à retour plus lent sont les agents juridiques (volume métier souvent insuffisant) et les agents RH (contraintes AI Act haut risque qui allongent l'industrialisation). C'est pour cela qu'on commence par un audit ROI : il chiffre la valeur attendue avant de lancer le moindre développement, et on mesure le gain pendant le pilote avant de décider d'aller plus loin.
Méthode Nehos en 4 questions séquentielles. Question 1 : l'usage est-il dans la liste des pratiques interdites (manipulation subliminale, exploitation de vulnérabilités, social scoring, certaines biométries en temps réel) ? Si oui, ne pas déployer. Question 2 : l'usage tombe-t-il dans l'Annexe III de l'AI Act (RH, éducation, services essentiels, application de la loi, migration, justice, démocratie, infrastructures critiques) ? Si oui, classification haut risque, obligations documentaires lourdes. Question 3 : l'agent interagit-il directement avec des personnes physiques ou génère-t-il du contenu ? Si oui, classification risque limité, obligations de transparence. Question 4 : aucun des trois précédents ? Risque minimal, pas d'obligation spécifique AI Act (mais RGPD reste applicable).
Trois patterns d'intégration selon le contexte. Pattern 1 : tool calling via API REST — l'agent IA appelle votre CRM/ERP via les API existantes en lecture-écriture sur un compte service dédié avec scopes restreints. Pattern 2 : MCP (Model Context Protocol, standard Anthropic 2024+) — vous exposez vos systèmes comme serveurs MCP, l'agent les consomme de façon standardisée. Pattern 3 : intermédiation par n8n ou Make — pour les SI sans API moderne, on passe par un orchestrateur low-code qui fait l'adaptation.
Matrice de décision Nehos. Si souveraineté française stricte ou secteur régulé (banque DORA, santé, public) : Mistral Large via API FR ou Mistral 7B auto-hébergé. Si performance maximale sur raisonnement complexe (juridique, code, analyse multi-étapes) : Claude Sonnet 4 ou Opus. Si déjà engagé sur Microsoft 365 + Azure : GPT-5 via Azure OpenAI (souveraineté contractuelle UE possible). Si besoin de Vision avancée (analyse d'images, OCR sophistiqué) : Claude ou Gemini selon le cas. Si déploiement on-premise full-souverain : Mistral 7B ou Llama 3.1 quantizé.
Trois formats Nehos. Formation utilisateur (2 jours) : prise en main de l'agent, formulation de prompts efficaces, détection des cas limites, escalade humaine. Pour les ETP qui utilisent l'agent au quotidien. Formation administrateur (5 jours) : monitoring via Langfuse, ajout de cas d'usage, mise à jour des prompts système, gestion des incidents IA. Pour la personne qui maintient l'agent en interne. Formation gouvernance (2 jours) : AI Act, pilotage des KPIs, lecture des dashboards, décisions de scope. Pour le sponsor exec, la DSI, la DPO. Selon votre situation, ces formations peuvent être éligibles à un financement OPCO : à vérifier ensemble. La formation de l'équipe interne est prévue en standard dans chaque projet.
Parlons de votre projet
Un devis chiffré, sans engagement
Décrivez votre besoin en deux minutes : un consultant senior vous répond avec une première estimation et les prochaines étapes.
- Réponse sous 24 h ouvrées
- Sans engagement
- Un consultant senior vous répond