Serveur MCP et base de connaissances : qui décide ?

Avec un serveur MCP, un assistant IA comme ChatGPT, Claude ou un agent Copilot Studio peut chercher et lire des contenus dans un autre système, par exemple votre base de connaissances. Trois acteurs se partagent alors le contrôle : l’application d’IA, qui doit demander l’accord de l’utilisateur avant d’utiliser un outil ; le serveur, qui décide de ce que chaque requête peut lire ou modifier ; et les personnes qui autorisent la connexion. La spécification du protocole fixe les règles de consentement, mais précise qu’elle ne peut pas garantir la sécurité à elle seule.

Ce guide s’adresse aux équipes informatiques et sécurité, et au responsable des connaissances qui travaille avec elles, au moment où quelqu’un demande de connecter un assistant IA aux contenus internes. Il résume ce que disent la spécification et les recommandations publiques, montre où elles s’arrêtent et liste les questions à trancher avant la première connexion. Pour le cadre général, commencez par notre guide sur la gestion des connaissances pour l’IA.

Protocole MCP et base de connaissances : comment fonctionne un serveur MCP

Le Model Context Protocol (MCP) est un standard ouvert qui relie les applications d’IA à d’autres systèmes. Le vocabulaire tient en trois mots :

l’hôte est l’application d’IA que la personne utilise (ChatGPT, Claude, Copilot Studio) ;
le serveur MCP est fourni par le système qui détient les données, ici la base de connaissances ;
les outils sont les actions que le serveur propose au modèle : chercher, lire un article, parfois en créer un.

La version en vigueur de la spécification date du 28 juillet 2026. Le protocole est hébergé par la Linux Foundation, et les décisions techniques reviennent à des mainteneurs nommés, pas à des entreprises.

L’État français s’en sert déjà. La DINUM, la direction interministérielle du numérique, présente MCP comme le moyen de relier l’IA aux données vivantes de l’État, et data.gouv.fr propose un serveur MCP pour interroger les données publiques. Ce serveur est en lecture seule et ne demande aucune clé : il sert des données ouvertes à tous. Une base de connaissances d’entreprise pose une autre question, car tout le monde n’a pas le droit de tout lire.

Qui contrôle quoi dans une connexion MCP

La spécification répartit les rôles. Elle reconnaît aussi, dans sa présentation générale, que MCP ne peut pas imposer ses principes de sécurité par le protocole lui-même : chaque mise en œuvre doit le faire.

Acteur	Ce qu’il contrôle	Ce que demande la spécification
La personne qui utilise l’assistant	Les connexions qu’elle accepte et les appels d’outils qu’elle valide	L’hôte obtient son accord explicite avant d’appeler un outil
L’application d’IA (l’hôte)	La façon dont les outils sont présentés et confirmés	Les descriptions d’outils d’un serveur non fiable sont traitées comme non fiables
Le serveur d’autorisation	Les applications enregistrées et ce que chaque jeton permet	Facultatif ; sur le web, il suit OAuth 2.1
Le serveur MCP (votre base)	Les outils proposés, les contenus renvoyés à chaque requête, l’écriture	N’accepter que les jetons émis pour lui, ne jamais les transmettre à un autre service

La dernière ligne compte le plus. Le chapitre sur l’autorisation raisonne en jetons et en périmètres d’accès. Rien n’y décrit comment filtrer chaque document selon les droits de la personne : c’est au système qui détient les connaissances de le faire.

Les droits d’accès : au nom de qui l’agent lit-il ?

C’est la question que les équipes posent le plus souvent avant de connecter quoi que ce soit. Deux réponses sont courantes.

Chaque personne se connecte avec son propre compte. Le jeton la représente, et le serveur applique ses droits à chaque recherche. Deux collègues qui posent la même question au même agent peuvent obtenir des réponses différentes, parce qu’ils n’ouvrent pas les mêmes documents. C’est le principe du besoin d’en connaître, que l’ANSSI demande d’appliquer dès la conception dans ses recommandations de 2024 sur l’IA générative.

L’agent utilise un compte partagé, dit compte de service. La mise en place est plus simple, mais l’agent voit tout ce que ce compte peut ouvrir, et toute personne qui l’interroge y a accès elle aussi. Le serveur ne sait plus qui demande, les droits individuels disparaissent et les journaux ne montrent que l’agent. Le Top 10 MCP de l’OWASP, projet communautaire encore en version bêta, classe parmi ses risques l’élévation de privilèges par élargissement des périmètres et le partage excessif de contexte.

Un agent partagé pose la même question autrement. Quand une personne construit un agent avec sa propre connexion puis le partage, vérifiez si l’agent garde la connexion de son auteur ou s’il demande à chaque collègue de se connecter. La réponse dépend de la plateforme d’agents et du paramétrage choisi.

Sécurité d’un serveur MCP : les risques pour vos connaissances

Pour une base de connaissances, cinq risques ressortent des bonnes pratiques de sécurité de la spécification, du Top 10 de l’OWASP et de son aide-mémoire sur la sécurité MCP.

Des droits trop larges. Un assistant qui n’a besoin que de lire reçoit le droit d’écrire. La spécification demande aux clients de ne réclamer que le strict nécessaire.
Des consignes cachées dans un contenu. Un article ou un fichier joint peut contenir un texte écrit pour orienter le modèle. Tout document lu par l’agent doit être traité comme une donnée, jamais comme une instruction.
Des jetons mal utilisés. Un serveur qui accepte un jeton émis pour un autre service, ou qui transmet le sien, casse la chaîne de confiance. La spécification interdit les deux.
Des serveurs que personne n’a validés. Chacun ajoute des serveurs de son côté. Pour y répondre, tenez une liste des connexions autorisées et gardez un moyen de voir ce qui est connecté.
Aucune trace. Vérifiez ce que le serveur et l’assistant enregistrent : qui a demandé, quel outil a été appelé, quel document est revenu.

Lire, écrire, supprimer : ce qu’un agent peut changer

La lecture est le cas courant. Pour l’écriture, les recommandations publiques françaises sont nettes. En avril 2026, le CERT-FR a demandé que les outils confiés à un agent IA soient limités au strict nécessaire, et qu’une validation humaine soit obligatoire pour les actions qui ont des effets. En juillet 2026, la CNIL et le Conseil de l’IA et du numérique ont publié une note exploratoire sur l’IA agentique qui évoque aussi une validation humaine pour les décisions les plus critiques. La spécification MCP, elle, recommande qu’une personne puisse toujours refuser un appel d’outil.

Pour une base de connaissances, trois réglages traduisent ces règles :

l’écriture reste désactivée tant que personne n’a décidé de l’activer ;
ce que l’agent écrit est enregistré en brouillon, et les flux d’approbation habituels s’appliquent avant toute publication ;
aucun outil ne permet de supprimer un article.

MCP vs RAG : que choisir pour vos connaissances ?

La génération augmentée par récupération (RAG) a été décrite en 2020 : avant de répondre, un système retrouve des passages utiles et les ajoute à la question posée au modèle. En entreprise, le RAG désigne le plus souvent une chaîne construite par vos équipes techniques : les documents sont copiés dans un index, découpés en passages et recherchés par le sens. Avec MCP, l’assistant interroge directement le système source, au moment où il en a besoin.

	Chaîne RAG	Connexion MCP
Où sont les contenus	Une copie dans votre index	Dans le système source
Comment s’appliquent les droits	Vous les reconstruisez dans l’index	La source les applique à chaque requête
Fraîcheur	Celle de la dernière synchronisation	En direct
Qui la construit	Vos équipes techniques	Vous connectez un assistant existant
Écriture possible	Non	Oui, si le serveur le propose et si vous l’autorisez

La DINUM fait la même distinction : un RAG sert des contenus figés en lecture seule, quand MCP autorise aussi l’écriture. Les deux ne s’opposent pas pour autant. Un serveur MCP peut très bien faire une recherche par le sens derrière ses outils, c’est-à-dire du RAG côté serveur. Une équipe de chercheurs a comparé un agent libre de choisir ses recherches à une chaîne de récupération fixe. L’agent coûtait jusqu’à 3,6 fois plus cher, et une chaîne bien réglée donnait des résultats aussi bons, voire meilleurs (Ferrazzi et al., 2026, prépublication acceptée à ACL 2026). MCP convient quand chacun veut garder son assistant habituel, avec ses propres droits. Une chaîne RAG convient quand votre équipe maîtrise l’assistant et veut choisir elle-même les passages.

Gouvernance : les questions à trancher avant de connecter un agent

Les équipes qui préparent une connexion MCP nous posent les mêmes questions. Tranchez-les dans cet ordre :

Quels assistants peuvent se connecter, et qui en valide un nouveau ?
Chaque personne se connecte-t-elle, ou l’agent passe-t-il par un compte partagé ?
Quand un agent est partagé, quels droits s’appliquent ?
L’agent doit-il écrire, ou seulement lire ? Commencez en lecture seule.
Pouvez-vous couper un assistant pour tout le monde d’un coup, et chacun peut-il retirer son propre accès ?
Que couvre la recherche ? Le corps des articles, les fichiers joints, les tags, les résumés : vérifiez chaque point.
L’agent sait-il si un document est à jour ? Une date de révision et un responsable pour chaque document lui donnent de quoi vérifier.
Qu’est-ce qui est journalisé, et où ?
Quand reverrez-vous les accès ? Dans ses recommandations de 2024, l’ANSSI conseille de revoir régulièrement, par exemple chaque mois, ce que les outils d’IA peuvent atteindre.

À quoi ressemble une connexion maîtrisée dans Elium

Elium, la plateforme européenne de gestion des connaissances que nous développons, intègre un serveur MCP. Voici comment elle répond aux questions ci-dessus, d’après notre documentation MCP. Chaque requête s’exécute avec les droits Elium de la personne connectée. Les administrateurs voient tous les assistants connectés dans une seule liste. Ils peuvent en passer un en lecture seule pour tous (le changement vaut pour les jetons émis ensuite), ou le supprimer, ce qui invalide d’un coup tous ses jetons. Chaque personne peut retirer l’accès d’un assistant à son propre compte. L’écriture est désactivée par défaut. Un assistant ne publie jamais la modification d’un article existant. Un nouvel article est enregistré en brouillon par défaut, et aucun outil ne supprime d’article. Quand un assistant lit un article, il reçoit aussi sa date de revue, son statut d’approbation et son responsable : il peut dire si sa source est récente. Notre page sur le serveur MCP Elium détaille ce qu’un assistant peut faire et liste les assistants qui ont un guide de connexion.

Par où commencer

Listez les assistants IA que vos équipes utilisent déjà, et demandez lesquels sont déjà connectés à des contenus internes. Choisissez un domaine de connaissances aux responsables bien identifiés. Connectez-y un seul assistant, en lecture seule, avec la connexion de chaque personne, puis posez la même question avec deux collègues qui n’ont pas les mêmes droits. Pour mesurer d’abord la maturité de vos contenus, notre score de maturité IA tient en 15 questions. Notre guide sur Work IQ explique le cas d’un agent intégré à Microsoft 365.

FAQ

Questions fréquentes

Un serveur MCP est le composant qu’un système fournit pour qu’un assistant IA puisse y chercher, y lire et parfois y écrire, selon le Model Context Protocol. L’assistant appelle les outils du serveur ; le serveur décide de ce qu’il renvoie.

Le serveur qui détient les connaissances en porte l’essentiel, car il décide de ce que renvoie chaque requête. La spécification impose à l’application d’IA de demander l’accord de l’utilisateur avant d’appeler un outil, mais elle précise que MCP ne peut pas garantir la sécurité à lui seul.

Le compte de chaque utilisateur, dès que les droits diffèrent d’une personne à l’autre. Avec un compte de service, l’agent voit tout ce que ce compte peut ouvrir, chaque utilisateur de l’agent aussi, et les journaux ne disent plus qui a demandé.

Oui, un serveur MCP peut limiter ce que voit un agent IA, et c’est même son rôle. MCP transporte un jeton et ses périmètres ; le serveur choisit les outils proposés et les documents renvoyés. S’il applique les droits de chaque personne, l’agent ne voit que ce qu’elle peut ouvrir.

Le RAG copie les documents dans un index et ajoute les meilleurs passages à la question posée au modèle ; MCP laisse l’assistant interroger la source en direct. Avec MCP, la source applique ses propres droits à chaque requête.

Seulement si le serveur propose des outils d’écriture et que vous les autorisez. Les recommandations françaises demandent une validation humaine pour les actions qui ont des effets : gardez l’écriture désactivée au début et enregistrez en brouillon ce que l’agent écrit.

Sources

Model Context Protocol, spécification, version 2026-07-28 : présentation générale, autorisation, outils et bonnes pratiques de sécurité, 28 juillet 2026. Consulté le 30 octobre 2026.
Model Context Protocol, gouvernance. Consulté le 30 octobre 2026.
Linux Foundation, création de l’Agentic AI Foundation, 9 décembre 2025, en anglais. Consulté le 30 octobre 2026.
DINUM, Les MCP : le standard qui connecte l’IA aux données vivantes de l’État, 16 février 2026. Consulté le 30 octobre 2026.
data.gouv.fr, Le serveur MCP de data.gouv.fr. Consulté le 30 octobre 2026.
OWASP Foundation, MCP Top 10, version bêta, et MCP Security Cheat Sheet. Consulté le 30 octobre 2026.
CERT-FR (ANSSI), bulletin CERTFR-2026-ACT-016, 13 avril 2026. Consulté le 30 octobre 2026.
ANSSI, Recommandations de sécurité pour un système d’IA générative, version 1.0, 29 avril 2024. Consulté le 9 octobre 2026.
CNIL et Conseil de l’IA et du numérique, note exploratoire sur l’IA agentique, 20 juillet 2026. Consulté le 30 octobre 2026.
P. Lewis et al., Retrieval-augmented generation for knowledge-intensive NLP tasks, NeurIPS 2020. Consulté le 30 octobre 2026.
P. Ferrazzi et al., comparaison du RAG agentique et d’une chaîne RAG fixe, en anglais, prépublication acceptée à ACL 2026 (Industry Track), révisée en avril 2026. Consulté le 30 octobre 2026.

Données et sources

Ce guide s’appuie sur des sources publiques : la spécification MCP et les pages du projet, l’OWASP, des organismes publics français (ANSSI, CERT-FR, CNIL, DINUM, data.gouv.fr) et des travaux de recherche, lus entre le 9 et le 30 octobre 2026. Les questions de la partie gouvernance sont celles que nos clients et les équipes qui découvrent Elium nous ont posées sur MCP entre juillet et octobre 2026 ; nous ne nommons personne. Les capacités d’Elium sont décrites d’après notre documentation produit.

Serveur MCP et base de connaissances : qui contrôle quoi