RAG en marque blanche pour agences et ESN : licence, BYOK, déploiement chez le client

Dans IgnitionRAG, la marque blanche permet de modifier la couleur, le nom et le logo depuis l'administration. Vos clients voient votre marque.

Elle est vendue avec la licence Agence/ESN. Elle ne fait pas partie des offres SaaS Solo (59 € HT/mois) et Équipe (249 € HT/mois). Le prix de la licence est communiqué sur devis.

Source : faits produit IgnitionRAG publiés sur ignitionrag.com, octobre 2026.

Les sources de documents se branchent par des connecteurs : web scraping, SharePoint, Azure Tables, Azure Blob, S3 et MinIO, GitHub, Hugging Face.

Le premier sujet d'une revente en marque blanche est contractuel. Votre client confie des documents. Vous les faites traiter par une plateforme. Cette plateforme s'appuie elle-même sur des prestataires. Chaque maillon a un rôle au sens du RGPD.

Dans le schéma le plus courant, votre client décide des finalités : il est responsable du traitement. Votre agence ou votre ESN traite pour son compte : elle est sous-traitant. L'éditeur de la plateforme, lorsqu'il héberge le service, devient un sous-traitant ultérieur. Cette qualification se vérifie au cas par cas avec votre DPO : elle dépend de qui décide des finalités et des moyens.

Les lignes directrices 07/2020 du Comité européen de la protection des données (CEPD) précisent deux obligations qui structurent ce montage :

1. Autorisation écrite préalable. Le sous-traitant ne peut pas recruter un autre sous-traitant sans l'autorisation écrite préalable du responsable du traitement, spécifique ou générale. En cas d'autorisation générale, il doit informer activement le responsable de tout changement et lui laisser la possibilité de s'y opposer (§128).
2. Mêmes obligations en cascade. Le contrat avec le sous-traitant ultérieur doit imposer les mêmes obligations de protection des données, y compris la possibilité d'audits (§129).

Concrètement : la liste des prestataires de la plateforme doit figurer dans votre contrat client, et vous devez pouvoir annoncer chaque changement.

Une ESN qui sert dix clients sur une même plateforme crée un risque que l'OWASP décrit précisément. Le risque LLM08:2025 (« Vector and Embedding Weaknesses ») cite la fuite d'informations entre contextes. Dans un environnement multi-tenant où plusieurs groupes partagent la même base vectorielle, les embeddings d'un groupe peuvent être récupérés en réponse aux requêtes d'un autre.

La fiche « RAG Security Cheat Sheet » de l'OWASP donne les contre-mesures :

• des espaces de noms, collections ou index séparés par tenant ;
• un filtrage appliqué au moment de la requête, avant le retour des résultats de similarité ;
• des requêtes de test entre tenants, rejouées régulièrement, qui doivent renvoyer zéro résultat hors périmètre.

Deux architectures répondent à ce besoin. Une instance par client donne l'isolation la plus lisible, au prix d'une exploitation multipliée. Une plateforme multi-organisations mutualise l'exploitation, à condition que le cloisonnement soit vérifié à chaque nouveau client. La politique de confidentialité d'IgnitionRAG décrit une isolation multi-tenant des données par organisation. Rejouez tout de même vos propres requêtes de test entre deux organisations avant d'accueillir un second client : c'est la recommandation de l'OWASP, et c'est votre responsabilité de sous-traitant.

BYOK signifie « apportez vos clés » : les appels au modèle de langage utilisent des clés d'API qui appartiennent à l'agence ou à son client.

Dans IgnitionRAG, le BYOK est possible avec une licence et n'existe pas en SaaS. Les offres SaaS Solo et Équipe fonctionnent avec une IA gérée par la plateforme et des crédits inclus : aucune clé à fournir. Le BYOK existe aussi chez d'autres éditeurs. Le choix porte surtout sur trois points :

Avec les clés du client final, la facture du modèle et son contrat restent chez lui. Avec les clés de l'ESN, vous portez ce coût et vous le refacturez.

La licence Agence/ESN se déploie sur l'infrastructure du client (Azure, AWS ou Google Cloud) ou chez IgnitionAI.

Notre guide RAG hébergé en France détaille les questions de droit applicable et de localisation du modèle, à poser pour chaque option.

Base de la grille : lignes directrices 07/2020 du CEPD et publications OWASP citées ci-dessous. L'affectation des situations relève de notre lecture et ne constitue pas un avis juridique.

1. Un contrat de sous-traitance qui liste les sous-traitants ultérieurs et la procédure d'information en cas de changement.
2. Le choix du lieu de déploiement, client par client.
3. Le compte qui porte les clés du modèle, et la règle de refacturation.
4. Un jeu de requêtes de test entre deux organisations, rejoué à chaque nouveau client.
5. Une procédure de retrait : que deviennent documents, index et traces quand un client part ?

Sources réglementaires

• Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), article 28 (EUR-Lex). Consulté le 22 octobre 2026.
• CEPD, Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, version 2.0 adoptée le 7 juillet 2021, §128 et §129 (article 28 du RGPD). Consulté le 22 octobre 2026.

Sources techniques

• OWASP, LLM08:2025 Vector and Embedding Weaknesses, scénario 2. Consulté le 22 octobre 2026.
• OWASP, RAG Security Cheat Sheet, sections 6 et 12. Consulté le 22 octobre 2026.
• IgnitionRAG, politique de confidentialité et page pilote. Consultées le 22 octobre 2026.

Estimations IgnitionAI

Aucune. Le prix de la licence Agence/ESN est communiqué sur devis.

Limites

Ce guide ne qualifie pas juridiquement votre montage. Les rôles de responsable du traitement et de sous-traitant se déterminent au cas par cas, avec votre DPO.

Dernière relecture des sources

22 octobre 2026.

Pour cadrer une licence Agence/ESN (marque blanche, BYOK, lieu de déploiement), décrivez vos projets clients depuis la page pilote. Pour découvrir d'abord le produit, l'essai prévoit 14 jours et 100 crédits sur les offres SaaS, sans carte bancaire.