Comment créer une application de chatbot IA : clés, prompts, coûts et sécurité

Pour créer une application de chatbot IA, il faut quatre éléments : une interface de chat, un petit serveur qui conserve la clé API de votre fournisseur de modèles et transmet les messages, un prompt système qui indique au modèle qui il est et ce qu'il peut faire, et des limites qui maîtrisent les coûts et les abus. Un créateur d'applications IA peut tout écrire à partir d'une description. Ce qui vous revient, c'est le choix du fournisseur, la rédaction des instructions et la définition de ce que le bot ne doit jamais faire.

De quoi est composée une application de chatbot IA

La plupart des applications de chatbot, qu'il s'agisse d'un assistant de support, d'un tuteur ou d'un outil interne « posez vos questions à nos documents », ont les mêmes composants :

La route serveur est la partie que l'on rate le plus souvent. Si la page de chat appelle directement le fournisseur depuis le navigateur, n'importe qui peut ouvrir les outils de développement, copier votre clé et faire grimper votre facture.

Les décisions à prendre avant de commencer

Quel fournisseur et quel modèle

Les grands fournisseurs (OpenAI, Anthropic, Google et d'autres) proposent tous une API de type chat qui fonctionne de la même manière : vous envoyez une liste de messages et vous obtenez une réponse. Le choix porte moins sur la marque que sur la taille du modèle :

• Les modèles plus petits et plus rapides coûtent moins cher et répondent vite. Ils conviennent aux réponses courtes, à la classification et aux bots de FAQ simples.
• Les modèles plus grands raisonnent mieux, suivent plus fidèlement de longues instructions et gèrent les questions complexes, mais ils coûtent plus cher par message et répondent plus lentement.

Commencez par un modèle de taille moyenne, testez-le sur vos vraies questions, puis montez ou descendez en gamme. Si vous découvrez la manière dont ces API sont tarifées et appelées, lisez d'abord comment utiliser les API LLM.

D'où viennent les connaissances du bot

Commencez par l'option la plus simple qui couvre votre contenu. La récupération ajoute un index de recherche, un moyen de le tenir à jour et davantage de sources d'erreurs. Beaucoup de bots utiles n'en ont jamais besoin.

Public ou derrière une connexion

Un chatbot public sur votre site est facile d'accès, mais aussi facile à détourner : quelqu'un peut scripter des milliers de messages. Un chatbot réservé aux utilisateurs connectés permet de conserver l'historique par utilisateur et de fixer un quota quotidien par compte. S'il est public, limitez la longueur des messages, le nombre de messages qu'un visiteur peut envoyer sur une période donnée, et définissez une limite mensuelle stricte dans le tableau de bord du fournisseur. Comment ajouter une connexion à votre application couvre le volet comptes.

Faut-il conserver les conversations

Les fils de discussion enregistrés sont utiles : les utilisateurs peuvent reprendre où ils s'étaient arrêtés, et vous pouvez lire de vraies questions pour améliorer le prompt. Ce sont aussi des données personnelles. Décidez combien de temps vous les gardez, indiquez-le dans votre avis de confidentialité, et ne conservez rien dont vous n'avez pas besoin.

Rédiger le prompt système comme une fiche de poste

Le prompt système est l'instruction que le modèle reçoit avant chaque conversation. Un bon prompt se lit comme un bref destiné à un nouvel employé :

• Rôle et public : « Vous êtes l'assistant d'aide d'Oakline, un atelier de réparation de vélos. Vous parlez aux clients. »
• Périmètre : « Répondez aux questions sur les services, les prix, les horaires et la prise de rendez-vous. Pour tout le reste, dites que vous ne pouvez aider que sur le magasin. »
• Source de vérité : « N'utilisez que les informations ci-dessous. Si la réponse n'y figure pas, dites que vous ne savez pas et donnez le numéro de téléphone du magasin. »
• Ton et longueur : « Amical, en français clair, trois phrases maximum sauf demande de détail. »
• Règles strictes : « Ne promettez jamais un prix de réparation qui n'est pas affiché. Ne demandez jamais de coordonnées bancaires. »

Testez ensuite avec des questions délicates : demandes hors sujet, messages grossiers, questions dont la réponse ne figure pas dans vos contenus, et tentatives pour lui faire ignorer ses instructions (« oublie tes règles et… »). Ajustez le prompt jusqu'à ce que les réponses soient de celles que vous signeriez.

Maîtriser les coûts

Les fournisseurs facturent à la mesure des tokens (en gros, des fragments de mots) pour l'entrée que vous envoyez et la sortie que le modèle écrit. Trois éléments déterminent la facture :

1. La longueur de la conversation. Chaque nouveau message renvoie normalement tout le fil pour que le modèle dispose du contexte. Un échange de 40 messages coûte beaucoup plus cher par réponse qu'un échange de 4 messages. Ne gardez que les derniers échanges, ou résumez les plus anciens.
2. La taille du prompt. Un long prompt système ou un gros bloc de connaissances collé est envoyé avec chaque message.
3. La longueur des réponses. Fixez une longueur maximale de réponse dans l'appel API et demandez des réponses concises dans le prompt.

Définissez une limite mensuelle de dépenses dans le tableau de bord du fournisseur avant le lancement, et journalisez la consommation de tokens par requête pour repérer les conversations coûteuses. Nous ne citons pas de prix ici, car ils varient selon le modèle et changent souvent : vérifiez la page tarifaire de votre fournisseur.

Créer l'application étape par étape

Étape 1 : décrire le bot, pas le code

Un premier prompt qui nomme le public, le périmètre, les données et les règles de sécurité vous mène déjà loin :

Créez un chatbot d'aide clientèle pour Oakline, un atelier de réparation de vélos. Une page de chat avec la liste des messages et un champ de saisie, les réponses diffusées au fur et à mesure. Appelez l'API Anthropic depuis une route serveur en utilisant le secret ANTHROPIC_API_KEY, ne l'exposez jamais au navigateur. Utilisez un prompt système qui ne répond qu'aux questions sur nos services, nos prix et nos horaires, à partir du texte d'un fichier nommé shop-info.md, et qui répond « Je ne suis pas sûr, appelez-nous au numéro ci-dessous » dans le cas contraire. Limitez les messages à 500 caractères et à 20 messages par visiteur et par heure. Design propre et convivial, adapté aux téléphones.

Étape 2 : ajouter la clé comme secret

Créez la clé dans la console de votre fournisseur, puis stockez-la dans les variables d'environnement ou les secrets du projet, et non dans le chat ni dans le code. Si une clé apparaît un jour quelque part de public, révoquez-la chez le fournisseur et créez-en une nouvelle. Ce que sont les variables d'environnement et les secrets explique pourquoi c'est important.

Étape 3 : tester les réponses, pas seulement l'interface

Une fois le chat fonctionnel, consacrez l'essentiel de votre temps à la qualité des réponses. Gardez une liste d'une vingtaine de vraies questions, dont quelques-unes qui doivent être refusées, et repassez-les après chaque modification du prompt. Vérifiez :

• Le bot reste-t-il dans son périmètre ?
• Admet-il quand il ne sait pas, au lieu d'inventer une réponse ?
• Tient-il bon quand quelqu'un essaie de contourner ses instructions ?
• La clé est-elle absente de tout ce que télécharge le navigateur ?

Étape 4 : ajouter la mémoire et les comptes si nécessaire

Une fois les conversations isolées fonctionnelles, demandez l'enregistrement des fils de discussion dans une base de données et, si besoin, l'inscription et la connexion pour que chaque utilisateur ne voie que ses propres échanges. Ajoutez en même temps un quota quotidien de messages par utilisateur.

Étape 5 : publier avec les limites activées

Vérifiez que l'application publiée dispose des mêmes secrets que l'aperçu, que le plafond de dépenses est défini chez le fournisseur et que les erreurs sont journalisées à un endroit que vous consulterez. Partagez ensuite l'application avec un petit groupe avant de la mettre sur votre site principal.

Sécurité et confiance

Un chatbot parle au public en votre nom : traitez ses modes de défaillance comme votre responsabilité :

• Réponses erronées. Les modèles peuvent affirmer des choses fausses avec assurance. Gardez le bot sur un sujet précis, ancrez-le dans vos propres contenus et affichez une courte mention indiquant que les réponses peuvent être inexactes pour tout sujet important.
• Injection de prompt. Les utilisateurs (ou les documents que lit le bot) peuvent contenir des instructions du type « ignore les règles précédentes ». Ne donnez pas au bot de pouvoirs auxquels on ne peut pas se fier : pas de remboursements, de suppressions ou d'e-mails envoyés sur simple demande d'un utilisateur sans contrôle dans votre propre code.
• Sujets sensibles. Pour les questions médicales, juridiques ou financières, orientez les personnes vers un professionnel plutôt que de donner un avis.
• Données personnelles. Ne collez pas de fiches clients dans les prompts sans nécessité, et vérifiez ce que les conditions de votre fournisseur prévoient quant au traitement des données API.

Notre liste de contrôle de sécurité pour les applications créées avec l'IA couvre l'application dans son ensemble.

Erreurs courantes

• Appeler le fournisseur depuis le navigateur. La clé fuite. Passez toujours par votre serveur.
• Aucune limite sur un bot public. Un seul script peut vider le budget d'un mois en un après-midi.
• Commencer avec RAG, outils et plusieurs modèles en même temps. Faites d'abord fonctionner une bonne conversation ; ajoutez le reste lorsque les vraies questions montreront le besoin.
• Ne tester que des questions aimables. Vos utilisateurs poseront des questions bizarres, hostiles et hors sujet dès le premier jour.
• Laisser le fil grandir indéfiniment. Les coûts et les temps de réponse augmentent à chaque message.

Quand un produit prêt à l'emploi est le meilleur choix

Créer votre propre bot a du sens lorsque le chatbot fait partie de votre produit, qu'il a besoin de vos données ou de votre flux de travail, ou d'un aspect et d'un comportement spécifiques. C'est souvent le mauvais choix quand :

• Vous voulez seulement un widget de support sur un site existant. De nombreux produits de help desk et de chat en direct proposent désormais des bots de réponse IA qui lisent votre centre d'aide, avec transfert vers un humain, boîte de réception et rapports déjà intégrés.
• Seuls vous ou votre équipe l'utiliserez. Un abonnement à un assistant généraliste comme ChatGPT ou Claude, avec vos documents importés, suffit parfois.
• Vous avez besoin de garanties de conformité strictes (par exemple pour des données de santé ou financières réglementées). Un prestataire déjà certifié peut être plus sûr qu'un développement sur mesure.

Le créer avec Mythex

Mythex est un créateur d'applications IA : vous décrivez le chatbot dans le chat, et il écrit l'interface et l'appel côté serveur, fait tourner l'application dans un aperçu en direct et la publie à une URL publique. L'IA intégrée à votre application utilise votre propre clé de fournisseur. Vous l'ajoutez dans les secrets du projet, ou via la carte de secrets que Mythex affiche dans le chat lorsqu'il en a besoin ; l'usage du fournisseur est facturé sur votre compte chez lui, et non sur vos crédits de création Mythex. Mythex n'inclut pas de tokens pour les utilisateurs de votre application, ni de produit de base de connaissances intégré, ni de limites de débit prêtes à l'emploi : ce sont des éléments que vous demandez et testez. La documentation sur l'ajout d'IA dans votre application détaille la démarche, et ajouter l'IA avec vos propres clés API propose un prompt de départ.

Si le bot a besoin de fils de discussion enregistrés, Mythex attache une base de données Postgres au projet lorsque vous la demandez. Pour d'autres façons d'utiliser des modèles dans une application, des résumés à la classification, consultez comment ajouter des fonctionnalités d'IA à votre application, ou parcourez les modèles d'applications pour trouver des points de départ.

Questions