API, MCP et ERP : comprendre comment une IA accède aux données Achats, définir les droits et tester les connexions sur un cas concret.
Swott · Méthode Impact³ · 3 min de lecture
Connecter une IA aux données Achats consiste à lui donner un accès contrôlé à des informations ou à des actions dans les outils de l’entreprise. Une API expose des fonctions d’un système ; le protocole MCP standardise la manière dont une application d’IA peut découvrir et utiliser des outils et ressources. Aucun des deux ne garantit, à lui seul, la qualité des données ou des décisions.
« L’IA est connectée à l’ERP » ne suffit pas à décrire un usage. Lit-elle les commandes ou peut-elle les modifier ? Sur quelle entité ? Avec quelle fraîcheur ? Les professionnels Achats ont besoin de ces réponses pour savoir ce qu’ils peuvent demander et ce qu’ils doivent contrôler.
Partir d’une question métier précise
Prenons une demande : préparer la revue d’un fournisseur avec ses commandes, incidents et engagements. Identifiez la source de chaque information. L’ERP peut détenir les commandes, un outil qualité les non-conformités et un espace documentaire le contrat. Une connexion unique ne signifie pas que l’ensemble est disponible ou correctement rapproché.
Le premier livrable est une carte simple : question, données nécessaires, système de référence, responsable et fréquence de mise à jour. Un acheteur peut la préparer avec la DSI sans connaître le code des interfaces.
Comprendre ce qu’apporte le MCP
La spécification du Model Context Protocol définit notamment des ressources et des outils exposés par des serveurs, ainsi qu’un cadre d’autorisation pour les transports HTTP. Une intégration peut utiliser ce protocole pour présenter à l’application d’IA des fonctions métier encadrées. Source : spécification officielle MCP.
Pour l’utilisateur, la question reste concrète : « Consulter les commandes de ce fournisseur » et « Modifier les commandes » doivent être deux capacités distinguées. Le protocole facilite l’interopérabilité ; le périmètre de chaque outil, les contrôles et le système sous-jacent déterminent ce qui est réellement possible.
Définir les droits au niveau de l’action
| Action | Condition à examiner |
|---|---|
| Lire un contrat | Utilisateur autorisé, version correcte, périmètre approprié |
| Préparer une synthèse | Sources conservées, données sensibles maîtrisées |
| Créer un brouillon | Destination connue, absence d’envoi automatique implicite |
| Modifier ou engager | Habilitation, confirmation et journal de l’opération |
Un document consulté peut contenir une consigne trompeuse. Il doit être traité comme une source d’information, sans pouvoir élargir les droits de l’outil. La séparation entre contenus lus et actions autorisées fait partie de la conception de l’intégration.
Tester un cas complet, y compris les erreurs
Demandez une synthèse sur un fournisseur connu, puis contrôlez les pièces utilisées. Testez un homonyme, un document obsolète, un montant en devise et une information manquante. Essayez ensuite une demande hors habilitation. Le système doit rendre la limite explicite et éviter de produire une réponse présentée comme complète.
Vérifiez également le comportement si un système est indisponible. Une synthèse partielle peut rester utile si son périmètre est visible. Elle devient dangereuse lorsqu’elle donne l’impression que l’absence de données signifie l’absence d’incident.
Dimensionner l’intégration au bénéfice attendu
Une PME peut commencer par un corpus documentaire maîtrisé et une lecture ciblée de données. Une ETI ou un groupe doit souvent gérer plusieurs référentiels, entités et habilitations. L’investissement se justifie par les usages répétés, la qualité obtenue et les coûts de maintien des connexions.
L’IA ne remplace pas le travail de définition : qu’est-ce qu’un fournisseur actif, un incident clos ou un gain réalisé ? Ces termes doivent être partagés. Dans l’approche Impact³, la donnée soutient une méthode de décision et des responsabilités connues.
Cette grille décrit ce qu’il faut évaluer chez un fournisseur de solution, sans annoncer une compatibilité MCP particulière de Cortex. Pour préparer votre projet, complétez-la avec les contrôles de sécurité d’une IA Achats et le travail avec la DSI, le RSSI et le DPO.
Passer à l’action avec Swott
Cadrez votre projet IA à partir de vos données métier
Faites préciser le besoin, les données utiles et les responsabilités avec vos équipes Achats et SI. Les spécialistes Data et IA de Swott vous accompagnent dans la structuration de ce chantier.
Découvrir les spécialistes Data et IA →
