Comment les IA décident de citer une source — et pourquoi la provenance devient un enjeu de gouvernance

Quand vous posez une question à ChatGPT, Perplexity ou Gemini et qu'il cite une source, il ne choisit pas, dans le cas général, la source la plus fiable. Il choisit celle qui ressemble le plus, lexicalement, à la réponse qu'il est en train de formuler. C'est une décision d'architecture, pas un jugement de qualité : ces systèmes mesurent une proximité de mots, pas une autorité. Cette nuance, en apparence technique, a une conséquence directe : il suffit parfois de placer les bons mots au bon endroit pour influencer ce qu'une IA répond à des milliers de personnes.

Des chercheurs de Cornell l'ont montré : 11 à 15 mots insérés dans une page très indexée (un fil Reddit, une fiche Wikipédia) peuvent suffire à modifier la réponse de ChatGPT ou de Google AI Search sur un sujet donné. Et environ un quart des citations produites par les moteurs génératifs provient de contenu créé par les utilisateurs — donc de surfaces ouvertes, éditables, et déjà ciblées par un marché de « placement » qui s'industrialise.

Cet article explique comment chaque moteur choisit ses sources (avec les chiffres), pourquoi cette mécanique crée une faille, et en quoi la provenance — savoir d'où vient une information et pouvoir le prouver — cesse d'être un sujet de communicants pour devenir un maillon de gouvernance de tout système IA. Sans agiter de couperet : il s'agit de comprendre un mécanisme, pas de vendre une peur.

Citation par une IA, « GEO », « AEO » : de quoi parle-t-on vraiment

Le vocabulaire bouge vite, et il prête à confusion. Fixons-le.

SEO (Search Engine Optimization) : être trouvé — obtenir une bonne position quand un moteur répond à une requête, qu'il s'agisse d'une liste de liens ou d'une réponse rédigée.
« GEO » (Generative Engine Optimization) / « AEO » (Answer Engine Optimization) : des termes marketing qui décrivent un phénomène — être cité nommément à l'intérieur d'une réponse rédigée par une IA — bien plus qu'une discipline nouvelle.

Sur ce dernier point, autant être direct, car beaucoup vendent l'inverse : il n'existe pas de « discipline GEO » distincte du SEO. Google l'a écrit noir sur blanc dans sa documentation (mai 2026) : optimiser pour la recherche générative, c'est optimiser l'expérience de recherche — donc c'est toujours du SEO, et qualifie « GEO » et « AEO » de simple terminologie marketing. La citation par une IA n'est pas un raccourci à part : c'est la conséquence d'un bon SEO — contenu utile, expertise réelle, structure technique claire — à laquelle s'ajoute une conscience des spécificités de chaque moteur.

La nuance compte tout de même côté résultat. Dans une liste de dix liens, être 4ᵉ a encore de la valeur. Dans une réponse générative qui ne cite que deux ou trois sources, soit vous êtes cité, soit vous n'existez pas. Le « gagnant prend presque tout » devient la règle — raison de plus pour soigner le fond plutôt que de courir après une recette.

Comment chaque moteur choisit ses sources (les chiffres)

Les quatre grands moteurs n'ont pas la même mécanique. Voici ce que montrent les analyses agrégées par Michelle Blanc (données Profound, Yext) :

ChatGPT : seules ~18 % des conversations déclenchent une recherche web en temps réel ; le reste s'appuie sur la mémoire d'entraînement. Quand il cherche, ~48,7 % des citations pointent vers des sources tierces. La cohérence des informations d'identité d'une organisation (nom, adresse, contact identiques partout) pèse dans la sélection.
Perplexity : recherche web systématique, citation obligatoire de chaque source. Forte présence de YouTube (~32,4 % des citations), de Reddit (~16,6 %) et de Wikipédia (~8,2 %).
Gemini : adossé à l'index Google. Particularité notable : ~52 % des citations renvoient au domaine propre des organisations — autrement dit, posséder et structurer son propre site compte plus qu'ailleurs. Reddit y pèse aussi lourd (~27,5 %).
Copilot : indexé sur Bing uniquement. Ne pas être dans Bing, c'est être absent de Copilot.

Deux enseignements se dégagent. D'abord, les surfaces communautaires (Reddit, YouTube) sont devenues des sources de premier plan — ce qui explique le marché du « placement ». Ensuite, votre propre domaine reste votre meilleur actif, surtout côté Gemini : c'est la seule surface que vous contrôlez vraiment.

La faille : la pertinence n'est pas la fiabilité

Revenons à la mécanique de départ. Un moteur génératif sélectionne une source sur sa ressemblance lexicale avec la réponse en cours de rédaction. Rien, dans ce critère, ne mesure la véracité, la compétence de l'auteur ou la fraîcheur de l'information. C'est exactement ce que la recherche de Cornell met en évidence : la décision d'architecture qui privilégie la proximité de mots ouvre une surface d'attaque.

Un écosystème commercial s'est déjà constitué autour de cette faille — des prestataires vendent l'insertion de contenus calibrés sur les surfaces que les moteurs aiment citer. C'est, au fond, du référencement adversarial : on ne cherche pas à informer, on cherche à modifier la réponse d'une machine.

Il faut tenir deux idées en même temps, sans dramatiser. La faille est réelle et documentée. Mais elle est aussi détectable : c'est précisément parce qu'on peut l'observer que la recherche la décrit. La bonne posture n'est pas la panique, c'est la traçabilité : être capable de dire d'où vient une information, et de le prouver.

De la citation à la gouvernance : la provenance, un maillon à part entière

Ce qui se joue ici dépasse le marketing. C'est une question de gouvernance des systèmes IA, et elle se branche directement sur deux articles de l'AI Act européen :

Article 50 — la transparence en sortie. Quand un système produit un texte, une image, une voix ou une vidéo, son origine doit être signalable (marquage, métadonnées de provenance). C'est la provenance de ce que votre IA fabrique.
Article 15 — la robustesse en entrée. Un système IA doit résister aux manipulations de ses données d'entrée. L'empoisonnement de sources que décrit Cornell est exactement ce type d'attaque : on corrompt ce qui entre pour fausser ce qui sort. C'est la provenance de ce que votre IA ingère.

Beaucoup d'outils s'arrêtent au premier. Or un système qui s'appuie sur de la recherche web ou un RAG (génération augmentée par récupération) est vulnérable au second. La provenance est donc un maillon des deux côtés de la chaîne : ce qui entre, ce qui sort. La gouverner, ce n'est pas cocher une case ; c'est savoir, pour chaque agent et chaque flux, d'où viennent les informations qu'il consomme et qu'il produit.

Ce que ça change concrètement pour qui déploie des agents IA

Si vous assemblez aujourd'hui plusieurs LLM, des SaaS et un workflow d'automatisation, trois réflexes deviennent utiles :

Cartographier les sources, pas seulement les modèles. Lister quels agents lisent le web ou un RAG, et sur quelles données ils s'appuient. On ne gouverne pas ce qu'on n'a pas recensé.
Traiter la robustesse d'entrée comme un risque nommé (Art. 15), au même titre que la transparence de sortie (Art. 50). Un responsable identifié par flux sensible.
Garder une trace opposable. Pouvoir démontrer, à un instant donné, l'état de votre système et la diligence de votre suivi — face à un DPO, un avocat ou une autorité.

C'est précisément le terrain de POSITRONIA. Notre métier est de cartographier et scorer chaque nœud de votre système IA — agents, LLM, SaaS, API, workflows, données — chacun rattaché à un responsable, via la Cartographie Scellée, sans jamais voir votre code source. Le scan local des nœuds est 🟢 disponible ; l'extension de ce scoring à la robustesse d'entrée (Art. 15) et à la dimension provenance est 🟡 en construction. Ce que nous ne faisons pas, et ne dirons jamais faire : nous ne « rendons » personne conforme et nous ne fabriquons pas de watermark. Nous rendons visible et opposable d'où viennent les réponses de vos agents — et nous documentons votre preuve de diligence continue.

Une règle simple : du bon SEO, pas une discipline magique

Reste la question pratique : faut-il « faire du GEO » pour exister face aux IA ? La réponse honnête est qu'il n'y a rien de neuf à « faire » : pas de discipline distincte, pas de levier magique. Il y a du SEO de qualité — contenu utile, expertise réelle, structure claire — dont la citation par une IA n'est que la conséquence. Et il y a une frontière à ne jamais franchir : insérer des fragments calibrés pour tromper un moteur, c'est du poisoning. Pour qui vend de la confiance et de la traçabilité, ce serait se saborder — sans parler du risque de pratique commerciale trompeuse.

La voie durable récompense exactement ce qui fait une source sérieuse : un domaine propre bien structuré (l'actif le plus cité par Gemini), des réponses directes en tête d'article, du contenu quantifié, des définitions claires, et la propriété d'un vocabulaire de catégorie que l'on documente soi-même. Détail rassurant : seules ~18 % des conversations ChatGPT déclenchent une recherche web ; le reste vient de ce que le modèle a appris. On ne pirate donc pas la citation par une IA — on construit une autorité réelle qui finit par être apprise. C'est un jeu de fond, et c'est très bien ainsi.

Note de méthode : les chiffres cités (recherche Cornell ; analyses Profound/Yext relayées par Michelle Blanc) sont des ordres de grandeur, non des constantes — la provenance de l'information, jusque dans cet article, fait partie du sujet.