DevFest Lyon 2026 (04/12) : choisir vos talks IA pour une stack testable dès janvier

Tu vas au DevFest Lyon 2026 ? Ne repars pas avec des slides

DevFest Lyon 2026, c’est le vendredi 4 décembre 2026, de 08h à 21h, au Palais de la Bourse (Lyon 2). L’événement annonce 400 participant·e·s, trois tracks, des stands et du networking. Billets journée à partir de 75 €. Sources : HelloAsso.

Le piège classique : enchaîner des talks IA Lyon “inspirants”, repartir motivé… et ne rien tester en janvier. La bonne approche : utiliser DevFest comme un supermarché de décisions techniques. Tu choisis les talks qui t’aident à trancher, pas ceux qui te confirment que “les agents c’est le futur”.

Objectif de cet article : te donner une méthode pour construire un parcours IA sur la journée, orienté LLM RAG agents, évaluation et sécurité, pour repartir avec une stack IA entreprise claire et un plan de prototypage sur deux semaines.

DevFest Lyon 2026 : à qui ça sert vraiment (et qui va perdre sa journée)

Le programme est publié en ligne et les sessions sont taguées par thématiques, dont “Data & AI”. Source : devfest.gdglyon.com. Avec des tracks et une journée complète, DevFest vise surtout des profils praticiens, pas des spectateurs.

Si tu es dev (backend, frontend, platform, DevOps)

Tu viens chercher des patterns : intégration, déploiement, monitoring, coûts, latence, sécurité. Ton livrable de janvier ressemble à un service qui tourne, pas à un notebook.

Si tu es data ou ML/LLM engineer

Tu viens chercher du concret sur ingestion, retrieval, évaluation, LLMOps. Le signal intéressant dans le programme : on voit du RAG et de la sécurité LLM, donc on est clairement côté “mise en production”, pas “démo chatbot”. Exemple : “Un RAG en 2026, ça donne quoi ?” et “Understanding Prompt Injection – Techniques, Challenges, and Advanced Escalation”. Source : programme DevFest.

Si tu es produit, CTO, DSI, lead

Tu n’as pas besoin de 12 talks. Tu as besoin de 6 décisions. Ton parcours doit te donner une position sur les risques, la qualité et l’industrialisation. Sinon, tu vas rentrer avec une roadmap floue et personne ne saura quoi faire lundi.

Qui risque de perdre sa journée

• Tu n’as aucun cas d’usage concret à 3 mois.
• Tu n’as aucun sponsor interne, aucun utilisateur cible, aucun accès data.
• Tu consommes des talks comme du Netflix, sans prendre de décisions.

Avant DevFest : une préparation de 30 minutes qui change tout

Tu veux une stack testable en janvier ? Alors tu dois arriver avec une contrainte et une cible. Pas “on veut faire de l’IA”.

1) Écris ton besoin en une phrase livrable

Format simple : “En janvier, je veux tester X, pour Y, avec Z contraintes.”

• X : assistant interne sur documentation, recherche documentaire, support client, copilote dev, tri de demandes, etc.
• Y : gain temps, réduction erreurs, meilleure qualité réponse, désengorgement support.
• Z : données sensibles, budget, latence, hébergement, exigences sécurité.

2) Décide si ton cas est “réponse”, “recherche”, ou “workflow”

• Question-réponse : tu veux une réponse claire, citée, fiable.
• Recherche : tu veux trouver les bons documents, pas “discuter”.
• Workflow : tu veux que ça agisse (créer ticket, envoyer mail, modifier CRM). Là, tu parles agents et outils.

Erreur fréquente : empiler RAG + agents sans clarifier si tu as vraiment besoin d’actions. Beaucoup de projets sont un RAG bien fait, point.

La méthode DevFest : construire ton parcours IA en 5 briques

Tu ne peux pas tout voir. Mais tu peux structurer ta journée pour couvrir les 5 composants qui font passer un POC à un pilote testable.

Brique 1 : LLM runtime (où tourne le modèle, et comment)

Ce que tu veux apprendre pendant tes talks : comment les équipes arbitrent API vs self-host, coût vs latence, confidentialité vs vitesse, et surtout comment elles évitent l’enfermement fournisseur.

• Décision à viser : API commerciale, modèle open source, ou hybride.
• Décision à viser : mono-modèle ou multi-modèles (cheap + premium, escalade).

Si ton contexte est entreprise régulée, tu devras aussi regarder l’hébergement et la souveraineté au-delà des slogans. Pour cadrer ce sujet côté entreprise, tu peux lire : https://lyon-ia.com/blog/modeles-ouverts-ou-api-proprietaires.

Brique 2 : RAG (ingestion, retrieval, qualité)

Un talk RAG utile doit te donner des réponses opérationnelles, pas juste un schéma “documents vers embeddings”. Dans le programme 2026, tu as une session explicitement orientée RAG : “Un RAG en 2026, ça donne quoi ?” (track Data & AI). Source : devfest.gdglyon.com.

À écouter avec une grille simple :

• Ingestion : PDF, Confluence, SharePoint, CRM, emails, avec quels parseurs.
• Chunking : par page, section, taille tokens, chevauchement, métadonnées.
• Retrieval : top-k, filtres par droits, reranking oui/non.
• Citations : comment prouver la source, pas juste “je pense que”.

Si tu dois remettre à plat les bases après DevFest, tu as deux lectures utiles : https://lyon-ia.com/blog/rag-ia-documents-entreprise et https://lyon-ia.com/blog/comparatif-bases-vectorielles.

Brique 3 : Agents et tool use (uniquement si ton IA doit agir)

Si ton cas d’usage implique des actions, tu dois écouter des talks qui parlent de limites, d’autorisations et d’observabilité. “Un agent” sans garde-fous, c’est un futur incident.

• Décision à viser : agent nécessaire ou workflow déterministe + LLM.
• Décision à viser : liste d’outils autorisés, timeouts, budgets, règles d’arrêt.

Pour poser les garde-fous au retour, deux ressources internes sont utiles : https://lyon-ia.com/blog/agents-ia-10-garde-fous-avant-dautomatiser-en-entreprise-acces-donnees-actions et https://lyon-ia.com/blog/qu-est-ce-qu-un-agent-ia.

Brique 4 : Évaluation (si tu ne mesures rien, tu ne progresses pas)

Un talk “évaluation” utile doit te donner une méthode de tests anti-régression. Parce qu’un copilote qui marche “sur ta démo” et casse sur les vrais cas, ça va arriver. Et en janvier, tu veux tester vite sans exploser la confiance interne.

• Décision à viser : ton golden set (30 à 200 questions réelles) et tes métriques.
• Décision à viser : un protocole de test avant mise en prod, à chaque changement.

Pour construire ça proprement : https://lyon-ia.com/blog/evaluer-reponses-ia-jeu-de-tests.

Brique 5 : Sécurité (prompt injection, fuite de données, durcissement)

Le programme mentionne un talk clair sur le sujet : “Understanding Prompt Injection – Techniques, Challenges, and Advanced Escalation” (track Data & AI). Source : devfest.gdglyon.com. Ce n’est pas anecdotique. Ça dit que fin 2026, les équipes se prennent déjà des attaques et des contournements sur des assistants internes ou clients.

• Décision à viser : où tu mets les guardrails (client, backend, passerelle).
• Décision à viser : quels tests d’abus tu exécutes avant pilote.
• Décision à viser : logging, redaction, rétention, et qui y a accès.

Pour te mettre à niveau rapidement : https://lyon-ia.com/blog/injection-de-prompt-securite et https://lyon-ia.com/blog/securiser-vos-llm-en-production-menaces-et-parades-pour-les-entreprises.

Trois parcours types pour choisir tes talks (startup, DSI, agence)

Tu utilises les 5 briques, mais tu ne mets pas la même priorité selon ton contexte. Voilà comment trier vite quand deux sessions se chevauchent.

Parcours startup : time-to-market, coût, itération

• Priorité 1 : RAG pragmatique (ingestion, chunking, retrieval) et contraintes coût/latence.
• Priorité 2 : évaluation légère (golden set minimal) pour éviter la régression dès janvier.
• Priorité 3 : sécurité “minimum viable”, mais réelle (prompt injection, data leakage).

Ta question à chaque talk : “Est-ce que ça m’aide à livrer une V1 testable à 20 utilisateurs en janvier ?”

Parcours DSI et grande entreprise : risque, conformité, traçabilité

• Priorité 1 : sécurité LLM (prompt injection), journalisation, gouvernance, contrôle des accès.
• Priorité 2 : évaluation et monitoring, pour industrialiser sans incidents répétés.
• Priorité 3 : RAG robuste (droits, sources, qualité des citations).

Deux rappels utiles côté cadre entreprise : la Shadow AI et le cadrage des usages non autorisés. Lecture : https://lyon-ia.com/blog/shadow-ai-en-entreprise-detecter-et-cadrer-les-usages-ia-non-autorises-checklist-rssi-lyon.

Parcours agence et ESN : répétabilité et composants interchangeables

• Priorité 1 : architecture packagée (RAG, agents, éval) avec pièces remplaçables.
• Priorité 2 : observabilité et debugging, sinon chaque client devient un cas unique ingérable.
• Priorité 3 : méthode d’évaluation réutilisable, vendable, et qui protège ton delivery.

Kit retour : la liste de décisions à trancher la semaine suivant DevFest

Si tu dois repartir avec une stack IA entreprise testable, voilà ce que tu dois décider noir sur blanc, même si c’est provisoire. Sans ça, janvier sera “on verra”.

Données

• Quelles sources entrent dans le RAG (SharePoint, Confluence, drive, tickets, CRM) et qui a le droit de quoi.
• Règles de rétention : combien de temps tu gardes prompts, réponses, documents ingérés.
• Journalisation : ce que tu logs, ce que tu anonymises, qui accède aux logs.

Pour formaliser proprement : https://lyon-ia.com/blog/politique-conservation-donnees-ia.

Modèles

• API commerciale vs open source : critères coût, confidentialité, performance, contraintes juridiques.
• Stratégie multi-modèles : un modèle rapide et moins cher, et un modèle premium en escalade.
• Budget tokens mensuel : plafond, alertes, et qui valide les dépassements.

RAG

• Choix du store vecteur, et séparation dev, staging, prod.
• Chunking : ta règle par défaut, plus une exception pour les documents longs.
• Retrieval : top-k, filtres, reranking, et format de citation.

Agents

• Agent ou pas agent. Si la réponse est “oui”, liste d’outils autorisés.
• Limites : timeouts, quotas, budget, validation humaine sur actions sensibles.
• Traçabilité : logs d’actions, qui a déclenché quoi, et comment tu rejoues un incident.

Évaluation et qualité

• Golden set : 30 questions réelles au départ, puis tu montes à 100.
• Métriques : exactitude, citations correctes, taux de refus, latence, coût.
• Anti-régression : tests avant chaque changement de prompt, modèle, ou retrieval.

Sécurité

• Scénarios à tester : prompt injection, contradictions, extraction de secrets, jailbreak, data leakage.
• Guardrails : où tu filtres, comment tu bloques, et comment tu alertes.
• Accès : qui peut créer des prompts système, qui peut changer les connecteurs, qui peut lire les logs.

Si tu veux un cadre sécurité plus large, orienté questions opérationnelles : https://lyon-ia.com/blog/ats26-lyon-0311-security-ai-10-questions-pour-securiser-genai-et-agents-ia.

Plan de prototypage sur 2 semaines (stack testable, pas POC vitrine)

Tu reviens de DevFest, tu as tes décisions provisoires. Maintenant tu exécutes. Deux semaines, c’est court. Donc tu scopes dur.

Semaine 1 : rendre le flux utile et observable

• Jour 1 : cadrage. 1 cas d’usage, 1 persona, 1 promesse mesurable (temps gagné, tickets évités, taux de résolution).
• Jour 2 : données. 50 à 200 documents max, propres, avec droits d’accès réalistes.
• Jour 3 : pipeline RAG V0. ingestion, chunking par défaut, indexation, retrieval simple.
• Jour 4 : prompt et format de réponse avec citations obligatoires. Refus quand la source manque.
• Jour 5 : observabilité minimale. logs, latence, coût, erreurs, et un dashboard basique.

Semaine 2 : fiabiliser, tester, durcir

• Jour 6 : golden set initial (30 questions), test manuel, puis automatisation minimale.
• Jour 7 : amélioration retrieval (filtres, top-k, reranking si besoin).
• Jour 8 : tests sécurité de base (prompt injection, tentative d’exfiltration, demandes hors périmètre).
• Jour 9 : règles de garde-fous (blocage, redirection vers humain, journaux).
• Jour 10 : pilote fermé avec 10 à 20 utilisateurs, collecte feedback structurée, décision go/no-go.

Si tu veux une méthode de cadrage avant de coder, simple et exécutable : https://lyon-ia.com/blog/cadrer-un-projet-ia-methode.

Le jour J : règles simples pour choisir tes talks IA et ne pas te disperser

• Règle 1 : 1 talk = 1 décision. Si tu ne peux pas écrire la décision en 10 mots, change de salle.
• Règle 2 : équilibre ta journée sur les 5 briques. Si tu fais 4 talks “agents” et zéro “évaluation”, tu vas droit dans le mur.
• Règle 3 : pose toujours la question “qu’est-ce qui a cassé en prod ?”. Les bons retours terrain commencent par là.
• Règle 4 : prends en photo ou note les chiffres. Latence, coût, volumétrie, taille des jeux de tests, taux d’échec. Le reste, c’est du vernis.

Ce que DevFest Lyon 2026 dit déjà de la maturité LLM locale

Voir du RAG et de la prompt injection dans une conf dev/data grand public à Lyon, c’est un signal clair. On est passé du “chatbot qui fait waouh” à “comment on évite les régressions, les fuites, et les contournements”. Source programme : devfest.gdglyon.com.

Si tu bosses à Lyon ou en Auvergne-Rhône-Alpes, c’est une bonne nouvelle : ça veut dire que tu vas croiser des gens qui ont déjà pris des baffes en prod. Et c’est exactement ce que tu veux entendre.

Checklist finale à copier dans tes notes avant le 04/12

• Mon cas d’usage de janvier tient en une phrase.
• Je sais si je fais réponse, recherche, ou workflow.
• Je dois repartir avec 6 décisions : modèle, données, RAG, agent oui/non, évaluation, sécurité.
• Je bloque 2 semaines en janvier pour prototyper, avec un pilote fermé.
• Je sais qui valide : IT, sécurité, produit, métier.

Le 4 décembre, vise simple : une stack cohérente, testable, mesurable, et défendable. Le reste, tu l’optimiseras après. Janvier n’attend pas.