IA de confiance
Un LLM dans la boucle,
sans briser ALCOA++
C'est la question qu'on nous pose le plus : comment mettre un modèle dans un procédé qui doit passer un audit ? La réponse tient en une phrase — et elle tient tout le reste.
« Le modèle ne crée rien
et ne signe rien. »
Les blocs d'action et les règles sont écrits et validés d'avance, par des humains. Le modèle assemble, il ne fabrique pas.
Premier principe
Le modèle ne crée rien
Les actions que le système peut exécuter sont écrites et validées d'avance, avant qu'un modèle entre en jeu. Le modèle construit des patterns à partir de ces blocs déjà préparés : il choisit, il ordonne, il propose. Il n'écrit pas de code à la volée, il n'invente pas d'action, il n'a pas la main sur la donnée.
- Les blocs existent avant lui. Chaque opération possible est écrite, relue et approuvée par des humains. Le catalogue d'actions est fermé.
- Il assemble, il ne fabrique pas. Un modèle qui ne peut pas créer d'action ne peut pas créer d'action non conforme.
- Ce qu'il produit est une proposition, jamais un enregistrement.
Deuxième principe
Rien ne s'écrit sans une validation humaine
Aucune valeur n'entre dans un enregistrement réglementé sans qu'une personne nommée la valide — et cette validation est elle-même une entrée de la piste, avec son nom, son horodatage et sa machine.
À la machine
Lire, mesurer, comparer, proposer, ordonner.
À l'humain
Décider, valider, signer — et porter la responsabilité de ce qu'il valide.
À la piste
Garder les deux, dans l'ordre : la proposition du modèle et la décision de la personne.
En pratique
Ce que ça change pour l'opérateur
Prenons la lecture de documents. Le modèle regarde un scan et propose les valeurs des cases. L'opérateur voit la proposition, la compare au document, et valide ou corrige. Rien de ce que le modèle a proposé n'entre dans le dossier sans ce geste — et la piste garde les deux : « le modèle a proposé ceci », « la personne a validé cela ».
Conséquence directe : un modèle qui se trompe coûte une relecture, pas un dossier invalidé. Et comme le modèle ne tient pas la plume, on peut l'échanger, le mettre à jour ou le retirer sans invalider un seul dossier déjà validé. C'est exactement ce qu'un service qualité demande d'entendre.
Troisième principe
Où tournent les modèles
Là où vos règles l'exigent : sur votre matériel, dans votre réseau, ou chez un fournisseur que vous choisissez. Nous n'avons aucune dépendance à un service que vous ne contrôlez pas, ni à un nuage public par défaut. Un modèle local plus lent reste préférable à une valeur qui sort de chez vous sans que vous l'ayez décidé.
Ce que nous ne faisons pas
- Laisser un modèle décider seul d'une valeur réglementée.
- Laisser un modèle signer quoi que ce soit.
- Écrire dans un dossier ce qu'aucune personne n'a validé.