Validation humaine d’une sortie IA : donner à la personne les moyens de vérifier

Un nom dans une procédure ne prouve pas un contrôle

Je défends une règle de conception simple : si vous demandez à quelqu’un de valider une sortie d’IA, vous devez organiser le travail qui rend cette validation possible. Lui transférer un texte et la responsabilité de repérer toutes ses erreurs, sans documents ni marge d’action, laisse le problème entier.

Le LINC, laboratoire de la CNIL, examine notamment les biais de confiance et la difficulté à apprécier une suggestion opaque. Son analyse rappelle que l’ajout d’une intervention humaine n’améliore pas automatiquement le résultat. ^[1] Cela invite à examiner le dispositif concret, plutôt qu’à considérer la présence d’un humain comme une garantie.

Cet article traite d’un point de contrôle avant l’utilisation d’une sortie : un brouillon, une synthèse ou une proposition. Le guide de vérification d’une réponse IA explique comment examiner les affirmations. Ici, la question est différente : votre organisation permet-elle réellement à la personne de faire ce travail ?

Définir ce qui est autorisé après la validation

Commencez par une phrase complète : « Cette personne peut autoriser l’utilisation de cette version pour cette action, après ces vérifications. » Précisez l’objet, le destinataire, le périmètre et ce qui reste interdit. Relire une proposition pour la discuter en interne et autoriser son envoi à un client ne sont pas le même acte.

Le NIST distingue les rôles dans les configurations humain-IA et prévoit que les processus de supervision soient définis, évalués et documentés dans son AI RMF 1.0. Ce cadre est volontaire. ^[2] La méthode présentée ici traduit ces repères en questions de travail ; elle ne prétend pas appliquer une obligation identique à tous les systèmes.

Placez le contrôle avant l’action qu’il est censé empêcher. Si le message part avant que le relecteur puisse le refuser, la revue peut servir à corriger ensuite, mais elle ne constitue pas une autorisation préalable. Dans un circuit manuel, cette séparation peut tenir à un brouillon et à une consigne d’envoi ; dans un outil automatisé, son comportement doit être vérifié.

Vérifier cinq conditions avec la personne concernée

La CNIL interroge, dans son guide d’autoévaluation, les ressources prévues, la formation, l’information fournie et la capacité effective d’intervention de l’opérateur. ^[3] Je propose d’en faire une revue du poste de travail avec l’utilisateur, plutôt qu’une case renseignée par le seul responsable du projet.

Un document disponible pour le concepteur peut être inaccessible au validateur. Une personne à l’aise avec l’IA peut manquer de compétence sur le métier concerné. Une possibilité de refus affichée peut n’avoir aucun effet sur l’envoi. Ces conditions sont à examiner séparément : un point fort ne compense pas automatiquement un moyen absent.

Exemple fictif : répondre à une réclamation sur une date

Une entreprise fictive prépare avec une IA des brouillons de réponse aux clients. Un client signale avoir reçu deux dates différentes pour une visite. Le dossier contient un ancien courriel mentionnant le 18 novembre et un planning applicable indiquant le 20 novembre à 14 h, avec le statut confirmé. Le brouillon affirme : « Nous confirmons le 18 novembre. » Aucun client réel, produit ou résultat d’essai n’est décrit.

Dans le circuit proposé, la chargée de relation client peut confirmer un créneau déjà validé dans le planning, mais elle ne peut ni déplacer la visite ni promettre un geste commercial. Elle dispose du message reçu, de l’ancien courriel, du planning identifiable et du brouillon. Elle compare les pièces, corrige la date, puis examine le reste du texte avant d’en autoriser l’envoi.

Si le planning ne s’ouvre pas, elle laisse le brouillon en attente et sollicite le coordinateur. Le système n’envoie rien à l’expiration d’un délai. Si elle découvre un statut provisoire au lieu de confirmé, elle ne remplace pas simplement une date : elle fait préciser le créneau par le rôle compétent. La correction porte donc sur un fait et sur le droit d’en tirer une conclusion.

La qualité de ce dispositif tient à des moyens observables : retrouver la pièce applicable, comprendre son statut et empêcher l’envoi tant que le point reste ouvert. Une nouvelle phrase dans le prompt ne fournit aucun de ces moyens à elle seule.

Tester le désaccord et l’absence de preuve

Préparez un exercice annoncé, avec des données fictives et une sortie comportant une erreur connue. Demandez à une personne représentative du rôle de conduire la revue. Observez ce qu’elle peut consulter, ce qu’elle comprend, ce qu’elle modifie et la suite réellement déclenchée. Il s’agit d’évaluer le dispositif, pas de piéger un salarié.

Rejouez ensuite le cas avec une pièce inaccessible, puis avec une information contradictoire. Dans ces variantes, une réponse pertinente peut être « je ne peux pas autoriser l’envoi avec les éléments disponibles ». Vérifiez que cette décision est possible et qu’un interlocuteur peut traiter le point ouvert.

Contrôlez enfin que l’action suit la version examinée. Un brouillon corrigé puis régénéré ne doit pas conserver, sans nouvel examen, l’autorisation accordée au texte précédent. La fiche de conception du point de validation propose un dossier fictif complet et les corrections attendues pour préparer cet essai.

Ces essais peuvent révéler un défaut précis. Leur réussite ne prouve pas que toutes les erreurs futures seront détectées ni que le système respecte l’ensemble de ses obligations.

Prévoir la charge et les absences avant d’ouvrir le circuit

La durée du contrôle dépend du travail demandé : retrouver une pièce, refaire un calcul ou examiner une interprétation. Je ne fixe pas un nombre universel de minutes par sortie. Décomposez d’abord ces actions, puis observez le temps nécessaire dans votre contexte, avec les utilisateurs concernés.

Si le volume arrive plus vite que l’équipe ne peut examiner les propositions, rendez les options explicites : réduire le flux, limiter le périmètre, prévoir un relais ou revenir au traitement manuel autorisé. Laisser la file s’accumuler puis demander de tout approuver transforme un problème d’organisation en pression sur le validateur.

Définissez aussi ce qui arrive pendant une absence. Un suppléant doit disposer des accès et des compétences nécessaires. À défaut, la sortie reste en attente ou suit un autre circuit convenu ; l’absence de réponse ne vaut pas, dans la méthode proposée, autorisation implicite.

Le refus doit pouvoir être discuté à partir de ses raisons. Un nombre élevé de corrections peut signaler une mauvaise source ou un usage mal défini. Il ne démontre pas, à lui seul, une mauvaise utilisation par la personne qui contrôle.

Conserver une trace utile à la reprise

Je propose une trace courte : version examinée, usage autorisé, élément décisif consulté, correction ou réserve, décision et rôle responsable. Le but est de pouvoir comprendre ce qui a été accepté, et pourquoi un autre brouillon ou un autre usage demanderait un nouvel examen.

Adaptez les informations conservées aux besoins réels et aux règles de votre organisation. Une référence au dossier peut suffire ; la fiche de contrôle n’a pas à recopier tous les messages ou toutes les données des personnes. Précisez également qui peut consulter cette trace.

Si la même difficulté revient, traitez son origine. Un lien qui ne s’ouvre jamais appelle une correction des accès ; une ambiguïté récurrente appelle un travail sur la règle ou sur la source. Le journal de maintenance d’un usage IA prend le relais pour suivre ces évolutions dans la durée.

Pour cadrer cette organisation avec vos équipes, vous pouvez me présenter votre usage via la page contact. L’objectif sera de définir une intervention adaptée au travail à accomplir.

Questions fréquentes

Faut-il une validation humaine pour chaque sortie de chaque outil ? Cet article ne pose pas cette règle générale. Il explique comment concevoir un contrôle décidé pour un usage donné. Les obligations applicables demandent une analyse distincte du système, des personnes concernées et de ses effets.

Une seconde IA peut-elle remplacer l’accès à la preuve ? Elle peut aider à repérer un point à examiner. Son accord avec la première ne fournit pas, à lui seul, le document ou le fait manquant. Dans le circuit proposé, le validateur doit pouvoir justifier la décision à partir d’éléments adaptés.

Que faire si le validateur sait repérer l’erreur mais ne peut pas agir ? Corriger le circuit avant de lui attribuer une validation effective. Prévoir un canal de refus, la suspension de l’action concernée et un relais identifié ; vérifier ensuite que ces moyens fonctionnent.