ORBIT — L'autonomie à enveloppe formelle

Le débat public sur l'intelligence artificielle autonome oscille entre deux extrêmes tout aussi stériles : la promesse de systèmes omnipotents qui décident de tout par eux-mêmes, et la crainte que toute autonomie soit par définition incontrôlable. Ni l'une ni l'autre de ces positions ne décrit le véritable problème. Le véritable problème est un problème d'ingénierie : comment construire des systèmes qui opèrent à la vitesse de la machine sans perdre, en chemin, l'autorité sur les décisions critiques.

ORBIT est la réponse de Zendrix à ce problème. Ce n'est ni un produit de démonstration ni un exercice conceptuel : c'est la couche d'autonomie à enveloppe formelle qui organise le comportement de nos plateformes. Cet article explique ce que signifie une enveloppe formelle, pourquoi l'autonomie sans enveloppe est imprévisibilité, et pourquoi une autonomie responsable constitue un avantage opérationnel plutôt qu'un frein.

L'autonomie n'est pas l'autorité

La confusion la plus répandue dans ce débat consiste à traiter l'autonomie et l'autorité comme des synonymes. Ce sont des choses distinctes. L'autonomie est la capacité d'exécuter sans intervention étape par étape. L'autorité est le droit de décider ce qui doit être fait. Un système peut disposer d'une grande autonomie et d'aucune autorité : il exécute précisément ce qui a été décidé par ceux qui sont habilités à décider.

Cette séparation est le fondement de tout usage sérieux de l'IA dans le domaine de la défense. Les décisions qui mettent des vies en jeu exigent toujours une autorité humaine — non par limitation technique, mais par doctrine. Le reste peut s'écouler à la vitesse de la machine, car c'est précisément là que l'autonomie génère un gain : dans la latence entre la perception et l'action.

Lorsque cette distinction se perd, deux erreurs symétriques apparaissent. La première est la paralysie : des systèmes capables, bridés par des procédures génériques qui exigent une confirmation humaine pour tout, y compris ce qui est trivial et réversible. La seconde est la dérive : des systèmes qui élargissent leur champ d'action au fil du temps, parce que personne n'a explicitement déclaré où se situent les limites. L'enveloppe formelle existe pour prévenir l'une et l'autre.

Ce qu'est une enveloppe formelle

Une enveloppe formelle est la spécification explicite de ce qu'un système autonome peut faire. Elle répond à quatre questions : quelles actions sont permises, dans quelles conditions, avec quel degré de supervision et sous quelle autorité. Chaque réponse est déclarée, versionnée et auditable — non pas déduite d'un comportement observé.

En pratique, cela se traduit par des niveaux d'autonomie. Toute action ne mérite pas le même traitement. Une action à faible impact et hautement réversible peut être exécutée de manière autonome ; une action aux conséquences persistantes exige une revue humaine ; une action qui met des vies en jeu exige une autorité humaine formellement désignée, toujours. Le niveau n'est pas un attribut de l'ensemble du système, mais de chaque classe d'action en son sein.

L'enveloppe définit également ce qui se produit lorsque le système approche de sa limite. Plutôt que de poursuivre et de justifier après coup, la plateforme doit s'arrêter, déclarer la situation et restituer la décision à celui qui détient l'autorité de la prendre. C'est la différence entre un système qui sait ce qu'il peut faire et un système qui ne découvre ce qu'il pouvait faire qu'après les faits.

Gouvernance et piste d'audit

Une enveloppe sans gouvernance est un document ; la gouvernance est une pratique. ORBIT organise la gouvernance autour de trois éléments vérifiables. Le premier est la déclaration : l'enveloppe est explicite, lisible et examinable par les responsables de l'opération. Le second est la preuve : chaque action pertinente laisse une trace permettant de reconstituer ce qui a été fait, quand, sur quelle base et sous quelle autorité. Le troisième est l'intégrité : ces traces sont protégées contre toute altération ultérieure, de sorte que l'audit soit une vérification et non un récit.

Une piste d'audit présentant ces propriétés remplit plusieurs fonctions à la fois. Elle sert l'opérateur, qui doit comprendre ce qui s'est passé. Elle sert le superviseur, qui doit confirmer que les limites ont été respectées. Elle sert le client institutionnel, qui doit démontrer à des tiers — régulateurs, alliés, société — que son opération est gouvernée. Et elle sert le développement lui-même, car des limites qui ne peuvent être vérifiées ne peuvent être améliorées en toute sécurité.

La gouvernance n'est pas une bureaucratie superposée à la capacité. C'est ce qui rend la capacité utilisable dans des contextes où la confiance est la ressource la plus rare.

Pourquoi c'est un avantage, non un frein

L'objection intuitive est que les limites réduisent la vitesse. L'expérience dit le contraire. Un système sans enveloppe contraint l'organisation à se protéger de l'extérieur : procédures génériques, approbations redondantes, revues qui ralentissent tout de manière égale — y compris ce qui n'avait nul besoin d'être revu. Le coût pèse sur l'ensemble de l'opération.

Un système doté d'une enveloppe déplace le contrôle à l'intérieur de la conception. Ce qui est sûr s'écoule à la vitesse de la machine ; ce qui est sensible s'arrête exactement au point où il doit s'arrêter. Le résultat est une vitesse moyenne supérieure, non inférieure, et un profil de risque qui peut être déclaré plutôt que simplement espéré.

Il y a aussi l'effet sur la confiance institutionnelle. Les organisations qui exploitent des infrastructures critiques ou des capacités de défense n'achètent pas de l'autonomie comme on achète une application ; elles doivent justifier leurs décisions devant les autorités et, à terme, devant la société. Un système qui documente ses propres limites abaisse le coût de cette justification — et élargit l'ensemble des contextes dans lesquels l'autonomie peut être autorisée.

Il existe également une dimension temporelle. Les enveloppes doivent être révisées lorsque la doctrine change, lorsque la technologie évolue ou lorsque l'expérience montre qu'une limite a été mal calibrée. Une enveloppe immuable vieillit et devient un obstacle ; une enveloppe révisable sans contrôle se dissout. C'est pourquoi la déclaration est versionnée : chaque changement a un auteur, une justification et une date, et peut être audité comme toute autre décision du système. Des limites mises à jour avec méthode sont des limites qui restent crédibles dans la durée.

L'autonomie responsable n'est donc pas l'opposé de l'ambition. C'est ce qui permet à l'ambition d'être employée dans des domaines à fort enjeu. La question qui définit un système mature n'est pas de savoir combien d'autonomie il possède, mais s'il sait exactement ce qu'il peut faire — et s'il peut le prouver lorsqu'on le lui demande.