Treize semaines, six points de décision, un document vérifiable par semaine. Un cas rempli de bout en bout, la vérification du dossier d’un nouveau client, et six modèles copiables dans vos outils.
Ce guide s’emploie comme un dispositif de décision. Chaque semaine produit un document que quelqu’un signe, chaque point de passage se tranche sur des pièces, et chaque affirmation du dossier pointe vers une preuve, un responsable et une date. Pour que cette mécanique tienne, une convention précède tout le reste : elle indique, énoncé par énoncé, ce qui relève d’un texte opposable, ce qui relève d’une recommandation de conception, les règles de méthode et les hypothèses à calibrer chez vous. Elle se lit une fois et s’applique ensuite à chaque tableau de la page.
Fait relié à un règlement, à une position d’autorité de supervision ou à un standard cité. Sa portée se revalide à la date de la décision, car le calendrier européen et les positions sectorielles évoluent pendant la durée d’un pilote.
Recommandation de conception ou de gouvernance issue du travail d’analyse. Elle engage l’auteur et se discute au regard de votre organisation, de votre appétence au risque et de vos validations internes.
Point de passage, taxonomie, matrice, cadence ou formule. Le calendrier des treize semaines, les six points de décision et les cinq paliers d’autonomie relèvent tous de cette catégorie.
Hypothèse à calibrer sur les données, les politiques et les capacités de votre établissement. Elle est écrite pour être remplacée par une mesure locale dès que celle-ci existe.
Aucun des neuf nombres de ce guide ne provient d’une mesure de production. Ce sont des règles de cadence, des taxonomies et des ordres de grandeur destinés à être remplacés par les données de l’établissement. La provenance déclarée est ce qui rend le chiffre remplaçable, et le registre complet figure en fin de page.
La qualification juridique, l’application des politiques internes et la validation indépendante restent du ressort de vos fonctions compétentes. Ce guide organise la production de preuves et la cadence des décisions qui les consomment.
La complication habituelle est connue : un cas est identifié, un sponsor s’y intéresse, le sujet apparaît au portefeuille, et la preuve de concept démarre sans propriétaire. Sans mandat écrit, sans ligne de base mesurée et sans règle d’arrêt, le pilote se prolonge et la décision d’étendre finit par reposer sur l’impression laissée par une démonstration. Les six actes ci-dessous ferment cette porte. Ils tiennent en deux jours et ne demandent ni budget, ni fournisseur, ni architecture.
Ces quatre éléments suffisent à distinguer un pilote d’une preuve de concept : le résultat, le propriétaire, l’action maximale et la règle d’arrêt. Les six actes évitent le scénario le plus fréquent, celui d’un pilote qui produit une démonstration convaincante et aucune décision.
La colonne de droite est la plus utile en pratique. Elle donne à chaque rôle la phrase qu’il peut prononcer pour arrêter une dérive, sans avoir à construire une argumentation longue devant une réunion déjà engagée dans une direction.
| Rôle | Ce dont il rend compte | Sa ligne rouge |
|---|---|---|
| Directeur produit | Mandat de portefeuille, capacité de contrôle, financement de la plateforme et arbitrage | Un pilote sans propriétaire ni voie de retrait |
| Product manager | Résultat, ligne de base, dossier économique, segmentation, apprentissage et décision | Un indicateur uniquement technique |
| Product owner | Backlog, critères d’acceptation, traçabilité, tests et procédure d’exploitation | Une exigence sans preuve observable |
| Sponsor de business unit | Accès au terrain, processus cible, capacité de changement et capture de la valeur | Un pilote détaché des opérations |
| Propriétaire d’agent | Périmètre, autonomie, risque résiduel, incidents, changements et retrait | Une responsabilité diffuse |
| Partenaires de contrôle | Qualification, exigences, validation indépendante et conditions d’exploitation | Une sollicitation en fin de construction |
Six rôles, six lignes rouges, et une seule personne responsable par agent. Cette dernière règle est la plus économique de toutes : elle évite les arbitrages collectifs sur des sujets qui demandent une décision rapide et traçable.
Tous les modèles de ce guide sont renseignés sur un cas unique : la vérification de complétude d’un dossier d’entrée en relation et la préparation d’une relance. Ce cas sert d’étalon de granularité. Une équipe qui remplit ses propres modèles avec cette précision dispose d’un dossier défendable devant une deuxième ligne ; une équipe qui reste plus vague le saura immédiatement, en comparant ligne à ligne.
| Repère | Contenu |
|---|---|
| Déclencheur | Un dossier d’entrée en relation créé ou mis à jour doit être vérifié pour complétude |
| L’agent propose | Il lit les règles autorisées et les pièces du dossier, identifie les éléments manquants, cite ses sources et prépare un brouillon de relance |
| L’humain décide | Le chargé de dossier vérifie les pièces, modifie si nécessaire, décide d’envoyer ou non, et motive sa correction |
| Hors périmètre | Décision d’acceptation ou de refus, notation, envoi autonome, modification d’un statut réglementaire, collecte hors canal approuvé |
| Autonomie initiale | Palier A1 pour l’analyse, palier A2 pour la création d’un brouillon non envoyé MÉT, à valider localement |
| Classement de risque | Tier R2 proposé à titre méthodologique MÉT ; la classification réelle demeure cumulative et locale |
Ce cas est un exemple de travail. Son palier d’autonomie, son classement de risque et ses volumes sont des repères de méthode, à requalifier sur votre contexte, vos canaux et vos entités.
Un point de décision autorise l’étape suivante. Il se prononce sur des pièces datées et signées, ce qui rend la décision reproductible six mois plus tard devant un contrôleur qui n’a pas assisté aux réunions. Cette distinction évite le rituel de la revue de fin de phase, où l’on approuve ce qui est déjà construit et où le coût déjà engagé pèse plus lourd que la preuve produite. Le point G3 est le plus structurant des six : il sépare la construction de l’exposition à des dossiers réels.
| Point | Date | Objet | Pièces minimales | Ce qu’il autorise |
|---|---|---|---|---|
| G0 | Fin S2 | Mandat | Problème, ligne de base, propriétaire, périmètre, actions interdites | Le diagnostic |
| G1 | Fin S4 | Risque | Qualification, carte des données, autonomie, analyses requises | La conception |
| G2 | Fin S6 | Conception | Canevas d’agent, architecture, contrôles, backlog, supervision humaine | La construction complète |
| G3 | Fin S9 | Preuve | Jeu de référence, évaluations, tests adverses, validation, non-conformités | Le mode à blanc |
| G4 | Fin S11 | Pilote | Journal du mode à blanc, surveillance, procédure d’exploitation, formation, repli | Une cohorte limitée |
| G5 | Fin S13 | Décision | Valeur, risque, coût, adoption, incidents, dette de contrôle | Arrêter, corriger ou étendre |
Chaque point de décision autorise la suite ; il ne valide pas le travail accompli. Lorsqu’un point de passage se démontre, l’étape suivante s’ouvre. Lorsqu’il reste à démontrer, le pilote gagne du temps plutôt que de la conviction, et cette règle vaut du premier au dernier jour.
La cadence ci-dessous est une structure de méthode MÉT. Elle suppose que les équipes métier, produit et contrôle soient disponibles aux semaines prévues. À défaut, déplacez les dates plutôt que les preuves : le calendrier se déplace, la séquence des preuves reste. Une équipe qui termine une semaine sans son document dispose d’une information utile, puisqu’elle sait exactement où elle a pris du retard et sur quelle pièce.
| Sem. | Responsable | Travail de la semaine | Document produit |
|---|---|---|---|
| S0 | Directeur produit et sponsor | Nommer les responsables, l’équipe et les dates | Mandat de lancement |
| S1 | Product manager | Observer le parcours et mesurer la ligne de base | Carte de parcours et ligne de base |
| S2 | Product manager et product owner | Charte, résultat, hors-périmètre, point G0 | Charte de pilote signée |
| S3 | Propriétaire d’agent et risque | Qualifier les risques, les données et l’autonomie | Triage et carte des données |
| S4 | Partenaires de contrôle | Fixer les analyses requises et les interdits, point G1 | Dossier G1 |
| S5 | Product owner et architecture | Canevas d’agent, outils, permissions, expérience | Conception contrôlée |
| S6 | Product owner | Backlog testable et critères d’acceptation, point G2 | Backlog prêt |
| S7 | Product owner et responsable d’évaluation | Construire les jeux de tests et les évaluateurs | Jeux de référence et adverses |
| S8 | Équipe | Tester, corriger, mesurer par tranche | Rapport d’évaluation |
| S9 | Validation | Revue indépendante, point G3 | Décision d’entrée en mode à blanc |
| S10 | Opérations et métier | Mode à blanc sur cas réels, sans action autonome | Journal du mode à blanc |
| S11 | Propriétaire d’agent | Tester la supervision, l’incident, l’arrêt, le retour arrière, point G4 | Procédure d’exploitation validée |
| S12 | Product manager | Pilote sur cohorte limitée et dossier économique | Dossier de preuves |
| S13 | Directeur produit et sponsor | Décider d’arrêter, de corriger ou d’étendre, point G5 | Compte rendu de décision |
Un rituel se justifie par la question qu’il tranche. Les cinq ci-dessous couvrent la livraison, le risque, l’évaluation, la valeur et la décision, sans recouvrement. Toute réunion supplémentaire se justifie par une question qu’aucune de ces cinq ne pose déjà.
| Rituel | Cadence | Responsable | Question centrale |
|---|---|---|---|
| Revue de livraison | Deux fois par semaine | Product owner | Blocages, récits, preuves et dette de contrôle |
| Clinique de risque | Hebdomadaire, S2 à S11 | Propriétaire d’agent | Décisions ouvertes, analyses et risques résiduels |
| Revue d’évaluation | Hebdomadaire, S6 à S12 | Product manager et responsable d’évaluation | Erreurs, tranches, matrice de confusion et reprise |
| Revue de sponsor | Toutes les deux semaines | Product manager | Résultat, adoption, capacité et capture de la valeur |
| Comité de décision | Aux points G0 à G5 | Directeur produit et sponsor | Décision horodatée, conditions, responsable et échéance |
Le comité de décision se distingue des quatre autres par sa nature. Il est le seul dont la sortie est une décision datée, et le seul qui puisse arrêter le programme.
Responsable principal : le product manager. Sortie attendue : le point G0. Le critère de sortie est atteint lorsque le sponsor et le propriétaire d’agent savent expliquer ce qui change, pour qui, sur quelle preuve, et avec quel retour manuel.
La charte de pilote (Pilot Charter) se remplit en deux semaines et se signe. Les trois champs les plus discriminants sont la ligne de base, le hors-périmètre et la règle d’arrêt : ce sont eux qui rendent possible la décision de la semaine treize, parce qu’ils fixent à l’avance ce que l’on comparera, ce que l’on n’aura jamais tenté, et ce qui déclenche un arrêt sans discussion.
| Repère | Contenu renseigné |
|---|---|
| Résultat visé | Réduire le délai de complétude et la reprise des dossiers, sans augmenter les erreurs matérielles, les relances inutiles ni l’abandon |
| Population | Cohorte bornée de dossiers standards, canal et entité à préciser |
| Déclencheur | Création ou mise à jour d’un dossier nécessitant une vérification de complétude |
| Utilisateurs | Chargé de dossier, superviseur opérationnel, client indirectement concerné |
| Proposition | Analyse sourcée des pièces manquantes et brouillon de relance soumis à revue |
| Hors périmètre | Décision d’acceptation, notation, refus, envoi autonome, écriture de statut, changement de politique |
| Ligne de base | Délai de traversée, complétude au premier passage, taux de reprise, relances par dossier, abandon, coût complet, à mesurer |
| Succès | Amélioration nette du parcours et du coût complet, sous les seuils durs de risque, seuils à valider |
| Arrêt | Action interdite, fuite de donnée sensible, impossibilité de revenir au manuel, ou risque résiduel refusé |
Six critères ouvrent le point G0, chacun avec son responsable et sa pièce : le résultat et la population écrits, la ligne de base mesurable avec un propriétaire de donnée nommé, le hors-périmètre et les actions interdites approuvés, l’alternative sans intelligence artificielle examinée, le retour manuel et la capacité terrain confirmés, et les points G1 à G5 planifiés avec leurs décideurs. Le quatrième est le plus souvent omis : examiner l’alternative sans intelligence artificielle coûte une demi-journée et évite parfois treize semaines.
Cette mesure précède la conception et conditionne tout le dossier économique. Elle demande une semaine et se révèle, à l’usage, la semaine la plus rentable des treize. La ligne de base se mesure sur le parcours entier, du premier événement au résultat, parce que c’est à cette échelle que le client et le contrôle de gestion l’observent.
| Étape | Question posée | Mesure de ligne de base |
|---|---|---|
| 1 · Événement | Un dossier est créé ou une pièce est reçue | Volume, composition, heure, canal |
| 2 · Qualification | Quelles règles et quelles pièces s’appliquent | Temps, exceptions, recherches |
| 3 · Complétude | Les pièces sont-elles présentes, valides et cohérentes | Complétude au premier passage, erreurs, reprise |
| 4 · Relance | Le message est-il adapté et les pièces bien demandées | Nombre, clarté, relances inutiles |
| 5 · Réponse | Les pièces sont reçues et le dossier est remis en file | Délai, abandon, escalade |
| 6 · Résultat | Le dossier est complet ou part en voie d’exception | Délai total, coût, qualité |
Règle du parcours d’abord. Avant d’automatiser, classez chaque étape selon cinq actions possibles : éliminer, déplacer, standardiser, assister ou automatiser. Une étape accélérée qui ne crée pas de valeur demeure une étape sans valeur, exécutée plus vite.
Responsable principal : le propriétaire d’agent. Sortie attendue : le point G1. La qualification dépend du cas d’usage, de la population, des effets produits et des données traitées ; le mot « agent » n’y joue aucun rôle.
| Axe | Question obligatoire | Responsable |
|---|---|---|
| Décision et effet | L’agent influence-t-il l’accès à un service, une décision, un droit ou une obligation ? | Juridique et conformité |
| Données | Traite-t-il des données personnelles, sensibles, inférées ou hors finalité ? | Délégué à la protection des données |
| Action | Peut-il envoyer, écrire, payer, bloquer, modifier ou déclencher un enchaînement ? | Propriétaire d’agent et sécurité |
| Tiers | Quels modèles, hébergeurs, interfaces et sous-traitants soutiennent le service ? | Achats, résilience et sécurité |
| Client | L’intervention de l’agent, le recours et la revue humaine sont-ils compréhensibles ? | Conformité et expérience |
| Résilience | Quel est l’impact d’une erreur, d’une indisponibilité, d’une dérive ou d’une compromission ? | Opérations et continuité |
| Équité | Quelles populations ou quelles tranches peuvent subir des erreurs asymétriques ? | Risque et métier |
Ces sept questions se posent avant la conception. Y répondre plus tard revient à requalifier un dispositif déjà construit, avec le biais que cette situation installe dans la discussion. Les obligations se confirment ensuite avec les fonctions compétentes et sur des sources à jour, à la date de la décision. Base : règlements (UE) 2024/1689, 2016/679 et 2022/2554 AUT ; questions proposées par l’auteur sur base contraignante.
Le point G1 s’ouvre sur six critères symétriques : triage juridique et réglementaire documenté, autonomie maximale par action validée, carte des données avec finalités et rétention provisoire, lignes rouges traduites en droits absents, risque tiers et continuité préqualifiés, risque initial assorti d’un responsable de remédiation.
Le palier se fixe action par action, ce qui permet à un même agent d’observer librement, de proposer sous revue et de préparer un brouillon sous droits limités. Raisonner au niveau de l’agent entier conduit à surdimensionner les contrôles là où ils sont inutiles, et à les sous-dimensionner sur la seule action qui produit un effet.
| Palier | Verbe | Effet produit | Contrôle minimal |
|---|---|---|---|
| A0 | Observe | Synthèse sans recommandation | Lecture seule, traces |
| A1 | Propose | Analyse ou recommandation | Sources, incertitude affichée, revue |
| A2 | Prépare | Crée un brouillon ou une transaction non exécutée | Droits limités, validation avant effet |
| A3 | Exécute borné | Action réversible sous limites | Passerelle de politique, quotas, surveillance, retour arrière |
| A4 | Exécute sensible | Effet matériel ou difficilement réversible | Gouvernance renforcée, hors pilote par défaut |
Le contrôle minimal se code dans les droits, où il devient vérifiable. Le palier A4 se situe hors du pilote par défaut, et son admission relève d’une filière d’exception qui se décide en amont, avant que l’architecture ne soit figée.
Cette matrice est le livrable qui rend l’autonomie vérifiable. Chaque ligne porte la preuve technique attestant que le palier annoncé est bien celui qui s’applique, ce qui la rend opposable en revue de deuxième ligne. Une interdiction écrite dans une consigne reste une intention ; inscrite dans les droits, elle devient un contrôle.
| Action | Palier | Au pilote | Preuve de contrôle |
|---|---|---|---|
| Lire les règles approuvées | A0 | Oui | Liste blanche de récupération et version |
| Lire les pièces du dossier | A0 | Oui, sur besoin d’en connaître | Portées limitées au dossier et journal |
| Identifier une pièce manquante | A1 | Oui | Règle citée, indice de confiance, revue |
| Préparer un brouillon | A2 | Oui | Outil limité au brouillon et validation |
| Envoyer au client | A3 | Hors pilote | Droit absent et blocage par la passerelle |
| Décider l’acceptation ou le refus | A4 | Interdit | Aucun outil, ligne rouge écrite |
| Modifier un statut réglementaire | A4 | Interdit | Aucun droit d’écriture |
Les trois dernières lignes se traduisent en droits absents dans la passerelle, où un contrôleur peut les vérifier sans dépendre d’une déclaration de l’équipe.
La dernière ligne du tableau mérite l’attention. La mémoire transversale au client est désactivée au pilote, par décision de conception. Chaque mémoire conservée devra en effet être justifiée, cloisonnée, purgeable et démontrée comme telle ; celle dont on se passe évite ce travail entièrement. La mémoire la plus simple à défendre est celle que l’on n’a pas créée.
| Objet | Sensibilité | Droit | Contrôle | Rétention |
|---|---|---|---|---|
| Politiques d’entrée en relation | Interne contrôlé | Lecture | Index versionné, propriétaire conformité | Selon politique |
| Pièces du client | Personnel, potentiellement sensible | Lecture du dossier | Accès sur besoin d’en connaître | Selon finalité |
| Brouillon | Personnel | Écriture du brouillon | Aucun droit d’envoi, purge après traitement | À valider |
| Trace | Identifiants, sources, décisions | Écriture du journal | Accès restreint, intégrité | À valider |
| Mémoire transversale au dossier | Sans nécessité établie | Aucun | Désactivée au pilote | Sans objet |
Base : CNIL et Conseil de l’IA et du numérique, IA agentique et protection des données personnelles, juillet 2026 AUT. Carte renseignée sur le cas fil rouge.
Responsable principal : le product owner. Sortie attendue : le point G2. Le critère de sortie porte sur chaque récit : un résultat observable, une trace, une erreur attendue, un contrôle, un repli et un responsable.
La passerelle de politique et la revue humaine contrôlent l’effet ; les traces alimentent les évaluations, qui corrigent l’agent. C’est cette boucle fermée qui distingue un dispositif contrôlé d’un assistant simplement branché sur un système d’information. Sans elle, la qualité se dégrade silencieusement, entre deux points de passage, et le premier signal parvient à l’équipe par une réclamation client.
Un dossier est créé ou mis à jour. L’événement déclencheur et les pièces disponibles entrent dans la boucle.
L’agent lit les règles autorisées, identifie les manques, cite ses sources et prépare une proposition sans effet.
La passerelle vérifie les droits, applique les politiques et refuse toute action qui sort du périmètre autorisé.
Le relecteur modifie, rejette, escalade ou valide, et motive sa correction dans un champ structuré.
Chaque étape laisse une trace exploitable : identifiants de source, outils appelés, décisions prises et motifs.
Les traces alimentent les évaluations, qui corrigent l’agent, les règles, les données ou l’écran de revue.
Le canevas d’agent (Agent Canvas) fige les décisions de conception avant la construction complète. Douze champs suffisent, et leur ordre compte : le résultat et les utilisateurs commandent le périmètre, le périmètre commande l’autonomie, l’autonomie commande les outils et les droits, et l’ensemble commande le plan d’évaluation.
| Champ | Décision renseignée |
|---|---|
| 1 · Résultat | Complétude plus rapide, moins de reprise, qualité et abandon sous contrôle |
| 2 · Utilisateurs | Chargé de dossier, superviseur, client concerné, contrôle et support |
| 3 · Périmètre | Cohorte standard bornée, analyse et brouillon, exclusions écrites |
| 4 · Autonomie | A0 en lecture, A1 en proposition, A2 en brouillon ; A3 et A4 interdits au pilote |
| 5 · Risque | Tier R2 initial au titre de la méthode ; qualification cumulée et risque résiduel à valider |
| 6 · Données | Politiques versionnées, pièces du dossier, minimisation, lignage et rétention |
| 7 · Outils | Récupération, lecteur de dossier, rédacteur de brouillon ; aucun envoi ni écriture de statut |
| 8 · Mémoire | Session et dossier uniquement ; aucune mémoire transversale au client |
| 9 · Humain | Sources, anomalies, différences, bouton modifier ou rejeter, motif de correction |
| 10 · Évaluation | Jeux de référence et adverses, tranches, erreurs matérielles, faux blocages, non-régression |
| 11 · Exploitation | Objectifs de service, coût, journaux, alertes, arrêt, repli manuel, support |
| 12 · Cycle de vie | Responsable, versions, changement matériel, revalidation, retrait |
La matrice de permissions traduit le canevas en objets techniques. Chaque outil porte son droit, son contexte d’appel, sa limite quantitative et son retour arrière. Les deux dernières lignes portent la valeur zéro : elles décrivent des capacités que l’agent ne possède pas, ce qu’un contrôleur vérifie dans la configuration de la passerelle.
| Outil | Droit | Contexte | Limite | Retour arrière |
|---|---|---|---|---|
| Récupération de politiques | Lecture | Version approuvée et entité | 200 requêtes par dossier HYP | Désactiver la source |
| Lecteur de dossier | Lecture | Dossier assigné | Taille et type de fichier | Retour au traitement manuel |
| Rédacteur de brouillon | Création de brouillon | Canal approuvé, sans envoi | 1 brouillon par événement HYP | Supprimer le brouillon |
| Envoi au client | Aucun | Interdit | 0 | Sans objet |
| Écriture de statut | Aucun | Interdit | 0 | Sans objet |
Un récit devient prêt lorsqu’il porte un résultat observable, un outil et un droit explicites, une erreur redoutée, un évaluateur, une trace et un repli. La colonne de preuve rend chaque récit testable et transforme le backlog en programme de vérification.
| Récit | Capacité | Acceptation produit | Preuve |
|---|---|---|---|
| 1 | Règles sourcées | Le chargé voit la règle, sa version et la pièce concernée | Identifiant de source et version |
| 2 | Complétude | Chaque manque proposé est classé, expliqué et révisable | Résultat par champ |
| 3 | Brouillon | Aucun brouillon ne part sans une action humaine | Droit d’envoi absent |
| 4 | Supervision | Le relecteur modifie, rejette ou escalade avec un motif | Motif obligatoire |
| 5 | Sécurité | Une instruction contenue dans une pièce laisse la politique inchangée | Test d’injection |
| 6 | Fonctionnement | Le responsable coupe le rédacteur et revient au manuel | Exercice d’arrêt et de retour arrière |
Six critères ouvrent le point G2 : canevas d’agent complet et signé, architecture et modèle de menace revus, permissions et lignes rouges testables, écran de revue éprouvé avec des utilisateurs, backlog relié aux évaluateurs, repli manuel et plan d’exploitation conçus.
Responsable principal : le product manager, avec le responsable d’évaluation. Sortie attendue : le point G3. Le critère de sortie est atteint lorsque les seuils durs sont respectés, que la performance est acceptable sur chaque tranche critique, et que les limites sont connues et exploitables.
Réussir au premier échelon atteste que l’agent fonctionne. Réussir au deuxième atteste que le parcours s’améliore. Réussir au troisième atteste que l’établissement y gagne. Les trois se mesurent séparément, et une réussite au premier échelon ne présage pas des deux autres. La progression d’un échelon au suivant se démontre.
L’agent identifie correctement les pièces manquantes et produit un brouillon conforme. Preuve : jeu de référence, exactitude par champ, erreurs matérielles.
Le dossier devient complet plus vite, avec moins de reprise et sans dégrader l’expérience. Preuve : délai de traversée, complétude au premier passage, relances, abandon, décisions de passer outre.
Le gain subsiste après supervision, fonctionnement, incidents et changement. Preuve : coût par dossier réussi, capacité libérée, coût évité.
Quatre signaux commandent de suspendre la phase : un score moyen élevé masquant une tranche faible, un juge unique, des tests non versionnés, une réussite de tâche sans résultat de parcours.
Le jeu de référence (golden set) permet de dire, avant toute exposition, si l’agent se comporte comme prévu. Il se construit famille par famille, et sa composition compte davantage que son volume : cinq dossiers adversariaux enseignent plus que cent dossiers standards.
Un jeu initial de cinquante dossiers, répartis en trente standards, dix incomplets, cinq cas limites et cinq adversariaux, amorce le travail. La taille finale dépend des erreurs rares, des tranches et du niveau de risque. Ce chiffre est un début et non une suffisance statistique.
| Famille | Contenu | Comportement attendu |
|---|---|---|
| Standard | Dossiers représentatifs du flux | Complétude, sources, brouillon |
| Incomplet | Pièces absentes, expirées, illisibles ou incohérentes | Détection et motif |
| Cas limite | Règle locale, exception, document inhabituel | Escalade correcte |
| Adversarial | Instruction dans une pièce, source non fiable, demande d’action interdite | Blocage et trace |
| Tranches | Entité, canal, langue, type de client, complexité | Performance homogène |
La cinquième ligne se distingue des quatre autres : elle porte sur la stabilité entre populations, la seule à révéler une réussite moyenne construite sur une tranche défaillante. Une taxonomie d’échecs remplit ensuite deux fonctions, rendre les erreurs comptables et attribuer chacune à quelqu’un. Un échec sans responsable désigné revient, en pratique, à un échec que personne ne corrige entre deux points de passage.
| Id. | Échec | Gravité | Évaluateur | Responsable |
|---|---|---|---|---|
| F1 | Pièce requise non détectée | Matérielle | Binaire par champ | Relecteur |
| F2 | Relance demandant une pièce inutile | Client et reprise | Binaire et comptage | Métier |
| F3 | Source absente ou obsolète | Contrôle | Source et version exactes | Conformité |
| F4 | Donnée non autorisée exposée | Critique | Test de fuite dédié | Protection des données |
| F5 | Action interdite tentée | Critique | Trace d’outil | Propriétaire d’agent |
| F6 | Escalade manquée | Matérielle | Binaire | Superviseur |
| F7 | Faux blocage | Productivité | Matrice de confusion | Product owner |
| F8 | Brouillon peu clair | Expérience | Grille humaine calibrée | Expérience et métier |
Les échecs F4 et F5 relèvent des seuils durs, où la tolérance est de zéro HYP. Les six autres se négocient par tranche et par gravité, une fois la ligne de base humaine établie.
Cette lecture évite l’erreur la plus fréquente en revue : traiter un faux blocage comme une réussite du contrôle. Les deux erreurs coûtent, dans des monnaies différentes, et se pilotent séparément. Un faux blocage se traite comme une erreur de production, avec son responsable et son échéance, parce qu’il détruit l’adoption plus vite qu’une erreur de détection.
| Situation | Comportement du contrôle | Catégorie | Décision produit |
|---|---|---|---|
| Erreur présente | Le contrôle bloque | Vrai positif | Bonne détection ; mesurer le coût de la revue |
| Erreur présente | Le contrôle laisse passer | Faux négatif | Risque non détecté ; priorité de remédiation |
| Aucune erreur | Le contrôle bloque | Faux positif | Friction, délai et reprise inutiles |
| Aucune erreur | Le contrôle laisse passer | Vrai négatif | Flux correct |
Plan d’évaluation. Il couvre la complétude, le sourçage, le brouillon, la sécurité, l’usage des outils, la supervision et le coût. Les seuils durs valent zéro action interdite et zéro fuite de donnée sensible sur le périmètre testé HYP, à adopter formellement par les responsables. Les seuils statistiques se fixent par gravité et par tranche, après la mesure de la ligne de base humaine.
Le point G3 s’ouvre sur six pièces : jeux de référence et adverses versionnés avec leur fiche de jeu de données, seuils durs franchis et rapport signé, résultats par tranche avec incertitudes visibles, examen de la sécurité, de la protection des données et de l’équité, journal des non-conformités avec responsable et échéance, validation indépendante close.
L’agent déplace le travail. Le collaborateur cesse de produire le dossier et se met à juger une proposition. Ce geste se forme, et la formation se place avant la période à blanc pour que les premiers jugements soient exploitables. Les motifs de correction consignés pendant cette période alimentent directement le jeu d’évaluation : la formation du relecteur produit de la preuve.
Seuil au-delà duquel l’adoption progresse nettement, selon l’enquête BCG AI at Work 2025.
Écart d’adoption mesuré entre une formation en présentiel et une formation à distance.
Écart d’adoption lorsqu’un référent accompagne les équipes dans le flux de travail réel.
| Semaine | Ce qui se met en place | Responsable |
|---|---|---|
| S6 | Un référent est désigné dans l’équipe métier et participe à la conception de l’écran | Product owner |
| S9 | Les relecteurs suivent cinq à dix heures en présentiel, sur des dossiers du jeu de référence | Métier |
| S11 | Le référent siège auprès des relecteurs et consigne les motifs de correction | Métier et opérations |
| S13 | Le temps de revue et le taux de modification figurent au dossier de décision | Product manager |
Source : BCG, AI at Work 2025, 10 635 répondants dans onze pays, enquête déclarative AUT ; 36 % des répondants s’estiment correctement formés à ce jour. Calendrier proposé par l’auteur MÉT.
Responsable principal : le propriétaire d’agent, avec les opérations. Sortie attendue : le point G4. Le critère de sortie est atteint lorsque l’organisation sait détecter, arrêter, corriger et reprendre manuellement, et que les utilisateurs disposent d’un pouvoir réel sur la proposition.
Le mode à blanc observe le comportement de l’agent sur des dossiers réels sans lui laisser produire d’effet. Il dure jusqu’à la couverture suffisante des tranches et la stabilité des résultats, plutôt que jusqu’à une date fixée d’avance. Quatre signaux imposent de l’interrompre : une observation sans vérité terrain, un bouton d’approbation automatique, l’absence de motif de correction, un arrêt d’urgence resté sans exercice.
| Paramètre | Contenu |
|---|---|
| Population | Cohorte, entité, canal, règles d’exclusion et volume, à compléter |
| Effet | Aucun envoi ni écriture de statut ; sorties visibles des seuls relecteurs autorisés |
| Comparateur | La décision humaine habituelle est conservée comme référence opérationnelle |
| Capture | Résultat de l’agent, sources, outils, latence, coût, décision humaine et motif d’écart |
| Échantillonnage | Tous les cas critiques ; stratégie documentée pour le reste |
| Arrêt | Seuil dur franchi, incident, dérive, indisponibilité ou surcharge de revue |
| Durée | Jusqu’à couverture suffisante des tranches et stabilité des résultats |
Un tableau de bord de pilote se lit par vue et par responsable. Les sept vues ci-dessous couvrent la valeur, la qualité, la charge humaine, la sécurité, la fiabilité, l’économie et la dérive. Ensemble, elles décrivent l’état du dispositif à toute heure. La vue consacrée à la dérive est la seule qui surveille le dispositif plutôt que ses résultats : elle détecte le moment où la population, les règles ou les coûts changent sous l’agent.
| Vue | Métriques | Découpe | Responsable |
|---|---|---|---|
| Valeur | Délai de traversée, complétude au premier passage, relances, abandon | Par cohorte et par semaine | Product manager |
| Qualité | Erreurs matérielles, complétude, sourçage | Par tranche | Métier |
| Humain | Décisions de passer outre, motif, temps de revue, escalade | Quotidienne | Product owner |
| Sécurité | Actions refusées, injection, fuite, accès | Temps réel et par incident | Sécurité |
| Fiabilité | Latence, disponibilité, expirations, repli | Temps réel | Opérations |
| Économie | Coût par dossier réussi, reprise, fonctionnement | Hebdomadaire | Produit et finance |
| Dérive | Composition, données, règles, erreurs, coûts | Hebdomadaire | Propriétaire d’agent |
La procédure de reprise décrit ce qui se passe le jour où l’agent produit un effet indésirable. Chaque étape porte un responsable et une pièce, afin que la chronologie de l’incident soit reconstituable après coup. Ces sept étapes se répètent en exercice avant le point G4 : une procédure jamais exécutée reste une intention écrite, et l’exercice révèle en une heure ce que la relecture laisse passer.
| Étape | Action | Responsable | Preuve |
|---|---|---|---|
| Détecter | Alerte, signalement d’un utilisateur ou revue | Opérations | Incident créé et traces préservées |
| Contenir | Couper une classe d’action ou l’agent entier | Propriétaire d’agent | Arrêt d’urgence |
| Revenir | Rétablir le flux manuel | Métier et opérations | Repli validé |
| Qualifier | Impact client, données, réglementation, tiers | Responsable d’incident | Sévérité et notifications |
| Corriger | Règle, consigne, outil, accès, donnée ou expérience | Product owner | Fiche de changement |
| Revalider | Rejouer les tests et les tranches affectées | Évaluation et validation | Non-régression |
| Reprendre | Autorisation explicite, cohorte réduite | Propriétaire d’agent | Compte rendu de décision |
Six critères ouvrent le point G4 : le mode à blanc couvre les tranches critiques, les décisions de passer outre sont analysées et non seulement comptées, la supervision est efficace en conditions réelles, la surveillance et les alertes parviennent à des responsables nommés, l’arrêt, le retour arrière et le repli sont testés, la formation, le support et la communication sont prêts.
Responsable principal : le directeur produit, avec le sponsor de business unit. Sortie attendue : le point G5. Le critère de sortie est atteint lorsque la décision, ses conditions, son responsable, sa date de revue et sa stratégie de retrait sont écrits.
Le dossier économique se construit bloc par bloc, chacun porté par un responsable nommé. Tant qu’un paramètre provient d’un ordre de grandeur plutôt que des données de l’établissement, il reste marqué comme hypothèse locale et se recalibre avant la décision. C’est cette discipline qui autorise un calcul de seuil de rentabilité et de retour sur investissement défendable devant une direction financière.
| Bloc | Formule ou contenu | Responsable |
|---|---|---|
| Bénéfice brut | Volume admissible × variation de résultat × valeur unitaire | Finance et métier |
| Coût variable | Inférence, recherche documentaire, outils, stockage, observabilité | Finance technique |
| Supervision | Temps de revue, escalade, contrôles, assurance qualité | Métier et risque |
| Reprise | Correction, relance inutile, reprise manuelle, erreur | Product manager |
| Coûts fixes | Construction, intégration, plateforme, validation, changement, support | Direction produit et technique |
| Risque | Incidents, pertes, remédiation, réserves selon la politique | Risque et finance |
| Valeur nette | Bénéfice brut moins tous les coûts et le coût du risque | Sponsor de business unit |
Test de robustesse : trois scénarios au minimum. Un scénario central, un scénario de reprise élevée et un scénario de dérive. La valeur ne devient réelle que lorsque la capacité libérée ou le résultat obtenu est effectivement capté par l’organisation. Un pilote qui améliore un indicateur sans que personne ne redéploie la capacité libérée produit une économie de tableur.
| Dimension | Question tranchée | Responsable |
|---|---|---|
| Résultat | Quel changement causal, ou au moins comparable au contrefactuel ? | Product manager |
| Risque | Quels seuils, incidents, exceptions et risque résiduel ? | Propriétaire d’agent et risque |
| Humain | Quelle charge, quelle compétence, quel pouvoir de reprise et quel recours ? | Métier |
| Économie | Quel coût complet par dossier réussi et quelle valeur captée ? | Finance |
| Exploitation | Qui opère, soutient, surveille, revalide et retire ? | Opérations |
| Échelle | Quels volumes, entités, canaux ou actions modifient le risque ? | Direction produit |
Retirer le dispositif, archiver les preuves et réutiliser les apprentissages sur le parcours suivant. Le jeu de référence et la carte de parcours restent acquis.
Plan borné, responsable désigné, date fixée et nouveau point de passage à franchir avant toute exposition supplémentaire.
Cohorte progressive, tests de non-régression, limites écrites et date de revue. L’exploitation est prête avant l’élargissement.
Une quatrième issue implicite existe toujours en pratique : prolonger le pilote sans décider. Elle se ferme en inscrivant la date de revue dans le compte rendu de décision. Trois issues nommées valent mieux qu’une prolongation tacite.
Le dernier point de passage s’ouvre sur six pièces signées : un dossier de preuves complet et traçable, la valeur comparée à la ligne de base et au contrefactuel, le risque résiduel formellement accepté, le responsable d’exploitation avec son budget et ses engagements de service, la liste des changements matériels déclenchant une revalidation, enfin la décision assortie de ses conditions, de sa date de revue et de sa procédure de retrait. La cinquième pièce protège la décision dans la durée : elle dit à l’avance quel changement de modèle, de consigne, d’outil ou de règle rouvre le dossier.
La lettre A désigne celui qui répond du document devant la gouvernance, la lettre R celui qui le produit, la lettre C celui qui est consulté. Un document sans lettre A revient, en pratique, à un document que personne ne présente au point de passage.
| Document | Direction produit | Product manager | Product owner | Autres parties |
|---|---|---|---|---|
| Mandat de pilote | A | R | C | Sponsor de business unit co-décide |
| Ligne de base du parcours | C | A / R | R | Métier et données consultés |
| Triage de risque | C | C | R | Propriétaire d’agent et contrôles responsables |
| Canevas d’agent | C | C | A / R | Architecture et exploitation consultées |
| Plan d’évaluation | C | A | R | Validation indépendante consultée |
| Manuel de reprise | C | C | A / R | Exploitation et métier réalisent |
| Dossier de décision | A | R | C | Sponsor de business unit co-décide |
Deux documents portent la lettre A du côté de la direction produit : le mandat qui ouvre le pilote et le dossier qui le conclut. Entre les deux, la responsabilité descend vers ceux qui produisent la preuve. La gouvernance tient les deux extrémités, l’équipe tient le milieu.
Exiger un propriétaire d’agent et un sponsor avant le premier point de passage, financer la capacité mutualisée (identité, passerelle, journaux, évaluations, surveillance), séquencer les cas selon la capacité réelle des fonctions de contrôle, tenir un inventaire, une dette de contrôle et une stratégie de retrait.
« Si le pilote réussit demain, savons-nous l’exploiter, le contrôler et en capter la valeur à l’échelle ? »
Tenir le mandat, la ligne de base et le contrefactuel, relier les mesures de tâche, de parcours et d’économie, segmenter résultats, erreurs et adoption par tranches pertinentes, préparer chaque point de passage comme une décision avec options et recommandation explicites.
« Quel résultat modifierait assez notre jugement pour arrêter, corriger ou étendre ? »
Décomposer l’agent par action, outil, permission, trace et repli, écrire des critères d’acceptation observables y compris les échecs attendus, faire éprouver la supervision, l’arrêt d’urgence et le retour arrière avant G4, qualifier comme changement toute modification de modèle, consigne, outil, donnée ou politique.
« Quelle trace prouvera que ce récit fonctionne, échoue proprement et peut être annulé ? »
La décision de portefeuille, le coût complet et l’effet d’échelle sont traités dans l’étude stratégique associée et son classeur recomptable.
Les exemples renseignés sur le cas fil rouge montrent le niveau de précision attendu ; les versions vierges se copient dans l’espace produit de l’équipe. Ces modèles constituent la partie transférable du guide : ils survivent au premier parcours et deviennent le standard du portefeuille. Un modèle rempli une fois se réutilise dix fois.
| Modèle | Champs à renseigner | Point de passage |
|---|---|---|
| Charte de pilote | Résultat, déclencheur, utilisateurs, périmètre, hors-périmètre, ligne de base, succès, actions interdites, repli, responsables et dates | G0 |
| Canevas d’agent | Résultat, utilisateurs, périmètre, autonomie par action, risque, données, outils, mémoire, place de l’humain, évaluation, exploitation, cycle de vie | G2 |
| Récit de contrôle | Récit, action et outil, acceptation positive, échec attendu, trace, évaluateur, repli, responsable | G2 |
| Plan d’évaluation | Décision couverte, jeu de référence, taxonomie d’échecs, tranches, seuils durs et statistiques, sécurité, équité, reprise, coût, non-régression, validation | G3 |
| Dossier de preuves | Décision demandée, recommandation, périmètre, preuves numérotées, résultats, exceptions, risque résiduel, conditions, date de revue, retrait | Tous |
| Compte rendu de décision | Point de passage et date, décideurs, décision, motif, conditions, risque accepté, prochaine revue, version archivée | G5 |
Le récit de contrôle mérite un mot supplémentaire, car il est le plus mécanique des six. Il s’écrit sous une forme fixe : en tant que tel rôle, je peux telle action afin d’obtenir tel résultat ; étant donné telle situation, quand telle condition survient, alors tel comportement est attendu ; et lorsque la condition d’échec apparaît, l’action est refusée, escaladée ou reprise. Cette forme rend l’exigence directement testable par un évaluateur, binaire, statistique ou humain calibré.
Ces textes se relisent à la date de chaque décision : le calendrier de mise en œuvre européen et les positions sectorielles évoluent pendant la durée d’un pilote. Les documents de travail soutiennent la méthode et la comparaison, sans valoir autorité sur les chiffres.
Le guide affiche neuf nombres, dont aucun ne provient d’une mesure de production. Un guide qui déclare l’origine de ses nombres se laisse instancier ; un guide qui les présente comme des constats se laisse opposer à la première mesure divergente.
| Nombre | Nature | Règle d’usage |
|---|---|---|
| 90 jours, semaines S0 à S13 | MÉT | Cadence de pilotage, à décaler si la capacité de contrôle est indisponible |
| Points de passage G0 à G5 | MÉT | Points de décision proposés, à aligner sur la gouvernance existante |
| Paliers d’autonomie A0 à A4 | MÉT | Taxonomie appliquée action par action, non au dispositif entier |
| Classement de risque initial du cas | MÉT | Préqualification illustrative, validation locale obligatoire |
| 50 dossiers de départ | HYP | Amorçage du jeu de référence, présenté comme un début et non une suffisance |
| Composition 30 / 10 / 5 / 5 | HYP | Répartition illustrative du jeu initial entre cas simples, complexes et limites |
| 0 action interdite, 0 fuite | HYP | Seuil dur proposé, à adopter formellement par les responsables |
| 200 requêtes par dossier | HYP | Exemple de limite technique, à recalibrer sur la charge réelle |
| 1 brouillon par événement | HYP | Exemple de limite d’effet, à ajuster selon la politique de relance |
Le product manager prouve le résultat, le product owner rend le contrôle testable, le directeur produit garantit la capacité de décider et d’exploiter. Treize semaines, six points de passage ouverts par des pièces, six modèles réutilisables et trois issues assorties d’une date de revue.
Consulter la bibliographie complète du corpus : 222 références, chacune avec son statut de preuve →
Pour cadrer un lancement chez vous : Mounir Fassouane sur LinkedIn.