Votre automatisation a envoyé un message que vous n'auriez pas envoyé

IA utile
Écrit par Insen Studio

Un lundi matin, un client vous appelle. Il a reçu samedi une relance pour une facture qu'il a réglée trois semaines plus tôt. Il n'est pas agressif, mais il vous le dit : « j'ai payé, vérifiez vos comptes. »

Vous ouvrez l'enchaînement de tâches que vous aviez mis en place au printemps. Vous cherchez la panne. Vous n'en trouvez aucune. Chaque étape a fait exactement ce qui était écrit. Le message est parti parce qu'une ligne de votre tableau de suivi n'avait pas été mise à jour, et parce que personne ne l'a lu avant qu'il parte.

Vous passez le reste de la matinée sur une question que vous ne vous étiez jamais posée en construisant tout cela : à quel endroit auriez-vous dû mettre quelqu'un ?

Vos outils ne vous répondront pas. Ils décrivent très bien le mécanisme de validation, mais aucun ne vous dit où le poser : votre métier, ils ne le connaissent pas.

Deux réponses vous viennent alors spontanément, et toutes les deux se retournent contre vous. Tout faire valider par prudence : vous obtenez en quelques semaines une file d'attente que plus personne ne regarde. Ne rien faire valider : vous obtenez l'incident, puis une validation ajoutée dans l'urgence au premier endroit venu, qui restera là trois ans sans que personne sache pourquoi.

Il existe une troisième voie, et elle ne vous demande aucune compétence technique. Le point de validation est une décision de gestion. Vous le choisissez action par action, vous l'écrivez pendant que vous construisez, et le critère n'est ni la difficulté de la tâche ni sa fréquence.

Le critère n'est pas la difficulté de la tâche, c'est le prix du retour en arrière

Un mot sur l'objet, avant d'aller plus loin. Ce que vous avez mis en place au printemps, c'est une suite d'étapes écrites une fois, que la machine rejoue ensuite sans vous : elle lit une ligne, elle en déduit une action, elle l'exécute. Vos outils appellent cela un scénario, un flux ou un enchaînement : le mot change, la chose est la même. Elle n'a ni jugement ni doute : elle fait ce qui est écrit, y compris quand la donnée qu'elle lit est fausse.

La question utile n'est donc pas de savoir si la machine sait faire. Elle sait. La vôtre est celle-ci : si elle se trompe, que coûte le retour en arrière, et à qui.

Vous mesurez ce coût sur trois grandeurs, et aucune des trois n'est technique. L'action se défait-elle, et par quel geste. Combien de temps s'écoule avant que vous vous en aperceviez, car une action réversible découverte trois semaines plus tard est irréversible en pratique. Et que reste-t-il une fois l'annulation faite, c'est-à-dire ce qu'un tiers a déjà vu, lu, enregistré ou recopié.

COÛT D'ANNULATION · ACTION PAR ACTION
Action Se défait-elle ? Délai avant qu'on s'en aperçoive Ce qui subsiste après annulation
Enregistrer un brouillon oui, en un geste immédiat rien
Envoyer un e-mail nominatif non, une fois parti minutes à heures le fait qu'il a été lu
Publier une page publique oui, par dépublication jours à semaines les copies, les liens, la reprise par un tiers
Confirmer un rendez-vous à un client oui, par annulation immédiat côté client l'engagement pris devant lui
Transmettre un chiffre à un tiers selon les cas jours le chiffre que le destinataire a lu

C'est la dernière colonne qui déclasse la plupart des raisonnements. Vous pouvez dépublier une page. Vous ne pouvez pas dépublier le fait qu'elle a été lue. Reprenez votre relance de samedi avec ce tableau sous les yeux : sur le papier elle se défait, un mot d'excuse suffit. Ce qui ne se défait pas, c'est le week-end que votre client a passé à penser que vous ne tenez pas vos comptes.

Vous en tirez une conséquence plus utile que tout le reste : ce coût d'annulation, vous ne le subissez pas, vous le fabriquez. L'exemple est dans votre messagerie. Gmail vous propose une option « Annuler l'envoi » dont vous réglez vous-même la durée, jusqu'à trente secondes. Pendant ce délai, votre message n'est pas parti, il attend. Vous achetez une fenêtre de rattrapage en retardant le départ d'autant.

Retenez le mouvement plus que l'exemple. Avant de placer quelqu'un devant une action, demandez-vous s'il ne vous coûterait pas moins cher de rendre l'action défaisable. Une fenêtre de dix minutes ne s'absente jamais.

Trois régimes, et ce qui les sépare est ce qui arrive quand personne ne fait rien

Imaginez trois versions de votre relance.

Dans la première, le message part de lui-même à l'heure dite. Vous relisez de temps en temps ce qui a été envoyé. Personne ne l'a vu avant votre client.

Dans la deuxième, le message est écrit, mis en forme, l'adresse remplie, et il s'arrête là. Il attend un geste de votre part. Si vous êtes en déplacement toute la semaine, il attend toute la semaine.

Dans la troisième, il part, mais une fenêtre reste ouverte pendant laquelle vous pouvez encore l'arrêter. Si vous ne faites rien, il devient définitif à la fin de la fenêtre.

Ces trois versions portent des noms — automatique, assisté, sous contrôle — et le nom compte moins que la dernière colonne du tableau ci-dessous, celle qui dit ce qui se passe quand personne ne fait rien.

TROIS RÉGIMES · CE QUI LES SÉPARE VRAIMENT
Régime Ce que fait le système Ce que fait la personne Si personne ne fait rien
Automatique décide et exécute relit un échantillon après coup l'action a lieu, et personne ne l'a vue avant
Assisté prépare tout, puis s'arrête déclenche rien ne part
Sous contrôle exécute, fenêtre d'annulation ouverte surveille pendant la fenêtre, peut arrêter l'action devient définitive à la fin de la fenêtre

Vous êtes peut-être convaincu d'être dans la deuxième situation alors que vous êtes dans la troisième. L'action part par défaut, et la personne que vous croyez décisionnaire n'est qu'un veilleur : elle a le droit d'arrêter, à condition d'être là, disponible et attentive à la bonne minute. Les deux régimes se ressemblent tant que tout le monde est présent, et s'opposent le jour où vous êtes en rendez-vous de 14 h à 18 h, en déplacement, ou en congés.

Deux précisions vous rendent cette grille utilisable dès lundi.

Le régime est une propriété de l'action, pas de l'outil ni du projet. Votre enchaînement de relance peut contenir six actions en automatique et une seule en assisté, et c'est en général la bonne forme. Vous ne décidez pas « on valide les relances », mais « on valide l'envoi, pas la préparation ».

Et vous l'écrivez là où l'action est configurée, pas dans une note de réunion : le régime, le nom de la personne, et le délai au bout duquel il se passe quelque chose si elle ne répond pas. Un régime qui vit dans votre présentation de cadrage et pas dans votre outil n'existe pas.

Vous placez la validation le plus tard possible, juste avant le point de non-retour

Vous savez quel régime vous voulez. Reste à savoir où poser le point.

Vous le posez juste avant le moment où l'action devient irrattrapable, et ce moment, vous l'identifiez sans discussion : c'est la seconde où quelqu'un d'autre que vous voit quelque chose, où de l'argent bouge, ou bien où un enregistrement quitte votre système. Le message qui apparaît dans la boîte du client. Le prélèvement qui part. La page qui devient visible depuis l'extérieur. Tout ce qui précède se refait à coût nul.

Trois raisons plaident pour cette position tardive. Vous regardez alors un résultat et non une intention : le texte exact qui va partir, le montant exact, le destinataire réel. Une validation placée trop tôt, dans un enchaînement qui se ramifie ensuite, vous fait autoriser d'un seul geste des cas que vous n'avez jamais vus. Et votre attention est une quantité finie : valider ce qui se défait gratuitement la prélève sur les validations qui comptent.

Une exception, fréquente : quand la préparation elle-même vous coûte de l'argent — un appel facturé à un service tiers, une impression, un envoi postal — votre point de non-retour remonte en amont. Ce n'est pas la sortie de chez vous qui le définit, c'est le premier engagement que vous ne pouvez pas reprendre.

Dernier arbitrage : à l'unité, ou par lot. Valider dix actions en une seule fois n'est pas dix fois plus économique, c'est un autre exercice, où vous validez une population et non une pièce. Acceptable quand l'anomalie se repère en survol, un montant aberrant, une date impossible. Dangereux quand l'erreur probable est du type « presque juste » — et une relance adressée à un client qui a payé est une erreur presque juste.

INSEN STUDIO

On regarde votre situation ensemble ?

Vous repartez avec une lecture claire, avec ou sans nous.

Demander un audit digital

Une validation sans temps, sans information et sans droit de refuser n'est qu'une signature

Placer le point ne suffit pas : encore faut-il que la personne qui s'y trouve puisse réellement arrêter quelque chose. Trois conditions.

Du temps, et de la pratique. Vous avez sans doute observé ce renversement sans lui donner de nom. La personne qui préparait quinze devis par semaine repérait une remise aberrante d'un coup d'œil, parce qu'elle en avait l'étalon en tête. Depuis que l'enchaînement les prépare, elle en voit trois par mois et n'a plus l'étalon. Lisanne Bainbridge a décrit ce mécanisme dès 1983 : en automatisant les gestes routiniers, on retire à l'opérateur la pratique qui entretenait sa compétence, et on lui laisse la surveillance et les cas rares, c'est-à-dire ce que le manque de pratique rend le plus difficile. Sa conclusion surprend : plus un système est automatisé, plus la personne qui le surveille a besoin de formation, et non l'inverse.

De l'information à l'écran. À la fin des années 1990, une équipe de chercheurs américains réunie autour de Linda Skitka a mesuré ce que produit une aide automatisée imparfaite. Deux erreurs en ressortent : la personne ne détecte pas un événement que la machine n'a pas signalé, puisqu'elle ne le cherche plus ; et elle suit la recommandation de la machine alors que ce qu'elle a sous les yeux la contredit. Sur les tâches de surveillance, les participants privés de toute aide ont obtenu de meilleurs résultats que ceux qui disposaient d'une aide imparfaite. Cette tendance à s'en remettre à la machine porte un nom chez les chercheurs : le biais d'automatisation.

Regardez votre écran de validation avec ce résultat en tête. Si la relance s'y affiche seule, sans la fiche du client, sans le dernier règlement encaissé, votre valideur ne peut mécaniquement produire qu'un accord. Montrez-lui ce sur quoi la machine s'appuie, et ce qui la contredit.

Votre réflexe suivant sera d'ajouter une deuxième paire d'yeux. La même équipe a comparé des équipages complets à des opérateurs seuls : les uns comme les autres ont manqué les anomalies que le système ne signalait pas. Deux personnes devant le même écran incomplet font la même omission qu'une seule.

Le droit de refuser, et le fait d'en répondre. C'est le seul des trois leviers dont l'effet a été mesuré : dans une étude ultérieure, les mêmes chercheurs ont rendu les participants responsables de la qualité de leur décision, et le biais a baissé. Une validation vaut donc par le nom qui est en face, pas par le nombre de personnes que vous mettez en copie. Et quelqu'un qui ne peut pas bloquer sans se justifier devant trois niveaux hiérarchiques ne valide rien, il enregistre.

Sur un point précis, le droit a déjà écrit la règle

Deux textes, cités pour leur existence et non pour leur interprétation : si votre situation y ressemble, consultez un professionnel du droit, pas un prestataire technique. En Algérie, la loi de juin 2018 sur la protection des personnes physiques dans le traitement des données à caractère personnel pose une limite explicite : une décision produisant des effets juridiques à l'égard d'une personne ne peut pas reposer sur le seul traitement automatisé destiné à dresser son profil ou à évaluer certains aspects de sa personnalité. En Europe, le règlement général sur la protection des données pose un principe voisin, que l'autorité française chargée de le faire appliquer, la Commission nationale de l'informatique et des libertés, résume en deux droits : ne pas faire l'objet d'une décision entièrement automatisée, et demander qu'un être humain la réexamine.

Ces deux textes visent un objet étroit : la décision prise à l'égard d'une personne, sur son seul profil. La plupart des tâches que vous automatisez n'ont pas cette forme ; savoir si les vôtres l'ont ne se tranche pas dans un article de blog. Retenez la forme de l'obligation. Là où un législateur a voulu du contrôle humain, il n'a pas demandé une case à cocher : il a exigé qu'une personne puisse réellement réexaminer la décision. C'est très exactement ce qui fait qu'une validation interne sert à quelque chose.

Le curseur se déplace sur preuve, jamais sur confiance

Votre régime n'est pas un choix définitif : il doit bouger, dans les deux sens, et la seule question qui vaille est celle de la preuve que vous acceptez.

Ne sont pas des preuves : la confiance acquise, l'ancienneté de l'enchaînement, la réputation de l'éditeur, et surtout l'absence d'incident constatée sur une action en régime automatique. Puisque personne ne regarde, l'absence de signalement ne mesure rien.

Constitue une preuve le relevé de vos validations : sur une période donnée, combien d'actions sont passées, combien vous en avez modifiées avant de partir, combien vous en avez refusées, et pour quel motif. Un taux de refus proche de zéro signifie soit que l'action est sûre et peut passer en automatique, soit que votre validation est devenue un tampon. Ce qui tranche, ce sont les motifs des refus, et le fait qu'il y en ait eu au moins un.

Un exemple que nous pouvons donner sans engager personne : celui de ce blog. Les articles sont préparés par une machine, qui ne publie jamais ; une personne vérifie les faits un par un, et la mise en ligne reste un geste humain, fait par quelqu'un de nommé. La règle vient d'un incident sur un autre projet éditorial, où un texte produit par une machine avait inventé des dates et attribué une citation à une organisation créée après la mort de la personne citée. Un contrôle existait pourtant : il vérifiait la forme, pas la véracité. Un contrôle qui regarde la mauvaise chose n'est pas un contrôle faible, c'est un contrôle absent doublé d'une fausse assurance.

Le placement suit le critère : rien n'engage personne tant que rien n'est visible, et la publication franchit le point de non-retour, puisqu'une information fausse qui a été lue ne se dépublie pas.

Ce qui ne marche pas

Tout faire valider par prudence. Une file trop longue ne vous donne pas plus de contrôle, elle vous en donne un uniformément dilué, et elle rend indétectable l'action qui méritait un regard.

Nommer cinq valideurs sans désigner celui qui en répond. Certains outils vous laissent inscrire jusqu'à six relecteurs obligatoires et n'en exigent qu'un seul. Vous n'ajoutez pas six contrôles : vous en ajoutez un, et vous le rendez anonyme.

Appeler validation ce qui est une trace. Un journal consultable après coup vous est utile, mais placé après l'exécution, il vous rassure sans rien arrêter.

Montrer un résumé au lieu de l'action. Votre valideur doit voir ce qui part, mot pour mot, montant pour montant, destinataire pour destinataire. Un résumé retire du champ ce que personne n'a jugé digne d'y figurer.

Laisser votre régime implicite. Si personne chez vous ne sait dire ce qui se passe quand personne ne fait rien, vous ne l'avez pas choisi : vous le découvrirez le jour de l'incident, et il sera moins protecteur que vous ne le croyiez.

Questions fréquentes

Par où commencer si j'ai déjà cinq ou six choses automatisées ?

Par celles qui sortent de chez vous. Une automatisation qui range des fichiers ne vous expose pas comme celle qui écrit à un client, publie une page ou déclenche un paiement.

Faut-il maintenir la validation quand tout se passe bien depuis six mois ?

Pas nécessairement, mais ne décidez pas au sentiment. Ouvrez votre relevé : combien de fois quelqu'un a-t-il modifié ou refusé quelque chose avant l'envoi ? Sans aucun refus, vous ne savez pas si l'action est sûre ou si la validation est devenue un réflexe.

Que se passe-t-il si la personne qui valide est absente ?

C'est la question à trancher avant de la nommer, pas après. Écrivez ce qui se produit au bout du délai : soit l'action part, soit elle attend. Les deux réponses se défendent. Ce qui ne se défend pas, c'est de découvrir la réponse le jour de l'absence.

Suis-je responsable de ce que la machine a envoyé en mon nom ?

Devant votre client, la question ne se pose pas : c'est votre message, votre nom, votre entreprise. Sur le plan juridique, cela dépend des textes applicables et de vos contrats, et cela se tranche avec un professionnel du droit.

L'intelligence artificielle change-t-elle quelque chose à ce raisonnement ?

Pas sur le critère : le coût du retour en arrière ne dépend pas de la technologie qui produit l'action. Elle change la nature de l'erreur. Un enchaînement classique se trompe de façon visible : il s'arrête, il laisse un champ vide, il envoie deux fois. Un texte rédigé par une intelligence artificielle peut être faux tout en restant parfaitement présentable : la phrase est correcte, le ton est juste, seul le fait est inventé. Votre contrôle de forme devient alors inopérant.

Pour aller plus loin

Vingt minutes, une feuille de papier

Ne planifiez pas de chantier. Prenez une feuille et écrivez, l'une sous l'autre, les deux ou trois choses que vous avez automatisées cette année.

Pour chacune, trois colonnes. Ce qui se passe si personne ne fait rien. Le moment exact où un tiers voit quelque chose. Le prénom de la personne qui pourrait arrêter, si elle est là.

Les cases que vous ne savez pas remplir sont la liste de vos vrais sujets. Pour les remplir, il n'y a qu'un endroit à ouvrir : l'écran de configuration de l'action dans l'outil qui l'exécute, celui où sont écrits le déclencheur et les étapes. Si le régime n'y figure nulle part, écrivez-le à côté de l'action, avec le nom de la personne et le délai.

Les enchaînements qui se retournent ne sont pas ceux qui manquent de validation : ce sont ceux dont personne ne sait répondre à cette question.

Sources

  • Lisanne Bainbridge, « Ironies of automation », *Automatica*, vol. 19, n° 6, 1983, p. 775-779. Référence bibliographique vérifiée le 10 août 2026 ; argument restitué d'après les synthèses publiques de l'article, texte intégral non consulté.

  • Linda J. Skitka, Kathleen L. Mosier et Mark Burdick, « Does automation bias decision-making? », *International Journal of Human-Computer Studies*, vol. 51, n° 5, 1999, p. 991-1006. Résumé de l'article consulté le 10 août 2026.

  • Linda J. Skitka, Kathleen L. Mosier et Mark Burdick, « Accountability and automation bias », *International Journal of Human-Computer Studies*, vol. 52, 2000, p. 701-717. Notice consultée le 10 août 2026 ; résultat cité d'après la synthèse publiée par Linda J. Skitka sur sa page universitaire (University of Illinois Chicago), consultée le 10 août 2026.

  • Linda J. Skitka, Kathleen L. Mosier, Mark Burdick et Bonnie Rosenblatt, « Automation bias and errors: are crews better than individuals? », *The International Journal of Aviation Psychology*, vol. 10, n° 1, 2000, p. 85-97. Résumé consulté sur PubMed le 10 août 2026. Le nombre de participants n'est pas indiqué dans le résumé.

  • Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (règlement général sur la protection des données), article 22. Formulations citées d'après la CNIL, « Vos droits à l'intervention humaine face à votre profilage ou à une décision automatisée », page publiée le 24 mai 2018, consultée le 10 août 2026.

  • Loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel, *Journal officiel de la République algérienne démocratique et populaire* n° 34 du 10 juin 2018, article 11. Texte du Journal officiel consulté le 10 août 2026.

  • GitHub Docs, « Deployments and environments », section sur les relecteurs obligatoires, page en anglais, consultée le 10 août 2026. Source du fait cité sans nommer l'outil : jusqu'à six relecteurs inscriptibles, un seul suffisant à laisser passer.

  • Microsoft Learn, « Prise en main des approbations Power Automate », documentation Power Automate, version française, consultée le 10 août 2026. Avec la précédente, source de l'observation d'ouverture : ces documentations décrivent le mécanisme de validation, non l'endroit où le poser.

  • Google, Aide Gmail, « Envoyer ou annuler l'envoi de messages Gmail », version française, consultée le 10 août 2026.

  • Doctrine de rédaction du blog, document interne non public daté du 26 juillet 2026, sections 7.1 et 8, pour la description du procédé éditorial. L'incident d'invention factuelle qui y est relaté est antérieur et provient d'un autre projet éditorial, dont la règle a été transposée.

Insen Studio
Précédent

Ce que le mot « intégration » ne dit pas dans votre devis
Suivant

Prendre un outil du marché, ou faire construire ?