Un cahier des charges pour ce qu'une machine n'aura pas le droit de faire

Troisième volet, dans la forme des deux autres : cinquante-deux exigences,
EI-01 à EI-52, quatorze sections, la même feuille de style.

Un serveur MCP par lequel un agent lit une crise en cours. Le motif est
réel mais étroit — à la sixième heure, la main courante compte trois cents
entrées et personne n'a relu la première. Le reste du document consiste à
l'empêcher d'aller plus loin.

Trois positions structurent tout le reste.

Kastell sert le protocole et ne l'appelle jamais. Aucune ligne du produit
ne contacte un service d'intelligence artificielle, n'y envoie de données,
n'y détient de clé. C'est le client qui vient lire, avec une clé que
l'organisation délivre et retire. Un produit qui appellerait un modèle
distant deviendrait dépendant de sa disponibilité et de sa politique ;
celui-ci reste entier si tous les modèles du monde s'éteignent.

Aucun outil n'écrit au journal. Une contribution d'agent est une
proposition, hors de la chaîne d'empreintes, qu'une personne valide ou
écarte — et c'est la validation qui est l'acte, au nom du valideur. Une
seule exception suffirait à rendre le journal discutable, et un journal
discutable ne sert plus à rien, y compris pour les décisions humaines
qu'il porte.

La sûreté ne suppose jamais qu'un modèle résiste à une injection. La veille
externe ramène dans la crise du texte publié par n'importe qui : un agent
lira tôt ou tard une phrase écrite pour lui. La défense est le périmètre
des outils, pas la vertu du client — même entièrement détourné, un agent ne
peut ni décider, ni mobiliser, ni écrire.

Deux points que le produit rendait visibles et que le document reprend. Le
journal n'a pas d'origine qui convienne : « automatique » désigne ce dont
le produit répond, « externe » un outil d'exercice sous clé ; il en faut
une quatrième. Et les gens enregistrés en réunion ont consenti à un
enregistrement interne, pas à ce qu'un service tiers lise le verbatim de ce
qu'ils ont dit — deux consentements distincts, le second ne se déduisant
pas du premier.

Le §14 nomme le risque principal, qui n'est pas technique : à la sixième
heure, la validation devient un réflexe. Un taux d'écartement nul est un
signal, pas une réussite.

Le lot A0 — lire, et rien d'autre — se suffit peut-être à lui-même. Le
document est écrit pour qu'on puisse décider de ne pas faire les deux
autres.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>