Un analyste reçoit un courriel suspect. Il demande à une IA d’en examiner les en-têtes. La réponse identifie une adresse IP, décrit des indices de phishing et recommande un blocage immédiat. Le raisonnement paraît cohérent. Mais l’adresse appartient à un relais partagé : appliquer cette recommandation sans qualifier la cible pourrait interrompre des échanges légitimes.
Le problème commence au passage de la réponse à la décision. Une explication utile ne démontre ni que la cible est correctement identifiée, ni que l’intervention proposée est proportionnée, ni que son auteur dispose du droit de la déclencher.
Ce que j’appelle le niveau 1
Dans mon échelle de maturité des usages de l’IA, le niveau 1 décrit une interaction ponctuelle : une personne formule une demande, examine une réponse et porte elle-même la continuité du travail. Cette grille sert à analyser un usage et les responsabilités qu’il engage. Elle ne constitue pas une norme de certification.
Ce niveau ne se définit pas par l’absence de fonction mémoire dans un produit. Un assistant peut conserver des préférences ou retrouver des échanges sans disposer, pour l’opération considérée, d’un contexte métier qualifié. La question pertinente est celle des informations effectivement disponibles, de leur provenance et de leur validité pour la décision.
Une réponse ponctuelle peut suffire pour reformuler un paragraphe ou explorer une hypothèse. Dès qu’elle soutient une modification du système d’information, il faut examiner les conditions de son utilisation.
Même adresse, conséquences différentes
Reprenons le courriel suspect. Une adresse visible dans les en-têtes peut désigner un relais, un service mutualisé ou une infrastructure effectivement contrôlée par un adversaire. La présence de cette adresse dans le message ne tranche pas seule entre ces possibilités.
Avant de décider un blocage, l’analyste doit notamment déterminer le rôle de l’adresse dans le trajet du message, confronter les indices à des sources adaptées et identifier les services qui dépendent de la cible. Il doit aussi connaître le périmètre de son autorité, les conditions d’intervention et la manière de revenir sur la modification si son effet devient indésirable.
La qualité apparente d’une réponse ne remplace pas la qualification de la cible ni l’autorisation d’agir sur elle.
L’IA peut aider à structurer les questions et à comparer les éléments disponibles. Une donnée manquante doit cependant rester visible. La transformer en hypothèse silencieuse donne une recommandation plus fluide au prix d’une décision moins examinable.
Ce que les niveaux suivants doivent apporter
Le contexte métier du niveau 2 précise l’environnement, les ressources et les contraintes. Les méthodes réutilisables du niveau 3 formalisent les vérifications attendues. Les contrôles du niveau 4 doivent produire un résultat observable et préciser ce qu’ils peuvent bloquer. La coordination du niveau 5 organise les responsabilités et les reprises lorsque plusieurs tâches ou agents interviennent.
Ces capacités répondent à des besoins différents. Leur présence ne garantit pas qu’une analyse est vraie et ne rend pas nécessaire l’automatisation de chaque tâche. Une procédure écrite peut être omise ; un contrôle peut ne couvrir qu’un chemin ; plusieurs agents peuvent partager la même source erronée.
Le niveau 6 pose alors la question du contrôle de l’action : quelle autorité reste valable au moment d’agir, quelles conditions sont réellement vérifiées avant l’effet et quelles preuves permettent d’examiner ensuite la décision ? C’est dans ce passage du raisonnement proposé à l’exécution gouvernée que s’inscrit ma démarche avec Swarm.
Une maturité à examiner sur les actes
Pour le cas du phishing, compter les réponses produites ne suffit pas. Il faut pouvoir retrouver les indices employés, les incertitudes conservées, la cible retenue, la décision humaine ou technique et le résultat observé de l’intervention. Une absence de blocage peut être justifiée ; un blocage rapide peut être une erreur.
L’objectif de cette échelle est de rendre ces différences visibles. La maturité se juge dans la capacité à soutenir une décision et à en maîtriser les conséquences sur un périmètre précis.
Références : article initial, 2 avril 2026, ingénierie du contexte, méthodes réutilisables Agent Skills.