L’aviation ne sait pas encore certifier l’absence humaine

L’aviation a longtemps raconté l’automatisation depuis le siège du pilote. Une fonction nouvelle assistait l’équipage, puis coopérait avec lui, puis prenait davantage de décisions sous sa surveillance. Cette histoire avait un point fixe : une personne restait au bon endroit, au bon moment, avec assez d’informations pour reprendre.

Le prochain chapitre change ce point fixe. Le 3 juin, l’Agence de l’Union européenne pour la sécurité aérienne a publié pour consultation l’Issue 03 de son Concept Paper sur l’intelligence artificielle. Le document étend le travail aux techniques comme l’apprentissage par renforcement et l’IA symbolique, mais son déplacement le plus important concerne le niveau 3, celui de l’« automatisation avancée ». L’EASA indique que ces applications peuvent ouvrir des opérations où l’utilisateur humain est présent à distance, ou absent pendant l’opération.

La consultation se termine le 12 août 2026. Il ne s’agit ni d’une règle définitive ni d’un permis général pour l’avion sans pilote. C’est précisément ce qui rend le texte intéressant : avant d’autoriser l’absence, le régulateur doit encore définir comment elle pourra être prouvée.

La tentation serait de traiter ce problème comme une nouvelle marche de performance du modèle. Si l’IA reconnaît mieux, décide plus vite et commet moins d’erreurs, l’humain pourrait se retirer. L’aéronautique rappelle une vérité moins spectaculaire. On ne certifie pas seulement ce que le système sait faire lorsqu’il fonctionne. On certifie ce qui arrive quand son domaine se termine, quand la liaison tombe, quand deux capteurs se contredisent et quand la reprise prévue n’est plus disponible.

Annonce de l’Issue 03 par l’EASA, vérifiée le 7 août 2026.

L’absence humaine n’est pas un degré d’autonomie

Les niveaux précédents de la feuille de route de l’EASA décrivaient une relation encore visible. Le niveau 1 augmente ou assiste les capacités humaines. Le niveau 2 organise une coopération entre l’humain et l’IA, avec des décisions automatiques sous supervision. L’Issue 2 de 2024 a donc travaillé l’assurance de l’apprentissage, l’explicabilité, l’évaluation éthique et l’interaction humain-machine.

Le niveau 3 ne signifie pas simplement que l’algorithme obtient un meilleur score. Il modifie l’architecture de responsabilité. Un humain distant ne perçoit pas la situation comme une personne présente. Il dépend d’une chaîne de communications, d’une interface, d’une sélection d’alertes et d’un délai. Un humain absent ne peut pas être la fonction de secours implicite du système. Ce qui était autrefois compensé par l’attention, l’expérience ou un geste immédiat doit devenir une propriété explicite de la machine et de l’opération.

Cette distinction empêche une confusion fréquente entre autonomie et absence. Un système peut automatiser beaucoup de tâches tout en exigeant une surveillance continue. Un autre peut remplir une mission étroite sans intervention, à condition que son périmètre, sa durée et son repli soient fortement bornés. Le premier paraît plus intelligent. Le second peut être plus facile à justifier.

La bonne unité de mesure n’est donc pas « combien de décisions l’IA prend-elle ? ». C’est « de quelle intervention humaine le système n’a-t-il plus besoin, pendant combien de temps, dans quelles conditions et avec quelle sortie sûre ? ».

Tant que ces quatre éléments restent mélangés, le mot autonome cache le dossier au lieu de le décrire.

La reprise à distance peut être une fiction de conception

Mettre un opérateur dans une salle au sol paraît préserver une supervision humaine. Sur un diagramme, la machine détecte une anomalie, transmet une alerte et attend une instruction. Dans l’opération réelle, chaque flèche contient une hypothèse.

La liaison doit être disponible. L’alerte doit arriver assez tôt. L’interface doit montrer les variables utiles plutôt que la seule conclusion du modèle. L’opérateur doit comprendre le contexte sans avoir observé les minutes précédentes. Il doit être libre, alors que l’économie du dispositif pousse souvent à lui confier plusieurs systèmes. Son instruction doit enfin revenir avant que la situation n’exige une action locale.

Une reprise seulement dessinée n’est pas une reprise. C’est une dépendance à cinq délais : détection, transmission, compréhension, décision et exécution. Chacun peut rester acceptable en moyenne et devenir insuffisant dans le cas rare pour lequel la supervision existe.

Les règles opérationnelles actuelles donnent un contrepoint utile au discours sur le retrait humain. Les compétences attendues des pilotes comprennent la sélection du bon niveau d’automatisation, la surveillance des transitions de mode, la détection des écarts et la capacité à reprendre le contrôle manuel. Ces exigences ne disparaissent pas quand l’opérateur s’éloigne. Elles doivent être remplacées par des fonctions démontrables, ou conservées avec des conditions réalistes d’exercice.

Un essai sérieux ne demande donc pas seulement si l’opérateur a reçu l’alarme. Il mesure le temps jusqu’à une compréhension correcte, lui présente des signaux contradictoires, occupe son attention avec un autre événement et coupe la communication au moment le moins favorable. Si le dispositif ne tient qu’avec une personne immédiatement disponible et déjà informée, l’humain n’a pas été retiré. Il a été déplacé hors champ.

Le domaine opérationnel doit devenir un contrat exécutable

Tout système d’apprentissage possède un domaine dans lequel ses résultats ont été évalués. Température, visibilité, géographie, types d’objets, qualité des capteurs, configurations de l’appareil et situations rencontrées composent une frontière plus concrète que le mot « généralisation ».

Avec un humain présent, certaines sorties de domaine sont absorbées sans être nommées. Une texture paraît inhabituelle. Un capteur semble incohérent avec la scène. Une recommandation correcte en temps normal paraît absurde dans ce contexte précis. L’expérience transforme une impression en prudence.

L’absence rend cette prudence technique. Le système doit reconnaître assez tôt qu’une observation ne ressemble plus à ce qui a été couvert. Il doit savoir quelle capacité réduire, quel mode sûr choisir et quelle information conserver pour l’analyse. Il doit surtout éviter le comportement le plus dangereux des modèles statistiques : continuer à produire une réponse nette lorsque les conditions qui donnaient du sens à cette réponse ont disparu.

Le projet MLEAP de l’EASA a travaillé les moyens de conformité pour l’approbation d’applications d’apprentissage automatique dans des fonctions liées à la sécurité. Son vocabulaire d’« assurance de l’apprentissage » est plus exigeant qu’un benchmark : il relie les données, le processus de développement, les objectifs de confiance et la démonstration attendue.

Pour le niveau 3, ce travail doit se prolonger jusqu’à l’exploitation. Le domaine opérationnel ne peut pas rester une page du dossier de conception. Il doit devenir un contrat que le système surveille lui-même : conditions d’entrée, marges, événements de sortie, état de repli et preuves enregistrées.

Une limite qui n’est détectable qu’après l’incident n’est pas encore une limite opérationnelle.

Le mode sûr est une opération, pas un arrêt

Dans un logiciel de bureau, « arrêter » peut suffire. Dans l’air, sur un aérodrome ou dans une chaîne de maintenance, l’arrêt est lui-même une action avec des conséquences. Un système ne devient pas sûr parce qu’il cesse de calculer.

Le mode dégradé doit préserver une trajectoire, une séparation, une énergie, une information ou une continuité minimale selon l’usage. Il doit aussi être atteignable à partir de plusieurs pannes, pas seulement depuis l’erreur propre que l’équipe avait prévu de démontrer.

C’est ici que l’apprentissage par renforcement rend le dossier plus délicat. Cette technique peut rechercher une politique d’action dans un environnement et produire des stratégies efficaces sans que chaque transition ait été écrite à l’avance. Son intérêt opérationnel est réel. Sa preuve ne peut pourtant pas se réduire à une récompense moyenne élevée. Il faut examiner les comportements aux frontières, les objectifs secondaires appris, les actions rares et la stabilité du repli lorsque l’environnement cesse de correspondre au simulateur.

L’IA symbolique, elle, peut rendre certaines règles explicites et vérifiables, sans résoudre automatiquement la qualité des perceptions qui alimentent ces règles. Une architecture hybride peut séparer la reconnaissance statistique, les contraintes dures et la décision. Elle ne supprime pas les interfaces entre ces blocs. Or les accidents techniques se logent volontiers dans une hypothèse partagée par deux composants et possédée par aucun.

Le mode sûr doit donc être spécifié comme une petite opération complète. Que perçoit encore le système ? Quelles décisions lui restent permises ? Quelle ressource consomme-t-il ? Combien de temps cet état demeure-t-il viable ? Qui est informé ? Quelle condition autorise le retour au mode nominal ?

Nommer « fail-safe » une branche du diagramme ne répond à aucune de ces questions.

La conformité européenne n’offre pas un bouton de secours

Le règlement européen sur l’IA exige, pour les systèmes à haut risque, une supervision humaine conçue pour permettre de comprendre les capacités et limites, surveiller le fonctionnement, interpréter les sorties, décider de ne pas les utiliser et intervenir ou interrompre le système. Ce cadre donne une direction claire. Il ne transforme pas automatiquement toute présence humaine en mesure efficace.

L’EASA a ouvert en 2025 sa première proposition réglementaire détaillée sur la confiance de l’IA dans l’aviation. La NPA 2025-07 vise les niveaux 1 et 2 et articule assurance, facteurs humains et éthique. L’Issue 03 étend maintenant l’exploration technique aux situations où la supervision change de nature.

Cette séquence est importante. La conformité horizontale de l’AI Act ne remplace pas la démonstration aéronautique. Savoir qu’une personne peut théoriquement interrompre un système ne dit pas si elle reçoit l’information à temps, si l’interruption laisse l’appareil dans un état maîtrisé ou si la même personne surveille déjà trop d’opérations.

Inversement, la certification d’une fonction technique ne suffit pas à répondre à toutes les questions de l’AI Act sur les données, la transparence ou les droits des personnes. Les deux cadres se croisent, mais ne se substituent pas l’un à l’autre.

La maturité consiste à résister au dossier unique qui prétend tout couvrir. Le modèle a besoin de preuves d’apprentissage. La fonction a besoin de preuves de sûreté. L’interface a besoin de preuves de facteurs humains. L’opération a besoin de procédures, de compétences et de limites. Le système complet a besoin de traces capables de relier ces niveaux après un événement.

L’absence humaine augmente cette exigence de liaison. Quand personne n’est là pour raconter ce qu’il a vu, l’architecture doit avoir conservé un récit exploitable.

Le premier essai doit retirer très peu d’humain

Le mauvais pilote cherche une démonstration impressionnante : une mission longue, une météo variée, plusieurs décisions autonomes et un opérateur peu sollicité. Il produit une vidéo convaincante et un dossier presque impossible à interpréter. Si l’essai réussit, on ne sait pas quelle hypothèse a été validée. S’il échoue, trop de causes restent possibles.

Le premier essai utile retire une intervention humaine précise dans un cadre étroit. Il définit à l’avance la situation où cette intervention aurait été nécessaire, la manière dont le système la remplace et le mode dans lequel il se replie si la substitution échoue.

Preuve	Question à résoudre avant d’élargir l’absence
Domaine	Le système détecte-t-il une condition non couverte avant de perdre sa marge ?
Supervision	L’opérateur distant reçoit-il assez de contexte, avec un délai mesuré et une charge réaliste ?
Repli	Le mode dégradé reste-t-il sûr sans communication ni décision extérieure immédiate ?
Reprise	Le retour humain est-il possible en pratique, pas seulement prévu dans la procédure ?
Trace	Les données enregistrées permettent-elles de reconstruire perception, décision, action et transition de mode ?
Responsabilité	Chaque décision de poursuivre, réduire ou interrompre possède-t-elle un propriétaire identifié ?

Méthode Jachère : grille déduite des niveaux d’automatisation, des travaux d’assurance de l’apprentissage et des exigences de supervision publiés par l’EASA et l’Union européenne. Vérification le 7 août 2026.

Il faut ensuite provoquer les cas qui retirent les béquilles invisibles : perte de liaison, capteur plausible mais faux, événement simultané sur deux opérations, alerte trop fréquente, sortie lente du domaine et demande de reprise après une longue période d’inactivité. Le résultat attendu n’est pas que l’IA gagne chaque scénario. C’est que le système complet reconnaisse la réduction de sa certitude et protège sa marge avant que la situation ne devienne irrécupérable.

La progression peut alors porter sur une seule dimension : durée, environnement, variété des pannes ou nombre d’opérations supervisées. Les élargir toutes ensemble fabrique de l’autonomie démonstrative. Les élargir une par une fabrique de la preuve.

Ce qu’il faut laisser reposer

La discussion sur l’avion autonome saute volontiers de la performance des modèles à la disparition du pilote. Entre les deux se trouve pourtant l’objet que l’EASA commence à formaliser : une opération avancée dont l’humain n’est plus la ressource de dernier recours toujours présente.

Ce retrait ne se résume pas à une économie de poste, ni à une victoire de l’algorithme. Il transforme la communication en fonction de sûreté, le domaine d’emploi en contrat surveillé, le mode dégradé en opération à part entière et la trace en substitut partiel du témoignage humain.

L’Issue 03 ne ferme pas ces questions. Elle les met en consultation. C’est un signe de sérieux, pas de retard. L’aviation ne devrait pas promettre l’absence avant d’avoir appris à la mesurer.

La bonne preuve ne sera donc pas un système qui réussit longtemps sans humain. Ce sera un système qui sait précisément combien d’humain il a retiré, quelles dépendances demeurent et comment il protège l’opération lorsque la raison de rappeler une personne survient justement au moment où personne n’est disponible.