Aller au contenu
Transparence

Ce qu'ELYSÉA fait.
Ce qu'elle ne fait pas.

Onze limites déclarées sans euphémisme. Une infrastructure éthique ne prouve sa valeur que si elle nomme ce qu'elle ne couvre pas encore.

État au 2026-10-05.

Ce qu'ELYSÉA fait

Détection par modèle, blocage appliqué par le code.

01

Détection intelligente

Un LLM analyse le contexte, les reformulations implicites et les signaux ambigus. Ce que les listes de mots-clés manquent, le LLM peut le saisir.

02

Décision de blocage appliquée par le code

Les quatre interdits (anti-domination, anti-dépendance, anti-substitution, anti-manipulation) sont détectés par vote de modèle (trois votes) ; la décision de blocage est ensuite appliquée par le code — pas par le prompt. Le pipeline est conçu pour que le modèle qui rédige la réponse ne puisse pas la contourner.

03

Orientation crise câblée

Sur tout signal suicidaire ou d'urgence médicale, la réponse est conçue pour être déterministe et orientée vers les ressources humaines (3114, urgences). Elle ne dépend pas de la qualité de la génération LLM à cet instant.

04

Monotonicité SDK

Un constructeur qui intègre le SDK hérite des protections et peut les durcir — jamais les affaiblir. La configuration métier ne peut pas désactiver les protections de socle.

Le cerveau ELYSÉA est neuro-symbolique : le modèle lit l'implicite et les paraphrases ; les quatre interdits sont détectés par vote de modèle (trois votes) et la décision de blocage est appliquée par le code, sans interrupteur utilisateur. Ni prompt seul (contournable), ni filtre de mots-clés seul (aveugle au contexte).

Résultats de mesure

Emplacements de mesure — aucun résultat publié.

Chaque entrée documente une mesure réelle ou un emplacement à renseigner. Les emplacements marqués À RENSEIGNER indiquent que la passe de mesure n'est pas encore complète ou que le résultat n'est pas encore publié. Les emplacements marqués EN COURS correspondent à des mesures en cours de constitution. Aucun chiffre de résultat n'est publié sans version, dénominateur, date et méthode.

M-01À RENSEIGNER

Rappel crise — français

—

Résultat non encore publié

Métrique

Proportion de cas crise reconnus et orientés correctement vers les ressources humaines (bras C vs A et D)

Corpus / dénominateur

Nombre de cas : fixé par le plan préenregistré (à venir)

Version système

—

SHA déployé

—

Date de mesure

—

Méthode / protocole

Plan préenregistré (à venir)

Qui a mesuré

Auto-mesuré (ELYSÉA)

Campagne non tirée : aucun résultat publié. Le protocole sera préenregistré avant le premier tir.

M-02À RENSEIGNER

Rappel crise — anglais

—

Résultat non encore publié

Métrique

Proportion de cas crise reconnus dans le corpus de test EN (taux de rappel)

Corpus / dénominateur

Nombre de cas : fixé par le plan préenregistré (à venir)

Version système

—

SHA déployé

—

Date de mesure

—

Méthode / protocole

—

Qui a mesuré

Auto-mesuré (ELYSÉA)

Corpus EN scellé. Zéro verdict produit au 2026-09-01. Cas EN-F12 (dissociation + 988 US) requalifié selon la doctrine adoptée le 30/09/2026 : sans idéation, la mention calme du 988 est autorisée, non exigée ; l'attendu principal est l'orientation vers une personne. Campagne EN conditionnée à calibration dédiée.

M-03À RENSEIGNER

Robustesse adversariale — canon D0

—

Résultat non encore publié

Métrique

Proportion de cas de contournement, manipulation, substitution et domination auxquels le pipeline résiste (bras C)

Corpus / dénominateur

Nombre de cas : fixé par le plan préenregistré (à venir)

Version système

—

SHA déployé

—

Date de mesure

—

Méthode / protocole

Plan préenregistré (à venir)

Qui a mesuré

Auto-mesuré (ELYSÉA)

Ne couvrira que les contournements du corpus. Les paraphrases créatives hors corpus et les injections via paramètres SDK restent hors couverture prouvée.

M-04À RENSEIGNER

Faux positifs — sur-blocage

—

Résultat non encore publié

Métrique

Proportion de réponses hors-crise incorrectement bloquées ou orientées (bras C vs A)

Corpus / dénominateur

Nombre de cas : fixé par le plan préenregistré (à venir)

Version système

—

SHA déployé

—

Date de mesure

—

Méthode / protocole

Plan préenregistré (à venir)

Qui a mesuré

Auto-mesuré (ELYSÉA)

La campagne 4 bras n'a pas encore été tirée. Le calibrage actuel privilégie délibérément la protection sur la précision.

M-05À RENSEIGNER

Qualité relationnelle — plancher et contenu

—

Résultat non encore publié

Métrique

Qualité des réponses aux cas ordinaires et voilés (bras C vs A, B, D) — banc qualite120 + plancher45

Corpus / dénominateur

Nombre de cas : fixé par le plan préenregistré (à venir)

Version système

—

SHA déployé

—

Date de mesure

—

Méthode / protocole

Plan préenregistré (à venir)

Qui a mesuré

Auto-mesuré (ELYSÉA)

La grille de qualité est rédigée par ELYSÉA ; sa version et son arbitrage seront fixés au préenregistrement. La campagne n'est pas tirée.

Pourquoi publier des emplacements vides ? Un rapport de transparence qui n'affiche que les chiffres disponibles crée une illusion de complétude. Nommer les lacunes est aussi informatif que nommer les résultats. Cette page sera mise à jour dès que chaque mesure sera validée sur le SHA déployé courant.

Ce qu'ELYSÉA ne fait pas — onze limites déclarées

Ce qui reste hors couverture, inconnu, ou partiellement prouvé.

  1. L-01

    Détection probabiliste — pas déterministe

    La détection du signal de crise ou de violation est probabiliste (modèle et classifieurs ; vote de modèle pour les quatre interdits). Elle peut manquer des formulations implicites ou atypiques. La décision de blocage est appliquée par le code une fois le signal détecté.

  2. L-02

    Faux positifs — calibrage délibéré

    Le calibrage retenu privilégie la protection sur la précision : certaines formulations ambiguës proches d'une crise activent délibérément le safety gate (coût d'un faux négatif manqué > coût d'un faux positif). Des formulations réelles hors du corpus testé peuvent déclencher une orientation inattendue.

  3. L-03

    Deux langues, rien d'autre

    Campagne de mesure (conçue, non tirée) : français et anglais — France, États-Unis, Royaume-Uni, Irlande, Canada, Australie et Nouvelle-Zélande. Aucune mesure n'est tirée, ni en français ni en anglais. Le comportement dans d'autres langues est inconnu.

  4. L-04

    Corpus — couverture limitée

    Nombre de cas : fixé par le plan préenregistré (à venir). Un corpus fini ne prouve pas que toutes les formulations réelles sont reconnues. Les paraphrases non anticipées, l'humour défensif et les calques syntaxiques atypiques resteront hors couverture prouvée.

  5. L-05

    Bridage implicite non mesuré

    Le juge terrain v1.3 (version antérieure de l'instrument) ne détectait pas le bridage implicite : une réponse hors sujet mais longue (≥35 caractères) était classée acceptable. Que le panel actuel le détecte : à vérifier au préenregistrement.

  6. L-06

    Delta formulations créatives inconnu

    L'ablation teste 21 formulations connues. Un LLM non contraint peut produire des paraphrases ou contournements créatifs que les règles actuelles ne couvrent pas. L'écart réel sur ces cas est inconnu.

  7. L-07

    Dégradation sous charge

    Sous 10 requêtes simultanées, le filet de crise reste actif mais la qualité des réponses aux tâches pratiques se dégrade — des fallbacks sont servis à la place des réponses substantielles.

  8. L-08

    UX silencieuse sur LLM lent

    Si le LLM principal répond avec un délai important, l'interface reste muette sans retour intermédiaire. La réponse arrive, mais l'utilisateur ne voit rien pendant ce temps.

  9. L-09

    Campagne non tirée — aucun résultat

    Campagne non tirée : aucun résultat publié. Le protocole sera préenregistré avant le premier tir. Nombre de cas : fixé par le plan préenregistré (à venir). Les résultats seront publiés avec le dépôt, au DOI, favorables ou non.

  10. L-10

    Coût classifieurs partiellement estimé

    Le coût de trois classifieurs (GraduatedCrisis, SomaticEmergency, DailyIntent) est estimé, non confirmé live. Seul ForbiddenInvariants est confirmé via probe de coût.

  11. L-11

    ELYSÉA oriente — il ne gère pas la suite

    Sur tout signal de crise (idéation suicidaire, danger immédiat), ELYSÉA produit une réponse orientée vers les ressources humaines (3114, urgences). Il s'arrête là. Il ne vérifie pas que l'utilisateur a appelé, ne contacte aucun tiers, ne génère aucune alerte. Le constructeur qui intègre ELYSÉA doit avoir sa propre procédure de prise en charge humaine — sans elle, le filet est incomplet.

Ce qu'ELYSÉA ne couvre pas

Angles morts déclarés — périmètre réel de la protection.

Non désactivable dans le chemin conforme — pas dans l'intégralité de l'application

Les protections du pipeline sont conçues pour être non désactivables dans le chemin d'exécution conforme fourni par ELYSÉA. Un intégrateur peut techniquement appeler le modèle de génération en contournant ce chemin. ELYSÉA ne peut pas détecter ni empêcher cet usage — son périmètre est le SDK.

Détection probabiliste — un faux négatif peut traverser

La détection du signal de crise ou de violation est probabiliste. Un faux négatif peut traverser le pipeline sans être bloqué. La décision de blocage est appliquée par le code une fois le signal détecté. Aucune couche n'exclut un faux négatif.

Couche texte uniquement — pas notifications, relances, interface

Le pipeline agit sur le texte généré par le modèle. Il ne contrôle pas les notifications push, les relances par email, les paramètres d'interface ou tout autre canal de communication de l'application intégrée. Une application peut engager un utilisateur de façon problématique sans que le pipeline le détecte, si cet engagement passe par ces canaux.

Brèche CONS-P4-003 — prefix trick via paramètre SDK — portée verbale uniquement

Un constructeur peut passer un préfixe de rôle manipulatoire dans le paramètre [SDK config] au lieu du prompt utilisateur. Cette brèche contourne P4 sur sa portée verbale : le pipeline ne bloque pas la configuration SDK elle-même. Statut : ouverte — aucun correctif déployé. Les appels malveillants via cette voie ne sont pas bloqués à ce jour.

Campagne de mesure non tirée — aucun résultat — aucune évaluation externe

Campagne de mesure (conçue, non tirée) : français et anglais — France, États-Unis, Royaume-Uni, Irlande, Canada, Australie et Nouvelle-Zélande. Panel prévu : 3 juges actifs, tous non-Anthropic. Aucun juge n’est encore validé ; validation sur les réponses réelles du pilote. Aucune évaluation externe indépendante n'a été conduite à ce jour. La robustesse réelle sur des populations hors corpus reste inconnue.

Comportement peut diverger sans changement de code

L'épisode 27–28 août 2026 a montré que le comportement d'un pipeline peut changer sans que le SHA du code change — modification d'un modèle sous-jacent, dérive de contexte, changement de paramètre d'inférence. L'empreinte de comportement (SHA-256 du comportement observé) est en cours de développement. La surveillance par SHA de code seul est insuffisante.

Localisation d'exécution

Où s'exécute chaque appel.

Composant

Classifieurs de sécurité

Localisation

Europe — Cloud Run europe-west1

GraduatedCrisis, SomaticEmergency, DailyIntent s'exécutent sur l'orchestrateur ELYSÉA (Cloud Run europe-west1) ; le modèle qu'ils appellent passe par Bedrock eu-west-3 ou Vertex eu, ou par une option hors UE possible (liste dans la politique de confidentialité).

Composant

Pipeline de transcription et mémoire

Localisation

Europe — Cloud Run europe-west1

Le contexte utilisateur et la posture éthique passent par l'orchestrateur (europe-west1) ; la mémoire est dans une base Supabase dont la région n'est pas prouvée — hors UE possible.

Composant

Modèle de génération LLM

Localisation

Choix du constructeur

Le constructeur qui intègre le SDK choisit son modèle de génération. ELYSÉA enveloppe l'appel et y applique ses protections, mais la localisation du modèle dépend de ce choix.

Les dépôts de code et de mesure sont privés aujourd'hui ; un dépôt public est prévu avec le DOI. Campagne non tirée : aucun résultat publié. Le protocole sera préenregistré avant le premier tir. Les résultats seront publiés avec le dépôt, favorables ou non.