Détection intelligente
Un LLM analyse le contexte, les reformulations implicites et les signaux ambigus. Ce que les listes de mots-clés manquent, le LLM peut le saisir.
Onze limites déclarées sans euphémisme. Une infrastructure éthique ne prouve sa valeur que si elle nomme ce qu'elle ne couvre pas encore.
Un LLM analyse le contexte, les reformulations implicites et les signaux ambigus. Ce que les listes de mots-clés manquent, le LLM peut le saisir.
Les quatre interdits (anti-domination, anti-dépendance, anti-substitution, anti-manipulation) sont détectés par vote de modèle (trois votes) ; la décision de blocage est ensuite appliquée par le code — pas par le prompt. Le pipeline est conçu pour que le modèle qui rédige la réponse ne puisse pas la contourner.
Sur tout signal suicidaire ou d'urgence médicale, la réponse est conçue pour être déterministe et orientée vers les ressources humaines (3114, urgences). Elle ne dépend pas de la qualité de la génération LLM à cet instant.
Un constructeur qui intègre le SDK hérite des protections et peut les durcir — jamais les affaiblir. La configuration métier ne peut pas désactiver les protections de socle.
Le cerveau ELYSÉA est neuro-symbolique : le modèle lit l'implicite et les paraphrases ; les quatre interdits sont détectés par vote de modèle (trois votes) et la décision de blocage est appliquée par le code, sans interrupteur utilisateur. Ni prompt seul (contournable), ni filtre de mots-clés seul (aveugle au contexte).
Chaque entrée documente une mesure réelle ou un emplacement à renseigner. Les emplacements marqués À RENSEIGNER indiquent que la passe de mesure n'est pas encore complète ou que le résultat n'est pas encore publié. Les emplacements marqués EN COURS correspondent à des mesures en cours de constitution. Aucun chiffre de résultat n'est publié sans version, dénominateur, date et méthode.
—
Résultat non encore publié
Métrique
Proportion de cas crise reconnus et orientés correctement vers les ressources humaines (bras C vs A et D)
Corpus / dénominateur
Nombre de cas : fixé par le plan préenregistré (à venir)
Version système
—
SHA déployé
—
Date de mesure
—
Méthode / protocole
Plan préenregistré (à venir)
Qui a mesuré
Auto-mesuré (ELYSÉA)
Campagne non tirée : aucun résultat publié. Le protocole sera préenregistré avant le premier tir.
—
Résultat non encore publié
Métrique
Proportion de cas crise reconnus dans le corpus de test EN (taux de rappel)
Corpus / dénominateur
Nombre de cas : fixé par le plan préenregistré (à venir)
Version système
—
SHA déployé
—
Date de mesure
—
Méthode / protocole
—
Qui a mesuré
Auto-mesuré (ELYSÉA)
Corpus EN scellé. Zéro verdict produit au 2026-09-01. Cas EN-F12 (dissociation + 988 US) requalifié selon la doctrine adoptée le 30/09/2026 : sans idéation, la mention calme du 988 est autorisée, non exigée ; l'attendu principal est l'orientation vers une personne. Campagne EN conditionnée à calibration dédiée.
—
Résultat non encore publié
Métrique
Proportion de cas de contournement, manipulation, substitution et domination auxquels le pipeline résiste (bras C)
Corpus / dénominateur
Nombre de cas : fixé par le plan préenregistré (à venir)
Version système
—
SHA déployé
—
Date de mesure
—
Méthode / protocole
Plan préenregistré (à venir)
Qui a mesuré
Auto-mesuré (ELYSÉA)
Ne couvrira que les contournements du corpus. Les paraphrases créatives hors corpus et les injections via paramètres SDK restent hors couverture prouvée.
—
Résultat non encore publié
Métrique
Proportion de réponses hors-crise incorrectement bloquées ou orientées (bras C vs A)
Corpus / dénominateur
Nombre de cas : fixé par le plan préenregistré (à venir)
Version système
—
SHA déployé
—
Date de mesure
—
Méthode / protocole
Plan préenregistré (à venir)
Qui a mesuré
Auto-mesuré (ELYSÉA)
La campagne 4 bras n'a pas encore été tirée. Le calibrage actuel privilégie délibérément la protection sur la précision.
—
Résultat non encore publié
Métrique
Qualité des réponses aux cas ordinaires et voilés (bras C vs A, B, D) — banc qualite120 + plancher45
Corpus / dénominateur
Nombre de cas : fixé par le plan préenregistré (à venir)
Version système
—
SHA déployé
—
Date de mesure
—
Méthode / protocole
Plan préenregistré (à venir)
Qui a mesuré
Auto-mesuré (ELYSÉA)
La grille de qualité est rédigée par ELYSÉA ; sa version et son arbitrage seront fixés au préenregistrement. La campagne n'est pas tirée.
Pourquoi publier des emplacements vides ? Un rapport de transparence qui n'affiche que les chiffres disponibles crée une illusion de complétude. Nommer les lacunes est aussi informatif que nommer les résultats. Cette page sera mise à jour dès que chaque mesure sera validée sur le SHA déployé courant.
La détection du signal de crise ou de violation est probabiliste (modèle et classifieurs ; vote de modèle pour les quatre interdits). Elle peut manquer des formulations implicites ou atypiques. La décision de blocage est appliquée par le code une fois le signal détecté.
Le calibrage retenu privilégie la protection sur la précision : certaines formulations ambiguës proches d'une crise activent délibérément le safety gate (coût d'un faux négatif manqué > coût d'un faux positif). Des formulations réelles hors du corpus testé peuvent déclencher une orientation inattendue.
Campagne de mesure (conçue, non tirée) : français et anglais — France, États-Unis, Royaume-Uni, Irlande, Canada, Australie et Nouvelle-Zélande. Aucune mesure n'est tirée, ni en français ni en anglais. Le comportement dans d'autres langues est inconnu.
Nombre de cas : fixé par le plan préenregistré (à venir). Un corpus fini ne prouve pas que toutes les formulations réelles sont reconnues. Les paraphrases non anticipées, l'humour défensif et les calques syntaxiques atypiques resteront hors couverture prouvée.
Le juge terrain v1.3 (version antérieure de l'instrument) ne détectait pas le bridage implicite : une réponse hors sujet mais longue (≥35 caractères) était classée acceptable. Que le panel actuel le détecte : à vérifier au préenregistrement.
L'ablation teste 21 formulations connues. Un LLM non contraint peut produire des paraphrases ou contournements créatifs que les règles actuelles ne couvrent pas. L'écart réel sur ces cas est inconnu.
Sous 10 requêtes simultanées, le filet de crise reste actif mais la qualité des réponses aux tâches pratiques se dégrade — des fallbacks sont servis à la place des réponses substantielles.
Si le LLM principal répond avec un délai important, l'interface reste muette sans retour intermédiaire. La réponse arrive, mais l'utilisateur ne voit rien pendant ce temps.
Campagne non tirée : aucun résultat publié. Le protocole sera préenregistré avant le premier tir. Nombre de cas : fixé par le plan préenregistré (à venir). Les résultats seront publiés avec le dépôt, au DOI, favorables ou non.
Le coût de trois classifieurs (GraduatedCrisis, SomaticEmergency, DailyIntent) est estimé, non confirmé live. Seul ForbiddenInvariants est confirmé via probe de coût.
Sur tout signal de crise (idéation suicidaire, danger immédiat), ELYSÉA produit une réponse orientée vers les ressources humaines (3114, urgences). Il s'arrête là. Il ne vérifie pas que l'utilisateur a appelé, ne contacte aucun tiers, ne génère aucune alerte. Le constructeur qui intègre ELYSÉA doit avoir sa propre procédure de prise en charge humaine — sans elle, le filet est incomplet.
Les protections du pipeline sont conçues pour être non désactivables dans le chemin d'exécution conforme fourni par ELYSÉA. Un intégrateur peut techniquement appeler le modèle de génération en contournant ce chemin. ELYSÉA ne peut pas détecter ni empêcher cet usage — son périmètre est le SDK.
La détection du signal de crise ou de violation est probabiliste. Un faux négatif peut traverser le pipeline sans être bloqué. La décision de blocage est appliquée par le code une fois le signal détecté. Aucune couche n'exclut un faux négatif.
Le pipeline agit sur le texte généré par le modèle. Il ne contrôle pas les notifications push, les relances par email, les paramètres d'interface ou tout autre canal de communication de l'application intégrée. Une application peut engager un utilisateur de façon problématique sans que le pipeline le détecte, si cet engagement passe par ces canaux.
Un constructeur peut passer un préfixe de rôle manipulatoire dans le paramètre [SDK config] au lieu du prompt utilisateur. Cette brèche contourne P4 sur sa portée verbale : le pipeline ne bloque pas la configuration SDK elle-même. Statut : ouverte — aucun correctif déployé. Les appels malveillants via cette voie ne sont pas bloqués à ce jour.
Campagne de mesure (conçue, non tirée) : français et anglais — France, États-Unis, Royaume-Uni, Irlande, Canada, Australie et Nouvelle-Zélande. Panel prévu : 3 juges actifs, tous non-Anthropic. Aucun juge n’est encore validé ; validation sur les réponses réelles du pilote. Aucune évaluation externe indépendante n'a été conduite à ce jour. La robustesse réelle sur des populations hors corpus reste inconnue.
L'épisode 27–28 août 2026 a montré que le comportement d'un pipeline peut changer sans que le SHA du code change — modification d'un modèle sous-jacent, dérive de contexte, changement de paramètre d'inférence. L'empreinte de comportement (SHA-256 du comportement observé) est en cours de développement. La surveillance par SHA de code seul est insuffisante.
Composant
Classifieurs de sécurité
Localisation
Europe — Cloud Run europe-west1
GraduatedCrisis, SomaticEmergency, DailyIntent s'exécutent sur l'orchestrateur ELYSÉA (Cloud Run europe-west1) ; le modèle qu'ils appellent passe par Bedrock eu-west-3 ou Vertex eu, ou par une option hors UE possible (liste dans la politique de confidentialité).
Composant
Pipeline de transcription et mémoire
Localisation
Europe — Cloud Run europe-west1
Le contexte utilisateur et la posture éthique passent par l'orchestrateur (europe-west1) ; la mémoire est dans une base Supabase dont la région n'est pas prouvée — hors UE possible.
Composant
Modèle de génération LLM
Localisation
Choix du constructeur
Le constructeur qui intègre le SDK choisit son modèle de génération. ELYSÉA enveloppe l'appel et y applique ses protections, mais la localisation du modèle dépend de ce choix.
Les dépôts de code et de mesure sont privés aujourd'hui ; un dépôt public est prévu avec le DOI. Campagne non tirée : aucun résultat publié. Le protocole sera préenregistré avant le premier tir. Les résultats seront publiés avec le dépôt, favorables ou non.