Réponse rapide
Il faut retirer une décision autonome lorsque ses données sont périmées, sa confiance mal calibrée, ses conséquences dépassent l’enveloppe, son modèle dérive, ses traces manquent ou un changement de contexte invalide la validation. Le retrait peut être temporaire ou définitif et doit conduire à une règle, une supervision ou un état sûr. La décision et son motif sont documentés.
Définir déclencheurs et repli
Âge des données, erreurs, incidents, dérive, version, environnement et autorité sont reliés à un seuil d’arrêt ou de limitation. Un contrôleur indépendant peut désactiver la politique. Retour de version et restauration de configuration sont préparés.
Décider avec preuve et contrôle
Alertes, échantillons, tests ciblés et revue humaine confirment la cause avant réactivation. Le robot conserve une fonction essentielle bornée et signale la perte de capacité. Les utilisateurs savent quelle tâche n’est plus autonome.
Ne pas attendre une panne spectaculaire
Dérive lente, confiance excessive ou données manquantes peuvent déjà réduire la marge. Un seuil préventif protège mieux qu’un retrait après incident. Réactiver sans nouvelle preuve répète le risque.
Sources et références
- [1] Trustworthy autonomous systems — NIST