L’IA dans la gestion
de la sécurité aérienne.

Voir l’encadré au-dessus du sommaire. La suite de cet article présente les cas d’usage, les contrôles et le modèle de traçabilité de qualité audit.

En sécurité aérienne, l’IA est la plus utile là où le travail est répétitif, structuré et aujourd’hui limité par l’attention humaine. Quatre cas d’usage se distinguent.

La classification des événements. Chaque événement doit être classé selon la taxonomie de l’exploitant (catégories d’événements de l’OACI, gravité interne, lien avec les dangers). La classification humaine est lente, varie d’un relecteur à l’autre et constitue le goulot d’étranglement de toute équipe sécurité. Les agents IA de classification proposent des catégories avec un score de confiance ; le gestionnaire de la sécurité approuve, modifie ou rejette.

La rédaction des CAPA. Rédiger une action corrective pour une constatation ouverte prend 15 à 30 minutes par constatation. Les agents IA de rédaction produisent une première version à partir de la constatation, de la section de procédure concernée et de l’historique des actions précédentes ; l’humain la modifie et l’approuve.

La détection des signaux faibles. Repérer une tendance qu’aucun compte rendu isolé ne montre (la même barrière cotée moins qu’efficace lors d’approches avec un type d’aéronef sur un aéroport donné) était historiquement le travail d’un analyste sécurité chevronné disposant de temps. eAviora mène cette recherche chaque jour, et la recherche elle-même relève de la statistique, pas d’un modèle de langage : elle teste des combinaisons de faits (type d’événement, aéronef, lieu, phase de vol, famille de risques, barrière dégradée) à travers les événements, les dangers, les constatations et les dépassements issus des données de vol, et liste celles qui reviennent plus souvent que le hasard ne l’explique, pour que l’équipe sécurité en prenne acte, agisse ou les écarte. Deux agents IA travaillent à côté : l’un rédige la synthèse de l’analyse à partir des chiffres qu’elle a produits, et l’autre, sur demande, lit les événements, constatations, dangers et formations liés à une exigence réglementaire et indique si l’exploitation raconte une autre histoire que la documentation.

La synthèse. Produire le dossier d’un comité d’examen de la sécurité à partir de cinq exports couvrant le SGS, le SGQ, la formation, les documents et les audits représente plusieurs heures de travail chaque semaine. eAviora construit lui-même chaque mois le dossier sécurité du comité à partir des dossiers en direct, sans aucun modèle, et des agents IA commentent ce qu’il a calculé : une synthèse du portefeuille de risques (registre, profil de risque et barrières) pour le dirigeant responsable et, pour un point à l’ordre du jour du comité, une proposition de décision avec des actions correctives candidates que le comité accepte, modifie ou rejette.

Ces quatre cas d’usage partagent deux propriétés : leur périmètre est clairement délimité, et la production passe par un relecteur humain avant d’avoir un effet opérationnel.

La liste des opérations où l’IA ne doit pas décider seule est courte et importante. C’est aussi le meilleur test pour savoir si le discours d’un fournisseur sur l’IA est responsable ou purement marketing.

• Clôturer une CAPA. La clôture exige une vérification d’efficacité, c’est-à-dire un jugement, fondé sur des éléments probants opérationnels, sur le fait que l’action a atteint le résultat visé. L’IA peut proposer ; seul un humain nommé peut signer.
• Arrêter la classification d’un événement. La classification a des conséquences réglementaires. L’IA peut proposer ; le gestionnaire de la sécurité arrête la classification.
• Signer une vérification d’efficacité. La signature du vérificateur est un engagement personnel. L’IA ne peut pas signer.
• Transmettre des déclarations destinées à l’autorité. Toute déclaration à une autorité sur la conformité, la situation ou le statut est un document signé par un humain.
• Prononcer des sanctions dans le cadre de la culture juste. L’arbre de décision de la culture juste est une conversation humaine qui implique l’examen d’un comité et la validation du dirigeant responsable. L’IA n’entre pas dans cette boucle.
• Modifier le profil de risque de sécurité en contournant les dossiers sous-jacents. Le SRP est une vue déduite, pas un état affirmé.
• Toute mesure ayant un effet opérationnel sur l’aéronef, l’équipage ou les passagers. Les décisions opérationnelles reviennent à des humains qualifiés dans des rôles définis.

Le principe est constant : l’IA propose, l’humain qualifié décide. Un fournisseur dont la feuille de route IA brouille cette ligne propose des fonctionnalités qui ne résisteront pas à un audit de l’autorité.

Il ne s’agit pas d’exemples théoriques. eAviora fournit une flotte d’agents IA spécialisés et le copilote agentique eAvy, tous en service, tous sous contrôle strict d’un humain dans la boucle. Les trois modèles à plus forte valeur, tels qu’ils sont livrés :

L’agent d’évaluation des risques. Il lit le récit de l’événement, les champs structurés et la taxonomie de l’exploitant. Il propose une classification principale, une bande de gravité et un lien candidat avec un danger, chacun avec un score de confiance. Le gestionnaire de la sécurité examine la proposition à côté du récit, puis l’accepte, la modifie ou la rejette, et cette décision est consignée comme une entrée de piste rejouable.

Le proposeur d’actions correctives. Il lit la constatation (issue d’un audit ou d’un événement), la section de procédure concernée, l’historique des actions sur des constatations similaires et le style d’action de l’exploitant. Il rédige une action corrective avec sa justification, une suggestion de rôle responsable, une proposition d’échéance et des critères de vérification d’efficacité. Le responsable de l’action la revoit et la modifie avant son ouverture.

Le rédacteur de bulletins dépersonnalisés. Il transforme une enquête clôturée en projet de bulletin de sécurité, débarrassé du déclarant et de tout détail permettant une identification, prêt pour une approbation humaine avant sa diffusion au personnel. La leçon circule ; le déclarant, non.

Le copilote eAvy. À côté des agents spécialisés, eAvy est un assistant agentique conversationnel qui lit les événements, suit les liens entre les dossiers, retrouve les cas similaires et rédige l’étape suivante, en présentant chaque écriture proposée sur une carte d’approbation en un clic que l’humain qualifié accepte, modifie ou rejette. La confidentialité est appliquée à chaque lecture : eAvy ne peut pas voir un dossier que les propres règles de confidentialité de l’exploitant masqueraient.

Chaque écriture d’agent ou du copilote passe, selon son niveau de confiance, par une file de revue dotée d’un registre accepter / modifier / rejeter que la base de données elle-même fait respecter, et chaque exécution est consignée et rejouable. Rien n’atteint un dossier opérationnel sans qu’un humain nommé l’ait validé.

L’humain dans la boucle (HITL) est le modèle structurel qui distingue une IA aéronautique défendable d’une IA qui ne l’est pas. Il se déroule en quatre étapes :

1. L’IA propose. Classification, projet, synthèse, signal : l’agent produit une proposition.
2. Le système consigne. La piste d’audit enregistre l’agent, le modèle, la consigne, les données d’entrée, la proposition et le score de confiance.
3. L’humain qualifié examine et décide. Un humain nommé, dans le rôle approprié à la décision, approuve, modifie ou rejette.
4. La plateforme rejoue. Trois ans plus tard, l’autorité peut rejouer l’exécution de l’agent, voir les données d’entrée, la proposition, l’approbation humaine et le résultat.

Le modèle HITL est aussi le test de la maturité d’un fournisseur. Demandez : montrez-moi l’historique des exécutions de l’agent. Montrez-moi un exemple de journal. Rejouez une exécution d’il y a six mois avec les données d’entrée d’origine. Le fournisseur propose ces capacités ou ne les propose pas. Un discours marketing sur « l’IA explicable » sans l’infrastructure d’audit sous-jacente n’a pas la même forme.

En sécurité aérienne, l’exigence d’auditabilité de l’IA est la même que celle du SGS lui-même : trois ans plus tard, l’autorité doit pouvoir reconstituer ce qui s’est passé, pourquoi et sous quelle autorité.

Traçabilité de chaque exécution. Chaque exécution d’IA a un identifiant unique et un horodatage. L’agent, le modèle, la version du modèle, la consigne, les données d’entrée, la production structurée, le score de confiance, le relecteur humain, la décision humaine et toute modification sont consignés.

Capacité de rejeu. À partir des données d’entrée d’origine, la plateforme peut relancer le même agent avec la même version de modèle et produire la même proposition. Ce n’est pas trivial : cela suppose de figer les versions des modèles et de conserver la consigne mot pour mot.

Isolation entre clients. Les exécutions d’IA sont cantonnées à l’espace de l’exploitant. eAviora n’exploite aucune chaîne d’entraînement de modèles : les données de l’exploitant n’entraînent donc rien ici, et le fournisseur d’IA déclare ne pas s’entraîner sur les données d’entrée ni sur les productions.

Une piste en ajout seul. Le journal d’audit est en ajout seul. Un relecteur ne peut pas modifier l’historique ; il peut seulement ajouter une entrée corrective, visible à côté de l’originale.

Ensemble, ces capacités rendent l’IA en sécurité aérienne défendable. Demandez aux fournisseurs comment chacune est mise en œuvre : leurs réponses vous diront si la plateforme a été conçue pour l’audit ou pour la démonstration.