Gouvernance

La sécurité n'est pas confiée au modèle : elle est écrite dans le code

Un service public qui parle de santé à des millions de personnes ne peut pas reposer sur la bonne volonté d'un modèle génératif. Dans CONGO VOICE AI OS, ce qui protège une personne — la détection des signes de danger, le niveau de gravité, le déclenchement d'une escalade, le texte d'urgence — relève de règles écrites, versionnées, testées et rejouables. Le modèle sert à comprendre, à expliquer et à résumer. Il ne décide pas.

Pilote — préparation du déploiement nationalComités de revue en cours de constitutionJournal d'audit vérifié chaque jour

Principe de séparation

Deux systèmes, deux rôles, aucune confusion

La distinction n'est pas rhétorique : elle correspond à deux parties distinctes du logiciel, écrites, testées et déployées séparément.

Ce que décident les règles

La détection des signes de danger, par mots-clés, dans les cinq langues, avant tout appel à un modèle.
Le niveau de gravité de 0 à 4, calculé par un arbre de décision versionné à partir des réponses recueillies.
Le déclenchement d'un drapeau rouge, qui interrompt l'arbre et impose immédiatement la gravité maximale.
L'obligation d'escalader, la file d'attente destinataire et le délai de prise en charge.
Le texte d'urgence et les consignes de route, fixes et traduits à l'avance.
Le refus de toute formulation de diagnostic ou de posologie dans la réponse finale.

Ce que fait l'intelligence artificielle générative

Transcrire la parole, reconnaître la langue et gérer les phrases qui mélangent deux langues.
Extraire ce qui a été dit — symptômes, durées, âge — pour alimenter l'arbre de décision.
Expliquer, dans la langue de la personne, une décision qui est déjà prise et figée.
Résumer l'échange pour l'agent qui rappellera.
Décrire ce qu'une photo de culture ou d'animal montre, à charge pour les règles d'en tirer les conséquences.

La règle la plus importante du système

Le modèle ne peut jamais abaisser une gravité décidée par les règles. Les autres signaux — grossesse, nourrisson, confiance basse, divulgation de violence, absence de source — ne peuvent que la relever. Seule une personne habilitée peut abaisser un niveau, et uniquement en écrivant un motif, qui est enregistré avec la valeur d'origine, son nom et l'heure.

Chaîne de responsabilité

Qui décide quoi, et ce qui en reste

Chaque décision du système a un responsable désigné et une trace. Ce tableau est la référence utilisée pour les revues et les audits.

Décision	Qui décide	Ce qui est enregistré
Niveau de gravité 0 à 4 d'une situation de santé	Le moteur de protocoles : un arbre de décision versionné, écrit en JSON, relu et rejoué à l'identique. Aucun modèle de langage n'intervient.	Identifiant et version du protocole, réponses collectées, identifiants des règles déclenchées, niveau retenu, délai d'action.
Abaisser une gravité déjà décidée	Uniquement une personne habilitée. Le système, lui, ne peut jamais abaisser : les autres signaux ne font que relever le niveau.	Valeur proposée par le système, valeur retenue par la personne, motif écrit obligatoire, auteur, horodatage, ligne d'audit chaînée.
Escalader vers un humain	Des règles de risque déterministes : gravité, confiance basse sur un cas de santé, absence de source, divulgation de violence, demande explicite du citoyen.	Cas ouvert, file d'attente responsable, motif d'escalade, horloge de prise en charge.
Contenu d'un conseil de santé ou d'agriculture	Les documents de référence approuvés, sélectionnés avant la génération. Le modèle explique, il n'invente pas la recommandation.	Identifiants des documents cités ; en l'absence de source approuvée, un événement de violation de contrat et le texte de repli servi à la place.
Message d'urgence prononcé au citoyen	Un texte fixe, écrit et traduit à l'avance dans les cinq langues. Il ne passe par aucun modèle.	Interaction, langue, heure, alerte envoyée au relais communautaire, cas de gravité maximale.
Ouverture d'un dossier de protection	Des règles de détection dans les cinq langues, complétées par le signalement d'un agent. Le dossier est restreint dès son ouverture.	Catégorie, caractère mineur ou non, rôle propriétaire, statut, notes en accès restreint. Aucun détail ne circule dans les notifications ordinaires.
Consommation d'intelligence artificielle	La passerelle IA, seul point du système qui appelle un fournisseur.	Tâche, unités mesurées, unités de calcul normalisées, module, langue, canal, organisation, horodatage.
Accord ou retrait d'un consentement	La personne concernée, ou l'agent qui l'assiste et qui doit le déclarer comme tel.	Finalité, sens de la décision, version du script lu, langue, méthode, contexte de représentation, horodatage.
Effacement des données d'une personne	La personne demande ; un administrateur exécute, dans le délai légal de trente jours.	Demande, échéance, exécution, jeton de remplacement non réversible. Le journal d'audit, lui, est conservé : il prouve ce que le programme a fait.

Échelle de gravité

Cinq niveaux, une conduite à tenir, une horloge

Le niveau est calculé par le moteur de protocoles. Il détermine ce qui est dit au citoyen, la file d'attente saisie et le délai dans lequel un humain doit avoir pris le cas en charge.

Niveau	Conduite à tenir	Délai de prise en charge
0 — auto-prise en charge	Conseils à domicile, aucune consultation nécessaire	Pas d'horloge
1 — surveillance à domicile	Surveiller, revenir si les signes changent	72 heures
2 — centre de santé sous 24 heures	Consultation dans la journée qui suit	24 heures
3 — centre de santé aujourd'hui	Consultation le jour même	4 heures
4 — urgence immédiate	Départ immédiat, message d'urgence, alerte d'un relais	15 minutes

Les listes de signes de danger et la conduite à tenir sont publiées côté citoyen sur la page urgence, dans les cinq langues et dans les mots exacts que le service prononce.

Ancrage documentaire

Aucun conseil sans source approuvée

Toute recommandation de santé ou d'agriculture doit citer au moins un document de la base de connaissances approuvée, ou l'identifiant du protocole dont elle découle. Les documents sont des fichiers versionnés portant leur autorité d'origine, leur version, leur zone géographique, leur niveau de preuve, leur approbateur et leur date de revue ; ils sont chargés avec une empreinte, et seuls ceux dont le statut est « approuvé » peuvent être retrouvés par le service.

La recherche documentaire s'exécute avant la rédaction, et elle est orientée vers les documents sur lesquels le protocole lui-même est bâti. Les identifiants annoncés par le modèle sont ensuite revérifiés en base : un identifiant qui n'existe pas ou qui n'est pas approuvé est écarté.

Si, après cette vérification, il ne reste aucune source :

la réponse rédigée est remplacée par un texte de repli, qui oriente vers le centre de santé et n'affirme rien ;
un événement de violation de contrat est enregistré avec le protocole, sa version, le niveau de gravité et les identifiants revendiqués ;
la revue humaine devient obligatoire et le niveau de gravité ne peut pas rester en dessous du seuil de consultation.

Le même filet existe pour les formulations interdites : toute phrase qui pose un diagnostic ou qui donne une posologie chiffrée est retirée de la réponse, et la coupure est enregistrée.

Protection des personnes

Ce qui se passe quand quelqu'un révèle des violences

Violences physiques ou sexuelles, exploitation, négligence, pensées suicidaires, foyer dangereux, mariage forcé : ces divulgations suivent un circuit distinct, restreint, qui ne passe pas par les files d'attente ordinaires.

1
La divulgation est reconnue
Des listes de formulations dans les cinq langues, volontairement larges, complétées par le signalement du modèle. La détection ne dépend d'aucun fournisseur.
2
La réponse est écrite d'avance
Le service croit la personne, ne promet jamais le secret, ne demande aucun détail, et nomme l'aide qui existe. Le texte est fixe, traduit et relu ; il n'est jamais généré.
3
Le dossier est restreint dès l'ouverture
Catégorie, caractère mineur, rôle propriétaire et notes protégées. Les notifications ordinaires ne portent qu'une mention neutre, sans aucun détail.

Une divulgation impose une revue humaine quelle que soit la gravité clinique, et relève le niveau de risque au minimum au seuil « consultation le jour même ». Les catégories de danger immédiat — auto-agression, violence sexuelle, foyer dangereux — sont traitées comme une urgence de santé et déclenchent le circuit d'urgence complet.

Supervision humaine

Ce qui amène systématiquement une personne dans la boucle

La gravité

Tout cas de niveau 2 ou plus ouvre un cas assigné à une file d'attente responsable, avec une horloge de prise en charge et une remontée automatique en cas de dépassement.

Le doute

Une confiance basse sur un échange de santé ne reste jamais classée en risque faible : elle est relevée et un humain regarde. Un cas de santé mal compris est un cas à revoir, pas un cas à clore.

Le blocage

Absence de source approuvée, contenu interdit filtré, sortie qui ne respecte pas le contrat attendu : la réponse rédigée n'est pas servie telle quelle et la revue humaine est exigée.

La demande du citoyen

Demander à parler à quelqu'un suffit. Aucune justification n'est requise, aucun parcours de rétention n'est opposé.

La maladie à déclaration

Certaines situations de santé ou d'élevage figurent sur une liste à déclaration obligatoire : elles sont remontées même si le niveau de gravité individuel est bas.

La protection

Toute divulgation relevant de la protection des personnes ouvre un dossier restreint et appelle une personne formée, indépendamment de l'évaluation clinique.

Incertitude

Un vecteur de confiance, pas un score opaque

Un chiffre unique donne l'illusion de la précision et cache l'endroit où le système a réellement douté.

Chaque échange conserve plusieurs dimensions de confiance distinctes plutôt qu'une note globale : la qualité de la transcription, l'identification de la langue, la reconnaissance de l'intention, la solidité des éléments recueillis et la couverture documentaire de la question posée. Elles sont stockées avec l'interaction et visibles par l'agent qui reprend le cas.

C'est la dimension la plus faible, et non la moyenne, qui gouverne le comportement du système. Une transcription douteuse suffit à faire relever le risque d'un échange de santé, même si tout le reste semble clair. Aucune de ces valeurs n'est jamais présentée au citoyen comme une probabilité clinique : le service dit ce qu'il a compris et à quel point il en est sûr, pas ce dont la personne souffre.

Comités de revue

Six comités, et rien de médical sans validation clinique

La structure de données qui enregistre leurs décisions existe déjà — statuts de cycle de vie, approbateur nommé, date d'approbation, version. La constitution des comités est une tâche de programme, préalable au lancement public.

Comité de revue clinique

Approuve chaque version de protocole, chaque script d'urgence, chaque document de santé et chaque consigne de rédaction. Aucun contenu de santé ne part en production sans sa validation.

Comité de protection de l'enfance et d'éducation

Approuve les filtres de contenu destinés aux enfants, le circuit de protection et les résumés transmis aux parents et aux enseignants.

Comité de contenu agricole

Valide les calendriers culturaux, le registre des intrants autorisés, la liste des maladies à déclaration et les seuils d'alerte de propagation.

Comité d'inclusion linguistique

Fixe les seuils de qualité par langue et par canal, valide les corrections des locuteurs natifs et peut ramener une langue en mode guidé.

Comité d'éthique des données

Examine les finalités, les durées de conservation, les règles d'agrégation et tout nouveau flux de données sortant de la plateforme.

Comité de risque modèle

Suit le taux de violations de contrat, le taux de correction humaine, les résultats des campagnes adverses et peut exiger un retour arrière.

État réel aujourd'hui

Les versions de protocoles enregistrées portent la mention d'un approbateur en attente, et non le nom d'une personne. Aucun protocole de santé ne doit atteindre la production tant qu'un responsable clinique nommé ne figure pas dans cette colonne. C'est l'une des conditions de lancement du programme, au même titre que la désignation d'un responsable de traitement, d'un référent protection de l'enfance et d'une autorité de contenu agricole.

Publication

Ce qu'il faut franchir pour changer une règle, une consigne ou un modèle

Évaluation hors ligne — la suite de tests complète s'exécute sans aucune clé d'interface, sur une base de données réelle en mémoire, avec le fournisseur de règles hors ligne. La couverture des règles de sécurité est intégrale : chaque question atteignable, chaque branche parcourue, chaque drapeau rouge menant bien à la gravité maximale.
Régression de sécurité et campagnes adverses — demandes d'automédication dangereuse, mésusage de pesticides, fausse réassurance devant une urgence, sources fabriquées, injection de consignes, contenus inappropriés pour un enfant. Un manqué sur un cas de gravité maximale bloque la publication.
Validation par un relecteur de langue — un locuteur natif valide les formulations avant toute mise en service dans sa langue.
Coût, latence et revue de vie privée — la revue de vie privée est obligatoire dès qu'un flux de données change.
Déploiement progressif puis retour arrière — mise en service par paliers avec surveillance des garde-fous et possibilité de revenir en arrière.

Les statuts de cycle de vie et l'enregistrement des campagnes d'évaluation sont en place ; un protocole en brouillon ou retiré est refusé au chargement. Le déploiement par paliers automatisé et le retour arrière automatique sont prévus en phase 3 : aujourd'hui, ces deux étapes sont opérées manuellement.

Fournisseurs d'IA

Interchangeables, invisibles, sans accès à l'identité des citoyens

Un seul point de passage. Une passerelle unique est le seul endroit du système qui sait quel fournisseur est utilisé. Le reste de la plateforme demande une capacité — transcrire, comprendre, expliquer, décrire une image, synthétiser une voix — et ignore qui l'exécute.
Des chaînes de repli configurables. Chaque capacité dispose d'un ordre de fournisseurs modifiable par configuration, terminé par un fournisseur de règles hors ligne. Changer de fournisseur est un paramètre, pas une réécriture.
Rien ne fuit vers le client. Ni nom de fournisseur, ni consigne système, ni clé d'interface n'atteint jamais un navigateur ou un téléphone. Les messages d'erreur ne contiennent aucune trace de fournisseur, aucune requête de base de données et aucun secret.
Aucun identifiant n'accompagne un appel. Le fournisseur reçoit le contenu strictement nécessaire — un extrait audio, un texte pseudonymisé, une photo dont les métadonnées ont été retirées — jamais un nom, un numéro de téléphone ou un identifiant de dossier. Le lien avec une personne n'est fait qu'à l'intérieur de la plateforme.
Aucun entraînement par défaut. Les données des citoyens ne servent pas à entraîner les modèles de tiers. Les échantillons de corpus linguistique ne sont exportables que dé-identifiés, sous consentement de recherche, avec un export tracé ; aucun ajustement de modèle n'est automatique.
Tout appel est mesuré. Capacité, clé interne du fournisseur, durée, succès ou échec, unités consommées : chaque appel laisse une ligne, ce qui rend la dépendance à un fournisseur visible et chiffrable.

Modes dégradés

Ce qui continue de fonctionner quand quelque chose tombe

La question n'est pas si un fournisseur tombera, mais ce que le citoyen reçoit ce jour-là. Les chemins de sécurité ne contiennent aucun appel de modèle : ils survivent par construction.

Panne	Comportement du service
Un fournisseur d'IA tombe	La passerelle passe au suivant dans la chaîne, avec la même requête. Le citoyen ne voit rien.
Tous les fournisseurs d'IA tombent	Le fournisseur de règles hors ligne prend le relais : les arbres de protocoles tournent, les explications viennent du texte approuvé, chaque réponse porte un signal de confiance basse.
La reconnaissance vocale est indisponible	Passage au mode écrit ou au menu guidé par touches, sur USSD ou par serveur vocal.
Le plafond mensuel d'un programme est atteint	L'IA non urgente bascule en mode scripté. Les garde-fous ne s'éteignent jamais.
Le téléphone du citoyen est hors ligne	Les notes vocales et les photos attendent dans le téléphone et repartent seules, sans doublon, au retour du réseau.
Un canal de notification tombe	Bascule WhatsApp vers SMS puis vers appel vocal, avec relances et événements de livraison.

Sans aucun fournisseur configuré, la plateforme fonctionne en mode règles : arbres de protocoles, menus, scripts d'urgence, rappels, cas et rapports continuent. La qualité du service se dégrade ; le service ne s'arrête pas.

Journal d'audit

Une trace qu'on ne peut pas réécrire sans que cela se voie

Toute action privilégiée et tout changement significatif d'un cas écrivent une ligne d'audit contenant l'auteur, son rôle, l'entité concernée, l'état avant, l'état après, la finalité, l'identifiant de trace, l'organisation et l'adresse d'origine. Cette ligne est ensuite chaînée : son empreinte est calculée à partir de l'empreinte de la ligne précédente et de son propre contenu, une chaîne par journée civile.

Une vérification quotidienne recalcule la chaîne de la veille et détecte trois choses : une ligne modifiée, une ligne supprimée et une ligne insérée après coup. Une rupture déclenche une alerte à accusé de réception obligatoire. La consultation du journal est elle-même journalisée, et le journal survit à un effacement : il ne contient aucune donnée personnelle en texte libre, il constitue la preuve de ce que le programme a fait.

À côté du journal, un registre d'événements en écriture seule enregistre chaque changement d'état notable avec une enveloppe standard : type, agrégat, auteur, trace, classification, contenu. C'est de ce registre que dérivent la reprise de session, les projections analytiques et les rejeux.

Transparence

Ce qui n'est pas encore en place

Les six comités de revue ne sont pas constitués : les protocoles portent un approbateur en attente, pas un nom.
Le cloisonnement au niveau des lignes de la base de données est prévu en phase 3 ; aujourd'hui il est appliqué par l'application, pas par le moteur de base de données. C'est le point de sécurité ouvert le plus important.
Les corpus annotés et les jeux d'évaluation de référence par langue sont des livrables de terrain, pas des tâches de code : sans eux, aucun seuil de qualité par langue ne peut être mesuré.
Le corpus adverse multilingue complet reste à constituer ; les garde-fous déterministes ont chacun leurs tests ciblés.
Le déploiement par paliers et le retour arrière automatiques sont prévus en phase 3 ; ces étapes sont manuelles aujourd'hui.
L'audit d'accessibilité par un tiers indépendant n'a pas encore eu lieu.
La règle de suppression des petits effectifs sous le niveau de la zone de santé est appliquée dans les rapports ; son câblage complet dans les tableaux de bord de santé reste à finir.
L'export quotidien du journal d'audit vers un stockage froid est prévu en phase 3.

Une erreur de compréhension, une orientation dangereuse ou une faille peuvent être signalées à contact@congovoicecd.com. Les questions de protection des données vont à contact@congovoicecd.com. Voir aussi la notice de protection des données et le modèle de financement.

Vous devez auditer ce service avant de l'ouvrir dans votre province ?

Les protocoles, les jeux de tests, le journal d'audit et le registre des traitements peuvent être présentés à une autorité de tutelle, à un comité d'éthique ou à un évaluateur indépendant.

Demander une revue Comprendre le programme