Quand l'agent se trompe : la situation, le problème, et ce que nous en faisons

Un cas hypothétique, mais parfaitement ordinaire — et notre réponse

La situation

Imaginez un réseau de cliniques qui a mis notre agent sur la prise et la confirmation de rendez-vous. L'agent travaille sur WhatsApp et au téléphone, voit le planning, déplace les créneaux, annule des rendez-vous et rembourse les acomptes.

Un vendredi soir, l'employée qui valide habituellement les remboursements part et éteint son téléphone. Le samedi, une patiente demande l'annulation et le remboursement. L'agent constate que l'annulation est autorisée et que le remboursement est « dans le périmètre de l'autorisation », et fait les deux. Le lundi, on découvre que l'employée avait révoqué les droits de remboursement le vendredi — mais la révocation vivait dans un autre système, et l'agent n'en a rien su.

L'argent est parti au mauvais patient, pour le mauvais montant. La clinique nous pose trois questions : qui a autorisé cela, pourquoi l'agent ne s'est-il pas arrêté, et que pouvez-vous nous montrer.

Le problème

Le problème n'est pas que le modèle s'est trompé. Le problème est que le système n'avait pas de réponse à trois choses à la fois.

Premièrement. L'autorisation vivait séparément de l'action : le droit de rembourser était révoqué à un endroit et exercé à un autre, sans lien entre les deux.

Deuxièmement. Personne n'avait décrit ce qui se passe lorsque la personne qui valide est injoignable. Par défaut, le système s'est comporté comme « autorisé » plutôt que comme « interdit ».

Troisièmement. Il restait à la clinique un journal. Détaillé, propre et inutile : il ne permettait pas de savoir sur quelle base l'action avait été autorisée, ni si cette base était valide à cette seconde-là.

Ce n'est pas exotique. C'est à peu près à quoi ressemble tout retour d'incident sur un agent : l'autorisation, la décision et l'exécution vivent à des endroits différents, et les preuves sont rassemblées après coup sans répondre à la question principale.

Comment nous le résolvons

Nous ne promettons pas que l'agent ne se trompera jamais. Nous construisons pour qu'une erreur soit bornée, arrêtable et vérifiable.

Une autorisation avec des limites et une échéance. L'agent agit dans un mandat accordé : quelles actions, jusqu'à quel montant, dans quels canaux, jusqu'à quand. Remboursement, signature, publication — soit hors du mandat, soit via une confirmation humaine.

Une règle pour le cas où personne n'est joignable. Nous décrivons à l'avance ce qui est permis sans le propriétaire et ce qui ne l'est pas. Refusé par défaut. Une révocation arrête l'action suivante, pas la conversation suivante.

Un enregistrement qui répond à « sur quelle base ». Chaque action significative laisse une trace : quelle autorisation, quelle décision, ce qui a été envoyé, ce qui s'est réellement produit côté destinataire — et, séparément, ce que nous n'avons pas mesuré. Ce dernier point compte : un enregistrement qui prétend être complet est pire qu'un enregistrement qui marque ses lacunes.

Une analyse, pas une excuse. Nous reprenons l'incident selon des scénarios définis d'avance — refus au point de décision, preuve périmée, autorité injoignable, révocation après envoi — et montrons lequel a tenu et lequel n'a pas tenu.

Le contrat. Ce qui compte comme incident, en combien d'heures nous le signalons, qui répond du retour arrière et dans quelles limites. Sans cela, les quatre points précédents sont des promesses.

Ce que le client y gagne

Dans le même exemple : le remboursement ne passe pas, parce que le droit a été révoqué et que la révocation est vérifiée au moment de l'action ; si l'employée est absente, une frontière convenue à l'avance s'applique plutôt qu'une supposition ; et le lundi, la clinique dispose non pas d'un « journal » mais d'une analyse — pourquoi le système a agi ainsi, ce qui est prouvé, et ce qui reste hors mesure.

Ce que nous ne faisons pas

Nous ne vendons pas de certificat de conformité. Nous ne prétendons pas avoir prouvé qu'un agent est sûr en général. Nous ne prétendons pas prouver seuls que le destinataire a exécuté exactement cette action — une partie de la garantie vit chez l'exécutant et la cible, et nous le disons clairement.

Si vous le souhaitez, nous parcourons votre cas : où se situe aujourd'hui la frontière de l'autorisation, ce qui se passe si le responsable disparaît, et à quoi ressemblera l'enregistrement après un incident.