Le risque d'un projet peut se discuter au mauvais moment. Prenons un dossier prêt, un sponsor pressé, une équipe qui a investi des semaines. La question « jusqu'où accepte-t-on que ça tourne mal ? » arrive alors comme une objection. Or une objection se négocie.
La sûreté nucléaire a traité ce problème dès 1967 en posant la frontière avant d'examiner les installations. Les agents IA et l'expérimentation produit remettent aujourd'hui ce réflexe au centre. Un agent peut agir sans relecture sur des milliers de dossiers. Une expérimentation touche de vrais clients. Dans les deux cas, la vitesse d'exécution dépasse la vitesse à laquelle un comité peut délibérer au cas par cas. Seule une frontière écrite à l'avance tient ce rythme.
D'où vient la matrice de Farmer ?
Elle vient d'une communication de Frank Reginald Farmer (1914-2001), spécialiste de la sûreté à l'autorité britannique de l'énergie atomique. Intitulée Siting Criteria, A New Approach, elle est présentée au symposium de l'AIEA sur le confinement et l'implantation des centrales nucléaires, à Vienne, du 3 au 7 avril 1967.
Farmer y proposait une approche quantitative. Chaque scénario d'accident y est placé selon deux axes, sa fréquence attendue et l'ampleur de ses conséquences. Une courbe sépare ensuite l'acceptable de l'inacceptable. Tracée en échelles logarithmiques, elle forme une droite qui traduit une règle simple. Un événement deux fois plus grave doit être au moins deux fois plus rare.
Le tableau à cases que l'on appelle aujourd'hui « matrice de Farmer » est une simplification ultérieure de cette courbe, largement reprise dans l'analyse de risques industrielle. Cet article reprend un rapprochement avec le management proposé par Florence Pignot. Coach de dirigeants, elle applique la grille aux risques humains d'une équipe, comme un conflit entre managers ou une décision qui ne se prend pas. Il est ici prolongé vers deux autres terrains.
Que change-t-elle pour un dirigeant ?
Elle déplace la discussion du « combien de chances ? » vers le « quelle conséquence ? ». La probabilité se prête à tous les arrangements. Un porteur de projet convaincu tend à la voir faible. La gravité, décrite en conséquences concrètes, résiste mieux à l'enthousiasme.
Une ligne fermée, quelle que soit la probabilité
La courbe de Farmer reste un compromis, puisqu'un événement très grave y devient acceptable s'il est assez rare. Cet article défend une règle plus stricte pour un comité de direction. Au-dessus d'un certain niveau de gravité, aucune probabilité ne rachète le risque. Ce plafond ne se calcule pas. Il se décide, par des personnes qui en répondront, avant que le premier dossier ne soit sur la table.
Le droit européen a pris le même pli. Le règlement (UE) 2024/1689 sur l'intelligence artificielle interdit certaines pratiques depuis le 2 février 2025, sans pondération par leur probabilité d'abus.
Pourquoi fixer la ligne avant le dossier
Parce que la perception du risque dépend de la façon dont il est présenté. Daniel Kahneman et Amos Tversky ont montré dans Econometrica en 1979 que les pertes pèsent davantage que les gains équivalents et que les faibles probabilités sont mal pondérées. Un même risque paraît donc tolérable ou inacceptable selon son cadrage. La théorie des perspectives appliquée à la décision détaille ces effets. Écrire la ligne à froid les neutralise en partie.
Comment utiliser la grille ?
On place chaque scénario dans une case selon sa gravité et sa probabilité, puis on applique la règle de la zone. La grille ci-dessous compte quatre niveaux de gravité et trois de probabilité. Chaque case donne un exemple pour un agent IA et un exemple pour une expérimentation produit.
| Gravité | Rare | Possible | Fréquente |
|---|---|---|---|
| Mineure corrigée en minutes, sans tiers touché |
Acceptable, on décide seul. IA, un résumé interne mal titré. Produit, un libellé de bouton peu clair en test A/B. |
Acceptable, on décide seul. IA, un brouillon de note à reformuler. Produit, une variante d'écran qui convertit moins pendant une semaine. |
Conditionnel, on surveille. IA, un classement de tickets souvent à reprendre. Produit, un prototype qui agace les testeurs à chaque session. |
| Significative réparable, coût ou gêne visible |
Acceptable, on trace. IA, une relance client envoyée en double. Produit, un bug d'affichage chez quelques utilisateurs pilotes. |
Conditionnel, un humain valide. IA, une réponse client fausse sur un délai. Produit, une offre tarifaire testée qui mécontente une partie des clients. |
Refusé en l'état. IA, des erreurs de saisie comptable récurrentes. Produit, un test qui dégrade chaque jour le parcours principal. |
| Grave préjudice réel, réparation longue |
Conditionnel, validation humaine et arrêt possible. IA, un courriel contractuel engageant envoyé sans relecture. Produit, une fonction qui expose des données d'un client à un autre. |
Refusé en l'état. IA, un agent qui modifie des droits d'accès. Produit, un test sur les prix mené sans information des clients. |
Refusé. IA, un tri de candidatures sans contrôle humain. Produit, un parcours de résiliation volontairement dégradé. |
| Refusée atteinte à une personne, faute juridique, perte irréversible |
Refusé, quelle que soit la rareté. IA, un agent autorisé à effectuer seul un virement. Produit, une expérimentation sur un dispositif lié à la sécurité des personnes. |
Refusé. IA, une décision automatisée sur la situation d'un salarié. Produit, un test qui collecte des données personnelles sans base légale. |
Refusé. IA, un agent qui supprime des données sans sauvegarde. Produit, un lancement qui contourne une obligation réglementaire. |
Construire sa propre grille en quatre étapes
- Écrire la ligne de gravité refusée. En comité, avant tout dossier, nommer les conséquences qu'on refuse quelle que soit leur probabilité.
- Décrire l'échelle de gravité en conséquences concrètes. Ce qui arrive à un client, à un salarié, aux comptes, à la réputation. Un adjectif comme « important » ne classe rien.
- Placer chaque scénario en notant d'où vient la probabilité. Fréquences observées ou estimation, la case ne vaut pas la même chose.
- Associer une règle d'action à chaque zone. Décider seul en zone acceptable, poser un garde-fou humain en zone conditionnelle, refuser ou redessiner le projet en zone refusée.
Faut-il confier cette tâche à un agent IA ?
Oui, si le pire résultat plausible de la tâche reste dans la zone acceptable ou conditionnelle. La question utile n'est pas « l'agent est-il fiable ? » car elle appelle une probabilité invérifiable. C'est « que se passe-t-il s'il se trompe et qui le voit ? ».
Trois critères pour placer la tâche
- La réversibilité. Un brouillon se corrige. Un virement, un courriel à un client ou une suppression ne se rattrapent pas. Une action irréversible monte d'un cran de gravité.
- Le volume. Un agent répète son erreur sur tous les dossiers qu'il traite. Une faute mineure par dossier devient significative à l'échelle d'un portefeuille.
- La visibilité. Une erreur que personne ne détecte avant le client se range une ligne plus haut que la même erreur interceptée en interne.
La zone conditionnelle se traduit en points d'arrêt concrets, comme une validation humaine avant tout envoi externe ou un plafond de montant. Il faut aussi désigner qui a le droit de couper l'agent. Manager des agents IA revient à cadrer puis vérifier. La matrice dit où placer la vérification. Les droits d'accès d'un agent relèvent de la ligne grave, ce qui explique pourquoi la cybersécurité IA se traite en CODIR autant qu'à la DSI.
La ligne fermée protège aussi la souveraineté humaine face à un agent IA autonome. Une décision qui touche la situation d'une personne ne se délègue pas, même si l'agent se trompe rarement. Plus un système monte en autonomie, plus cette ligne compte. Elle sert enfin de filtre quand une alerte publique sur l'IA arrive en comité, car elle indique tout de suite si le scénario évoqué touche une conséquence déjà refusée.
Faut-il lancer cette expérimentation produit ?
Oui, si l'échec le plus probable reste dans la zone acceptable et si l'échec le plus grave ne franchit pas la ligne fermée. Une expérimentation est faite pour échouer souvent. La matrice ne cherche donc pas à réduire la probabilité d'échec. Elle borne ce que coûte un échec.
La perte acceptable, cousine de la matrice
Saras Sarasvathy a formalisé en 2001, dans l'Academy of Management Review, la logique des entrepreneurs expérimentés. L'un de ses principes consiste à engager ce qu'on accepte de perdre plutôt que viser un rendement attendu. La matrice de Farmer rend ce principe opposable en comité, puisqu'elle écrit la perte refusée avant le lancement. Leur combinaison rappelle que l'effectuation ne se limite pas forcément aux start-ups.
Redessiner plutôt que refuser
Un test en zone refusée peut se redessiner pour descendre d'une ligne. On réduit l'échantillon, on informe les participants, on garde une voie de retour arrière, on exclut les clients les plus exposés. La gravité baisse sans que l'apprentissage disparaisse. Une grille partagée accélère aussi la décision, parce qu'une équipe qui connaît la ligne n'a plus à demander l'autorisation pour tout ce qui reste en dessous.
Où la matrice cesse-t-elle de protéger ?
Elle cesse de protéger dès qu'on prend ses cases pour des mesures. Deux limites comptent pour un dirigeant, la probabilité déguisée et l'événement que les fréquences n'ont jamais vu.
Une probabilité souvent estimée à l'œil
L'ingénierie de sûreté s'appuie sur des bases de fiabilité des équipements. Un comité qui évalue un agent IA ou un test produit en a rarement. La case « possible » traduit alors une impression. Les biais cognitifs qui faussent la décision la déplacent sans bruit. Louis Anthony Cox a montré dans Risk Analysis en 2008 que les matrices de risques ont une résolution faible. Elles attribuent parfois la même note à des risques très différents, voire une note plus élevée au risque le plus petit.
Les événements que les fréquences n'ont jamais vus
Un événement rare à conséquences extrêmes n'apparaît pas dans l'historique, justement parce qu'il est rare. Nassim Nicholas Taleb a popularisé en 2007 le nom de cygne noir pour désigner ce phénomène. Pour la matrice, la conséquence est pratique. La colonne « rare » regroupe des événements qu'on sait estimer et d'autres qu'on ignore. La ligne fermée compense en partie ce défaut, puisqu'elle ne dépend pas de la probabilité.
| Repère | Apport pour la grille | Source |
|---|---|---|
| Courbe de Farmer | Frontière entre acceptable et inacceptable, un événement deux fois plus grave devant être au moins deux fois plus rare | F. R. Farmer, Siting Criteria, A New Approach, symposium AIEA, Vienne, avril 1967 |
| Théorie des perspectives | Le cadrage d'un risque change sa perception, d'où l'intérêt de fixer la ligne à froid | Kahneman et Tversky, Econometrica, 1979 |
| Perte acceptable | Engager ce qu'on accepte de perdre plutôt que viser un rendement attendu | Sarasvathy, Academy of Management Review, 2001 |
| Cygne noir | Les événements extrêmes échappent aux fréquences observées | Taleb, The Black Swan, 2007 |
| Critique des matrices | Résolution faible, notes identiques pour des risques très différents, inversions possibles | Cox, What's Wrong with Risk Matrices?, Risk Analysis, 2008 |
| Pratiques d'IA interdites | Des interdictions posées sans pondération par la probabilité | Règlement (UE) 2024/1689, applicable à ces pratiques depuis le 2 février 2025 |
Dernière limite, la matrice ne dit rien des risques qui se cumulent. Dix tâches confiées à dix agents peuvent chacune rester acceptables alors que leur combinaison ne l'est plus. Il faut donc relire la grille à l'échelle du portefeuille autant que dossier par dossier.
Questions fréquentes
La courbe, présentée par F. R. Farmer en 1967, est une droite tracée en échelles logarithmiques qui échange gravité contre rareté. La matrice en est une version simplifiée en cases, plus facile à discuter en réunion mais moins précise.
Par la ligne fermée. Réunir les personnes qui répondront des conséquences et écrire ce que l'organisation refuse, quelle que soit la probabilité. Le reste de la grille se construit ensuite dossier après dossier.
La grille s'y applique souvent plus simplement, car la ligne fermée peut tenir en quelques phrases que le dirigeant peut écrire seul. Une perte de trésorerie ou d'un client clé y monte vite dans la ligne grave, ce qui rend l'exercice encore plus utile.
Aucune durée de référence n'est établie. La ligne fermée et l'échelle de gravité demandent un temps de discussion en comité, puis le placement des scénarios s'accélère une fois ces bases posées. La grille se relit à chaque changement de périmètre, par exemple quand un agent obtient de nouveaux droits.
Ceux qui en répondront devant un client, un salarié ou un régulateur, donc la direction. Les équipes placent les scénarios dans la grille. Elles ne déplacent pas la ligne.
La matrice de Farmer ne rend pas une décision plus sûre par magie. Elle change le moment où l'on parle du pire, en le sortant de la négociation de fin de dossier pour en faire une règle posée à froid. Pour un agent IA comme pour un test produit, cette règle libère plus qu'elle ne bride, parce que tout ce qui reste sous la ligne peut avancer sans attendre.
Vous voulez tracer votre ligne avant le prochain dossier ?
J'accompagne managers et CODIR depuis 2012. Un premier échange permet de regarder ensemble les décisions risquées qui vous attendent.
Réserver un échange découverte (30 min)
