Mise en attente

Chaque action est notée selon ce qu’il coûterait de l’annuler : un nouveau bénéficiaire, un gros montant, un motif que le registre a déjà vu. Au-dessus du seuil de risque, l’action échoue fermée et attend le responsable du couloir.

Le silence vaut non. Une attente sans réponse expire, et une attente expirée ne s’exécute jamais.

Canari de test

Une sonde de test part d’abord. Le registre confirme qu’elle est arrivée, puis le vrai virement suit. Si la sonde échoue, rien d’autre ne bouge.

Le canari est un réglage de la passerelle : l’agent ne peut pas le sauter.

Routage au responsable

Les attentes finance vont à la comptabilité fournisseurs. Les communications vont au marketing. Sous votre niveau, le bouton d’approbation n’existe pas. Un stagiaire peut lancer le bot d’achats ; la validation des 48 200 $ atterrit quand même chez le responsable comptable.

Si le responsable ne répond pas, l’attente remonte la chaîne et l’horloge repart. Les départs sont réacheminés, les congés délégués, et le niveau le plus haut peut exiger deux personnes.

Tokenisation

Les données personnelles deviennent des jetons avant que le modèle ne lise. L’outil renvoie [email protected] ; le modèle voit ⟨client#4821⟩. L’agent ne peut pas fuiter ce qu’il n’a jamais vu.

La sortie de données est contrôlée comme l’argent : 3 200 fiches en partance échouent fermées. Chaque champ qui a franchi la frontière est dans le registre de traçabilité, chaîné. Le routage par résidence, pour que les données européennes restent sur des modèles européens, est sur la feuille de route.

Instantané et retour arrière

Chaque appel destructeur est sauvegardé d’abord : suppressions en base, fichiers, configuration. Annuler est un clic dans la fenêtre prévue.

« Tout annuler » serait un mensonge. Chaque classe d’action reçoit le verbe de récupération le plus fort que la physique permet, et vous savez lequel avant que l’agent n’agisse : réversible pour les écritures et suppressions, retardable pour ce qui quitte l’entreprise, compensable pour les paiements et engagements.

Envois par lots

Les envois massifs partent par lots, arrêtables au n°50, pas au n°2 000. Le courrier sortant a une fenêtre de rappel avant de quitter l’entreprise. Les publications à grande portée sont mises sous séquestre, puis libérées lot par lot.

RIP

RIP, c’est ce que reçoit un agent gelé : plus rien ne passe par la passerelle, chaque appel est refusé avec une raison claire, jusqu’à ce qu’une personne le dégèle. Il se déclenche tout seul sur trois fils-pièges, et à la main depuis n’importe quel appareil.

Trois fils-pièges. Vélocité : des fenêtres CUSUM additionnent les flux sur 24 heures, si bien que cinq paiements de 9 640 $ sont attrapés comme un seul de 48 200 $, dès le deuxième. Rafale : trois attentes en une heure et le moteur gèle l’agent tout seul. Insistance : la même action resoumise après un non humain le gèle sur place.

Un agent gelé ne fait rien passer. Ce qu’il tente encore est refusé en revue, et il reste gelé jusqu’à ce qu’une personne le dégèle.

Notes de conduite

Chaque incident atterrit dans le rapport des quasi-incidents comme une note de conduite par agent, de A à D : dérive hors mandat, insistance après un non, vélocité, activité hors horaires, sortie de données. La confiance vient du registre, pas du bulletin du modèle.

La méthode, les seuils et la grille de notation sont publics : le Ripcord Index.