Guardrails (garde-fous)

Comment ça marche

Un modèle fait ce qu’on lui demande, et parfois ce qu’on ne lui demande pas : il sort du sujet, donne un avis qu’il ne devrait pas, restitue une donnée confidentielle, se laisse entraîner par un utilisateur malin. Les garde-fous sont l’ensemble des mécanismes qui le maintiennent dans son cadre. Ils s’empilent, du plus simple au plus solide.

Le premier étage est dans la consigne : ce que l’outil fait, ce qu’il ne fait pas, comment il refuse. Le deuxième filtre les entrées : détection des tentatives d’injection, des sujets interdits, des données qui ne devraient pas être là. Le troisième contrôle les sorties : format imposé et vérifié, absence de données sensibles, ton conforme. Le quatrième limite les actions : ce que l’outil peut atteindre et modifier. Aucun étage n’est étanche seul ; ensemble, ils réduisent le risque à un niveau acceptable, et mesurable.

Un exemple concret

1. Consigne : répondre uniquement sur les garanties, les démarches et les délais, à partir de la documentation fournie. Pour tout le reste, orienter vers un conseiller. Ne jamais donner d’avis médical ni d’estimation de remboursement personnalisée.
2. Filtre d’entrée : les messages qui ressemblent à une injection ou qui contiennent des données de santé détaillées sont interceptés, avec une réponse qui invite à contacter un conseiller.
3. Contrôle de sortie : chaque réponse est vérifiée par un second modèle : reste-t-elle dans le périmètre, cite-t-elle une source, contient-elle un chiffre non présent dans la documentation ? En cas de doute, une réponse générique remplace la réponse.
4. Actions : aucune. Le chatbot informe ; il ne modifie ni ne consulte de dossier. L’accès au dossier passe par l’espace client authentifié.
5. Tests : 120 scénarios d’attaque rejoués chaque mois, et un rapport.

Le chatbot répond à 70 % des questions sans conseiller. Il n’a jamais donné un chiffre faux, parce qu’il ne peut pas en donner un qui ne soit pas dans la documentation.

Ce que ça change pour une équipe

• On peut exposer l’IA aux clients. Sans garde-fous, un chatbot public est une bombe à retardement. Avec, c’est un service.
• Les règles sont explicites. Ce que l’outil fait et ne fait pas est écrit, testé, et peut être montré à un auditeur ou à un client.
• La qualité se mesure. Les tests de garde-fous donnent un taux : combien de tentatives sont bloquées, combien passent. Un chiffre qu’on suit.
• La conception intègre le risque dès le départ. Un outil pensé avec ses garde-fous est plus simple et plus sûr qu’un outil auquel on les ajoute après un incident.

Les limites et les erreurs fréquentes

• Tout mettre dans la consigne. « Ne réponds jamais sur X » tient jusqu’à la première formulation astucieuse. Les filtres et les limites d’action sont indispensables.
• Des garde-fous trop larges. Un outil qui refuse tout ce qui sort d’un périmètre étroit frustre et n’est plus utilisé. On règle sur des cas réels.
• Ne jamais tester. Les garde-fous qui n’ont jamais été attaqués ne sont que des intentions. Le red teaming fait partie du projet.
• Oublier la mise à jour. Nouveau modèle, nouvelle documentation, nouvelles techniques d’attaque : les garde-fous se revoient à chaque changement.