# D5 · Review Points and Human Oversight
Placer la revue humaine là où elle est payante — déclencheurs de revue obligatoire, revue par échantillonnage pour le travail à fort volume, et le coût d’un point de contrôle mal placé.
import { Accordions, AccordionItem, Tabs, TabItem } from '@prosefly/astro-components';
Ce domaine pèse **16 %** de l’examen blanc — environ **8 items sur 50**. Il teste où un humain a sa place dans un workflow par ailleurs automatisé : pas partout (cela détruit la valeur) et pas nulle part (cela courtise le désastre), mais aux points où une erreur serait coûteuse ou irréversible. Le jugement récurrent est le *placement* — mettre le point de contrôle à l’étape risquée, et choisir entre contrôler chaque item et échantillonner un flux d’items.
## Ce qu’il faut savoir
La supervision humaine dans un workflow consiste à décider **où** une personne inspecte ou approuve la sortie, **quand** la revue est obligatoire par opposition à optionnelle, et **comment** la revue passe à l’échelle quand le volume est élevé. Un **déclencheur de revue obligatoire** est tout point où une erreur serait irréversible, réglementée, tournée vers l’externe, ou toucherait des données sensibles — ces étapes nécessitent un point de contrôle humain quelle que soit la qualité apparente de la sortie. Pour le travail à **fort volume**, contrôler chaque item est impraticable, alors on **échantillonne** : relire une fraction représentative, suivre le taux d’erreur, et resserrer l’échantillonnage si la qualité dérive. Un **point de contrôle mal placé** coûte dans les deux sens — un point de contrôle sur une étape triviale à fort volume étrangle le débit sans bénéfice, tandis qu’un point de contrôle manquant sur une étape risquée laisse passer une erreur coûteuse.
## Objectifs d’apprentissage
À la fin de cette page, vous devriez être capable de :
1. **Identifier** les déclencheurs de revue obligatoire — irréversible, réglementé, externe, sensible — dans un workflow.
2. **Placer** un point de contrôle à l’étape où une erreur est la plus coûteuse, pas partout par défaut.
3. **Concevoir** une revue par échantillonnage pour le travail à fort volume et décider du taux d’échantillonnage.
4. **Diagnostiquer** le coût d’un point de contrôle mal placé — à la fois le point qui étrangle et le point manquant.
5. **Choisir** le mode de revue — point de contrôle, échantillon, ou contrôle ponctuel — qui correspond aux enjeux et au volume de l’étape.
---
## 5.1 Les trois modes de revue
```text
POINT DE chaque item est relu/approuvé avant de continuer
CONTRÔLE ▸ pour les étapes irréversibles / réglementées / externes / sensibles
ÉCHANTILLON une fraction représentative est relue ; le taux d’erreur est suivi
▸ pour les étapes à fort volume, corrigeables, à moindre conséquence
CONTRÔLE un coup d’œil occasionnel pour confirmer que rien n’a dérivé
PONCTUEL ▸ pour les étapes stables, à faibles enjeux, à faible volume
```
| Mode | Couverture | Coût | Idéal pour |
| --- | --- | --- | --- |
| **Point de contrôle** | 100 % | Élevé par item | Irréversible/réglementé/externe/sensible |
| **Échantillon** | Une fraction, suivie | Modéré, scale | Travail à fort volume, corrigeable |
| **Contrôle ponctuel** | Occasionnel | Faible | Tâches stables, à faibles enjeux |
L’art consiste à faire correspondre le mode à l’étape : un point de contrôle là où une erreur est coûteuse, un échantillon là où le volume est élevé et les erreurs corrigeables, un contrôle ponctuel là où peu est en jeu.
:::tip[Signal d’évaluation]
« Chaque item doit être approuvé avant l’envoi/la publication/le paiement » → **point de contrôle**. « Des milliers par jour, les erreurs occasionnelles sont interceptées plus tard » → **échantillon**. Un énoncé qui met un point de contrôle sur un énorme flux à faibles enjeux, ou retire le point de contrôle d’une étape irréversible, décrit un point de contrôle *mal placé* — le schéma de mauvaise réponse.
:::
## 5.2 Déclencheurs de revue obligatoire
Certaines étapes nécessitent un point de contrôle humain quelle que soit la confiance ou la fluidité de la sortie. Les déclencheurs sont les mêmes que ceux qui pilotaient l’axe de risque du [Domaine 1](/fr/openai/applied-ai/domains/d1-finding-and-scoping-opportunities/).
| Déclencheur | Exemple | Pourquoi c’est obligatoire |
| --- | --- | --- |
| **Irréversible** | Envoyer un e-mail, publier, émettre un paiement, supprimer des données | Ne peut être annulé une fois parti |
| **Réglementé** | Conseil médical, juridique, financier ; décisions RH ; informations réglementées | Exposition juridique/de conformité |
| **Tourné vers l’externe** | Communications client, presse, régulateur, publiques | Risque réputationnel et contractuel |
| **Données/personnes sensibles** | PII, caractéristiques protégées, instructions critiques pour la sécurité | Exposition au préjudice et à l’équité |
Si *un* déclencheur est présent à une étape, cette étape reçoit un point de contrôle. La fluidité, la vitesse et une haute précision agrégée n’en **exemptent pas** — un modèle précis à 98 % a tout de même besoin d’un humain avant une action réglementée irréversible.
## 5.3 Placement — le point de contrôle va à l’étape risquée
La supervision porte sur le *où*, pas sur le *si*. Le point de contrôle va immédiatement **avant l’action risquée**, afin que l’humain relise exactement ce qui va sortir.
```text
Rédiger la réponse ─► [revue dans le chat] ─► ENVOYER ← le point de contrôle va ICI, avant l’envoi
(irréversible/externe)
Extraire les enregistrements ─► catégoriser ─► [contrôle par échantillon] ─► écrire dans le CRM
↑ échantillonnage, pas un point sur chaque enregistrement
```
Placer le point de contrôle trop tôt (relire un brouillon qui changera avant l’étape risquée) gaspille la revue ; le placer trop tard (après l’action irréversible) n’est pas un point de contrôle du tout. Le relecteur devrait voir l’artefact *final* au *dernier moment réversible*.
## 5.4 Revue par échantillonnage pour le travail à fort volume
Quand une étape s’exécute des centaines ou des milliers de fois, contrôler chaque item est impossible sans effacer la valeur. L’échantillonnage relit une fraction représentative et utilise le taux d’erreur observé pour gérer le risque.
| Choix de conception | Guide |
| --- | --- |
| **Taux** | Plus élevé quand les enjeux sont plus hauts ou le processus est nouveau ; plus bas une fois qu’il se révèle stable |
| **Sélection** | Représentative (et suréchantillonner les tranches risquées — p. ex. les items à forte valeur) |
| **Réponse à la dérive** | Si le taux d’erreur échantillonné monte, resserrer l’échantillonnage ou ajouter un point de contrôle sur la tranche affectée |
| **Rodage d’un nouveau processus** | Commencer par un échantillonnage lourd ; relâcher à mesure que la preuve de qualité s’accumule |
**Exemple travaillé.** Un workflow catégorise 800 reçus par semaine. Contrôler les 800 anéantit l’objectif. À la place : échantillonner 5 %, suréchantillonner les reçus au-dessus d’un seuil de valeur, relire en fin de semaine contre les critères d’acceptation, et si le taux d’erreur sur l’échantillon dépasse la tolérance, relever le taux ou contrôler la tranche à forte valeur. C’est exactement le schéma « automatiser la catégorisation, échantillonner au rapprochement » de la mise en situation du Domaine 1.
:::tip[Signal d’évaluation]
« Comment maintenir la qualité sur une étape automatisée à fort volume sans tout relire ? » demande l’échantillonnage — une fraction suivie, suréchantillonnage de la tranche risquée, resserrement en cas de dérive. Une réponse qui dit « relire chacun » (étrangle) ou « lui faire confiance, aucune revue » (imprudent) est fausse.
:::
## 5.5 Le coût d’un point de contrôle mal placé
Un point de contrôle est un coût autant qu’un contrôle. Le mal placer nuit dans l’un de deux sens.
Un humain approuve chacun des 5 000 items par jour à faibles enjeux et corrigeables. Le workflow avance désormais à la vitesse humaine, la valeur qu’il devait créer s’évapore, et le relecteur tamponne par fatigue — donc le point de contrôle est *à la fois* lent et inefficace. **Remède :** passer à l’échantillonnage ; réserver les points de contrôle à la tranche risquée.
Un e-mail client irréversible part sans contrôle humain parce que « le modèle est fiable ». Un chiffre erroné atteint des milliers de clients ; il ne peut être rappelé. **Remède :** ajouter un point de contrôle obligatoire avant l’étape irréversible/externe — le seul endroit où un point de contrôle n’est pas négociable.
La leçon : **plus de revue n’est pas plus sûr si c’est au mauvais endroit.** Un seul point de contrôle bien placé avant l’étape irréversible, plus de l’échantillonnage sur les étapes à volume, bat un point de contrôle général sur tout.
## 5.6 Fatigue de revue et tamponnage
Un point de contrôle ne fonctionne que si le relecteur relit réellement. Deux modes de défaillance érodent les points de contrôle au fil du temps.
| Défaillance | Cause | Contre-mesure |
| --- | --- | --- |
| Tamponnage | Trop d’approbations à faible valeur émoussent l’attention | Échantillonner au lieu de contrôler ; rendre chaque point de contrôle significatif |
| Rater la vraie erreur | Le relecteur vérifie le format, pas le fond | Donner au relecteur les critères d’acceptation à vérifier |
| Surcharge d’alertes | Tout est signalé, donc rien ne l’est | Ne signaler que les vrais déclencheurs de revue ; ajuster les seuils |
L’objectif de conception est *peu de points de contrôle, significatifs*, que le relecteur prend au sérieux — c’est pourquoi le sur-contrôle (5.5) est contre-productif : il fabrique la fatigue qui fait échouer les points de contrôle.
## 5.7 La supervision et le contrat
La revue vérifie la sortie contre quelque chose. Ce quelque chose, ce sont les **critères d’acceptation** du [Domaine 3](/fr/openai/applied-ai/domains/d3-inputs-outputs-and-contracts/). Un point de contrôle sans critères est un relecteur qui devine ; un point de contrôle *avec* critères est un contrôle objectif (« chaque question répondue ; aucune affirmation non vérifiée sur le compte ; les chiffres se rapprochent »). Des contrats bien écrits rendent la supervision peu coûteuse et cohérente ; des critères manquants rendent chaque revue subjective et lente.
---
## Cadre de décision
**La décision GATE** — pour chaque étape, répondez à ces questions pour choisir le mode de revue.
| # | Question | Implication |
| --- | --- | --- |
| **G** — Grave ? | L’étape est-elle irréversible, réglementée, externe ou sensible ? | Si oui → **point de contrôle obligatoire** avant l’action, point final |
| **A** — Amount (volume) ? | Quel est le volume ? | Fort volume + non grave → **échantillonnage**, pas un point sur chaque |
| **T** — Tolérance ? | À quel point une erreur est-elle corrigeable ? | Facilement corrigée → revue plus légère ; irréversible → point de contrôle |
| **E** — Evidence (preuve) ? | Le processus est-il nouveau ou éprouvé ? | Nouveau → échantillonnage/contrôle plus lourds ; éprouvé → relâcher sur preuves |
À lire ainsi : **les étapes graves sont contrôlées ; les étapes corrigeables à fort volume sont échantillonnées ; les étapes stables à faibles enjeux sont contrôlées ponctuellement ; et vous resserrez partout où la preuve montre une dérive.** Le placement est toujours *immédiatement avant l’action risquée*.
## Erreurs fréquentes
| Erreur | Pourquoi elle se produit | Que faire à la place |
| --- | --- | --- |
| Contrôler chaque item sur une étape à fort volume et faibles enjeux | « Plus de revue est plus sûr » | Échantillonner une fraction suivie ; réserver les points de contrôle aux tranches risquées |
| Aucun point de contrôle avant une action irréversible/externe | Le modèle semble fiable | Ajouter un point de contrôle obligatoire au dernier moment réversible |
| Placer le point de contrôle avant l’étape qui change la sortie | Relire « tôt » paraît proactif | Relire l’artefact final, immédiatement avant l’action risquée |
| Point de contrôle après que l’action irréversible a eu lieu | La revue est traitée comme une formalité | Le point de contrôle doit précéder le point de non-retour |
| Relecteurs qui tamponnent | Trop d’approbations triviales | Moins de points de contrôle, significatifs ; échantillonner le reste |
| Relire le format au lieu du fond | Le format est facile à vérifier | Donner aux relecteurs les critères d’acceptation à vérifier |
| Se fier à une haute précision agrégée pour sauter un point de contrôle | 98 % paraît suffisant | La précision agrégée ne couvre pas la queue irréversible ; la contrôler |
| Signaler tout pour revue | La prudence retombe sur « signaler » | Ne signaler que les vrais déclencheurs ; ajuster les seuils pour éviter la surcharge |
## Mise en situation
**Situation.** Aisha exploite un workflow qui traite le support entrant à l’échelle : il classe chaque ticket, rédige une première réponse, et — pour un ensemble de catégories « simples » (réinitialisations de mot de passe, questions de statut de livraison) — il peut envoyer automatiquement. Pour tout le reste, il rédige et un humain envoie. Le volume est de ~2 000 tickets/jour. Deux incidents viennent de se produire. D’abord, une réponse « statut de livraison » auto-envoyée a donné à un client une mauvaise date de livraison tirée d’un champ périmé, et elle est partie sans contrôle humain. Ensuite, l’équipe, alarmée, veut maintenant qu’un humain approuve *chaque* réponse — les 2 000/jour — ce qui exigerait de doubler les effectifs et laisserait tout de même les relecteurs survoler. Aisha doit repenser la supervision.
**Trace de raisonnement expert.**
1. **Localiser précisément les deux défaillances.** L’incident un est un *point de contrôle manquant* sur une action tournée vers l’externe et irréversible (un e-mail envoyé) dont le contenu dépendait de données possiblement périmées — une étape à déclencheur obligatoire sans point de contrôle. L’incident deux est la surcorrection vers un *point de contrôle étrangleur* sur les 2 000 items, qui fabriquera du tamponnage et détruira le débit que l’automatisation existe pour fournir.
2. **Appliquer le test du déclencheur obligatoire.** Envoyer une réponse externe est irréversible et externe — un déclencheur de revue. Mais cela ne signifie *pas* contrôler les 2 000 : cela signifie que le chemin d’*auto-envoi* doit être reconsidéré, car l’auto-envoi a entièrement retiré l’humain d’une étape externe irréversible.
3. **Séparer la tranche risquée du flux sûr.** Le problème n’est pas tout le flux ; c’est que les réponses « statut de livraison » dépendent de données en direct qui peuvent être périmées. Donc : garder l’auto-envoi seulement pour les catégories dont les réponses sont *autonomes et à faible conséquence* (un lien de réinitialisation de mot de passe est stable), et pour toute réponse qui cite des *données pouvant être périmées ou fausses* (dates de livraison, soldes), router vers un point de contrôle humain ou vérifier les données avant l’envoi.
4. **Rejeter le point de contrôle général.** Contrôler les 2 000 est l’anti-schéma du point étrangleur : il double le coût, invite au tamponnage (qui aurait de toute façon raté la date périmée si le relecteur survole), et pénalise les 90 % de tickets sûrs. Plus de revue au mauvais endroit n’est pas plus sûr.
5. **Concevoir l’échantillonnage pour le flux d’auto-envoi.** Pour les catégories qui restent en auto-envoi, ajouter l’échantillonnage : relire une fraction chaque jour, suréchantillonner toute réponse ayant tiré des données dynamiques, suivre le taux d’erreur, et resserrer (ou ramener une catégorie vers l’envoi humain) si une dérive apparaît. Pendant cette refonte — un processus *nouveau* — commencer par un échantillonnage lourd et relâcher sur preuves.
6. **Câbler les critères d’acceptation.** Donner aux relecteurs de l’envoi humain et aux échantillonneurs des critères explicites (« aucune donnée dynamique non vérifiée ; chaque question du client répondue ; ton conforme à la marque »), afin que la revue vérifie le fond, pas le format, et que la classe d’erreur de la date périmée soit spécifiquement sur la check-list.
**La décision :** *restreindre* l’auto-envoi aux réponses réellement autonomes à faible conséquence, ajouter un **point de contrôle (ou une étape de vérification des données)** pour toute réponse citant des données dynamiques, et ajouter l’**échantillonnage** au flux d’auto-envoi restant — au lieu soit de l’auto-envoi sans point de contrôle d’origine, soit du contrôle-tout proposé. La refonte place le point de contrôle exactement où est le risque (réponses avec données périssables) et utilise l’échantillonnage pour tenir la qualité sur le flux sûr à fort volume, évitant à la fois l’incident du point manquant et la surcorrection étrangleuse.
## Pièges de l’évaluation
| Piège | Pourquoi c’est tentant | Le discriminant |
| --- | --- | --- |
| « Faire approuver chaque item par un humain pour être sûr » | Plus de revue paraît plus sûr | Sur du travail à fort volume et faibles enjeux, cela étrangle et engendre le tamponnage ; échantillonner à la place |
| « Le modèle est fiable, donc l’auto-envoi est correct » | Une haute précision paraît suffisante | Les étapes irréversibles/externes ont besoin d’un point de contrôle quelle que soit la précision |
| « Relire le brouillon tôt, avant le reste du workflow » | La revue précoce paraît proactive | Relire l’artefact final au dernier moment réversible |
| « Ajouter une étape de revue après l’envoi, au cas où » | Cela ressemble à de la supervision | Un point de contrôle après l’action irréversible n’est pas un point de contrôle |
| « Signaler tout pour revue » | La prudence retombe sur le signalement | La surcharge d’alertes fait ignorer les signalements ; ne signaler que les vrais déclencheurs |
| « La précision agrégée est de 98 %, sauter le point de contrôle » | Le chiffre a fière allure | Les erreurs dangereuses vivent dans la queue irréversible que la moyenne masque |
## Questions d’entraînement
Chaque item indique combien de réponses sélectionner. Décidez avant de dévoiler.
A. Rien — la fiabilité justifie l’auto-envoi
B. L’envoi est irréversible et externe, un déclencheur de revue obligatoire, donc un point de contrôle humain est requis avant l’envoi
C. Le modèle devrait être plus gros
D. La température est trop élevée
**Réponse : B.** Les actions externes et irréversibles nécessitent un point de contrôle humain quelle que soit la fiabilité du modèle. « La fiabilité le justifie » (A) ignore le déclencheur obligatoire. La taille du modèle (C) et la température (D) ne traitent pas le point de contrôle manquant.
A. Contrôler chaque item
B. Échantillonner une fraction suivie, en suréchantillonnant les tranches risquées
C. Aucune revue du tout
D. Deep research sur chaque item
**Réponse : B.** Le travail à fort volume, corrigeable et à faibles enjeux est le cas d’école de l’échantillonnage avec suivi. Contrôler les 3 000 (A) étrangle et engendre le tamponnage. Aucune revue (C) est imprudent. Deep research (D) est sans rapport avec la supervision.
A. Avant que la rédaction commence
B. Immédiatement avant l’envoi, pour que le relecteur voie l’artefact final au dernier moment réversible
C. Après que l’e-mail a été envoyé
D. L’endroit importe peu
**Réponse : B.** Le point de contrôle va juste avant l’action irréversible, en relisant le contenu final. Avant la rédaction (A) ne relit rien de significatif. Après l’envoi (C) n’est pas un point de contrôle du tout. Le placement importe absolument (D).
A. La sortie fait plus d’une page
B. La sortie a été générée rapidement
C. L’étape émet un paiement irréversible
D. La sortie utilise des puces
**Réponse : C.** Les actions irréversibles comme l’émission d’un paiement imposent un point de contrôle humain. La longueur (A), la vitesse (B) et la mise en forme (D) sont sans rapport avec le fait qu’un point de contrôle soit requis.
A. Aucun — la revue complète est toujours la meilleure
B. Elle étrangle le débit, double le coût, et engendre un tamponnage qui rate de toute façon les vraies erreurs
C. Elle rend le modèle moins précis
D. Elle viole la politique d’OpenAI
**Réponse : B.** Un point de contrôle général sur du travail à fort volume détruit la valeur et induit un tamponnage dû à la fatigue, donc il est à la fois lent et inefficace. La revue complète n’est pas toujours la meilleure (A). Elle ne change pas la précision du modèle (C) ni ne viole la politique (D).
A. Contrôler chaque réponse de chaque catégorie
B. Router les réponses qui citent des données dynamiques (dates, soldes) vers un point de contrôle ou vérifier les données avant l’envoi, tout en gardant automatisées les réponses autonomes
C. Arrêter entièrement d’utiliser l’IA pour le support
D. Baisser la température
**Réponse : B.** Le risque est spécifique aux réponses dépendant de données périssables ; contrôler ou vérifier celles-ci tout en laissant automatisées les réponses réellement autonomes. Contrôler tout (A) est la surcorrection étrangleuse. Abandonner l’IA (C) est disproportionné. La température (D) ne corrige pas des données périmées.
A. Commencer bas et ne jamais le changer
B. Commencer par un échantillonnage plus lourd pendant le rodage, puis relâcher à mesure que la preuve de qualité s’accumule
C. Ne jamais échantillonner les nouvelles étapes
D. Échantillonner seulement après une plainte client
**Réponse : B.** Les nouveaux processus manquent de base de preuves, donc vous échantillonnez lourdement au début et relâchez à mesure que la qualité est démontrée. Commencer bas et ne jamais changer (A) ignore la dérive et le rodage. Ne pas échantillonner les nouvelles étapes (C) est exactement l’inverse. Attendre les plaintes (D) est réactif, pas de la supervision.
A. Il fait halluciner le modèle
B. Trop d’approbations triviales causent la fatigue du relecteur et le tamponnage, donc les vraies erreurs passent de toute façon
C. Les points de contrôle ralentissent toujours l’inférence du modèle
D. Il augmente le coût en tokens
**Réponse : B.** Des points de contrôle excessifs émoussent l’attention et transforment la revue en tamponnage, sapant le contrôle. Il n’affecte pas l’hallucination (A) ni la vitesse d’inférence (C). Le coût en tokens (D) n’est pas le problème de sûreté décrit.
A. Un modèle plus gros
B. Des critères d’acceptation explicites issus du contrat d’étape que le relecteur vérifie
C. Un prompt plus long
D. Relire plus d’items
**Réponse : B.** Les critères d’acceptation donnent au relecteur des conditions concrètes et vérifiables, transformant la revue d’un jugement subjectif en un contrôle objectif. La taille du modèle (A), la longueur du prompt (C) et le volume (D) ne rendent pas une revue objective.
A. Publier un communiqué de presse en externe
B. Catégoriser des reçus internes qui se rapprochent chaque mois
C. Déposer une information réglementaire
D. Rédiger des notes de brainstorming internes
E. Résumer une réunion pour vos propres archives
**Réponse : A et C.** La publication externe et le dépôt réglementaire sont irréversibles/réglementés/externes — points de contrôle obligatoires. La catégorisation des reçus (B) est un travail corrigeable à fort volume adapté à l’échantillonnage. Le brainstorming (D) et les résumés personnels (E) sont à faibles enjeux, nécessitant au plus un contrôle ponctuel.
A. Basculer l’essentiel du flux vers l’échantillonnage pour que chaque point de contrôle restant soit significatif
B. Donner au relecteur les critères d’acceptation pour vérifier le fond, pas seulement le format
C. Augmenter le nombre d’items relus à 1 000/heure
D. Supprimer toute revue
E. Utiliser un modèle plus gros pour que la revue ne soit pas nécessaire
**Réponse : A et B.** Moins de points de contrôle, significatifs (via l’échantillonnage) plus une revue de fond pilotée par les critères corrigent le tamponnage. Doubler la charge (C) aggrave la fatigue. Supprimer la revue (D) est imprudent. Un modèle plus gros (E) n’élimine pas le besoin de supervision sur les étapes risquées.
A. Accepter — 97 % est assez élevé
B. Garder le point de contrôle : la précision agrégée masque la queue irréversible et réglementée où une seule erreur est catastrophique
C. Retirer le point de contrôle mais en ajouter un après le dépôt
D. Relever la cible de précision à 99 % puis retirer le point de contrôle
**Réponse : B.** Une moyenne élevée ne couvre pas les erreurs à faible fréquence et forte conséquence sur une étape réglementée irréversible, donc le point de contrôle obligatoire reste. 97 % « assez bon » (A) ignore le risque de queue. Un point de contrôle après le dépôt (C) n’est pas un point de contrôle. Une cible plus haute (D) ne peut toujours pas rendre sûre une action réglementée irréversible laissée sans point de contrôle.
## À retenir
- La supervision porte sur le **placement** : contrôler l’étape risquée, échantillonner le flux à fort volume, contrôler ponctuellement le travail stable à faibles enjeux.
- Les **déclencheurs obligatoires** — irréversible, réglementé, externe, sensible — nécessitent un point de contrôle humain quelle que soit la fluidité, la vitesse ou la précision agrégée.
- Placer le point de contrôle **immédiatement avant l’action risquée**, en relisant l’artefact final au dernier moment réversible.
- Pour le volume, **échantillonner** une fraction suivie, suréchantillonner les tranches risquées, et resserrer sur dérive ; échantillonner lourdement pendant le rodage d’un nouveau processus.
- Un **point de contrôle mal placé coûte des deux côtés** : contrôler-tout étrangle et engendre le tamponnage ; un point manquant laisse passer une erreur irréversible.
- Moins de points de contrôle, significatifs, battent la revue générale ; les **critères d’acceptation** transforment un point de contrôle d’une devinette en un contrôle objectif.
- Plus de revue n’est pas plus sûr si c’est au mauvais endroit.