Actions that cost real money beyond a capped budget set in advance, or that destroy without a net, do not leave without a human touching a physical key. The system prepares everything; it cannot give itself that permission.

Les gestes qui coûtent de l'argent réel au-delà d'un budget plafonné fixé d'avance, ou qui détruisent sans filet, ne partent pas sans qu'un humain touche une clé physique. Le système prépare tout ; il ne peut pas se donner cette permission lui-même.

Every action is classified before it is allowed, and its class decides whether it passes alone or stops to wait for a person.

Chaque geste est classé avant d'être permis, et sa classe décide s'il passe seul ou s'il s'arrête pour attendre une personne.

The system sends itself a mark every hour and checks it arrives by the normal path, with one probe that must fail: if that probe passes, the test is broken, not the system.

Le système s'envoie une marque chaque heure et vérifie qu'il la reçoit par le chemin normal, avec une épreuve qui doit rater : si elle réussit, c'est le test qui est cassé, pas le système.

Keys and passwords stay sealed; opened for one precise action, never written in clear, with one declared exception.

Les clés et les mots de passe restent scellés ; on les ouvre pour un geste précis, et rien ne les écrit jamais en clair, sauf une exception déclarée.

A copy leaves every night, and every week a full system is rebuilt from it, so each copy is tested before anyone relies on it.

Une copie part chaque nuit, et chaque semaine un système complet est remonté à partir d'elle : chaque copie est éprouvée avant qu'on s'y fie.

One page shows the real state and holds the few actions the system cannot take on its own.

Une seule page montre l'état réel et porte les quelques gestes que le système ne peut pas faire seul.

Before an answer goes out, independent reviewers each look at it from their own angle; today they flag, they do not block.

Avant qu'une réponse parte, plusieurs relecteurs indépendants la regardent chacun sous son angle ; aujourd'hui ils signalent, ils ne bloquent pas.

A second opinion contests the answer after the fact and writes down its disagreement; today it observes, deliberately without power over what is delivered.

Un second avis conteste la réponse après coup et note son désaccord ; aujourd'hui il observe, volontairement sans pouvoir sur ce qui est livré.

Two precise failures fix themselves today; for the rest, the system knows how to say it is broken, not yet how to repair itself.

Deux pannes précises se règlent seules aujourd'hui ; pour le reste, le système sait dire qu'il est cassé, il ne sait pas encore se réparer.

An error that happens is written with its verdict, then becomes a guard that blocks the same error the next time.

Une erreur qui arrive est écrite avec son verdict, puis devient un garde-fou qui bloque la même erreur la fois d'après.

Personal information and secrets stay where they belong. Each client's pod is isolated from the others and reaches only the services it has been allowed; one pod's mark seen in another's stream raises an alarm. What a pod sends to its client is filtered for secrets; a page bound for the public is checked for personal information and held until the client says yes; sensitive numbers sent to an AI provider leave as labels and are restored on return. Access, export and erasure are built into the system, not promised in a policy. Its job is to carry the technical weight of protection, so a person can trust the system without reading forty pages.

Les renseignements personnels et les secrets restent où ils doivent être. Le pod de chaque client est isolé des autres et ne joint que les services qu'on lui a permis ; la marque d'un pod vue dans le flux d'un autre déclenche une alarme. Ce qu'un pod envoie à son client est filtré pour retirer les secrets ; une page destinée au public est vérifiée pour les renseignements personnels, et retenue tant que le client n'a pas dit oui ; les numéros sensibles envoyés à un fournisseur d'IA partent sous forme d'étiquettes et sont remis au retour. L'accès, l'export et l'effacement sont bâtis dans le système, pas promis dans une politique. Son rôle : porter le poids technique de la protection, pour qu'une personne puisse faire confiance au système sans lire quarante pages.

When a question goes beyond what the system can settle, the AI does not bluff: it says so, and the question can go to a human expert. The expert proposes an answer, a person reviews and approves it, and it reaches the client signed by a person, with no delay promised that cannot be kept. By default the system chooses the model; the client can force another one, with its cost shown before choosing and an alert before a ceiling is reached.

Quand une question dépasse ce que le système sait trancher, l'IA ne bluffe pas : elle le dit, et la question peut aller à un expert humain. L'expert propose une réponse, une personne la relit et l'approuve, et elle arrive au client signée par une personne, sans délai promis qu'on ne pourrait pas tenir. Par défaut, le système choisit le modèle ; le client peut en imposer un autre, avec son coût affiché avant de choisir et une alerte avant d'atteindre un plafond.