La matrice de preuve et de valeur

De la déclaration à la valeur produite — v2.5

Un statut est une déclaration. Une migration écrite est un artefact ; son application est un événement. Un résultat de test est une observation. Un journal est une trace, pas un verdict. Un effet runtime est un fait situé. Une fermeture n'est opposable que lorsque l'autorité, la causalité, la portée, la persistance, l'adversarialité et la vérification indépendante ont été réconciliées. Et un effet livré n'est pas encore une valeur produite tant qu'un destinataire réel ne l'a pas consommé et qu'un résultat observable et attribuable n'en découle.

La matrice qualifie des affirmations portant sur des livrables, des mécanismes, des effets, des usages et des résultats. Elle ne décide pas à elle seule de l'autorité compétente, de la légalité externe ni de la recevabilité judiciaire d'une preuve.

Deux axes, pas un

La v1 de cette page empilait la preuve et la valeur sur une seule échelle. C'était une erreur de structure, corrigée sur revue externe : un mécanisme parfaitement prouvé que personne ne consomme n'a pas produit de valeur, et une bêta fragile peut en produire beaucoup. La preuve et l'usage sont deux questions indépendantes. On les note désormais séparément.

Le niveau s'attache à une affirmation falsifiable, jamais à une tâche entière. Quand un travail contient plusieurs critères obligatoires, son niveau est celui du critère le moins prouvé. Aucune moyenne n'est permise — c'est la règle du maillon le plus faible. Cette règle s'applique aux critères obligatoires reliés par conjonction. Les règles d'alternative, de condition et de quorum sont définies depuis la v2.5 par réduction conjonctive — voir la section consacrée à l'algèbre des critères non conjonctifs ; la non-applicabilité est définie à l'état N-A du passeport. Elles doivent toujours être déclarées avant l'évaluation.

Les niveaux P sont cumulatifs. Une affirmation ne peut recevoir Pn que si les exigences de tous les niveaux précédents sont également satisfaites dans la même portée. Une épreuve adversariale réussie ne compense pas une causalité non établie ; une vérification indépendante ne compense pas un effet qui n'a jamais été exercé dans le runtime cible.

L'unité atomique : l'affirmation

Le niveau s'attache à une affirmation ; encore faut-il que l'affirmation soit évaluable. Toute affirmation évaluée déclare obligatoirement dix champs : un identifiant stable ; la proposition exacte ; l'objet concerné ; le résultat attendu ; la condition de falsification ; la portée — organisation, environnement, version, acteurs, périmètre ; la fenêtre temporelle ; les exclusions ; la criticité et le seuil exigé — niveau P requis, niveau V requis lorsque pertinent ; la condition de révision.

Les règles d'admissibilité en découlent. Une affirmation sans portée ne peut pas être évaluée. Sans condition de falsification, elle n'est pas falsifiable. Sans fenêtre temporelle, elle ne peut soutenir indéfiniment un état présent. Sans seuil préalable, elle ne peut déterminer sa propre réussite. Une affirmation ambiguë doit être reformulée avant toute promotion.

Pour une affirmation créée après l'entrée en vigueur de la présente version, trois champs disposent de défauts déclarés, surchargeables par déclaration explicite à la création. Le seuil exigé suit la classe du livrable : un artefact ferme à P1, un effet runtime à P4, une garantie constitutionnelle à P8. La fenêtre temporelle par défaut court jusqu'à l'échéance déclarée plus quatre-vingt-dix jours. La condition de révision par défaut est la détection d'une régression. Une affirmation muette sur ces trois champs demeure admissible par ces défauts, qui valent préenregistrement ; une affirmation muette sur tout autre champ obligatoire reste inadmissible. Les défauts ne s'appliquent jamais rétroactivement : les affirmations antérieures relèvent du régime transitoire.

Algèbre des critères non conjonctifs — par réduction, pas par invention

La v2.3 bornait la règle du maillon faible aux critères obligatoires conjonctifs et laissait en attente l'alternation, la condition, le quorum et la non-applicabilité. La v2.5 les définit sans créer de nouvelle algèbre : chacun se réduit à une conjonction dès que le choix de chemin est lui-même réifié en affirmation.

Alternation (A ∨ B). La sélection de branche est une affirmation obligatoire, préenregistrée, soumise aux dix champs de l'ontologie. La structure prouvée n'est jamais « A ou B » mais : sélection de la branche ∧ branche sélectionnée, et le niveau du tout est P(résultat) = min(P(sélection), P(branche sélectionnée)). Explicitement interdit : P(A ∨ B) = max(P(A), P(B)) — prendre le maximum des branches permettrait de choisir après exécution la branche la mieux prouvée, une forme du choix rétroactif de critères favorables déjà proscrit par la règle de fermeture. La branche revendiquée doit être déclarée avant évaluation ; à défaut, l'axe concerné est en état ?. Principe : une alternative n'est pas prouvée en prouvant une branche. Elle est prouvée en prouvant pourquoi cette branche était celle qui s'appliquait.

Condition (si X alors A). Une obligation conditionnelle se décompose en trois affirmations conjonctives : la classification — X a été correctement évalué ; l'applicabilité — cette évaluation entraîne réellement cette branche ; l'exécution — la branche satisfait son obligation. Le maillon faible s'applique aux trois. Une branche non exécutée n'est jamais réputée réussie : elle est N-A si et seulement si la règle qui la rend inapplicable est elle-même établie et citée, conformément à la définition de N-A. Déclarer une condition inapplicable après avoir vu le résultat de l'autre branche constitue un choix rétroactif de critères et rend la fermeture non opposable.

Quorum (k parmi {A, B, …}). Avant tout décompte, quatre affirmations préalables : l'ensemble admissible, l'indépendance mutuelle des membres comptés — deux preuves dérivées de la même source ne font pas deux confirmations —, le scope commun, la règle de sélection préenregistrée. P(quorum) = min(P(affirmations préalables), k-ième meilleur P des membres admissibles). Le double comptage — même artefact de preuve, même source de jugement, même infrastructure d'exécution comptés deux fois — invalide le quorum et le fait retomber en état ?.

Ce que la v2.5 ne fait pas. Ni graphe d'affirmations ni opérateur nouveau. Si la pratique montre que la réduction conjonctive ne suffit pas — cas réel à l'appui — la représentation en graphe (requires, alternative_to, conditioned_by, quorum_with, evidenced_by) sera considérée alors. Structure après usage.

Axe P — Échelle de preuve

1. P0 — Déclaré. Une affirmation existe. Dans la portée inspectée, aucune preuve vérifiable de niveau supérieur n'est disponible.
2. P1 — Matérialisé. Un artefact existe : code, migration écrite, spécification, procédure.
3. P2 — Observé. Un comportement est démontré dans un contexte défini — un environnement de test, par exemple.
4. P3 — Exercé. L'effet réel est produit dans le runtime cible.
5. P4 — Causalement prouvé. L'effet vient bien du mécanisme annoncé, pas d'une panne, d'un contournement ou d'un autre contrôle.
6. P5 — Adversarialement prouvé. Le mécanisme résiste à un ensemble minimal de scénarios adversariaux proportionné au risque, défini avant l'exécution : chemin autorisé, chemin interdit, contournement, entrée malformée, panne de dépendance, état vérifié après l'échec — lorsque applicable. Le refus est explicable, l'état demeure intact ou revient à un état sûr. Pour une surface de contrôle, la forme minimale reste le triplet : le chemin autorisé passe, le chemin interdit échoue, l'état est inchangé après le refus.
7. P6 — Persistant et durablement vérifiable. La preuve demeure reconstructible et vérifiable dans la portée et la fenêtre temporelle déclarées. Pour un mécanisme continu, une surveillance proportionnée au risque détecte sa disparition ou sa dégradation. Pour un acte ponctuel, la persistance porte sur la conservation, l'intégrité, la provenance et la vérifiabilité durable de sa preuve. Une preuve historiquement conservée peut demeurer valide sur l'événement passé sans soutenir pour autant une affirmation sur l'état présent.
8. P7 — Vérifié indépendamment. Un vérificateur distinct reconstruit la preuve et parvient au même verdict — dans la tolérance déclarée d'avance pour les systèmes probabilistes. L'indépendance doit être déclarée : changer de modèle ou d'identité ne suffit pas si le vérificateur hérite du même artefact de jugement ou de la même conclusion attendue.
9. P8 — Opposable. Autorité, mandat, consentement lorsque applicable, causalité, portée, persistance, adversarialité, vérification indépendante — et révocabilité lorsqu'elle constitue une garantie du mécanisme — sont réconciliés. La fermeture peut être défendue devant un tiers. « Opposable » signifie ici défendable dans le cadre institutionnel qui l'emploie ; pas automatiquement devant un tribunal. Dans cette version, l'opposabilité demeure le niveau terminal de l'axe P par continuité doctrinale et opérabilité du pilote. La séparation éventuelle entre preuve, valeur, légitimité et décision de fermeture (P/V/L/F — L pour légitimité, F pour fermeture) sera introduite seulement si les constats d'une première fermeture automatique en démontrent la nécessité.

Axe V — Échelle d'usage et de valeur

1. V0 — Non consommé. Aucun destinataire réel n'en dépend.
2. V1 — Consommé. Un destinataire réel utilise le livrable ou dépend de l'effet.
3. V2 — Valeur démontrée. La consommation produit un résultat observable et raisonnablement attribuable au livrable : risque réduit, décision améliorée, temps économisé, revenu obtenu, dommage évité, capacité nouvelle. V2 établit l'existence d'une valeur démontrée, non son ampleur, sa distribution, son coût ou sa durabilité, qui doivent être documentés séparément.

P et V qualifient deux affirmations liées, mais distinctes. P mesure la force probante de l'affirmation portée sur un mécanisme ou un livrable. V décrit son état d'usage et de production de valeur. Toute affirmation de valeur — par exemple « ce mécanisme a réduit les incidents » — possède elle-même un niveau P. V2 n'abolit donc pas l'exigence de preuve causale.

Un gate de sécurité peut être P8/V0 s'il est opposable, mais qu'aucun processus réel ne l'utilise ni n'en dépend encore. Dès qu'il constitue un passage obligatoire pour des opérations réelles, il est au moins V1, même s'il n'a encore refusé aucune action. Une bêta peut être P3/V2 : encore fragile, mais déjà utile. Les deux notes disent deux vérités différentes.

États transversaux

1. ? — Non évalué. L'axe concerné n'a pas été évalué. P? signifie que la force probante demeure inconnue ; V? signifie que l'usage ou la valeur n'a pas été déterminé. L'absence d'inspection ne se convertit jamais en preuve d'absence.
2. ⊥ — Contradictoire. Deux sources divergent sur la même affirmation et dans la même portée. P⊥ signale une contradiction portant sur les faits ou leur preuve. V⊥ signale une contradiction portant sur la consommation, le destinataire ou le résultat produit. C'est l'état le plus honnête, et le seul qui force la réconciliation. Aucune source ne gagne par simple préséance. Une divergence ne devient contradiction qu'après normalisation de la portée : des résultats différents sur des portées différentes sont un écart de portée, pas une contradiction. Et si la contradiction touche une garantie de sécurité vivante, la première action licite est le confinement fail-closed ; la réconciliation vient ensuite.

Règle de fermeture

Le seuil se fixe avant l'exécution, jamais après avoir vu le résultat. Une tâche qui affirme un effet technique dans le runtime cible ne devrait normalement pas être fermée sous P4. Une tâche dont le livrable attendu est un artefact — spécification, conception, migration écrite ou procédure — peut légitimement fermer à un niveau inférieur lorsque ce seuil a été déclaré avant l'exécution. Une garantie constitutionnelle ne devrait pas être déclarée effectivement assurée sous P8. Un produit ne devrait pas être déclaré créateur de valeur sous V2. Le niveau exigé est proportionné à la criticité : exiger P8 partout est une paralysie, fermer à P2 partout est un mensonge. Et aucune preuve ne justifie de créer un risque réel : en production, l'épreuve contrefactuelle est non destructive, réversible, isolée ou remplacée par une preuve équivalente.

Le seuil est préenregistré : déclaré avant l'exécution, conservé avec l'affirmation, puis comparé au verdict. Toute modification ultérieure crée une nouvelle version de l'affirmation et ne s'applique jamais rétroactivement à l'exécution déjà observée. Sont explicitement interdits : modifier le seuil applicable après avoir vu le résultat ; choisir rétroactivement les critères favorables ; réduire la portée sans créer une nouvelle affirmation ; requalifier un livrable après coup ; convertir une absence d'inspection en preuve d'absence ; présenter une preuve historique comme garantie actuelle.

Temporalité

Tout niveau est borné par une portée et une fenêtre temporelle. Une preuve périmée ne disparaît pas : elle reste vraie historiquement, mais ne soutient plus une affirmation sur l'état présent. Une régression ne réécrit jamais une fermeture passée : elle ouvre un delta relié au reçu d'origine. « Prouvé le 3 août » et « fonctionne encore aujourd'hui » sont deux affirmations distinctes.

Révision et réévaluation ne se confondent jamais. Une révision change le texte — celui de la matrice ou celui d'une affirmation — et crée une version nouvelle, datée, sans jamais réécrire les versions antérieures. Une réévaluation rend un nouveau verdict sur preuve fraîche, le texte de l'affirmation restant inchangé ; c'est elle que déclenche la condition de révision du dixième champ.

Les deux erreurs symétriques

Cette grille protège contre les deux à la fois : réexécuter un travail déjà livré parce qu'un tableau de bord est périmé, ou fermer une tâche parce qu'un journal affirme une réussite que le runtime ne reproduit plus. L'autorité répond à « qui avait le droit de décider » ; la preuve répond à « que s'est-il réellement produit ». Les niveaux P0 à P7 portent principalement sur la seconde question. P8 réconcilie ensuite les faits établis avec l'autorité, le mandat, le consentement et les autres conditions de légitimité applicables. Les deux questions doivent se rejoindre pour rendre une fermeture opposable, sans jamais être confondues.

Le passeport de preuve (pilote)

Chaque évaluation produit un reçu, y compris lorsqu'elle ne peut attribuer de niveau ou recommander une fermeture. Le prototype — explicitement non figé, amendé par les constats du pilote — porte : claim_id, proposition exacte, objet, portée, fenêtre, condition de falsification, seuils P/V requis, niveaux P/V observés, preuves citées, preuves manquantes, contradictions, écart au seuil, décision recommandée, motifs, limites de l'évaluation et condition de réévaluation.

Trois catégories de sorties sont distinguées, et ne se confondent jamais.

Décision recommandée : ALLOW · DENY · HITL · N-A. État transversal de l'évaluation : ? — non évalué ou indéterminable ; ⊥ — contradictoire. Motifs possibles : seuil atteint · sous le seuil · affirmation inadmissible · portée incompatible · seuil préalable absent · preuve périmée · causalité non établie · indépendance non établie · contradiction non résolue · jugement humain requis.

Le futur gate de légitimité, s'il advient, pourra réutiliser le vocabulaire de décision sans confondre celui-ci avec les états de connaissance ou les motifs du verdict. Le format définitif du reçu sera gagné par l'usage du pilote, pas conçu avant lui.

1. N-A — Non applicable. L'évaluation ou la décision demandée ne s'applique pas à l'affirmation dans la portée déclarée. La règle d'applicabilité et sa justification doivent être citées. N-A ne signifie ni réussite, ni échec, ni absence d'évaluation.

Les combinaisons licites entre l'état de l'évaluation et la décision recommandée sont contraintes. Niveau atteint, sans contradiction bloquante : ALLOW ou HITL. Sous le seuil : DENY ou HITL. État ? : DENY, HITL ou N-A justifié — jamais ALLOW. État ⊥ : DENY ou HITL — jamais ALLOW tant que la contradiction demeure bloquante. Seuil préalable absent : DENY, ou calibration non opposable sous le régime transitoire. Preuve périmée : DENY pour une affirmation sur l'état présent ; le constat historique demeure possible.

Une exception — au sens du schéma temporary_exception — ne transforme jamais une exigence non satisfaite en preuve satisfaite. Elle peut seulement autoriser temporairement une décision malgré l'écart, sous une autorité compétente, une durée bornée, des contrôles compensatoires et une condition de sortie. Exception à la règle n'est pas preuve de conformité à la règle.

Passeport — mode de vérification et indépendance d'exécution

La v2.4 laisse un angle mort entre P6 et P7 : un vérificateur distinct peut relire les traces produites par le premier acteur, conclure au même verdict, et satisfaire P7 sans que personne n'ait reproduit l'effet. Persistance — la preuve survit —, reproduction — l'effet est reproductible depuis les conditions déclarées — et jugement indépendant — un tiers conclut sans hériter du jugement — sont trois propriétés distinctes.

La v2.5 ne renumérote pas l'axe P. Elle instrumente. Deux champs sont ajoutés au passeport de preuve.

1. verification_mode. Examen documentaire · replay · réexécution indépendante. Examen documentaire : le vérificateur relit les preuves existantes. Replay : il rejoue le scénario depuis les artefacts déposés. Réexécution indépendante : il reproduit l'effet depuis les conditions déclarées, sans les artefacts d'exécution du premier acteur.
2. execution_independence. Aucune · partielle · indépendante. Déclare si le vérificateur partage avec l'acteur initial l'infrastructure d'exécution, les artefacts de jugement ou la conclusion attendue.

Un P7 obtenu par simple examen documentaire reste un P7, mais le passeport le dit désormais. Condition de falsification du niveau manquant : le jour où un cas réel produit « examen documentaire indépendant PASS » et « réexécution indépendante FAIL » sur la même affirmation et la même portée, la nécessité d'un palier distinct entre P6 et P7 sera démontrée expérimentalement, et l'axe gagnera un étage. Jusque-là, il n'en gagne pas.

Reliance

L'hypothèse d'un « V3 — dépendance institutionnelle » est rejetée. Elle briserait la cumulativité de l'axe V : une organisation peut dépendre structurellement d'un mécanisme qui n'a jamais produit de valeur démontrée — le verrouillage sur un outil inutile est banal. La dépendance n'est pas au-dessus de V2 ; elle lui est oblique. V1 contient déjà la dépendance simple.

À la place, la v2.5 opérationnalise la clause de proportionnalité déjà présente dans la règle de fermeture par un champ de l'affirmation.

1. reliance. Incidentelle · opérationnelle · critique · systémique. Défaut : opérationnelle. Surchargeable par déclaration explicite à la création, jamais rétroactive.

La reliance ne monte pas V. Elle durcit P : plus la dépendance est élevée, plus montent le seuil P requis, la surveillance exigée au titre de P6, la fréquence de revalidation, l'exigence de repli et de révocabilité — et plus descend le coût acceptable d'une contradiction non résolue. Un mécanisme en reliance systémique en état ⊥ sur une garantie vive relève du confinement fail-closed immédiat. Principe : la valeur dit si la chose aide. La reliance dit à quel point il est dangereux de se tromper à son sujet.

Régime transitoire

Pour une affirmation créée avant l'entrée en vigueur de la v2.2, le vérificateur peut établir les niveaux P et V observés, mais il ne peut recommander ALLOW en l'absence d'un seuil réellement préenregistré. Un seuil reconstruit à partir du type de livrable ou des conventions existantes doit être explicitement marqué « reconstruit, non opposable » et ne sert qu'à la calibration. Il ne peut justifier rétroactivement une fermeture.

La matrice appliquée à elle-même

Son protocole de promotion est falsifiable : P1/V0 à la publication ; P2 quand des cas historiques auront été classés avec elle par des évaluateurs distincts arrivant à des résultats cohérents ; P3/V1 quand un système de travail l'utilise réellement pour déterminer une fermeture ; P5/V1 lorsqu'elle résiste au corpus adversarial suivant, proportionné au risque et déclaré préenregistré en date du 5 août 2026 — cette publication datée constitue le préenregistrement que P5 exige : substitution de portée, preuve périmée présentée comme actuelle, reçu incomplet ou falsifié, contradiction entre statut et runtime, agrégation abusive de critères, confusion entre autorité et effet, et tentative de promotion fondée sur sa propre conclusion ; P7/V1 quand un tiers classe les mêmes dossiers et obtient des verdicts reproductibles ; P8/V1 quand la règle est ratifiée et laisse une trace opposable ; P8/V2 quand son usage réduit de façon mesurée les fausses fermetures, les réexécutions inutiles ou le temps de réconciliation.

Le blocage incident d'une fausse fermeture constitue un exercice réel et un indice de valeur, mais ne suffit pas à établir P5 tant que les scénarios adversariaux n'ont pas été définis avant l'évaluation et exécutés comme tels.

Constats

3 août 2026, jour de la publication initiale de la matrice : l'échelle, dans sa révision v2.0, a été utilisée pour déterminer une fermeture réelle — deux tâches absorbées sur preuves confrontées, reçus à l'appui — et a refusé une fermeture qui serait passée sans elle, une substitution de portée ayant été détectée par la vérification qu'elle impose. Constats datés et sourcés au registre interne de La Machine (partage.ai). Au sens de sa propre grille : P3, et V1 au sens restreint — consommée par ses auteurs. La consommation par un tiers indépendant reste à venir ; cette page continuera de le dire tant que ce sera vrai.

Historique

La présente page est la seule référence normative de la matrice — arbitrage rendu le 7 août 2026 : le registre interne de La Machine qui la reprenait à titre normatif en devient un miroir subordonné. Tout document compagnon — miroir interne, cartographie, analyse de session — est non normatif tant qu'il n'est pas intégré ici par une version datée.