Comment une IA peut synthétiser des milliers d'avis sans décider à la place des citoyens.

1 · Validation humaine systématique

Chaque synthèse produite par l'IA fait l'objet d'une relecture par le chef de projet de la collectivité avant publication du rapport final. Une validation complémentaire par un tiers indépendant (bureau d'études, commissaire enquêteur) peut être organisée à la demande.

Pour rendre cette règle visible à chaque étape, un encart « Vérification humaine obligatoire » est affiché en permanence dans trois lieux de l'interface : (a) sur le panneau de l'assistant IA, dès l'ouverture, sous l'en-tête bleu ; (b) sur le bouton « Voir le rapport complet » du tableau de bord, avant l'ouverture du document ; (c) en tête du rapport HTML/PDF lui-même, juste après les métadonnées, avec un lien direct vers /verify/{audit_id}. Cette transparence répond à l'article 50 du Règlement européen sur l'IA (système conversationnel) et aux recommandations de la CNIL sur l'IA dans l'administration publique.

2 · Ce que l'IA fait

Balisio s'appuie sur Mistral (modèle européen, infrastructure d'inférence hébergée dans l'Union européenne) pour cinq opérations bien précises :

• Regroupement thématique : rapprocher les avis qui portent sur un même sujet (par exemple, « la traversée piétonne est dangereuse » et « la priorité aux voitures est excessive au carrefour »).
• Extraction de verbatims : sélectionner, parmi les avis regroupés, ceux qui expriment le mieux l'idée centrale du thème. Les citations sont littérales, jamais reformulées.
• Comptage et indicateurs statistiques : indiquer le nombre d'avis portant sur chaque thème, le nombre de votes positifs reçus et la zone géographique de concentration.
• Tableau de bord analytique : agrégations par thème, tonalité, zone, temps, profil de participation. Plus de 25 cartes interactives, toutes alimentées par le corpus de la consultation, sans donnée externe. Chaque pin, chaque chiffre est cliquable et remonte à l'avis source.
• Assistant analyste : répondre aux questions précises de l'équipe projet sur le corpus. L'assistant cite chaque avis utilisé par son empreinte cryptographique et refuse explicitement toute question hors-corpus (voir § 8).

3 · Ce que l'IA ne fait pas

Trois interdits, sans exception.

• L'IA ne paraphrase pas. Chaque citation du rapport est la reprise littérale d'un avis déposé. La traçabilité est complète : chaque citation renvoie à sa contribution d'origine.
• L'IA ne décide pas. Les décisions (retenu, écarté, à l'étude) sont prises et signées publiquement par la collectivité, thème par thème, dans la section « Réponse de la mairie ».
• L'IA ne pondère pas la qualité des avis. Un avis émis par une association de riverains et un avis émis par un passant comptent chacun pour un avis. Toute pondération explicite apparaît clairement dans le rapport et est motivée par la collectivité.

4 · Versionnement et reproductibilité

Chaque rapport mentionne : la version exacte du modèle utilisé (ex. mistral-large-latest), la version de la méthodologie, la date d'exécution, et l'empreinte SHA-256 du jeu d'avis traité. L'ensemble est consigné dans le journal d'audit horodaté de la consultation. La signature qualifiée eIDAS du registre est inscrite à la feuille de route : à ce jour, l'horodatage est applicatif et non qualifié.

Conséquence directe : si un recours demande à comprendre pourquoi tel avis est cité et tel autre non, la synthèse est reproductible à l'identique tant que les données d'origine sont conservées.

5 · Opposabilité devant le tribunal administratif

Le registre horodaté exportable par Balisio fournit, en cas de recours :

• Le jeu complet des avis reçus, avec leurs métadonnées (date, géolocalisation le cas échéant, typologie).
• La liste des opérations de modération effectuées, avec justification et horodatage.
• La méthodologie appliquée et sa version.
• Le rapport de synthèse, accompagné de sa chaîne de citations traçables.
• Les réponses publiques de la collectivité, thème par thème.

L'opposabilité finale de ces éléments devant le juge administratif, la CADA ou le commissaire enquêteur dépend du formalisme retenu par la collectivité dans son dossier ; nous fournissons les éléments techniques sur lesquels ce formalisme peut s'appuyer.

6 · Protection des données

Les avis sont anonymes par défaut. L'éventuelle adresse e-mail collectée (à des fins de notification ou de réponse) n'est ni publiée, ni associée à l'avis dans le rapport. L'authentification FranceConnect est inscrite à la feuille de route T3 2026 : elle permettra d'attribuer un poids renforcé aux avis authentifiés dans les dossiers soumis à la CNDP, sans désanonymisation publique. Droits d'accès, de rectification et de suppression : [email protected].

Les données applicatives sont hébergées en France (OVH Gravelines). Aucun transfert applicatif hors Union européenne. Cloudflare CDN traite des en-têtes de navigation (cf. Confidentialité). Le détail des mesures de sécurité actives et à venir est publié sur la page Sécurité.

7 · Intégrité des votes et prévention de la fraude

Une consultation anonyme repose sur un équilibre : garantir l'anonymat des habitants tout en empêchant qu'une même personne pèse plusieurs fois sur un résultat. Voici précisément ce que Balisio fait, et ce qu'il ne prétend pas faire.

• Empreinte pour l'anti-fraude. À chaque dépôt, l'adresse IP est transformée en empreinte SHA-256 avec un sel rotatif quotidien. Cette empreinte sert uniquement à repérer les dépôts massifs et à limiter le débit par consultation et par commune ; elle ne permet pas de remonter à l'identité d'un habitant, n'est jamais publiée, ni associée à l'avis dans le rapport.
• Journal d'hébergeur (LCEN). En tant qu'hébergeur au sens de l'article 6 de la LCEN, Balisio conserve séparément l'adresse IP et le navigateur du dépôt pendant 12 mois, uniquement pour répondre à une réquisition judiciaire ou un signalement de contenu illicite. Ce journal n'est jamais publié, son accès est réservé à une commande d'administration interne, et les entrées de plus de 12 mois sont supprimées automatiquement.
• Anonymat préservé. L'empreinte n'est jamais publiée, jamais associée à l'avis dans le rapport, et ne figure pas dans les exports publics. Rétention : 12 mois (article 6 LCEN), puis suppression automatique.
• Traçabilité pour la collectivité. Les mesures de modération et anti-fraude sont horodatées dans le journal d'audit de la consultation, exportable en cas de contestation. La collectivité peut ainsi documenter, chiffres à l'appui, pourquoi un résultat est fiable.
• Ce que Balisio ne prétend pas. Une consultation anonyme n'est pas un scrutin à valeur légale. Pour un vote à enjeu réglementaire, l'authentification FranceConnect (feuille de route T3 2026) attribuera un poids renforcé aux avis authentifiés, sans désanonymisation publique.

8 · Assistant IA · règles de fonctionnement

L'assistant IA répond aux questions de l'équipe projet sur le corpus de la consultation (par exemple : « quelles sont les zones les plus mécontentes ? », « rédige une synthèse de trois phrases sur la sécurité piétons »). Cinq règles strictes encadrent son fonctionnement, inscrites dans le prompt système et reproduites ici à des fins de transparence :

1. Verrou de corpus. L'assistant ne dispose d'aucune autre source que les avis de la consultation en cours. Toute question portant sur une autre consultation, l'actualité, des données externes ou des opinions personnelles reçoit la réponse standard : « Je ne réponds qu'aux questions sur le corpus de cette consultation. »
2. Aveu d'ignorance explicite. Si la question porte sur un sujet absent du corpus, l'assistant répond : « Cette information n'est pas dans le corpus de cette consultation. » Aucune extrapolation, aucune supposition.
3. Citation systématique. Chaque affirmation factuelle (chiffre, citation, observation) doit être suivie d'au moins un marqueur [hash:xxxxxxxx] pointant vers la contribution qui la justifie. L'interface transforme ces marqueurs en boutons cliquables ouvrant le verbatim source.
4. Interdiction d'inventer. Inventer un hash, un chiffre, un nom propre ou une citation entraîne le rejet de la réponse. En cas de doute, l'assistant doit dire « le corpus ne permet pas de conclure ».
5. Concision. Quatre à huit phrases maximum par réponse. Markdown léger autorisé.

Sous chaque réponse, l'interface affiche une carte « Preuves brutes » listant chaque contribution citée avec sa tonalité, son thème, sa zone, sa date et son texte verbatim entre guillemets. Si une réponse ne contient aucune citation, une alerte « Aucune preuve citée pour cette réponse » est affichée pour permettre à l'agent de repérer immédiatement une éventuelle hallucination.

L'historique de conversation est conservé côté navigateur uniquement (les douze derniers messages sont renvoyés à chaque tour pour la mémoire à court terme). Aucune persistance en base, aucune réutilisation pour entraîner un modèle.

En cas d'indisponibilité du modèle (clé API expirée, panne fournisseur, quota atteint), l'interface affiche une bannière « Service IA en maintenance » plutôt qu'une erreur technique brute. Le reste du tableau de bord (cartes, graphiques, drill-down sur les contributions) continue de fonctionner sans IA, car il est calculé directement depuis la base.

9 · Signaler une difficulté sur une synthèse

Si vous identifiez une erreur, une omission ou un biais dans une synthèse ou une réponse de l'assistant : [email protected]. Chaque signalement est instruit et peut donner lieu à une révision du rapport ou à un ajustement du prompt système (lui-même versionné dans le dépôt Git).

Dernière mise à jour : 15 juillet 2026 (ajout de la section Intégrité des votes et prévention de la fraude). Méthodologie publique, versionnée dans le dépôt Git du projet. Un avis juridique externe est en cours d'obtention pour formaliser le caractère opposable du registre.