La règle comme code : enseignements de la construction de logiciels de conformité pour le droit français et américain de la sécurité au travail

Toute réglementation est mise en œuvre deux fois — une fois dans le texte juridique, une fois dans les systèmes de ceux qui doivent s'y conformer. L'écart entre les deux, c'est là que se loge le coût de la conformité.

Retour d'expérience sur la construction d'iDuerp et d'OSHAid, et sur la part de l'effort d'ingénierie consacrée non pas à automatiser ce que les règles exigent, mais à décider ce qu'elles veulent dire.

Résumé

Toute réglementation est mise en œuvre deux fois : une fois dans le texte juridique, une fois dans les systèmes, les formulaires et les habitudes de ceux qui doivent s'y conformer. L'écart entre ces deux mises en œuvre est l'endroit où se loge réellement le coût de la conformité.

Mon équipe a conçu et mis en production deux produits commerciaux dans cet écart : iDuerp, qui opérationnalise l'évaluation obligatoire des risques professionnels en France (le DUERP), et OSHAid, qui fait l'équivalent pour les obligations OSHA aux États-Unis. Mon estimation de praticien est qu'environ un tiers de notre effort d'ingénierie et de produit n'a pas servi à automatiser ce que les règles exigent, mais à décider ce qu'elles signifient : lever des termes non définis, réconcilier des obligations dispersées entre lois et décrets, et retenir des interprétations assez défendables pour survivre à la lecture d'un inspecteur.

Ce coût d'interprétation n'est pas payé une fois. Il est repayé par chaque éditeur, chaque équipe interne de grande entreprise et chaque consultant lisant le même texte. Publier les règles sous forme lisible par machine à côté du texte juridique — avec des jeux de tests de validation officiels — transformerait un coût privé récurrent en bien public payé une seule fois. C'est aussi une condition préalable à une IA digne de confiance dans l'administration réglementaire : sans vérité de référence faisant autorité, tout outil de conformité fondé sur l'IA est une interprétation invérifiable empilée sur de l'ambiguïté.

Ce document rapporte ce que nous avons rencontré, compare la façon dont les régimes français et américain engendrent ce coût différemment, et propose trois actions : la publication double de règles lisibles par machine, des jeux de tests officiels, et le financement de la mesure qui dirait l'ampleur réelle du gain.

1. Le point de vue du constructeur

iDuerp transforme le DUERP — le *document unique d'évaluation des risques professionnels*, obligatoire pour tout employeur dès le premier salarié au titre de l'article L4121-3 du Code du travail [1] — en une plateforme mobile-first assistée par IA. Les risques sont saisis sur le terrain avec photos, cotés en gravité, probabilité et exposition, convertis en plan d'action, puis compilés dans le document qu'un inspecteur peut demander. OSHAid fait le travail équivalent face aux obligations OSHA américaines, du recordkeeping prévu au 29 CFR Part 1904 [2] à l'évaluation des dangers façonnée par la General Duty Clause [3]. Ensemble, le moteur de risques couvre plus de 300 catégories de dangers, préchargées par secteur — boulangeries, chantiers, restaurants, cabinets de santé, flottes de transport, commerce — et sert des entreprises de toute taille dans les deux pays.

Ce point de vue est inhabituel pour une raison simple. Les professions qui interprètent la réglementation pour vivre — avocats, consultants sécurité, inspecteurs — n'ont presque jamais à faire exécuter une interprétation de façon déterministe, sur un téléphone, pour un boulanger de onze salariés qui n'appellera jamais un consultant. Les ingénieurs qui écrivent du logiciel lisent rarement les textes. Construire un produit de conformité oblige la même équipe à faire les deux, et force chaque ambiguïté à devenir une décision : un schéma réclame un champ, une énumération réclame des valeurs, une règle de validation réclame un seuil. La tolérance du droit pour la texture ouverte rencontre l'intolérance du logiciel, et quelque chose doit céder.

Ce qui suit est un retour d'expérience, pas une étude systématique. Il rapporte ce qu'une équipe a rencontré, dans un domaine, sur deux juridictions. Ses affirmations doivent se lire comme des hypothèses fondées sur l'expérience plutôt que comme des résultats, et l'estimation chiffrée de la section 4 est donnée avec sa méthode et ses limites explicitées.

2. Ce que dit le droit, ce dont le logiciel a besoin

Partons d'une obligation, en détail. L'article R4121-1 du Code du travail exige que le DUERP consigne les résultats de l'évaluation des risques pour chaque unité de travail [4]. Le texte ne définit pas le terme. Les guides ministériels et vingt ans de pratique l'ont approché : une unité de travail peut être un espace géographique, une fonction, un type d'activité ou un collectif de travail, et la doctrine administrative a explicitement invité à une lecture large pour que l'évaluation épouse l'organisation réelle du travail. Pour un inspecteur lisant un document achevé, cette souplesse est une qualité.

Pour le logiciel, c'est une question bloquante dès le premier jour. Un risque ne peut pas être stocké sans savoir à quoi il se rattache. Il fallait choisir un modèle de données avant de livrer le moindre écran.

Nous avons d'abord tenté l'approche fidèle : laisser chaque employeur définir librement ses unités de travail, en texte libre. Elle a échoué en production pour une raison que nous aurions dû anticiper. Si les unités de travail sont des chaînes arbitraires, rien en aval ne peut être précalculé : les bibliothèques de risques sectorielles ne peuvent plus s'y rattacher, les plans d'action ne s'agrègent plus entre établissements, et un employeur de onze salariés se retrouve devant un champ vide et un terme juridique qu'il n'a jamais rencontré. L'abstraction que nous avions fidèlement préservée du texte était précisément celle que nos utilisateurs ne pouvaient pas fournir.

Ce qui a été livré est un hybride : une taxonomie d'unités de travail préconstruite par secteur — une boulangerie reçoit *fournil*, *pâtisserie*, *point de vente*, *livraison* — modifiable et extensible, avec des risques rattachés à l'unité et consolidés au niveau de l'établissement. Cette décision a consommé des semaines de débat produit et ingénierie, et une reconstruction du modèle de données. Elle est défendable. Elle n'est pas la seule réponse défendable. Et chaque concurrent sur le marché français a pris une décision comparable, en privé, au même coût, en arrivant à une réponse légèrement différente que personne ne peut réconcilier faute de définition lisible par machine faisant autorité.

L'unité de travail est un cas particulier d'une classe générale. Cinq problèmes de traduction sont revenus dans les deux juridictions.

Termes non définis ou à texture ouverte. L'équivalent américain de l'unité de travail est plus tranchant encore : la General Duty Clause oblige l'employeur à maintenir le lieu de travail exempt de *recognized hazards* — la reconnaissance étant un fait empirique sur les pratiques d'un secteur, non une liste publiée. Un logiciel ne peut pas énumérer un fait social évolutif. Nous l'avons approché par des bibliothèques sectorielles de dangers dérivées des standards publiés, des guides et des schémas d'accidents, chaque entrée étant présentée comme une suggestion soumise à validation humaine. Cette décision produit a été imposée par une lacune interprétative, pas choisie pour l'expérience utilisateur.

Renvois implicites. Une obligation tient rarement en un seul endroit. La réforme française de 2021 [5] a placé le devoir d'évaluation en L4121-3, la conservation et le programme de prévention en L4121-3-1, le contenu en R4121-1 et suivants, avec des obligations qui s'étendent au service de prévention et de santé au travail et à la consultation du CSE, plus des décrets sectoriels. Rien dans le texte publié ne porte de lien lisible par machine entre ces fragments. Reconstituer l'obligation réelle est un travail d'assemblage manuel, refait une fois par éditeur, invisiblement.

Des seuils qui semblent précis et ne le sont pas. Les seuils d'effectif paraissent exacts — le programme annuel de prévention s'applique à cinquante salariés — jusqu'à ce qu'on demande quelle définition d'effectif, mesurée à quelle date, et ce qui se passe l'année où l'entreprise franchit la ligne. Les règles de périodicité sont pires : le DUERP doit être mis à jour au moins annuellement et lors de toute modification importante des conditions de travail. « Importante » porte une charge considérable dans cette phrase, et un produit qui envoie des rappels de mise à jour doit l'opérationnaliser.

Versionnage et détection du changement. Il n'existe aucun flux fiable lisible par machine annonçant qu'une obligation a changé. En pratique, les évolutions nous sont parvenues par des abonnements de veille juridique, des réseaux professionnels et — plus d'une fois — un client rapportant ce que son inspecteur lui avait dit. Nous surveillons les sources officielles manuellement. Pour un produit régulé, « nous l'avons appris par un client » est une phrase inconfortable à écrire, et c'est la phrase exacte.

Défendabilité en cas de contrôle. Chaque jugement automatisé doit survivre à la lecture d'un agent humain des mois plus tard. Cette contrainte a façonné notre architecture plus que toute autre : les suggestions de l'IA sont des propositions qu'une personne accepte ou rejette, chaque élément accepté conserve sa provenance, et les versions successives sont préservées — le droit français impose la conservation des versions successives du DUERP pendant quarante ans [5]. C'est ici que le problème d'interprétation rejoint le problème de gouvernance de l'IA, sur lequel revient la section 5.

3. Deux régimes, deux modes de défaillance

La France est prescriptive et centrée sur le document. L'obligation nomme un artefact : un document unique, détenu par l'employeur, mis à jour au moins annuellement, conservé des décennies, tenu à disposition des travailleurs, du CSE, du service de santé au travail et de l'inspection. Spécifier cet artefact dans un logiciel est relativement simple, parce qu'on sait ce qui doit exister à l'arrivée. L'ambiguïté est déplacée vers le périmètre et la granularité — ce qu'est une unité de travail, la finesse de la taxonomie des risques, ce qui distingue une mise à jour d'une correction.

La France fait aussi quelque chose que les États-Unis ne font pas : elle paie partiellement la conformité. Les subventions prévention, le fonds de prévention de l'usure professionnelle et la tarification AT/MP font qu'un employeur français a, dans son calcul, de l'argent qui va vers la conformité et pas seulement des sanctions qui en partent. Cela change ce que le logiciel doit modéliser : nous exposons le coût évité et les aides mobilisables à côté de l'exposition, parce que pour un employeur français les deux sont réels.

Les États-Unis fonctionnent par standards plus obligation générale. Les standards spécifiques sont, du point de vue d'un constructeur, la matière la plus codable des deux juridictions : ils portent des nombres, des périmètres et des références, et l'eCFR publie déjà du XML structuré [6]. Puis la General Duty Clause importe une obligation ouverte par construction. C'est un choix législatif délibéré, et défendable — il permet à l'application de la loi d'atteindre des dangers qu'aucun standard n'avait anticipés — mais il est incodable par principe, et non simplement non encodé. Le régime est en outre piloté par le contrôle plutôt que par le document : le coût est déclenché par une inspection, une citation ou un accident, non par l'absence d'un document nommé.

Aucun des deux régimes n'a été écrit en pensant à une mise en œuvre logicielle, et les remèdes ne se transposent pas. La France a surtout besoin de définitions et de versionnage : un énoncé lisible par machine et faisant autorité de ce que peut être une unité de travail, de ce qui constitue une modification importante, et d'un journal des changements quand l'un de ces éléments bouge. Les États-Unis ont surtout besoin de standards lisibles par machine à grande échelle, plus d'un moyen gouverné de représenter la pratique reconnue et évolutive — par exemple un référentiel publié, versionné et explicitement non exhaustif des dangers reconnus par secteur. Un programme unique de règles-comme-code appliqué identiquement aux deux ne servirait bien ni l'un ni l'autre.

4. L'impôt invisible : mesurer le coût d'interprétation

Quelle est l'ampleur de ce coût ? Je peux proposer une estimation bornée de praticien, et je tiens à expliciter sa méthode pour qu'elle puisse être décotée comme il se doit.

En reprenant notre historique de développement et en classant les travaux significatifs en deux catégories — *interprétation* (décider ce qu'une règle veut dire, lever des définitions, réconcilier des sources, arrêter une position défendable) et *implémentation* (faire faire au logiciel une chose déjà décidée) — j'estime que l'interprétation a absorbé environ un tiers de l'effort d'ingénierie et de produit sur les deux produits. La part était plus élevée la première année de chaque juridiction et a baissé à mesure que notre modèle de référence interne se stabilisait.

Les limites de ce chiffre sont sérieuses et méritent d'être dites. C'est une auto-classification rétrospective par la personne qui a intérêt à la conclusion. Beaucoup de travaux mêlent les deux natures et ont été affectés à celle qui dominait. Il n'existe aucune équipe témoin construisant le même produit avec des règles parfaitement lisibles par machine. Et cela décrit une équipe, dans un domaine, à un moment de l'évolution de chaque régime. Je ne défendrais pas la fraction exacte ; je défendrais l'affirmation que cette part est importante, non marginale, et invisible dans toutes les comptabilités du coût de la conformité que j'ai vues.

Ce qui en fait un impôt plutôt qu'un coût, c'est la redondance. Le même travail interprétatif est refait indépendamment par chaque éditeur de conformité, chaque équipe HSE interne, chaque cabinet de conseil et, de plus en plus, chaque outil d'IA — sur les mêmes règles, la même année, avec des réponses qui peuvent discrètement diverger. Des estimations agrégées du coût de la conformité réglementaire existent dans les deux pays et varient d'un ordre de grandeur selon la méthode ; aucune de celles que j'ai trouvées ne décompose la part d'interprétation, qui est précisément la question.

Cela suggère une question de recherche plutôt qu'une réponse : quelle part du coût agrégé de la conformité relève d'un coût d'interprétation qu'une publication lisible par machine pourrait supprimer, et quelle part est irréductible ? Y répondre suppose d'instrumenter un petit nombre d'éditeurs et d'équipes internes pour classer l'effort de façon prospective, idéalement dans une juridiction ayant commencé à publier des règles lisibles par machine et dans une autre qui ne l'a pas fait. Personne, à ma connaissance, ne l'a mesuré correctement.

5. Ce que changerait une réglementation lisible par machine

Il vaut la peine d'être concret sur ce que j'aurais consommé si cela avait existé.

Une publication structurée à côté du texte juridique. Obligations, définitions, seuils et conditions d'applicabilité exprimés dans un schéma standard et publiés par l'autorité qui édicte, versionnés comme du logiciel — un journal des changements pour le droit. Non pas un remplacement du texte, ni une source faisant autorité contre lui, mais une lecture officielle que les éditeurs implémenteraient au lieu de la reconstituer.

Des jeux de tests de validation officiels. Des exemples travaillés, publiés par le régulateur : un employeur ayant telles caractéristiques, dans tel secteur, à tel effectif, doit produire ceci. Toute implémentation — commerciale, interne ou fondée sur l'IA — pourrait alors être testée contre les propres exemples du régulateur, exactement comme les standards techniques livrent des vecteurs de test de référence. C'est l'artefact qui nous aurait fait gagner le plus, parce qu'il transforme une controverse d'interprétation en un test qui passe ou échoue.

Des identifiants et des interfaces stables. Une catégorie de danger, une obligation ou un seuil référencés sans ambiguïté entre systèmes et d'une année sur l'autre, pour qu'un changement se détecte mécaniquement plutôt que par l'inspecteur d'un client.

Rien de tout cela n'est spéculatif. Le programme Better Rules néo-zélandais a établi la pratique consistant à rédiger la loi et son expression exploitable par machine en même temps [7]. La France encode déjà une part substantielle du droit fiscal et social dans OpenFisca, moteur open source de règles-comme-code utilisé au sein de l'administration [8]. L'eCFR américain publie la réglementation en XML structuré. Ces travaux prouvent la faisabilité. Aucun ne couvre encore le domaine de la santé-sécurité au travail dans lequel nous construisons — un domaine aux millions de petits employeurs assujettis et à forte charge d'interprétation par employeur, donc un bon candidat précisément parce que le coût est si finement réparti qu'aucun acteur isolé ne le corrigera.

Le lien avec l'intelligence artificielle est direct, et c'est ce qui rend le sujet plus urgent qu'il y a cinq ans. Les grands modèles de langage servent déjà à interpréter la réglementation, y compris dans nos propres produits. Sans vérité de référence lisible par machine et faisant autorité, tout outil de conformité fondé sur l'IA est une interprétation invérifiable posée sur de l'ambiguïté — plausible, fluide, et impossible à vérifier pour l'employeur, l'éditeur ou l'inspecteur. Des règles lisibles par machine assorties de tests officiels constituent le substrat d'audit qui rend gouvernable l'IA dans l'administration réglementaire : elles transforment « le modèle dit que vous êtes conforme » en une affirmation testable contre quelque chose que l'État a publié.

6. Recommandations

Expérimenter la publication double sur une règle à forte charge. Lorsqu'une réglementation que de nombreuses petites entreprises doivent appliquer est édictée ou modifiée, le régulateur publie un jeu de règles lisible par machine et un journal des changements à côté du texte juridique. Les pilotes candidats sont étroits et évaluables : l'obligation DUERP en France, dont la réforme de 2021 a déjà provoqué une vague de réinterprétation privée, et un standard OSHA à fort volume aux États-Unis. L'organisme publiant est le ministère ou l'agence qui rédige déjà le texte ; le coût marginal consiste à exprimer des décisions qu'il a déjà prises.

Publier des jeux de tests de validation avec les réglementations. Des exemples de conformité travaillés, testables par tout éditeur, employeur ou système d'IA, maintenus par le régulateur avec la règle. Les réussir devrait compter — au minimum comme signal documenté de bonne foi dans l'exercice du pouvoir de sanction, et potentiellement comme véritable sphère de sécurité là où le législateur accepte d'aller jusque-là. C'est là que le levier est le plus fort au regard de l'effort.

Utiliser la commande publique comme levier. Les achats publics d'outils de conformité et d'administration fondés sur l'IA devraient exiger la consommation de règles lisibles par machine lorsqu'elles existent, et des sorties traçables pour audit lorsque des jugements sont automatisés. La commande publique bouge plus vite que la loi et crée un marché pour exactement les artefacts recommandés ci-dessus.

Financer la mesure. Commanditer des travaux quantifiant la part d'interprétation dans le coût de conformité, de façon prospective et sur des juridictions à des stades différents d'adoption des règles-comme-code. Sans cela, la publication double reste une idée séduisante sans base de preuve pour être étendue — ou arrêtée. C'est la pièce que j'aimerais le plus voir traitée rigoureusement, parce que ma propre estimation est exactement le genre de chiffre sur lequel il ne faut pas s'appuyer.

Conclusion

Toute réglementation est mise en œuvre deux fois. Aujourd'hui, la seconde mise en œuvre — celle qui vit dans les schémas, les formulaires, les logiques de rappel et les rapports destinés aux inspecteurs — se fait de façon redondante, privée et invisible, par des équipes qui reconstituent chacune le même sens à partir du même texte, à leurs frais. De plus en plus, elle est faite par des systèmes d'IA qui n'ont aucune vérité de référence pour se contrôler, ce qui transforme un problème d'efficacité en problème de gouvernance.

Les règles-comme-code ne relèvent pas de la futurologie. Il s'agit de publier ce que l'État a déjà décidé, dans une forme que son propre siècle sait lire. Le texte juridique reste la source de droit ; ce qui change, c'est que l'interprétation faite une fois à l'intérieur d'une administration cesse d'être refaite mille fois à l'extérieur.

Ce document rapporte ce que la construction de cette seconde mise en œuvre a appris à une équipe, dans un domaine, sur deux systèmes juridiques. La preuve systématique — l'ampleur réelle de cet impôt, et la part que la publication pourrait effectivement supprimer — reste à établir. C'est le travail auquel j'espère contribuer.

Notes

Code du travail, art. L4121-3 (obligation d'évaluation des risques professionnels par l'employeur).
29 CFR Part 1904 — enregistrement et déclaration des accidents et maladies professionnels (États-Unis).
Occupational Safety and Health Act de 1970, § 5(a)(1) — General Duty Clause.
Code du travail, art. R4121-1 (contenu du document unique, par unité de travail).
Loi n° 2021-1018 du 2 août 2021 et Code du travail, art. L4121-3-1 (programme de prévention, conservation des versions successives pendant quarante ans).
U.S. Government Publishing Office / Office of the Federal Register, XML structuré de l’eCFR.
Nouvelle-Zélande, Better Rules for Government Discovery Report (2018) et travaux ultérieurs sur les règles-comme-code.
OpenFisca — moteur open source encodant le droit fiscal et social français, développé au sein de l'administration.

Note de l’auteur et déclaration

Auteur unique. iDuerp et OSHAid sont des produits commerciaux de Zysco ; le crédit d'ingénierie est partagé avec mon équipe. Les exemples clients sont anonymisés, et utilisés avec autorisation lorsqu'un détail identifiant subsiste. Il s'agit d'un working paper de praticien : il rapporte une expérience plutôt qu'une recherche, et son estimation chiffrée est bornée comme indiqué en section 4. Commentaires et corrections bienvenus.