Démontré juste, pas probablement juste
Démontré juste signifie qu'une décision d'IA clinique peut être reconstruite à la demande : la règle exacte invoquée, les valeurs exactes contrôlées, l'opération déterministe qui a renvoyé réussite ou échec, et un humain nommé qui l'a attestée. Probablement juste signifie que le système était confiant. En inspection, un seul des deux survit.
C'est une distinction de catégorie, non une formule de marketing. Elle divise l'IA clinique en deux architectures qui semblent identiques dans une démonstration et se comportent tout à fait différemment au moment où un régulateur, un comité d'éthique ou un tribunal pose la seule question qui compte : montrez-moi exactement comment cette décision a été prise.
Une architecture répond par une probabilité. L'autre répond par une preuve.
La question qu'aucune probabilité ne peut résoudre
Une inspectrice entre dans un centre clinique. Elle choisit au hasard un patient inclus et dit : expliquez-moi étape par étape comment vous avez déterminé que ce patient était éligible.
Si la décision ne peut être reconstruite devant elle, les données sources, le contrôle d'inclusion et d'exclusion, la logique qui les a reliés, c'est un constat de conformité au protocole. La conformité au protocole figure depuis des années parmi les catégories de déficience les plus citées dans les inspections BPC de la FDA et de l'EMA. C'est la défaillance la plus ancienne et la mieux comprise du domaine.
Un score de confiance n'explique rien à personne.
Tout cadre réglementaire qui régit l'IA clinique repose sur la même exigence : une décision réglementée doit être reconstructible, des données sources à travers la logique de décision jusqu'à la règle qui l'a produite, au moment où un inspecteur le demande. L'exigence figure dans la 21 CFR Part 11, dans l'ALCOA+, dans l'ICH E6(R3), dans les Articles 11, 12, 13 et 14 du règlement européen sur l'IA, dans la Résolution CFM 2.454/2026 du Brésil et dans les New Drugs and Clinical Trials Rules, 2019, de l'Inde. La formulation varie selon la juridiction. L'exigence architecturale non.
Un score de confiance est, par construction, la sortie d'une distribution de probabilité. Ce n'est pas la sortie d'une règle appliquée à des données sources. On peut lui attacher une étiquette réglementaire après coup. On ne peut pas le dériver d'une règle.
Voilà toute la distinction, énoncée au niveau de la preuve :
🔹 Probablement juste optimise la fréquence à laquelle le système est correct.
🔹 Démontré juste optimise notre capacité à prouver que le système a respecté chaque contrainte sur cette décision précise.
Les deux questions comptent. Les paradigmes de validation existants répondent à la première. La seconde a été laissée aux affaires réglementaires pour qu'elles la traduisent seules, et elle ne peut être traduite. Un score de confiance n'est pas un artefact de conformité. C'est un signal de marketing en habit réglementaire.
Simuler contre prouver
Il existe une version plus subtile de « probablement juste » qui mérite d'être nommée, car c'est là que les systèmes les plus sophistiqués échouent.
Certaines IA cliniques simulent le régulateur. Elles prédisent ce qu'un inspecteur, un comité d'éthique ou un évaluateur d'agence dirait d'une sortie donnée. Un modèle bien entraîné peut le faire de façon impressionnante. Mais la prédiction du jugement d'un régulateur est, par définition, probablement juste. C'est une très bonne supposition sur un verdict humain qui n'a jamais été réellement rendu.
Démontré juste ne simule pas le régulateur.
Il prouve un ensemble borné de propriétés structurelles de façon déterministe, sans terrain intermédiaire probabiliste, et il achemine tout jugement hors de cette borne vers un attestateur humain nommé. La machine prouve ce qui peut être prouvé. L'humain décide de ce qui exige un jugement. Rien n'est deviné puis habillé en verdict.
Voilà la phrase qui sépare les deux catégories :
Un système qui prédit ce qu'un régulateur dirait est probablement juste.
Un système qui prouve des propriétés bornées et achemine le reste vers un humain responsable est démontré juste.
Ce qu'est réellement un certificat de preuve
Un certificat de preuve n'est ni une métaphore ni un tableau de bord. C'est un artefact concret et structuré, produit par le système au moment de la décision, contenant un ensemble défini de propriétés. En son cœur :
🔹 La règle invoquée. La règle précise appliquée, par source, citation et version. Pas « orientation de la FDA ». Section 4.2.1 du protocole, critère d'inclusion 7, vérifié selon les exigences de données sources de l'ICH E6(R3).
🔹 Les valeurs vérifiées. Les valeurs exactes de patient, de protocole, de centre et opérationnelles contrôlées. Énumérées, non résumées. Attribuables à la source.
🔹 L'opération de vérification. La procédure déterministe qui a renvoyé réussite ou échec sur cette décision précise. Inspectable. Reproductible. Ré-exécutable devant l'inspecteur.
🔹 L'énoncé de limite. Ce que l'opération n'a pas contrôlé, et les facteurs de jugement humain délibérément réservés à l'humain responsable.
La spécification complète étend ceci à huit propriétés, ajoutant la classe de risque figée de la décision, l'identité de l'humain qui a attesté, le registre des dérogations et escalades, et une déclaration explicite que l'opération est une preuve présentée à un relecteur, non une substitution au jugement du relecteur. Le schéma complet est exposé dans Le cadre de validation réglementaire.
Aucune probabilité. Aucune confiance de modèle. Aucun score d'explicabilité ajouté après coup.
C'est ce que la 21 CFR Part 11 exige depuis 1997. C'est ce que l'ALCOA+ exige chaque jour dans chaque centre en inspection. C'est ce que le règlement européen sur l'IA exige désormais explicitement. Et c'est proche de ce que la Résolution CFM 2.454/2026 attend de l'IA dans la pratique médicale brésilienne : explicabilité, traçabilité de la décision et une décision finale humaine, l'accent portant sur la traçabilité de la décision plutôt que sur l'interprétabilité du modèle. La résolution régit la pratique médicale et prend effet en août 2026 ; le principe qu'elle rend explicite, la traçabilité au niveau de la décision, est ce que produit un certificat de preuve.
La norme réglementaire est déjà là. Une grande partie de la pile fournisseur n'a pas suivi.
Le test de trois secondes
Il existe un test que tout professionnel des affaires réglementaires peut appliquer à tout système d'IA clinique aujourd'hui.
Demandez : montrez-moi l'artefact de preuve de cette décision, règle invoquée, valeurs sources, opération de vérification, énoncé de limite, en un seul document. Puis chronométrez la réponse.
🔹 Si la réponse navigue vers un tableau de bord, c'est un score de confiance emballé dans une interface.
🔹 Si la réponse propose d'exporter un journal d'audit, c'est une base de données d'horodatages.
🔹 Si le système produit, en quelques secondes, un artefact structuré portant ces propriétés, c'est un certificat de preuve.
La plupart des IA cliniques déployées aujourd'hui échouent à ce test. Non parce que les fournisseurs sont malhonnêtes, mais parce que l'architecture traite la conformité comme une couche ajoutée à la fin. À ce stade, la primitive réglementaire, la trace vérifiable règle-décision-données sources, a déjà été remplacée par une probabilité. On ne peut pas rétro-ajuster un certificat de preuve sur un score de confiance. Le système doit être bâti autour du certificat dès la première ligne de code.
Pourquoi la preuve doit être non corrélée
Il y a une propriété de plus qui sépare la preuve de la performance, et c'est la plus souvent oubliée.
Un score de confiance, c'est le modèle notant son propre travail. Il est généré par le même système dont il note la sortie, il hérite donc des angles morts de cette sortie. Quand il se trompe, il tend à se tromper exactement de la manière dont la sortie se trompe. C'est une preuve corrélée portant l'étiquette d'un contrôle. Beaucoup de ce qui est présenté dans l'IA clinique comme du contrôle qualité, un agent en contrôlant un autre entraîné sur les mêmes données, a le même défaut.
Démontré juste exige une preuve qui échoue différemment.
Un contrôle déterministe de règles, une preuve structurelle formelle et une attestation humaine sont trois substrats différents. Il est peu probable qu'ils partagent une cause commune de défaillance. Un contrôle de règles peut se tromper d'une façon qu'une preuve structurelle rattraperait. Une preuve structurelle peut passer sur une détermination qu'un humain rejetterait. Un humain peut saisir ce qu'aucune opération machine n'était cadrée pour voir. Une preuve tirée de substrats qui échouent différemment est défendable d'une manière qu'un unique nombre autodéclaré ne l'est jamais.
Une preuve corrélée est de la confiance. Une preuve non corrélée est une preuve.
La catégorie que cela définit
« Démontré juste, pas probablement juste » est le principe de conception sous une catégorie précise d'infrastructure : l'IA de vérification d'abord pour les décisions cliniques réglementées. La distinction est architecturale avant d'être autre chose.
🔹 Un modèle probabiliste peut participer au pipeline de décision, mais seulement parce qu'il est encadré par un contrôle déterministe qu'il ne peut contourner. Le modèle propose. La preuve dispose.
🔹 Tout ce qu'un inspecteur, un comité d'éthique ou un tribunal voit est produit par la couche de vérification déterministe, non par le substrat probabiliste qui l'a alimentée.
🔹 La couche de vérification, non le modèle, produit l'artefact réglementé.
C'est pourquoi la catégorie se définit par ce qu'elle peut reconstruire, non par le degré d'exactitude qu'elle revendique. L'exactitude est une propriété d'un modèle. L'admissibilité est une propriété d'une architecture.
Les cadres réglementaires y convergent de toutes les directions : trajectoires d'inspection continue, en temps réel, aux États-Unis, évaluation de conformité à haut risque dans l'UE, explicabilité au niveau de la décision au Brésil. Quand l'inspection devient continue, la vérification doit être déterministe et instantanée. La vérification procédurale, qui documente la conformité après coup, ne peut pas fonctionner à cette cadence. La vérification architecturale le peut.
Le domaine devra choisir quel artefact compte. Une probabilité, ou une preuve.
Démontré juste, pas probablement juste. C'est la norme. Le certificat est la preuve.
Foire aux questions
Que signifie « démontré juste, pas probablement juste » dans l'IA clinique ?
Cela signifie qu'une décision d'IA clinique peut être reconstruite et défendue de façon déterministe, la règle, les valeurs, l'opération de vérification et l'attestation humaine exactes, plutôt que simplement accompagnée d'un score de confiance indiquant le degré de certitude du modèle. La probabilité décrit l'état interne du modèle. La preuve décrit ce qui a été réellement vérifié.
Pourquoi un score de confiance n'est-il pas un artefact de conformité ?
Un score de confiance est la sortie d'une distribution de probabilité, non la sortie d'une règle appliquée à des données sources. Des réglementations comme la 21 CFR Part 11, l'ICH E6(R3) et les Articles 11, 12, 13 et 14 du règlement européen sur l'IA exigent qu'une décision réglementée soit reconstructible à la demande. Un score de confiance ne peut pas être reconstruit en la règle et les valeurs qui ont produit la décision, il ne peut donc pas satisfaire cette exigence.
Qu'est-ce qu'un certificat de preuve ?
Un certificat de preuve est un artefact structuré produit au moment où une décision assistée par l'IA est prise. Il consigne la règle invoquée, les valeurs vérifiées, l'opération de vérification déterministe, un énoncé de limite explicite de ce qui n'a pas été contrôlé, la classe de risque figée, l'identité de l'humain qui a attesté, le registre des dérogations et escalades, et une déclaration que l'opération est une preuve, non une substitution au jugement humain.
En quoi un certificat de preuve diffère-t-il d'un journal d'audit ?
Un journal d'audit est typiquement une base de données d'horodatages qui consigne que quelque chose a eu lieu. Un certificat de preuve consigne exactement ce qui a été vérifié, au regard de quelle règle et version, avec quelles valeurs sources, et ce qui a été délibérément laissé au jugement humain, en un seul artefact reproductible ré-exécutable devant un inspecteur.
L'architecture de vérification d'abord remplace-t-elle les relecteurs humains ?
Non. L'architecture est explicitement une preuve, pas une substitution. L'opération de vérification est une preuve en amont qu'un humain nommé consomme avant d'attester la décision. La responsabilité demeure avec l'humain.
NexTrial.ai bâtit une infrastructure de vérification d'abord pour l'activation d'essais cliniques assistée par l'IA. Les capacités décrites ici reflètent l'intention de conception du cadre. Pour l'architecture complète, voir Le cadre de validation réglementaire.