Ergonomie cognitive : concevoir pour l’esprit humain, pas contre lui.

Le Conseil de l’Association internationale d’ergonomie adopte en août 2000 une définition officielle encore utilisée aujourd’hui : l’ergonomie, ou les facteurs humains, est la discipline scientifique qui vise à comprendre les interactions entre les êtres humains et les autres composantes d’un système, et la profession qui applique des théories, des principes, des données et des méthodes de conception pour optimiser à la fois le bien-être des personnes et la performance globale du système. L’association distingue explicitement, au sein de ce champ général, trois domaines de spécialisation : l’ergonomie physique, centrée sur l’anatomie et la physiologie du travail ; l’ergonomie cognitive, centrée sur les processus mentaux mobilisés dans l’interaction avec un système ; et l’ergonomie organisationnelle, centrée sur l’optimisation des systèmes sociotechniques, dont la macro-ergonomie, traitée dans la dernière section de ce dossier, constitue une des branches.

« Ergonomie cognitive » n’est donc pas un synonyme de « facteurs humains » ou d’« ergonomie » au sens large, même si ce dossier, par commodité et comme le fait couramment la littérature du champ, utilise ces derniers termes pour désigner la discipline mère dont l’ergonomie cognitive constitue un domaine. Parmi les objets que l’association internationale rattache explicitement à ce domaine cognitif figurent la charge mentale, la prise de décision, la performance experte, l’interaction humain-machine, la fiabilité humaine, le stress professionnel et la formation, autant de thèmes repris et développés dans les sections suivantes.

L’ergonomie cognitive se distingue d’abord de l’ergonomie physique, qui étudie l’anthropométrie et la physiologie appliquées au travail musculaire et postural, la hauteur d’un plan de travail ou le risque de trouble musculo-squelettique d’un geste répété : ces questions relèvent d’un autre domaine du même champ. Elle se distingue aussi, de façon plus subtile, de l’UX design, l’expérience utilisateur au sens du design de produit numérique : les deux champs partagent largement leurs méthodes, tests utilisateurs, analyse de tâches, prototypage itératif, sans poursuivre exactement la même finalité. L’UX design vise, comme l’ergonomie cognitive, l’utilisabilité et la satisfaction de la personne qui utilise un système ; il ne se réduit pas à un objectif commercial. Les deux traditions se sont toutefois construites dans des contextes différents : l’UX design autour de produits numériques grand public et de leurs enjeux d’adoption, l’ergonomie cognitive et les facteurs humains autour d’enjeux de sécurité et de performance dans des secteurs comme l’aviation, le nucléaire ou la médecine, où l’échec de conception coûte des vies plutôt que des utilisateurs.

La norme internationale ISO 9241-210, consacrée à la conception centrée sur l’humain pour les systèmes interactifs, encadre aujourd’hui une bonne partie du terrain commun aux deux traditions. Un designer formé principalement à l’attrait visuel peut ignorer des principes de compatibilité perceptivo-motrice bien établis depuis les années 1950 ; un ergonome cognitif formé aux salles de contrôle industrielles peut sous-estimer des contraintes de plaisir d’usage propres aux produits grand public. Les meilleures conceptions mobilisent en pratique les deux approches plutôt que de n’en retenir qu’une.

Donald Norman popularise, dans « The Design of Everyday Things » (1988), un argument devenu central dans ce champ : lorsqu’une personne se trompe de façon régulière et prévisible sur un objet ou une interface, ce n’est généralement pas par manque de compétence, mais parce que la conception rend l’erreur facile, voire presque inévitable. Norman étaye cet argument par de nombreux exemples analysés en détail plutôt que par une étude systématique mesurant la part relative des causes d’erreur à l’échelle d’une population ; l’ouvrage ne démontre donc pas statistiquement que la conception serait « la cause la plus fréquente » des erreurs, mais propose un changement de regard, à vérifier au cas par cas. Ce déplacement, de l’individu vers la conception, structure l’ensemble de ce dossier, notamment la section consacrée à l’erreur humaine et à la sécurité des systèmes.

Cette discipline s’est développée à partir d’un même constat pratique dans plusieurs pays occidentaux. Des chercheurs sont recrutés par les armées pendant la Seconde Guerre mondiale pour résoudre des problèmes concrets d’équipage, comme un levier actionné par erreur sous pression ou un signal radar manqué après une longue veille. Ils observent alors que la performance humaine dépend autant de la conception du matériel que de l’entraînement des personnes qui l’utilisent. Paul Fitts, mentionné plus loin à propos de la compatibilité stimulus-réponse et de la loi qui porte son nom, travaille précisément dans ce contexte militaire avant de poursuivre une carrière universitaire. Une bonne partie des méthodes et des résultats les plus solides du champ, dont la liste de Fitts sur l’allocation des fonctions entre l’humain et la machine, formalisée dès les années 1950, provient ainsi de secteurs à haut risque avant d’essaimer vers l’industrie civile puis les systèmes d’intelligence artificielle.

La distinction entre le travail tel qu’il est prescrit par une procédure ou un organigramme et le travail tel qu’il est réellement effectué par les personnes sur le terrain est ancienne dans l’ergonomie francophone. Erik Hollnagel la reprend sous une formulation proche, en opposant le travail-tel-qu’imaginé au travail-tel-qu’il-est-fait dans ses travaux sur la sécurité des systèmes. L’écart entre les deux n’est pas un défaut à corriger par plus de discipline : il reflète le fait que les procédures ne peuvent jamais anticiper toute la variabilité des situations réelles, et que les opérateurs adaptent en permanence leur activité pour y faire face, souvent avec succès et sans que cela soit documenté nulle part.

Ignorer cet écart conduit à des conceptions qui optimisent pour une activité imaginée plutôt que pour l’activité réelle : une interface pensée pour une séquence de tâches linéaire et ininterrompue, alors que le travail réel est constamment interrompu, réordonné et partagé entre plusieurs personnes. Documenter le travail réel, par observation directe, entretiens ou traces d’activité, est donc un préalable à toute conception plutôt qu’une option facultative réservée aux projets qui en ont le temps.

L’analyse cognitive de la tâche désigne un ensemble de méthodes qui cherchent spécifiquement à documenter les processus mentaux mobilisés dans une activité, la prise d’indices, les stratégies, les connaissances tacites de l’expert, plutôt que la seule séquence observable des actions physiques. Laura Militello et Robert Hutton publient en 1998 une présentation devenue une référence pratique du domaine, l’analyse cognitive appliquée de la tâche (ACTA), une boîte à outils combinant des entretiens semi-structurés destinés à faire verbaliser un expert sur les indices qu’il utilise, les erreurs qu’un novice commettrait à sa place, et les décisions les plus difficiles rencontrées dans son activité.

L’ACTA n’est pas une méthode isolée mais l’une des plus connues d’une famille de méthodes d’analyse cognitive de la tâche aujourd’hui bien établies dans le champ. Ces méthodes ont une limite reconnue par leurs propres auteurs : elles dépendent de la capacité d’un expert à verbaliser des connaissances devenues largement automatiques et implicites avec la pratique, ce qui n’est ni immédiat ni complet. Elles restent néanmoins un moyen documenté d’éviter de concevoir un système à partir d’une idée intuitive, et souvent erronée, de ce qu’un opérateur pense ou perçoit réellement au moment d’agir.

La norme internationale ISO 9241-210 définit la conception centrée sur l’humain comme une approche qui vise à rendre les systèmes utilisables et utiles en se concentrant sur les utilisateurs, leurs besoins et leurs exigences, par l’application de connaissances et de techniques de facteurs humains et d’ergonomie. La norme place explicitement la compréhension du contexte d’utilisation, dont l’analyse du travail réel fait partie, comme la première activité de son processus itératif, avant même la spécification des exigences ou la production de solutions de conception.

Paul Fitts et Charles Seeger publient en 1953 un article fondateur qui démontre expérimentalement que le temps de réaction et le taux d’erreur d’une personne dépendent, de façon déterminante, de la correspondance spatiale entre un stimulus et la réponse attendue : des participants pressent un bouton plus vite et avec moins d’erreurs lorsqu’il est situé du même côté que le signal à traiter (une configuration dite compatible) que lorsque signal et réponse sont spatialement inversés. L’année suivante, Fitts publie seul un second article fondateur qui établit une relation reproductible entre la distance à parcourir vers une cible, la taille de cette cible, et le temps nécessaire pour l’atteindre avec précision, une relation logarithmique restée connue sous le nom de loi de Fitts.

Ce second résultat, obtenu à l’origine sur des mouvements manuels simples, s’est révélé étonnamment stable et généralisable : la taille et l’espacement des boutons sur un écran tactile, le placement des éléments cliquables fréquemment utilisés en bordure d’écran, ou la taille minimale recommandée d’une cible tactile, se déduisent tous, au moins partiellement, de cette relation entre taille de cible, distance et temps de mouvement établie en 1954, aux côtés d’autres considérations perceptives, motrices et d’accessibilité.

Une partie des correspondances jugées intuitives résultent de conventions culturelles apprises plutôt que d’une intuition universelle et biologiquement fixée, ce que les chercheurs en facteurs humains nomment des stéréotypes de population : un interrupteur qui s’actionne vers le haut pour allumer une lumière est la norme en Amérique du Nord, alors que la convention inverse domine au Royaume-Uni. Un même geste peut donc être compatible pour un utilisateur formé dans un pays et incompatible pour un utilisateur formé dans un autre, ce qui signifie qu’une bonne compatibilité stimulus-réponse se définit toujours par rapport à une population d’utilisateurs donnée plutôt que par une correspondance universelle qu’il suffirait de découvrir une fois pour toutes.

Daniel Kahneman propose en 1973, dans « Attention and Effort », un cadre théorique influent selon lequel l’attention constitue une capacité limitée, mobilisable de façon flexible entre plusieurs activités concurrentes selon leur demande respective. Ce cadre, connu sous le nom de théorie de la capacité, décrit une allocation de ressources qui varie avec l’effort et la difficulté de la tâche. Il ne décrit pas une réserve qui s’épuiserait mécaniquement avec le temps comme le ferait une batterie : cette lecture, parfois attribuée à tort au modèle, doit être distinguée de théories plus récentes et spécifiques de la déplétion attentionnelle.

Christopher Wickens prolonge et affine ce cadre à partir des années 1980 avec la théorie des ressources multiples, qui soutient que la capacité attentionnelle ne forme pas un réservoir unique et indifférencié, mais se décompose selon trois dimensions partiellement indépendantes : la modalité sensorielle sollicitée (visuelle ou auditive), le type de traitement en jeu (spatial ou verbal), et le stade de traitement (perception, décision ou action motrice). Deux tâches concurrentes interfèrent davantage lorsqu’elles sollicitent la même ressource que lorsqu’elles sollicitent des ressources différentes, ce qui explique pourquoi répartir intelligemment les canaux sensoriels d’un poste de travail réduit la charge mentale ressentie sans réduire la quantité totale d’information transmise.

Sandra Hart et Lowell Staveland publient en 1988 le NASA Task Load Index, un questionnaire devenu l’outil de mesure de charge mentale le plus utilisé du champ, qui évalue la charge perçue selon six dimensions distinctes, la demande mentale, la demande physique, la demande temporelle, la performance perçue, l’effort fourni et la frustration ressentie. Ces six dimensions restent toutes des évaluations subjectives rapportées par la personne, y compris sa dimension de performance perçue : le NASA-TLX ne mesure ni la demande objective d’une tâche ni la performance effectivement obtenue, deux grandeurs qui doivent être documentées par des mesures distinctes, comportementales ou physiologiques. La demande objective d’une tâche, la charge subjective ressentie par la personne qui l’exécute, et la performance qu’elle parvient effectivement à maintenir restent malgré tout trois grandeurs liées mais non interchangeables. Une tâche peut par exemple être objectivement exigeante sans que la performance s’en ressente, au prix d’une charge ressentie élevée.

Cette distinction compte directement pour la conception : réduire la charge mesurée par un outil comme le NASA-TLX ne garantit pas automatiquement une meilleure performance observable, et une performance stable ne prouve pas qu’un poste de travail reste soutenable, notamment sur une durée plus longue que celle d’un test en laboratoire. Des revues récentes rappellent d’ailleurs qu’un outil aussi largement utilisé n’est pas pour autant une mesure transparente et sans problème : l’une relève des questions théoriques et méthodologiques non résolues sur ce que le NASA-TLX mesure réellement, l’autre, une méta-analyse portant sur 522 articles publiés à la conférence CHI, documente une forte hétérogénéité dans la façon dont l’outil est administré et ses résultats rapportés d’une étude à l’autre.

Une intuition répandue, y compris chez certains concepteurs de systèmes, voudrait qu’une tâche de surveillance peu chargée en apparence soit également peu coûteuse mentalement, puisqu’elle ne demande la plupart du temps aucune action. Joel Warm, Raja Parasuraman et Gerald Matthews contestent directement cette intuition dans leur synthèse de 2008, qui rassemble des mesures subjectives, physiologiques et cérébrales montrant qu’une tâche de vigilance prolongée mobilise des ressources attentionnelles comparables, voire supérieures, à celles de tâches perçues comme plus actives, avec une élévation mesurable du stress ressenti. Cette précision compte pour la conception de postes où la surveillance reste une fonction humaine centrale malgré l’automatisation : salle de contrôle, centre de sécurité, poste de télésurveillance médicale.

La notion circule de façon informelle depuis longtemps dans l’aviation militaire, où les pilotes de chasse décrivent la nécessité de garder une image mentale exacte et actualisée de leur position, de leurs menaces et de leurs ressources en plein combat aérien, une compétence dont la perte précède fréquemment un accident. Mica Endsley publie en 1995 dans la revue Human Factors l’article devenu la référence structurante du domaine, qui propose un modèle théorique complet reliant la conscience de la situation aux processus attentionnels, à la mémoire de travail et aux modèles mentaux de l’opérateur.

Endsley développe dès 1988 une méthode de mesure directe restée depuis l’une des plus utilisées et étudiées du domaine, la technique d’évaluation globale de la conscience de la situation, SAGAT, qui consiste à interrompre une simulation à des moments choisis aléatoirement, à masquer les affichages, puis à interroger l’opérateur sur sa perception actuelle de la situation, avec des questions couvrant les trois niveaux du modèle. En interrompant la tâche à un moment que l’opérateur ne peut pas anticiper, SAGAT limite la possibilité de préparer une réponse plausible sans avoir réellement intégré l’information testée, un avantage méthodologique sur les évaluations fondées sur le seul jugement rétrospectif de l’opérateur, sujet à une reconstruction a posteriori peu fiable.

SAGAT n’est cependant ni la seule méthode de mesure directe disponible, ni exempte de débat méthodologique sur ses conditions d’usage, malgré la place centrale qu’elle occupe dans la littérature empirique du domaine. Lorsque l’information nécessaire est répartie entre plusieurs opérateurs et plusieurs artefacts, comme dans une équipe de pilotage ou une salle de contrôle, une approche complémentaire s’impose : la conscience de la situation distribuée, développée notamment par Paul Salmon, Neville Stanton et leurs collègues, décrit ce système réparti dans son ensemble plutôt que la seule représentation mentale d’une personne à la fois.

Gary Klein publie en 1998 « Sources of Power: How People Make Decisions », l’ouvrage de référence d’un courant de recherche, la prise de décision naturaliste, qui étudie directement des professionnels expérimentés, pompiers, commandants militaires, personnel infirmier, en train de prendre de vraies décisions sous contrainte de temps et avec des enjeux réels, plutôt que des participants non spécialistes exécutant une tâche artificielle en laboratoire. Ce courant complète, sans les remplacer, les tâches de laboratoire toujours utiles pour isoler un mécanisme précis avec rigueur.

Ce courant reste néanmoins débattu sur ses propres limites méthodologiques : les études de terrain qu’il privilégie offrent un contrôle expérimental bien moins strict qu’un laboratoire, ce qui rend plus difficile d’isoler avec certitude la cause exacte d’une performance observée. Ses résultats, obtenus auprès de professionnels hautement expérimentés dans un domaine donné, ne se généralisent pas non plus nécessairement à des novices ou à d’autres contextes. Décision naturaliste et tâches de laboratoire contrôlées fonctionnent ainsi moins comme deux écoles rivales que comme deux méthodes aux forces complémentaires et aux angles morts distincts.

Klein formalise dès 1993 le modèle de la décision par reconnaissance, recognition-primed decision : face à une situation, l’expert mobilise des configurations familières construites par l’expérience plutôt qu’un souvenir précis d’un cas particulier. Certains indices lui permettent de reconnaître un type de situation, d’anticiper son évolution probable, de repérer des buts plausibles et de générer rapidement une première action typique. Il peut alors simuler mentalement cette action ; si elle paraît fonctionner, il n’est pas nécessaire de la comparer systématiquement à d’autres options. Ce mécanisme n’est observable qu’auprès de personnes disposant d’une expérience accumulée suffisante dans un domaine donné, ce qu’un protocole de laboratoire bref ne permet généralement pas de constituer chez des participants testés une seule fois.

Ce constat de Klein concerne des environnements relativement familiers, dynamiques et fortement contraints en temps, ceux justement étudiés dans ses travaux de terrain ; ce n’est pas une loi générale de l’expertise applicable à tout type de décision experte, y compris des décisions plus lentes, moins répétitives ou menées dans des domaines où la comparaison explicite d’options reste la norme, la conception d’un système complexe par exemple. Présenter la décision par reconnaissance comme le mode de fonctionnement systématique de toute expertise irait au-delà de ce que ces travaux permettent d’affirmer.

La conception d’aides à la décision, listes de vérification, affichages synthétiques, systèmes d’alerte précoce, s’inspire de ces travaux plutôt qu’elle n’en découle comme un résultat empirique démontré : un principe de conception plausible veut qu’une aide efficace ne cherche généralement pas à remplacer le jugement de l’expert par un calcul automatique, mais à soutenir les étapes où ce jugement est le plus fragile, la détection d’une situation inhabituelle qui ne correspond à aucun cas connu, ou la vérification qu’une action reconnue comme pertinente reste adaptée aux circonstances précises du moment. Cette question rejoint directement celle de la confiance envers un système automatisé, traitée dans la section suivante.

Norman Mackworth entreprend, pendant et après la Seconde Guerre mondiale, l’étude systématique de la vigilance des opérateurs radar et sonar. Son article de 1948 décrit une tâche expérimentale restée célèbre, le test de l’horloge de Mackworth : un cadran sans repère apparent où une aiguille se déplace par petits sauts réguliers, à l’exception de sauts occasionnels plus grands que le participant doit détecter, sur deux heures. Le résultat central est un déclin mesurable et régulier du taux de détection au fil du temps, avec une baisse de dix à quinze pour cent dès les trente premières minutes, aujourd’hui désigné sous le nom de décrément de vigilance et reproduit dans de nombreuses variantes expérimentales depuis.

La littérature oppose depuis longtemps deux familles d’explications au décrément de vigilance. La première, dans la continuité de la théorie de la capacité présentée plus haut, l’explique par la demande croissante que représente le maintien prolongé d’un contrôle attentionnel soutenu, une demande qui s’accroît avec la durée de la tâche plutôt qu’un épuisement mécanique d’une réserve fixe. La seconde l’explique à l’inverse par une sous-stimulation : la tâche, répétitive et pauvre en événements, favoriserait un désengagement attentionnel et une dérive de la pensée, mind-wandering, plutôt qu’un coût croissant du maintien de l’attention. Damian Thomson, Derek Besner et Daniel Smilek proposent en 2015 un modèle de compromis fondé sur le contrôle de l’attention (resource-control account), qui cherche précisément à rendre compte des deux types d’observations plutôt qu’à trancher en faveur d’une seule cause unique.

La théorie de la détection du signal, développée en psychophysique, offre un cadre utile pour interpréter ces mesures : elle distingue deux notions, la sensibilité, soit la capacité à discriminer un signal du bruit ambiant, et le critère de décision, soit le seuil que l’opérateur adopte pour déclarer qu’un signal est présent. Un déclin du taux de détection observé chez Mackworth peut donc refléter une sensibilité réellement dégradée ou un simple déplacement du critère vers plus de prudence, deux mécanismes distincts que la seule mesure du taux de détection ne permet pas à elle seule de distinguer, et qui renvoient au compromis entre détections manquées et fausses alertes examiné à propos des alarmes.

Ce débat n’est pas tranché, et la conséquence pratique reste la même quel que soit le mécanisme retenu : le décrément existe, il est robuste et reproductible, mais l’expliquer par un unique récit, épuisement d’une réserve ou simple ennui, simplifie une question encore active dans la littérature.

La fatigue et le décrément de vigilance sont deux phénomènes voisins mais distincts : le second désigne une baisse de détection propre à une tâche de surveillance précise, mesurable chez une personne par ailleurs reposée, tandis que la fatigue résulte d’une dette de sommeil ou d’un effort soutenu accumulé sur des heures, voire des jours, et affecte l’ensemble des tâches d’une personne. Drew Dawson et Kathryn Reid publient en 1997 une comparaison devenue une référence du domaine : sur la tâche psychomotrice de suivi utilisée dans leur protocole, la dégradation de performance après dix-sept heures d’éveil continu équivaut à celle mesurée avec un taux d’alcoolémie de 0,05 %, et après vingt-quatre heures, à un taux de 0,10 %.

Cette équivalence, largement reprise dans la réglementation du temps de travail de secteurs à risque, concerne spécifiquement la tâche psychomotrice étudiée dans ce protocole précis ; sa transposition à d’autres types de performance, jugement complexe, communication, décision, reste incertaine et ne doit pas être lue comme une règle générale valable pour toute capacité humaine.

Dans un service de soins intensifs, un clinicien peut être exposé à plusieurs centaines d’alarmes par jour et par patient, dont une très large majorité sans signification clinique réelle selon les synthèses disponibles. Cette exposition répétée produit une désensibilisation documentée, la fatigue d’alarme, où le personnel en vient à ignorer, couper prématurément ou retarder sa réponse à des alarmes, y compris occasionnellement à celles qui signalent un événement réellement critique ; la Joint Commission américaine a classé ce problème parmi les priorités de sécurité des patients en 2013. Ce phénomène est une déclinaison concrète, à enjeu vital, du dilemme entre erreurs d’omission et fausses alertes rencontré à propos du biais d’automatisation dans la section suivante : les stratégies étudiées cherchent notamment à réduire les alarmes non actionnables, par exemple en ajustant les seuils, les délais ou la hiérarchisation des alertes selon leur gravité clinique réelle plutôt qu’en ajoutant des alarmes. Une revue systématique portant sur les alarmes physiologiques trouve des proportions d’alarmes réellement actionnables allant de moins de 1 % à 36 % selon les services, et conclut que ces interventions sont prometteuses mais encore insuffisamment démontrées, avec des études souvent hétérogènes et à risque de biais : leur efficacité et leur sécurité dépendent du contexte clinique, et la littérature ne justifie pas une solution universelle.

Raja Parasuraman et Dietrich Manzey publient en 2010 une synthèse de référence qui distingue deux phénomènes apparentés mais non identiques : la complaisance envers l’automatisation, une surveillance insuffisante des performances d’un système parce que l’opérateur lui fait confiance de façon excessive, et le biais d’automatisation proprement dit, une tendance à utiliser les suggestions d’un système comme un raccourci qui remplace une recherche vigilante et indépendante d’informations, y compris lorsque le système se trompe. Leur synthèse montre que la complaisance apparaît de façon plus marquée en charge multitâche, et qu’elle touche aussi bien des novices que des experts entraînés, sans disparaître avec la seule pratique répétée.

Cette réallocation attentionnelle vers d’autres tâches constitue une stratégie de gestion de la charge de travail rationnelle dans la plupart des cas, tant que le système reste fiable ; le problème documenté n’est pas que les opérateurs choisissent délibérément de moins surveiller par négligence, mais que ce réajustement devient un point de vulnérabilité dans la minorité de cas où le système délivre une information erronée. Deux types d’erreurs en résultent : des erreurs d’omission, quand l’opérateur ne remarque pas qu’un événement important n’a pas été signalé, et des erreurs de commission, quand il suit une recommandation erronée alors que des informations disponibles par ailleurs auraient permis de la contredire.

Raja Parasuraman, Thomas Sheridan et Christopher Wickens proposent en 2000 un modèle influent qui distingue quatre fonctions pouvant être automatisées séparément, l’acquisition d’information, son analyse, la sélection d’une décision, et l’exécution d’une action, chacune selon des degrés variables. L’automatisation de la sélection d’une décision, lorsqu’elle est poussée à un degré élevé sans rôle actif laissé à l’opérateur, s’avère plus propice à la complaisance que l’automatisation de la seule acquisition ou présentation d’information, qui laisse l’essentiel du raisonnement à la charge de l’humain.

En 1972, l’équipage du vol 401 d’Eastern Air Lines ne remarque pas qu’une pression involontaire a désengagé le pilote automatique, pendant qu’il se concentre sur une ampoule témoin défectueuse. Le rapport d’enquête du National Transportation Safety Board illustre un mécanisme voisin avec une automatisation plus rudimentaire, mais il faut se garder d’y lire rétrospectivement un « biais d’automatisation » au sens strict et récent du terme : le rapport lui-même parle d’un défaut de surveillance des instruments provoqué par une distraction.

John Lee et Katrina See proposent en 2004 un cadre devenu une référence pour penser ce problème au-delà du seul excès de confiance : la confiance envers un système automatisé doit être calibrée, c’est-à-dire correspondre le plus précisément possible à sa fiabilité réelle, ni plus ni moins. Deux formes de mauvais calibrage en découlent, dont les conséquences dépendent du contexte plutôt que d’être équivalentes par principe : la sur-confiance, se fier davantage au système que sa fiabilité réelle ne le justifie, à l’origine de la complaisance et du biais d’automatisation déjà décrits, et la sous-confiance, se fier moins au système que sa fiabilité réelle ne le justifierait, qui prive l’opérateur d’une aide pourtant utile. Selon l’enjeu, une même sur-confiance peut être anodine dans un contexte peu risqué ou grave dans un contexte critique, et inversement pour la sous-confiance.

La diffusion de systèmes d’aide à la décision fondés sur l’intelligence artificielle et de modèles génératifs n’a pas résolu ce problème de calibrage, elle l’a redéployé avec de nouvelles difficultés. Berkeley Dietvorst, Joseph Simmons et Cade Massey documentent en 2015 un phénomène de sous-confiance spécifique, l’aversion à l’algorithme : des personnes ayant vu un algorithme se tromper, même de façon mineure, cessent ensuite de lui faire confiance alors même qu’il continue de surpasser en moyenne le jugement humain non assisté. Présenter des éléments d’explication n’est pas un remède établi au mauvais calibrage, plutôt un objet de recherche actif dont les résultats restent mitigés : plusieurs études de systèmes d’aide à la décision montrent qu’une explication augmente la propension à suivre la recommandation de l’IA sans améliorer la détection de ses erreurs, ce qui peut être utile lorsqu’elle a raison mais problématique lorsqu’elle se trompe ; des interventions qui forcent un engagement plus actif avec la tâche, plutôt qu’une simple explication ajoutée à l’interface, réduisent en revanche cette dépendance excessive dans certaines conditions. La difficulté s’accroît avec les modèles dont la logique interne n’est pas nativement interprétable, et pour lesquels il n’existe pas de méthode universellement efficace d’explicabilité.

James Reason distingue, dans son ouvrage de 1990, « Human Error », les erreurs à proprement parler, non intentionnelles quant à leur résultat, des violations, qui correspondent à un écart intentionnel à une règle ou une procédure connue. Parmi les erreurs, les erreurs d’exécution, slips, surviennent lorsqu’une intention correcte est mal exécutée, une action automatisée qui dérape malgré une bonne compréhension de ce qu’il fallait faire ; les erreurs de raisonnement, mistakes, surviennent lorsque l’intention elle-même est erronée, fondée sur une règle mal appliquée ou une connaissance insuffisante de la situation. Les violations, à l’inverse, ne résultent pas d’une intention défaillante : l’opérateur sait généralement qu’il s’écarte de la procédure, pour des raisons qui peuvent aller de la négligence à une adaptation locale jugée nécessaire face à une procédure inadaptée au terrain. Regrouper ces trois catégories sous l’étiquette générale d’« erreur humaine » masque donc des mécanismes différents et appelle des remèdes de conception différents.

Confondre ces catégories conduit à des remèdes inadaptés : renforcer la formation répond bien à certaines erreurs de raisonnement fondées sur une connaissance insuffisante, mais ne corrige pas une erreur d’exécution provoquée par une interface qui invite au geste automatique erroné, ni une violation qui traduit un écart durable entre la procédure prescrite et le travail réel documenté en début de dossier.

Reason distingue également, dans le même ouvrage, les défaillances actives, l’action ou l’inaction immédiate d’un opérateur directement liée à un accident, des défaillances latentes, des conditions organisationnelles ou de conception restées invisibles pendant longtemps avant de contribuer, combinées à d’autres, à un accident. Ce modèle est popularisé par la suite sous l’image d’un empilement de tranches de fromage suisse dont les trous s’alignent occasionnellement pour laisser passer une trajectoire d’accident. Il illustre l’idée que plusieurs couches de défense doivent généralement voir leurs vulnérabilités s’aligner pour qu’un accident survienne, plutôt qu’une seule défaillance isolée ; ces couches ne sont pas nécessairement indépendantes les unes des autres, une même cause organisationnelle pouvant affaiblir plusieurs d’entre elles à la fois.

Cette distinction rejoint directement la macro-ergonomie : une interface parfaitement reconçue peut rester inefficace si un sous-effectif chronique ou une procédure d’escalade mal définie continuent de produire les conditions organisationnelles d’un accident, des défaillances latentes qu’aucune correction au niveau du seul poste individuel ne suffit à traiter.

Sidney Dekker prolonge cet argument dans « The Field Guide to Understanding Human Error », en soutenant qu’attribuer un accident à une « erreur humaine » isolée relève souvent d’un biais rétrospectif : la tentation de reconstruire après coup un récit où l’erreur d’un individu paraît évidente, alors qu’elle ne l’était pas au moment où cette personne agissait avec les informations et la charge de travail qui étaient réellement les siennes. Reconnaître le rôle systématique de la conception et de l’organisation ne doit pas non plus verser dans l’excès inverse, qui consisterait à dissoudre entièrement toute responsabilité individuelle dans un vocabulaire de « système » : la question pertinente n’est pas de choisir un camp par principe, mais d’examiner, accident par accident, la part relative que chacun des deux niveaux a effectivement jouée, à partir des éléments d’enquête disponibles plutôt que d’une intuition a priori.

Edwin Hutchins développe cette idée dans son ouvrage de 1995, « Cognition in the Wild », issu d’une étude de terrain menée à bord de navires de la marine américaine : il montre qu’une bonne partie de ce qui permet à une équipe de navigation de fonctionner correctement se trouve distribuée entre les membres de l’équipage, les instruments, les cartes et les procédures partagées, un système cognitif collectif qu’aucune tâche de laboratoire portant sur un individu isolé ne peut représenter fidèlement. Transposer un résultat obtenu sur un participant seul face à un écran vers un environnement de travail collectif suppose donc un pas supplémentaire, qui ne va jamais entièrement de soi.

L’accident du vol 401 d’Eastern Air Lines, déjà mentionné à propos de l’automatisation, fait partie des accidents ayant contribué, avec plusieurs autres, aux recherches qui aboutissent en 1979 au premier atelier consacré à la gestion des ressources en équipage, cockpit resource management, une discipline centrée sur la communication et le partage de la vigilance entre membres d’équipage plutôt que sur la seule performance individuelle. Il ne faut cependant pas le présenter comme l’accident fondateur unique de cette discipline. Le principe, depuis étendu au-delà de l’aviation, hôpitaux, salles de contrôle, part du même constat que Hutchins : une équipe bien coordonnée détecte et corrige des erreurs qu’aucun de ses membres, isolément, n’aurait détectées ou corrigées seul.

Une tâche de laboratoire comme celle de Mackworth isole volontairement une seule fonction cognitive de tout ce qui accompagne une tâche réelle : la communication avec des collègues, l’interruption par des tâches secondaires imprévues, la fatigue accumulée sur plusieurs jours plutôt que sur la durée d’une expérience, ou la variabilité des enjeux perçus selon la gravité d’une erreur potentielle. Cette simplification est une force méthodologique : elle permet d’isoler un mécanisme précis et de le mesurer avec rigueur. Mais elle constitue aussi une limite à garder à l’esprit avant de généraliser directement un résultat numérique à un poste de travail réel bien plus complexe, ce qui explique pourquoi la décision naturaliste et la cognition distribuée se sont développées comme des approches complémentaires plutôt que comme des remplacements du laboratoire.

La norme ISO 9241-210 définit la conception centrée sur l’humain comme un processus itératif en quatre activités récurrentes : comprendre et spécifier le contexte d’utilisation (dont l’analyse du travail, présentée en début de dossier, constitue la première étape), spécifier les exigences des utilisateurs, produire des solutions de conception, puis évaluer ces solutions au regard des exigences. Ce cycle se répète autant de fois que nécessaire ; ce n’est pas une séquence linéaire parcourue une seule fois. L’évaluation par des tests utilisateurs, l’observation de personnes réelles en train d’utiliser un prototype sur des tâches représentatives, occupe une place centrale dans ce cycle, précisément parce qu’elle seule permet de vérifier si les hypothèses issues des étapes précédentes tiennent face à un usage réel.

Une bonne partie des résultats fondateurs de ce dossier, ceux de Fitts et Seeger en tête, ont été obtenus sur des participants sans limitation sensorielle, motrice ou cognitive particulière, ce qui a longtemps laissé implicite un usager standard peu représentatif de la diversité réelle des capacités humaines. L’accessibilité étend explicitement les mêmes principes aux personnes en situation de handicap visuel, auditif, moteur ou cognitif, un effort aujourd’hui structuré par les Web Content Accessibility Guidelines, dont la version 2.2 est recommandée par le World Wide Web Consortium depuis 2023, et par les principes plus anciens de conception universelle formulés par Ronald Mace.

Les mêmes lois établies plus haut prennent, sous cet angle, un relief plus concret : pour une personne souffrant d’un trouble moteur, une cible tactile dimensionnée pour un doigt sans tremblement augmente les exigences de pointage que la loi de Fitts prédit déjà pour une cible petite ou éloignée, et un indicateur d’état reposant sur la seule couleur échoue pour une personne daltonienne.

Un effet régulièrement documenté est parfois nommé effet de bordure abaissée, par analogie avec les trottoirs abaissés conçus à l’origine pour les fauteuils roulants. Il veut qu’une adaptation pensée pour une population en situation de handicap puisse aussi bénéficier à des utilisateurs sans handicap ciblé, les sous-titres profitant par exemple à un public bien plus large que les seules personnes malentendantes. Ce constat reste une observation répétée dans plusieurs cas documentés, utile pour justifier un investissement en accessibilité au-delà de la seule population directement visée, plutôt qu’une loi empirique démontrant un bénéfice mesurable et systématique pour l’ensemble des utilisateurs dans tous les contextes.

Hal Hendrick développe à partir des années 1980 le concept de macro-ergonomie pour étendre l’analyse à l’échelle du système sociotechnique tout entier : la structure du travail, les circuits de communication, les pratiques managériales et la culture organisationnelle interagissent avec ce qu’une refonte de poste ou d’interface peut effectivement accomplir isolément. Cette extension rejoint directement la distinction entre défaillances actives et conditions latentes présentée à propos du modèle de James Reason : une interface reconçue peut rester inefficace si un sous-effectif chronique, une pression de production qui décourage le signalement des presque-accidents, ou une procédure d’escalade mal définie continuent de produire les conditions organisationnelles d’un accident.

Les accidents du vol Lion Air 610, en 2018, et du vol Ethiopian Airlines 302, en 2019, tous deux impliquant un Boeing 737 MAX, illustrent cette multicausalité de façon récente et documentée. Le rapport final du Comité national de la sécurité des transports indonésien sur l’accident du vol Lion Air identifie une combinaison de facteurs : un système d’augmentation des caractéristiques de manœuvre, le MCAS, qui pouvait déclencher une correction automatique à partir d’un unique capteur sans redondance croisée, une documentation et une formation des équipages insuffisantes sur l’existence même de ce système, et des lacunes dans le processus de certification partagées entre le constructeur et le régulateur. Opposer une explication unique, l’équipage ou le système, simplifie une chaîne d’événements qui relie conception, certification, maintenance, transmission de l’information et actions de l’équipage.

Ce dossier a insisté, depuis sa première section, sur l’idée qu’une conception défaillante explique souvent mieux une erreur régulière qu’une défaillance individuelle de l’opérateur qui la commet. Ce principe reste néanmoins un point de départ pour l’analyse, pas une conclusion à appliquer mécaniquement à chaque cas : la part relative de la conception, de l’organisation et de l’action individuelle doit être établie à partir des éléments d’enquête disponibles pour chaque situation, plutôt que déduite d’une préférence théorique pour l’une ou l’autre explication.