L'interface utilisateur générative nécessite plus de gouvernance, pas moins

Chaque fois qu’une technologie promet de faire plus avec moins d’effort humain, la tentation se fait sentir d’assouplir les contrôles. Avec Generative UI, cette tentation est dangereuse. La logique de ceux qui décident d'un produit a tendance à être la suivante : si l'IA assemble l'écran, il reste moins à l'équipe à s'occuper. C’est le contraire qui se produit.

Lorsque vous laissez un modèle choisir comment présenter les informations, vous transférez une décision qui appartenait auparavant aux personnes. Les gens qui ont examiné, interrogé, ont assumé la responsabilité de ce qui apparaissait à l'écran. Cette décision ne disparaît pas lorsqu'elle devient automatique. Cela devient simplement moins visible, et ce qui devient moins visible nécessite plus de vigilance, pas moins.

Ce texte porte sur les risques concrets des interfaces générées par l'IA et sur la manière de les gérer. Ce n’est pas un manifeste contre la technologie. Cela nous rappelle qu'un leadership responsable signifie détecter les coûts cachés avant qu'ils ne deviennent un incident.

L'interface peut paraître correcte et fausse

Le risque le plus insidieux de l’interface utilisateur générative est esthétique. Un modèle de langage est optimisé pour produire des résultats plausibles, et plausible est précisément ce qui trompe. Un écran généré peut avoir un graphique bien choisi, un axe bien étiqueté, une couleur cohérente, tout en mentant.

Imaginez un tableau de bord qui présente la croissance des revenus avec un graphique à barres impeccable. Visuellement, tout invite à la confiance. Mais si la requête sous-jacente a regroupé les mauvaises données, filtré la mauvaise plage de dates ou mélangé des unités, le résultat est une désinformation convaincante. Et plus l'interface est bonne, plus l'erreur est convaincante.

C’est le point qui différencie l’interface utilisateur générative d’un rapport de bug. Dans le rapport corrigé, l'erreur est stable et détectable : elle apparaît toujours, quelqu'un la remarque, quelqu'un la corrige. Dans l'interface générée à la demande, chaque écran est unique, et l'erreur peut vivre dans une composition que personne n'a vue auparavant et que personne ne reverra, sans laisser de trace.

La gouvernance commence ici par une règle non négociable : l’IA choisit la présentation, jamais les chiffres. Les données doivent provenir d'une source vérifiable, avec la même logique métier que le reste du système. Mais cela ne suffit pas. L'interface doit indiquer d'où proviennent les données et comment elles ont été agrégées, afin que l'utilisateur puisse se méfier lorsque quelque chose semble étrange. Une confiance aveugle dans un joli écran est exactement ce que vous voulez éviter.

L'accessibilité et la cohérence s'effondrent lorsque l'IA improvise

Des équipes compétentes investissent des années à construire un système de conception : modèles de contraste, navigation au clavier, lecture par lecteur d'écran, espacement cohérent, hiérarchie prévisible. Ce travail existe pour que chaque utilisateur, y compris les personnes handicapées, puisse utiliser le produit.

L’interface utilisateur générative peut tranquillement détruire cet héritage. Si le modèle a la liberté de générer lui-même du balisage ou des styles, il produira des combinaisons qui n'ont jamais été examinées par accessibilité. Un contraste insuffisant ici, un ordre de mise au point brisé là, un élément sans étiquette appropriée là. Rien de tout cela n’apparaît dans une démo rapide, et tout cela exclut les vraies personnes.

La cohérence souffre du même problème. Une partie de la valeur d'un produit réside dans sa prévisibilité : l'utilisateur apprend un modèle et le réutilise tout au long de l'interface. Si chaque écran généré invente sa propre façon de montrer les choses, la courbe d’apprentissage recommence à chaque interaction. Le produit est à la fois intelligent et désorientant.

La défense est la même barrière qui rend l'interface utilisateur générative viable en premier lieu : l'IA compose à partir d'un catalogue fermé de composants approuvés et ne génère jamais de balisage gratuit. Chaque composant porte déjà l'accessibilité et la cohérence résolues. La gouvernance consiste à s'assurer que cette barrière ne comporte pas de trous et que personne, dans la précipitation de livrer, ne fasse une exception qui laisse échapper le modèle du système de conception.

Qui peut voir quoi sur un écran fraîchement assemblé

Le contrôle d'accès est difficile même sur les interfaces statiques. Dans les interfaces générées, cela devient un problème d’un autre ordre. Sur un écran fixe, vous savez à l'avance quelles données il affiche et pouvez y associer des autorisations. Sur un écran assemblé sur place, la composition n'existe qu'après l'arrivée de la commande, et il faut répondre en temps réel à la question "cette personne peut-elle voir ça", pour une combinaison qui pourrait être inédite.

Le risque est direct. Un utilisateur demande une coupe de données, l'IA met en place un panneau, et dans ce panneau apparaissent des informations auxquelles ce profil ne doit pas accéder. Le modèle n'a pas de notion native de hiérarchie des autorisations. Si vous lui faites confiance pour respecter les limites d’accès, les données fuiront tôt ou tard.

La règle d’or est de ne pas déléguer l’autorisation au modèle. Le contrôle d'accès doit résider au niveau de la couche de données, géré par votre système, avec les mêmes politiques qui régissent l'ensemble du produit. L'IA peut demander une requête, mais la requête s'exécute sous l'identité et les autorisations de l'utilisateur réel. S'il n'a pas droit à ces données, la requête ne renvoie pas les données, peu importe ce que l'IA a composé dans l'interface.

Cela nous oblige à penser l’autorisation au niveau des données, et non de l’écran. Ceux qui attachent encore l’autorisation aux pages découvriront que cette stratégie ne survit pas aux interfaces dynamiques. Il s’agit d’un travail architectural qui précède l’adoption de l’interface utilisateur générative, et non après.

Auditabilité : enregistrez ce qui a été généré et sur la base de quoi

Lorsqu’une décision est automatisée, la capacité d’expliquer pourquoi elle a eu lieu cesse d’être un luxe et devient une obligation. Si un responsable prend une décision commerciale en regardant un écran généré par l’IA et que cet écran était erroné, quelqu’un demandera ce qui est apparu, quand et sur la base de quelles données. Sans inscription, vous n’avez aucune réponse, et l’absence de réponse est une question de responsabilité, pas seulement technique.

L'auditabilité dans Generative UI signifie enregistrer toute la chaîne : la demande de l'utilisateur, l'interprétation de celle-ci par le modèle, la requête qui a été exécutée, les données renvoyées et la composition finale présentée. Il ne suffit pas de consigner qu'"un écran a été généré". Vous devez être capable de reconstituer l’écran exact que cette personne a vu à ce moment-là.

Cet enregistrement a trois fonctions. Responsabilité : permet de répondre aux questions internes et externes sur ce qui a été montré. Amélioration : en analysant ce que l'IA a généré au fil du temps, vous découvrez où elle a commis des erreurs et où le catalogue doit croître. Sécurité : des modèles de génération anormaux peuvent indiquer un abus ou des tentatives d'extraction de données inappropriées.

Cela mérite d’être rapproché du débat sur les agents d’IA dans les environnements d’entreprise, où la traçabilité de chaque action autonome est tout aussi centrale. Un système qui décide sans laisser de trace est un système que personne ne peut défendre en cas de dysfonctionnement.

LGPD et données sensibles en ligne de mire

Ici, la question cesse d’être une bonne pratique et devient une obligation légale. LGPD impose des principes clairs : finalité, nécessité, minimisation. L’interface utilisateur générative les met tous sous tension, car elle offre à l’utilisateur un chemin flexible pour demander des combinaisons de données que personne n’a explicitement prédites.

Le risque le plus évident est l’exposition de données personnelles sensibles dans une composition inattendue. Quelqu’un demande une intersection apparemment innocente, et l’écran généré finit par révéler, par déduction, des informations protégées sur les individus. L’IA n’a pas, par défaut, le sentiment que certaines intersections sont interdites. Ce sens doit être encodé dans les règles du système, et non dans l’espoir que le modèle se comportera correctement.

Il y a aussi la question du trafic de données vers le modèle. Si l’interprétation de la demande implique l’envoi de données personnelles à un modèle externe, il faut savoir exactement ce qui en ressort, où elles vont et sous quelle base juridique. Idéalement, le modèle fonctionne sur l’intention et la structure, et les données personnelles réelles ne sont manipulées que dans son périmètre contrôlé, sans jamais sortir inutilement. Quiconque traite le sujet avec le sérieux qu'il mérite trouvera plus de contexte dans la discussion sur la protection des données et la LGPD en pratique.

La gouvernance de la confidentialité dans Generative UI nécessite de l'anticipation : cartographier les données que le système peut toucher, quelles intersections sont interdites, quelle est la base juridique de chaque utilisation et comment le titulaire exerce ses droits sur les informations qui apparaissent sur les écrans dynamiques. Le modèle ne résout rien de tout cela à lui seul.

La gouvernance est ce qui rend la liberté possible

Il peut sembler que je préconise de tout verrouiller. Ce n'est pas ça. Je soutiens que la liberté de l’interface utilisateur générative n’est durable que sur la base de contrôles stricts. La clôture du catalogue, la séparation entre présentation et données, l'autorisation au niveau des données, l'audit complet, les règles de confidentialité : ces contrôles ne sont pas à l'opposé de l'innovation. C’est ce qui nous permet d’innover sans nous ruiner.

Le point que je veux souligner concerne la posture, pas seulement la technique. Transférer la décision de présentation à un modèle est un choix légitime et puissant, à condition qu'il soit pris en conscience de ce qui l'anime. Celui qui décide du produit et de l’architecture doit considérer ce transfert pour ce qu’il est : un pouvoir délégué à un système qui n’a aucune responsabilité propre. La responsabilité reste la vôtre.

Si vous évaluez l'interface utilisateur générative, posez la question difficile avant de commencer : disposons-nous d'une gouvernance suffisamment mature pour une couche de présentation autonome ? Si la réponse est non, le travail commence là. Il vaut la peine de revisiter le côté pratique dans Generative UI in practices pour équilibrer ambition et prudence à la même table.