BAYON — gouverner les robots humanoïdes avant qu’ils ne gouvernent les aînés

IF assiette.temperature > 40 THEN demander validation humaine.

Ce n’est pas une ligne de code. C’est une règle de gouvernance — et elle décide de ce qu’un robot humanoïde a le droit de faire dans la cuisine d’une personne de 87 ans.

Le vide que personne ne comble

Les humanoïdes arrivent. OLI, LUNA, et une génération entière de plateformes capables de marcher, saisir, monter des escaliers. Ce qui n’arrive pas avec eux, c’est le cadre : aucune de ces plateformes ne capitalise les arbitrages humains, aucune n’est nativement conforme à l’EU AI Act et à l’ISO 13482.

Le constructeur livre la locomotion. Personne ne livre la gouvernance — ce qui sépare une démonstration technique d’un service que l’on peut, en conscience, installer chez une personne fragile.

C’est ce chaînon que nous construisons : BAYON, un moteur de gouvernance métier — un MDM agentique — qui coiffe le système d’exploitation du robot. Notre thèse tient en une phrase : gouverner les robots humanoïdes avant qu’ils ne gouvernent les aînés.

La règle est une donnée, pas du code

Le principe fondateur de BAYON s’appelle policy-as-data : chaque règle existe en double format. Un texte lisible par un aidant — « si le sac pèse plus de 3 kg, refuser » — et sa forme canonique exécutable par le robot, hachée pour l’audit et dédupliquée.

La conséquence est profonde : la gouvernance devient consultable. Par l’opérateur, par l’aidant familial, par le senior lui-même ou son représentant légal. Une règle qu’on ne peut pas lire est une règle qu’on ne peut pas contester — et un robot dont la politique n’est pas lisible ne démarre pas.

Trois classes d’autonomie

Chaque tâche déclarée du robot appartient à l’une de trois classes :

• AUTO — le robot agit seul. Réservé à l’environnement du domicile : ménage, linge, réception des courses, préparation de repas simples.
• RECO — le robot propose, l’humain dispose.
• OBLIG — un humain valide, signature cryptographique à l’appui. Tout ce qui touche la personne : le lever, la toilette, la prise des repas, l’accompagnement.

Mise en regard des huit prestations du Service Autonomie à Domicile (SAD), la même grille donne la carte de synthèse ci-dessous : pour chaque prestation, le robot compétent — OLI pour la manipulation, LUNA pour l’interaction — et sa classe de gouvernance.

La frontière n’est pas technique, elle est éthique : trois catégories ne sont jamais déléguées au robot seul — la sécurité de la personne, le franchissement de seuils, les conversations à portée médicale.

La règle d’or : la gouvernance n’est jamais dans la boucle temps réel

Une objection revient toujours : « et si le serveur de gouvernance tombe pendant que le robot rattrape une chute ? » Elle repose sur une confusion que notre architecture interdit.

BAYON n’intervient jamais sous 10 millisecondes. La sécurité réflexe reste dans le robot — « à moins de 30 cm d’un humain et plus de 0,3 m/s : stop » — sous forme d’interlocks préchargés, signés, exécutés localement. BAYON opère dans la boucle cognitive (100 ms à 10 s) et en asynchrone pour la gouvernance. Le robot n’attend jamais un serveur pour éviter un accident.

Chaque intervention est un épisode

Quand le robot agit, il ouvre un épisode : quel robot, quelle tâche, sur ordre de qui, avec quelle validation, quel dénouement. Chaque épisode est journalisé et chaîné par hachage — la falsification d’une entrée casse la chaîne, donc se voit.

Et c’est ici que le RGPD rencontre l’audit : les données personnelles du senior restent effaçables — droit à l’oubli — sans casser la chaîne d’audit, dont seuls les hachages sont conservés. L’anonymisation est native : aucune donnée nominative en base robot.

C’est ce qui rend une flotte opposable : en cas de contrôle ou d’incident, la question « que s’est-il passé ? » a une réponse vérifiable.

Le système apprend — sous contrôle humain

Un arbitrage humain répété n’est pas perdu : il devient une règle candidate, soumise à validation humaine, puis redéployée comme interlock. Les décisions des aidants d’aujourd’hui deviennent la prudence des robots de demain.

C’est la même mécanique de capitalisation que notre AGE applique à l’ingénierie : ce qui est validé en production devient un actif réutilisable — et le n-ième déploiement coûte une fraction du premier.

Le cadre éthique, traduit en interlocks

Quatre engagements structurent le dispositif, non comme une annexe mais comme des règles exécutables :

1. Transparence radicale — le journal est consultable à tout moment par le senior ou son représentant ; le robot annonce à voix haute toute proposition sensible.
2. Opt-in révocable — consentement granulaire par tâche, révocable vocalement.
3. Droit à l’extinction immédiate — bouton physique d’arrêt d’urgence et commande vocale « Stop, arrête-toi » ; aucun redémarrage sans action humaine explicite.
4. Gouvernance human-in-the-loop — les trois catégories sensibles ne sont jamais déléguées au robot seul.

Janvier 2027

Notre pilote démarre en janvier 2027 : deux humanoïdes LimX Dynamics — OLI et LUNA — dans notre labo RaaS parisien, 16 tâches d’assistance déclarées, 4 scénarios de démonstration, 2 seniors témoins.

Quand la gouvernance s’applique à un objet qui se déplace dans une pièce, elle cesse d’être une abstraction juridique.

Nous cherchons un partenaire SAAD/EHPAD pour héberger le pilote, et des investisseurs santé/impact pour l’amorçage — contactez-nous ou écrivez directement à richard.yi@medicalcity.ai. Pour le modèle économique qui porte cette flotte, voir notre offre RaaS.