Certifier l'incertitude : pourquoi l'aviation civile ne sait pas (encore) homologuer l'intelligence artificielle.

Par François Negroni.



Le 20 décembre 2025, un Beechcraft King Air B200 décolle d'Aspen, Colorado, pour un vol de repositionnement sans passagers. Deux pilotes à bord. En traversant 23 000 pieds, la cabine perd sa pressurisation de manière rapide et non commandée. Les deux hommes enfilent leurs masques à oxygène, puis font quelque chose qu'aucun équipage n'avait fait avant eux dans une urgence réelle : ils laissent le système Garmin Autoland prendre en charge la totalité des opérations. Le système sélectionne Rocky Mountain Metropolitan Airport, contacte la tour par voix synthétique, conduit la descente, l'approche et l'atterrissage, freine et coupe les moteurs. Personne n'est blessé. C'est la première activation réelle du système depuis sa certification en 2019.

premier-cas-reel-d-utilisation-de-l-autoland-de-garmin-t46567.html

La presse mondiale titre : « Une IA atterrit un avion pour la première fois. » Le Daily Geek Show parle de « copilote intelligent », d'« IA embarquée », de « révolution dans l'aviation civile ». J'ai lu cet article avec un mélange d'admiration pour la performance technique réelle et d'exaspération devant ce qu'on en faisait dire.

Deux précisions s'imposent. D'abord, les pilotes n'étaient pas incapacités : le message automatique diffusé par Autoland a trompé les contrôleurs, mais l'opérateur de l'appareil a confirmé le lendemain que les deux membres d'équipage étaient restés conscients et avaient volontairement choisi de laisser le système opérer. Ensuite, et c'est le point fondamental : Garmin Autoland n'est pas de l'intelligence artificielle. Pas au sens où les ingénieurs et les régulateurs utilisent ce terme. Autoland est un système d'automatisation déterministe. Il évalue ses paramètres par des algorithmes classiques, ne repose sur aucun réseau de neurones, n'a pas été entraîné sur des données, et son comportement est intégralement prévisible et vérifiable selon les méthodes conventionnelles d'assurance logicielle. Appeler Autoland « IA » revient à qualifier d'intelligence artificielle le pilote automatique qui atterrit un long-courrier en catégorie III par brouillard depuis les années 1970.

Ce qui s'est passé à Rocky Mountain est remarquable. Mais si Autoland n'est pas de l'IA, alors qu'est-ce que serait une vraie intelligence artificielle embarquée en aviation civile ? Et pourquoi n'en existe-t-il aucune en service à ce jour ?

Le mur du déterminisme
Pour comprendre, il faut comprendre comment l'aviation certifie ses systèmes. C'est un monde à part pour une raison simple : quand un logiciel défaille dans un avion, les conséquences peuvent être irréversibles.

Toute l'architecture de certification repose sur un principe unique, inscrit dans la norme DO-178C : le déterminisme. Chaque ligne de code fait quelque chose de prévisible. À chaque entrée correspond une sortie définie. On vérifie, par des analyses de couverture structurelle, que chaque chemin du logiciel a été testé. Le niveau de rigueur de cette vérification est calibré par une échelle appelée DAL (Design Assurance Level), qui gradue les exigences en fonction de la gravité potentielle d'une défaillance, depuis le DAL E (conséquences négligeables) jusqu'au DAL A (conséquences catastrophiques). Autoland entre dans ce cadre : c'est un algorithme complexe, mais chacune de ses décisions est traçable et reproductible. C'est pour cette raison que la FAA a pu le certifier.

Un réseau de neurones profond, celui qui est au cœur de ce qu'on appelle aujourd'hui « intelligence artificielle », ne fonctionne pas de cette manière. Il n'exécute pas des règles codées par un ingénieur : il apprend des corrélations statistiques à partir de millions d'exemples, et il produit des sorties fondées sur ces corrélations. On ne peut pas « lire » ce que fait chaque neurone comme on lit une ligne de code. On ne peut pas garantir que la même entrée produira toujours la même sortie dans tous les contextes. Et on ne peut pas prouver, par les méthodes classiques, que les données d'entraînement couvrent toutes les situations que le système rencontrera en vol. Ce n'est pas un défaut de conception. C'est le principe de fonctionnement.

La vraie frontière n'est donc pas entre « humain » et « machine ». Elle est entre « déterministe » et « probabiliste ». Et toute l'architecture de sécurité de l'aviation civile se situe du côté déterministe du mur.

Celui qui essaie de franchir la frontière
À mi-2026, aucun système intégrant du machine learning n'a jamais été certifié pour une fonction critique de sécurité en aviation civile. Le candidat le plus avancé n'est pas le produit d'un grand avionneur. C'est un petit boîtier développé par une société suisse, Daedalean, qui regarde par la fenêtre du cockpit.

Le système s'appelle PilotEye. Il fusionne les données ADS-B avec une analyse visuelle en temps réel produite par un réseau de neurones alimenté par des caméras. L'objectif : détecter le trafic non coopératif, tout ce qui ne porte pas de transpondeur et n'apparaît sur aucun écran de surveillance. Planeurs, parapentes, drones, oiseaux. C'est un vrai composant de machine learning embarqué. Le réseau a été entraîné sur des images, il reconnaît des formes, il produit des sorties probabilistes.

Daedalean a déposé sa demande de certificat de type supplémentaire auprès de la FAA en décembre 2021, avec validation parallèle de l'EASA. Le niveau visé est le DAL C : assistance visuelle, pas pilotage automatique. Cinq ans plus tard, deux des quatre étapes d'audit ont été franchies, la certification n'est toujours pas accordée. Le PDG de Daedalean, Bas Gouverneur, a déclaré que PilotEye serait « probablement le premier produit critique de sécurité pour l'aviation civile fondé sur le machine learning ». L'adverbe dit tout.

Ce parcours a néanmoins directement contribué à formaliser le cadre que l'industrie tente aujourd'hui d'appliquer. Les rapports CoDANN publiés conjointement par Daedalean et l'EASA en 2020 et 2021 ont posé les bases du processus de développement adapté au machine learning. C'est le cas, rare, où le premier candidat à la certification a construit en même temps la théorie et la pratique.

Le compromis : geler l'intelligence
La réponse industrielle porte un nom : ED-324/ARP6983. Développé depuis 2019 par un groupe conjoint EUROCAE/SAE réunissant plus de six cents participants mondiaux, ce standard a fait l'objet d'une consultation publique achevée à l'automne 2025. Sa publication, initialement visée pour le premier trimestre 2026, a été reportée à juin 2026, et n'est toujours pas intervenue à ma connaissance au moment où j'écris ces lignes. C'est le premier standard de processus conçu pour la certification de systèmes intégrant du machine learning en aéronautique.

Son concept pivot est le Machine Learning Constituent (MLC) : une entité délimitée que l'on traite comme une boîte unique pour l'analyse de sécurité. À l'intérieur, on ne demande plus une couverture structurelle du code, mais la démonstration que le modèle maintient son taux d'erreur sous des seuils d'acceptabilité définis lors de la conception du système.

Mais le standard ne cache pas l'ampleur du compromis. Trois garde-fous en dessinent les contours. Le modèle est gelé après certification : aucun ajustement des poids du réseau de neurones n'est toléré en vol, le système ne « s'améliore » jamais en service. Seul l'apprentissage supervisé hors ligne est couvert : l'apprentissage par renforcement, en ligne et non supervisé sont exclus. Enfin, le standard ne peut justifier un système dont la défaillance entraînerait des conséquences supérieures au DAL C. Les fonctions catastrophiques et dangereuses restent hors de portée, sauf couplage à des barrières déterministes classiques.

L'IA que l'aviation accepte de certifier en 2026 est donc une IA bridée, figée, et cantonnée aux fonctions de criticité modérée. C'est la logique même de la certification aéronautique : on ne laisse entrer que ce que l'on sait borner. Lorsque la FAA a autorisé Delta TechOps à déployer des drones guidés par réseaux de neurones pour les inspections visuelles de sa flotte, c'était de l'assistance non critique, l'humain restant seul décisionnaire de la navigabilité. L'IA entre dans l'aviation par le hangar de maintenance, pas par le cockpit.

La question que personne ne pose
Ce que le compromis ED-324 laisse en suspens est aussi révélateur que ce qu'il résout. Le NPA 2025-07 publié par l'EASA, première proposition réglementaire européenne sur la confiance en l'IA dans l'aviation, ne couvre que les niveaux 1 et 2 d'autonomie : l'assistance et la coopération homme-machine. Les niveaux 3 (automatisation avancée, autonomie complète) restent des objets de recherche, pas de certification.

Le tempo réel de l'intégration se lit dans les décisions réglementaires. En juin 2025, l'EASA a suspendu ses recherches sur le pilote unique, concluant qu'un niveau de sécurité équivalent aux opérations à deux pilotes ne pouvait pas être démontré. En février 2026, les États-Unis ont inscrit dans la loi fédérale l'obligation de deux pilotes qualifiés sur tout vol commercial. Il en va autrement dans le monde militaire, où la DARPA fait déjà voler des F-16 sous contrôle d'agents d'intelligence artificielle à des niveaux d'autonomie que l'aviation civile ne sait pas certifier. J'y reviendrai très prochainement.

Le titre du Daily Geek Show, « l'IA prend le relais pour sauver un vol », décrit un monde qui n'existe pas encore. Ce qui existe, c'est Autoland : de l'automatisation déterministe, brillamment conçue, qui fonctionne précisément parce qu'elle n'est pas de l'intelligence artificielle. Et ce qui se construit, lentement, c'est un cadre pour permettre un jour à de vrais composants de machine learning d'entrer dans l'avion, à condition qu'ils soient gelés, bridés et surveillés. L'aviation ne construit pas un robot-pilote. Elle construit un assistant dont elle exige de pouvoir prédire les limites. Après vingt ans à étudier les accidents aériens, je retiens une constante : l'aviation n'avance jamais aussi vite que la technologie le permettrait, parce qu'elle avance à la vitesse de la confiance. Et la confiance, dans ce métier, se construit sur la capacité à démontrer ce qui va se passer avant que ça se passe. C'est exactement ce que le machine learning, par conception, ne sait pas faire.

Sources principales
- AVweb, « Garmin Autoland Activation Was Crew Decision », 26 décembre 2025.
- AOPA, « Future Flight: Daedalean PilotEye », octobre 2025.
- EASA & Daedalean AG, Concepts of Design Assurance for Neural Networks (CoDANN), rapports I (2020) et II (2021).
- Présentation ED-324/ARP6983, FAA AI/ML Technical Exchange Meeting, août 2025.
- EASA, NPA 2025-07, note explicative et spécifications détaillées.
- Aviathrust, « Safety-Critical AI in Aviation: Where Things Really Stand », 6 juin 2026.
- DARPA, « DARPA, U.S. Air Force fly AI-controlled F-16 », 16 juillet 2026.

_________________
Plus ici, cliquer sur le piaf bleu:

Passionnant. Merci beaucoup.