La reddition est protégée par le droit. Cette protection dépend de la capacité d’un système à s’arrêter à temps.
Traduit de la version anglaise, qui constitue le texte de référence. En cas de divergence, la version anglaise prévaut.
La protection juridique de la reddition n’est pas nouvelle et ne trouve pas son origine dans le Protocole additionnel I. L’article 23(c) du Règlement de La Haye de 1907 interdit de tuer ou de blesser un ennemi qui, ayant mis bas les armes ou n’ayant plus les moyens de se défendre, s’est rendu à discrétion ; il est depuis longtemps reconnu que le Règlement de La Haye reflète des règles du droit international coutumier, notamment par le Tribunal de Nuremberg et dans la jurisprudence de la Cour internationale de Justice. L’interdiction correspondante d’attaquer les personnes hors de combat est coutumière et lie toute partie à un conflit armé, quels que soient les instruments qu’elle a ratifiés. Pour les États parties au Protocole additionnel I, l’article 41 en donne la formulation conventionnelle la plus claire et ajoute un critère intrinsèque de reconnaissabilité : la protection s’attache non seulement à ce qui est reconnu, mais aussi à ce qui, eu égard aux circonstances, devrait être reconnu. Le statut est soumis à une condition précise : il s’applique lorsque la personne s’abstient de tout acte d’hostilité et ne tente pas de s’évader. La condition est définie par la conduite, non par l’intention intérieure.
Le droit impose également l’arrêt. En vertu des obligations coutumières de précaution et, expressément pour les États parties, de l’article 57, une attaque doit être annulée ou interrompue lorsque des informations apparues au cours de son exécution montrent que sa poursuite n’est plus licite — notamment lorsqu’une personne s’est rendue et ne peut donc plus licitement faire l’objet d’une attaque. L’obligation possède déjà une structure temporelle. Elle présuppose qu’un engagement en cours puisse encore être arrêté.
Ce que le droit ne prescrit pas, c’est un temps de réaction. Il énonce la conséquence juridique dès lors qu’un changement de statut pertinent est, ou devrait être, reconnu. Il ne précise pas l’intervalle dans lequel cette conséquence peut encore recevoir effet.
Le problème temporel n’est pas nouveau. Les fonctions automatisées et autonomes l’accentuent en comprimant l’intervalle entre la reconnaissance d’un changement juridiquement pertinent et un effet irréversible en deçà du temps nécessaire à une intervention effective. L’autonomie est une manifestation du problème, non son fondement : le problème est temporel et se pose partout où la vitesse du processus dépasse celle de la réponse, quelle que soit la technologie sous-jacente.
Une grande partie du débat traite cette question comme un problème de perception : un système peut-il détecter qu’une personne se rend ? Cette question est réelle et difficile. Mais ce n’est pas celle dont dépend le présent concept. Supposons une reconnaissance parfaite. Supposons que le changement de statut pertinent soit détecté au premier moment techniquement possible. Le problème ne disparaît pas : si le temps restant avant que l’effet ne devienne irréversible est inférieur au temps de bout en bout nécessaire pour arrêter l’action, la reconnaissance est correcte mais opérationnellement inefficace. Présenter la question comme relevant de la reconnaissance appelle une réponse constante : la perception s’améliore. Cette réponse n’est pas possible ici. La perception peut s’améliorer indéfiniment sans faire gagner une seule milliseconde au temps d’arrêt.
La question ne dépend pas davantage de la classification du système. Le débat sur les armes autonomes s’est concentré sur les systèmes qui relèvent d’une qualification donnée et sur le degré d’intervention humaine qui les en exclut. Ces questions sont importantes et demeurent ouvertes. Quelle que soit la qualification finalement retenue, la même question se pose : le processus d’engagement laisse-t-il le temps à un changement de statut juridiquement pertinent d’influer sur la conduite avant que l’emploi de la force ne devienne irréversible ? Un système supervisé dont la fenêtre est de deux secondes connaît le même problème qu’un système non supervisé. Les étiquettes formelles ne répondent pas à cette question.
Cette structure n’est pas inconnue. Le droit de la sécurité des machines l’aborde directement. Lorsqu’une action dangereuse peut produire des effets irréversibles plus rapidement que le temps minimal crédible de réaction humaine pour la configuration considérée, l’obligation se déplace vers la conception : le principe européen d’intégration de la sécurité privilégie l’élimination des risques par la conception plutôt que les instructions à l’opérateur, et le droit américain relatif aux dispositifs de protection des machines n’a jamais répondu aux dangers rapides par « réagissez plus vite ». La performance d’arrêt est traitée comme une grandeur de conception : le positionnement des moyens de protection est calculé à partir de vitesses d’approche humaine normalisées et des temps de réponse du système, et non présumé. Ce déplacement est toutefois dispersé entre une hiérarchie de conception, des standards volontaires et des règles propres à certaines catégories ; il n’est nulle part énoncé comme critère général.
Ce qui est transposé ici est architectural, non normatif. Les machines industrielles ne sont pas conçues pour causer un dommage, et le devoir envers un opérateur n’est pas celui qui est dû en vertu du droit des conflits armés. Aucune obligation relative à la conduite des hostilités ne découle du droit civil de la sécurité des produits. Ce qui est transposé, c’est la méthode : la comparaison de deux fenêtres mesurables et la conclusion que, lorsque la réaction est impossible, le droit a toujours exigé une réponse par la conception.
La même structure apparaît dans la pratique militaire de la sécurité des systèmes. Selon MIL-STD-882E, le fait qu’un logiciel exerçant une autorité sur des fonctions importantes pour la sécurité laisse « le temps nécessaire à une détection et à une intervention sûres prédéterminées » est le critère qui distingue une catégorie de contrôle logiciel semi-autonome d’une catégorie autonome ; cette classification détermine le degré de rigueur de l’analyse et le niveau d’autorité auquel le risque résiduel doit être accepté. Le standard n’interdit pas de construire un système qui ne laisse aucun intervalle de ce type. Il exige que ce choix soit classé, analysé et accepté à un niveau d’autorité désigné. Comme les cadres civils ci-dessous, il protège la force qui utilise le système plutôt qu’un adversaire et ne crée aucune obligation humanitaire.
La convergence est large. ISO 13855 fixe des distances minimales de sécurité en fonction de la vitesse d’approche et est adopté ou reproduit dans la plupart des grands systèmes réglementaires : directement dans l’UE (EN ISO 13855) et en Suisse (SN EN ISO 13855) ; au moyen d’obligations équivalentes de protection de l’opérateur aux États-Unis (OSHA, 29 CFR § 1910.212) ; comme droit contraignant dans l’Union économique eurasiatique (règlement technique TR CU 010/2011) ; par l’adoption nationale en Chine des standards ISO/IEC sous-jacents (GB/T 15706, GB 5226.1, GB/T 16855.1) ; et par la même tradition de dispositifs de protection en Israël (Work Safety Ordinance 5730-1970). Leur pertinence est probatoire : dans chacun d’eux, l’intervalle entre un signal de protection et une issue irréversible est traité comme un paramètre de conception mesurable, et non comme un hasard des circonstances. Cette convergence indique que le problème d’effectivité est structurel. Dans ces cadres, la capacité d’arrêter une machine dans un intervalle pertinent à l’échelle humaine est une exigence d’ingénierie ordinaire, spécifiée, testée et documentée. Appliquée à la reconnaissance d’une personne qui tente de se rendre, cette même capacité est dite techniquement irréalisable. Elle ne l’est pas : il s’agit de décider qui cet intervalle est conçu pour protéger.
Un système est systémiquement arrêtable lorsque sa capacité d’arrêter une action dangereuse ne dépend pas de la perception, de l’évaluation et de l’intervention d’un opérateur humain dans la fenêtre temporelle de cette action. Le critère établit une hiérarchie plutôt qu’une exigence unique. Premièrement, le système devrait laisser du temps : partout où cela est réalisable, il devrait être conçu de manière qu’un intervalle franchissable par l’être humain existe entre le début de l’action et le point d’irréversibilité. Deuxièmement, lorsque cela n’est pas réalisable, la capacité d’arrêt doit résider dans un mécanisme dont le propre temps de réponse tient dans une fenêtre trop courte pour une réponse humaine. Le second niveau intervient exactement lorsque, et parce que, le premier échoue.
Le critère n’est donc pas un principe d’exclusion de l’être humain. Il ne supprime pas les dispositifs d’arrêt de l’opérateur et ne réduit pas leur rôle lorsque la fenêtre permet leur utilisation ; il garantit seulement que la dernière couche de capacité d’arrêt ne dépend pas d’eux. Et il n’ajoute aucune obligation. Il énonce la condition dans laquelle des obligations déjà existantes peuvent encore être exécutées.
L’arrêtabilité est une propriété du système évaluée dans une enveloppe opérationnelle définie. Elle peut donc être établie avant le déploiement : le temps minimal crédible de réponse de la chaîne d’intervention, mesuré dans des conditions spécifiées, est comparé au temps restant avant que les effets ne deviennent irréversibles. Pour les États parties au Protocole additionnel I, l’article 36 fournit le cadre juridique permettant d’examiner la question lors de l’étude, de la mise au point, de l’acquisition ou de l’adoption d’une nouvelle arme, de nouveaux moyens ou d’une nouvelle méthode de guerre. Pour les autres États, la même question technique peut être traitée au moyen des procédures nationales applicables d’examen des armes, d’acquisition, de passation de marchés ou de sécurité.
C’est également sur le plan probatoire que l’arrêtabilité diffère de la reconnaissance. La question de savoir si un statut juridiquement pertinent a été correctement reconnu lors d’un événement donné peut dépendre des informations et des circonstances propres à cet événement. La performance d’arrêt, en revanche, peut être mesurée à l’avance comme une propriété du système dans une enveloppe opérationnelle définie. Les deux questions peuvent donc être examinées séparément : la condition pertinente a-t-elle été reconnue et, une fois reconnue, subsistait-il une capacité d’arrêt suffisante pour donner effet à cette reconnaissance ?
Si les essais établissent à l’avance que, dans une enveloppe opérationnelle définie, le système ne peut réagir avant que l’effet pertinent ne devienne irréversible, la limite n’est plus une circonstance imprévue du champ de bataille. Elle est une caractéristique connue de la conception et de son emploi prévu. Une impossibilité rencontrée sur le terrain est une circonstance. Une impossibilité établie au stade de la conception et acceptée lors du déploiement est une décision — et une décision peut être examinée.