La pensée VeraTrace

01 — Le problème

Dans une chaîne physique, l’information n’est pas absente : elle est fragmentée, et personne ne possède les jointures.

Chaque maillon d’une filière alimentaire tient ses registres, et les tient bien. Le producteur sait ce qu’il a récolté, le transformateur ce qu’il a reçu, le distributeur ce qu’il a vendu. Pris séparément, ces registres sont exacts.

Ce qui manque n’est jamais au milieu d’un maillon. C’est entre deux. Une palette change de main, une matière entre dans une autre, un lot est divisé — et à chacun de ces passages, l’information doit sauter d’un système à un autre qui n’a pas été conçu avec lui, souvent par un intermédiaire humain qui recopie.

Le silence est donc dans les jointures. Et une jointure n’appartient à personne : chaque maillon peut répondre de ce qu’il a fait, aucun ne peut répondre de ce qui s’est passé entre lui et le suivant. C’est ce qui rend le problème structurel plutôt que moral — il ne se corrige pas en demandant plus de sérieux à quelqu’un.

02 — La preuve

Une donnée enregistrée n’est pas une preuve : elle le devient quand on peut remonter à ce qui l’a produite.

Un système peut conserver une déclaration de manière exemplaire — la dater, la signer, empêcher qu’on la modifie — sans jamais la transformer en observation. La rigueur du stockage ne dit rien de l’origine de ce qui est stocké.

D’où la distinction que tout le reste suppose. « Est-ce conforme ? » demande une conclusion, et se satisfait d’une déclaration. « Montre-moi » demande ce qui permet d’arriver à cette conclusion, et oblige à regarder ce qui s’est effectivement passé.

La difficulté symétrique est moins souvent nommée : nous ajoutons de la profondeur en lisant. Une chaîne d’enregistrements cohérente donne le sentiment d’avoir été trouvée alors qu’une partie de ses maillons a été déduite. Une preuve honnête doit donc pouvoir dire aussi ce qu’elle n’a pas vu.

03 — La provenance

Un produit n’a pas une histoire parce qu’on la lui attribue à la fin, mais parce qu’il a traversé des événements — et le registre doit commencer là où ils commencent.

La provenance ne se reconstitue pas depuis l’aval. Un dernier maillon qui raconte l’amont produit un récit, pas un chemin : il rapporte ce qu’on lui a dit, avec la meilleure foi du monde.

Ce qui rend un chemin reconstituable, c’est que chaque transformation laisse une trace au moment où elle a lieu, et que ces traces puissent être reliées. Un registre qui commence trop tard ne rattrape jamais son retard : l’information qui manque au début manque partout ensuite.

Une conséquence pratique en découle, et elle est coûteuse : la fongibilité détruit la provenance. Dès qu’une tonne est mélangée à une tonne, ce qui distinguait la première cesse d’exister, quelle que soit la qualité du système en aval.

04 — La confiance

La confiance interpersonnelle ne passe pas à l’échelle ; l’infrastructure peut en porter une part — à condition d’admettre qu’elle exerce alors son propre pouvoir.

Entre deux personnes qui se connaissent, la confiance se règle par la relation. Entre deux cents fournisseurs et une centrale, elle se règle par des documents — et un marché où l’acheteur ne peut pas distinguer la qualité finit par ne plus payer la qualité, ce qui en chasse les meilleurs.

Déplacer une part de cette confiance vers l’infrastructure, c’est permettre à un acheteur de vérifier au lieu de croire, et à un vendeur de démontrer au lieu de promettre.

Il faut dire immédiatement ce que cela coûte, car notre propre corpus l’a écrit contre nous. Une infrastructure de vérification est un regard, et un regard qu’on ne peut pas rendre est un rapport de force. Elle laisse dehors ce qui n’entre pas dans ses cases. Elle inscrit parfois sans qu’on le lui ait demandé. La confiance déplacée n’est donc pas une confiance supprimée : elle est transférée à celui qui tient l’instrument, ce qui rend le chapitre suivant obligatoire.

05 — La gouvernance

Qui écrit, qui valide, qui peut corriger : un registre sans réponse à ces trois questions n’est pas une preuve, c’est une autorité.

La question décisive d’un système de preuve n’est pas sa technologie, c’est de savoir qui tient le registre. Un registre parfaitement inviolable dont un seul acteur décide du contenu déplace le problème sans le résoudre.

Nos réponses actuelles : ce qui est déclaré appartient à celui qui le déclare ; une fiche d’entreprise construite sur des données publiques existe avant que son titulaire ne se manifeste, et la réclamer ne la publie pas — elle décide qui parle en son nom ; ce qui est partagé au-delà du strict nécessaire l’est sur consentement, et ce consentement est révocable.

Une page qui parle de quelqu’un sans qu’il l’ait demandé doit être trouvable par l’intéressé, corrigeable, et contestable. C’est la contrepartie d’un registre qui n’a pas de porte à l’entrée, et elle n’est pas négociable.

06 — L’économie

Une meilleure information ne change pas les intentions : elle change les incitations, donc ce qu’il devient rationnel de faire.

Quand la qualité est invisible, elle n’est pas rémunérée, et il devient rationnel de ne plus la produire. Quand elle est démontrable, elle redevient un actif. Ce n’est pas un argument moral : c’est le même producteur, avec les mêmes valeurs, devant un calcul différent.

Un signal coûteux — un label, un audit, une certification — fonctionne précisément parce qu’il coûte. Mais son coût pèse sur celui qui produit, et un dispositif qui empile les preuves déclaratives finit par exclure les petits, qui n’ont pas le temps de les fournir.

D’où le critère que nous nous appliquons : combien de comportement un système doit-il prescrire pour obtenir la même preuve ? Moins il prescrit, à preuve équivalente, plus il laisse de place au travail réel — et moins il déplace silencieusement sa charge sur l’amont.

07 — L’architecture

Nous ne décrivons pas des composants — ils changeront — mais des séparations : ce qui doit rester distinct de quoi, et pourquoi.

À partir d’ici, ce n’est plus une position mais une mise en œuvre. Elle peut échouer sans invalider ce qui précède.

Quatre séparations tiennent l’essentiel. Déclaré / observé : une donnée saisie et une donnée mesurée ne se confondent jamais dans le modèle, sans quoi la seconde perd sa valeur. Signer / relier / publier : garantir qu’une pièce n’a pas changé, relier les pièces entre elles, et faire constater l’existence par un tiers sont trois problèmes distincts, servis par trois outils distincts, à trois moments distincts. Le score / ce qu’il agrège : un indice doit pouvoir se déplier jusqu’aux éléments qui l’ont produit, sinon il demande la confiance qu’il prétend remplacer. Le registre public / le compte propriétaire : exister dans le registre et le contrôler sont deux choses différentes.

Aujourd’hui, signer est actif, relier est le chantier principal, publier attend le moment où nous créerons du transférable — parce qu’une publication externe ne résout qu’une chose, la date opposable à celui qui tient le registre, et que cette chose ne devient indispensable que ce jour-là.

08 — Les limites

Ce que nous ne prouvons pas doit être écrit ici, sans quoi les sept chapitres précédents ne valent rien.

L’amont déclaratif. Une donnée saisie par un humain reste une déclaration, même signée, même horodatée, même infalsifiable ensuite. Nous garantissons qu’elle n’a pas changé et qui l’a faite ; nous ne garantissons pas qu’elle était vraie au moment où elle a été faite.

Les jointures déduites. Entre deux enregistrements qui ne se touchent pas, quelque chose décide qu’ils vont ensemble. Ce rapprochement est souvent juste et n’a pas été constaté — et à l’écran, il ressemble à une mesure.

Nos propres indices. Un score de transparence, un indice de confiance sont des constructions : agrégées, pondérées, seuillées. Ils ont l’air d’avoir été trouvés alors qu’ils ont été fabriqués. Ils doivent pouvoir se déplier ; tant qu’un chiffre ne montre pas sa fabrication, il demande exactement la confiance qu’on reproche à l’étiquette.

Ce qui n’entre pas dans la case. Un producteur sait des choses qu’aucun formulaire ne recueille. Ce savoir n’est pas faux : il est sans case, donc inexistant pour le système. Aucune version future du modèle ne réparera entièrement cela.

La date, face à nous. Nos attestations portent une date enregistrée par notre système. Elle vaut si vous nous faites confiance. Une publication externe est ce qui l’en dispenserait : elle n’est pas active aujourd’hui.

L’inscription non demandée. Notre registre contient plus d’un million de fiches construites sur données publiques. Personne n’a levé la main pour y figurer. C’est un pouvoir, pas une faveur, et il appelle les contreparties du chapitre 05.