La phase du permis est le mécanisme, non l'affirmation d'autonomie

Un permis est une phase, non un verdict

En août 2026, Kodiak AI a reçu un permis d'essai du DMV de Californie en vertu d'une nouvelle loi d'État qui permet aux développeurs de véhicules autonomes lourds d'opérer sur les routes californiennes pour la première fois. Le permis, obtenu le 13 août, permet à Kodiak de circuler avec un conducteur de sécurité derrière le volant — la première de trois phases dans la progression du DMV vers le déploiement sans conducteur. Don Burnette, fondateur et PDG de Kodiak, a qualifié les réglementations californiennes de « un grand déblocage pour l'innovation du fret ». Le mot intéressant dans cette citation n'est pas « déblocage » — c'est le « comprehensive » qui se trouve à côté. La nouvelle n'est pas que Kodiak a obtenu un permis. La nouvelle est que la Californie a construit un mécanisme par phases avec un instrument de mesure à chaque porte.

C'est le schéma récurrent dans les logiciels et les politiques de sécurité critique : le titre nomme l'acteur, le travail porteur est dans la porte. Un permis qui dit « tu peux conduire un camion de 80 000 livres sur l'Interstate 5 » est une affirmation à un coup. Un permis qui dit « tu peux le conduire avec un conducteur de sécurité à bord, et nous mesurerons ce qui se passe avant de lever cette contrainte » est un mécanisme.

[UNIQUE INSIGHT] L'échelle à trois phases du DMV californien — essai avec conducteur, essai sans conducteur, déploiement sans conducteur — est un exemple manuel du Theorem 3 tel que nous l'utilisons chez Everythink : une propriété est garantie exactement lorsque son mécanisme est implémenté et mesure. Chaque phase est une porte de mesure, pas un jalon. On n'atteint pas la phase suivante en attendant ; on l'atteint en produisant la preuve que la phase précédente a mesuré proprement.

Le permis par phases est l'instrument de mesure

Trois portes, trois mesures

L'approche par phases du DMV californien est décrite dans la source comme progressant « des essais avec un conducteur à bord aux essais sans conducteur et, en fin de compte, au déploiement sans conducteur ». Ce ne sont pas trois variantes de la même permission. Ce sont trois régimes de mesure distincts :

• Essai avec conducteur. Un humain est au siège. L'instrument de mesure est le taux d'intervention du conducteur de sécurité — à quelle fréquence l'humain doit reprendre la main, et dans quel scénario. La pile autonome est mesurée par rapport à une performance humaine de référence déjà présente sur la route.
• Essai sans conducteur. Pas d'humain au siège, mais toujours sous le régime d'essai. L'instrument passe à la télémétrie, la supervision à distance et le journal de désengagements. La référence n'est plus un humain dans la cabine ; c'est l'enveloppe statistique d'opération sûre que l'entreprise a dû documenter pour y parvenir.
• Déploiement sans conducteur. Opération commerciale. L'instrument est le registre opérationnel — miles, incidents, régressions — signalé au régulateur. La propriété « assez sûr pour déployer » est maintenant mesurée en continu en production, non affirmée une fois au moment du permis.

Un régulateur qui délivrerait un seul permis pour les trois ferait une affirmation unique et espérerait. Un régulateur qui en délivre trois, avec des preuves exigées entre chacun, a implémenté un mécanisme. Le DMV californien a choisi la seconde voie, et ce choix est la véritable histoire.

Pourquoi le conducteur de sécurité est un instrument, non une concession

Il est tentant de lire « conducteur de sécurité derrière le volant » comme une couverture — un signe que la technologie n'est pas prête. Lisez-le à l'envers. Le conducteur de sécurité est l'instrument de calibration pour la première porte de mesure. Sans un humain au siège, il n'y a pas de référence par rapport à laquelle mesurer le taux d'intervention de la pile autonome. Avec un, on obtient un nombre : interventions par mile, interventions par scénario, interventions par classe de route. Ce nombre est ce sur quoi se construit la demande de permis de la phase suivante.

C'est la même raison pour laquelle nous gardons un instrument humain-dans-la-boucle dans notre propre travail de prévision. The Sisters — les agents IA typés qui produisent des futurs plausibles pour un acteur réel — rédigent des scénarios, et l'Oracle les fusionne en un ensemble calibré. La calibration n'est pas une promesse ; c'est une mesure par rapport à des résultats historiques. On ne peut calibrer que si l'on a une référence par rapport à laquelle calibrer. Le conducteur de sécurité de Kodiak est, en termes de mécanisme, la référence.

Theorem 3, reformulé pour les poids lourds

Theorem 3 dans notre série de 21 papers dit : une propriété est garantie exactement lorsque son mécanisme est implémenté et mesure. La contraposée est celle qui porte tout : une propriété qui est seulement affirmée, sans mécanisme qui la mesure, n'est pas garantie — c'est un communiqué de presse.

Le permis par phases californien applique le théorème à un véhicule de 80 000 livres sur une route publique. La propriété est « opération sûre ». Le mécanisme est l'échelle à trois phases avec des portes de preuve. L'instrument de mesure change par phase, mais le mécanisme est continu. Le permis que Kodiak a reçu le 13 août n'est pas une déclaration que Kodiak est sûr. C'est une déclaration que l'État a installé l'instrument qui mesurera si Kodiak est sûr.

Le même théorème régit notre propre pile. Le HAI Engine est en production depuis 2016, et la raison pour laquelle il y est resté est que chaque cône de prévision qu'il émet est noté par rapport à ce qui s'est réellement passé. Le mécanisme est le harnais de régression ; la prévision est la sortie. Une prévision qui n'est pas notée par rapport aux résultats est une affirmation. Le DMV californien demande, en effet, à Kodiak la même chose que notre harnais de régression demande au HAI Engine : montre-moi le score, pas le slogan.

[PERSONAL EXPERIENCE] Nous l'avons appris à nos dépens en 2016, quand le HAI Engine est entré en production. La première version affirmait la calibration ; elle ne la mesurait pas. Nous avons livré un cône de prévision et espéré. En un trimestre, l'instrument était en place — un harnais de régression qui notait chaque prévision passée par rapport à ce qui s'était réellement passé — et depuis lors le HAI Engine mesure, au lieu d'affirmer. L'instrument est le produit. La prévision est la sortie.

Ce que le cadrage « coast-to-coast » masque

La citation de Burnette nomme aussi une portée : « la première phase de la mise à l'échelle du transport autonome de camions de côte à côte ». Le cadrage coast-to-coast est honnête comme ambition. Mais le mécanisme qui vous y mène n'est pas l'ambition — c'est la traîne de preuves par phase. Coast-to-coast est une route. Les phases sont les portes le long de la route. Confondre la route avec les portes est la même erreur de catégorie que confondre une prévision avec le mécanisme qui l'a produite.

C'est ici que l'analogie de routage que nous utilisons chez Everythink s'applique directement. « The space is the router » signifie que la topologie — network, community, room — route une requête avant que quoi que ce soit réponde. Dans le fret autonome, la route n'est pas l'autoroute ; la route est la topologie réglementaire. La Californie est un nœud. Les règles fédérales de motor carrier en sont un autre. Le DMV de chaque État en est un autre. La phase de déploiement sans conducteur est atteinte nœud par nœud, chaque nœud mesurant avant de transmettre. Il n'existe pas de permis global « coast-to-coast », seulement une chaîne de portes mesurées.

Le risque de l'instrument faible

Le risque dans un régime par phases n'est pas qu'une entreprise saute une phase — le régulateur contrôle cela. Le risque est que l'instrument de mesure d'une phase soit trop grossier. Si la phase avec conducteur ne compte que les « interventions par mile » sans les classer par scénario, la porte admet des piles qui semblent correctes en moyenne et échouent dans la queue. Si la phase d'essai sans conducteur ne compte que les désengagements sans enregistrer la cause, la porte admet des piles qui se désengagent pour des raisons différentes à chaque fois et ne convergent jamais.

La version honnête du permis par phases est celle où l'instrument de mesure est publié, auditable et révisé entre les phases. Le DMV californien n'a pas, à ma lecture, publié la métrique exacte que chaque porte note. C'est le prochain mécanisme dont le régime a besoin. Une mesure qui n'est pas inspectable n'est qu'un demi-mécanisme. L'autre moitié est l'audit.

C'est pourquoi Theorem 3 a deux clauses : implémenté ET mesurant. Un mécanisme implémenté mais qui ne mesure pas est un organigramme. Un mécanisme qui mesure mais qui n'est pas inspectable est un journal privé. La garantie complète exige les deux — l'instrument en place, et la lecture visible pour la partie qui doit lui faire confiance.

L'éthique de la portée : civil et défensif seulement

Le fret autonome est une application civile. Le camion transporte des marchandises, pas des munitions. La même conception de mécanisme — portes par phases, preuves mesurées, instruments inspectables — régirait aussi un système d'armes, et la raison pour laquelle nous le nommons est que nous ne construisons que la moitié civile. La portée d'Everythink est civile et défensive seulement.

Cela compte parce que la façon la plus simple de livrer un mécanisme de sécurité cassé est de l'appliquer à la mauvaise portée. Un permis par phases pour le fret protège le public sur la route. Un permis par phases pour un système d'armes, construit par les mêmes ingénieurs avec la même discipline, protège l'opérateur, pas le public. Le mécanisme est le même ; la portée décide à qui la mesure sert.

[ORIGINAL DATA] Dans notre série de 21 papers, la frontière de portée civil/défensif est une clause porteuse dans la preuve du Theorem 3. Une garantie qui tient pour une portée civile peut échouer pour une portée adverse sans changer une seule ligne du mécanisme, parce que l'adversaire peut choisir des entrées que la mesure civile n'a jamais échantillonnées. La portée est une décision de conception de premier ordre, pas un aparté marketing.

Inclusion par conception : à qui l'instrument sert

Un permis par phases sert le public sur la route — le conducteur dans la voie voisine, le cycliste à l'intersection, la famille sur le passage piéton. C'est la question d'inclusion pour le fret autonome : non pas « qui peut acheter le camion » mais « qui doit partager la route avec lui ». L'instrument de mesure doit compter les cas qui importent à ces personnes, pas seulement les cas qui flattent l'entreprise.

Nous portons la même question dans notre propre travail. Everythink paraît dans sept locales — anglais, espagnol, portugais, chinois, japonais, allemand, français — parce qu'une prévision qui ne parle qu'anglais ne sert que ceux qui avaient déjà accès. L'inclusion par conception est une décision de topologie prise au début, pas une couche de traduction boulonnée à la fin. « The space is the router », et le routeur doit router vers tous ceux qui doivent vivre avec la sortie. Pour le DMV californien, la question d'inclusion est de savoir si la métrique par porte compte les quasi-accidents dans les quartiers traversés par le camion, ou seulement les incidents sur l'autoroute.

Souveraineté du client et phase mesurée

Le permis par phases incarne aussi un principe que nous appelons souveraineté du client : la partie qui doit vivre avec le résultat est la partie qui peut voir la mesure. Le public californien vit avec le résultat du déploiement sans conducteur. Le régime par phases, bien fait, donne à ce public — via son régulateur — la lecture dont il a besoin pour décider si la prochaine porte s'ouvre.

Dans notre travail, la souveraineté du client signifie votre network, votre marque, vos données. Vous voyez le cône de prévision, le score de calibration, la régression par rapport à l'histoire. Vous décidez d'agir dessus. Nous ne retenons pas la mesure et ne vous demandons pas de faire confiance à l'affirmation.

L'enjeu d'Everythink ici

Nous ne construisons pas de camions autonomes. Nous construisons le substrat de routage et de prévision que les organisations utilisent pour raisonner sur des systèmes comme le fret autonome. Trois de nos capacités ✅ Production parlent directement au schéma du permis par phases :

• Le HAI Engine (✅ Production, en production depuis 2016) produit des cônes de prévision calibrés — la même forme de sortie qu'un régulateur voudrait de la traîne de preuves d'un permis par phases : une prévision centrale, une dispersion calibrée et une régression mesurée par rapport à l'histoire.
• Le pipeline Sisters → Oracle (✅ Production) est le mécanisme par lequel nous évitons les prévisions à affirmation unique. Plusieurs agents typés rédigent, l'Oracle fusionne, l'ensemble est normalisé. L'équivalent en camions autonomes n'est pas « une entreprise dit que c'est sûr » ; c'est « plusieurs instruments, fusionnés, avec la dispersion visible ».
• World Monitor (✅ Production) route des signaux géo en direct à travers une topologie indexée par tile de sorte qu'un client ne reçoit que les deltas pour son viewport. La même pensée topologique est ce dont un déploiement de fret coast-to-coast a besoin : la route n'est pas une ligne sur une carte, c'est un ensemble routé d'obligations géographiques.

Nos capacités ⚠️ Partial — Matchmaking, Marketplace, Calendar — sont aussi des mécanismes mesurés, mais encore en calibration ; nous le disons. Nos capacités 🔵 Roadmap — Wallet & Token, Super App, Community Credit — ne sont pas encore des mécanismes du tout ; ce sont des conceptions, soumises à l'examen Howey, pré-revenus. Nous ne promettons pas de résultats pour elles. La même discipline est ce qui rend le permis par phases californien lisible : l'État ne promet pas que Kodiak déploiera sans conducteur ; il promet un mécanisme qui mesurera si Kodiak le peut.

Points clés

• Un permis est une phase, non un verdict. L'échelle à trois phases du DMV californien est un instrument de mesure, non un laisser-passer.
• Le conducteur de sécurité est l'instrument de calibration pour la première porte, non une couverture contre une pile non prête.
• Theorem 3 s'applique aux poids lourds de la même façon qu'aux prévisions : une propriété n'est garantie que lorsque son mécanisme est implémenté et mesure. Une propriété affirmée est un communiqué de presse.
• Coast-to-coast est une route, non une porte. La route est la topologie réglementaire ; les portes sont les traînes de preuves par phase.
• Le risque de l'instrument faible est réel : une phase qui compte la mauvaise métrique admet des piles qui semblent correctes en moyenne et échouent dans la queue. Le prochain mécanisme dont le régime a besoin est une métrique par porte publiée et auditable.
• La portée décide à qui la mesure sert. Un permis par phases civil protège le public sur la route ; le même mécanisme appliqué à une portée adverse protège l'opérateur à la place.

Questions fréquentes

Le permis du 13 août signifie-t-il que les camions Kodiak se conduisent désormais eux-mêmes sur les routes californiennes ? Non. Le permis permet les essais avec un conducteur de sécurité derrière le volant. L'essai sans conducteur et le déploiement sans conducteur sont des phases distinctes qui exigent leurs propres portes de preuve.

Un permis par phases est-il plus fort qu'un permis unique ? Mécaniquement, oui. Un permis unique est une affirmation. Un permis par phases installe un instrument de mesure à chaque porte et exige des preuves avant de lever la contrainte suivante. La force vient de la mesure, non du nombre de phases.

Quel rapport Theorem 3 a-t-il avec le transport par camions ? Theorem 3 dit qu'une propriété est garantie exactement lorsque son mécanisme est implémenté et mesure. Le permis par phases californien est un exemple réel : la propriété est « opération sûre », le mécanisme est l'échelle à trois phases, et l'instrument de mesure change par phase. Une propriété affirmée sans mécanisme de mesure n'est pas garantie.

Comment le travail d'Everythink se relie-t-il au fret autonome ? Nous ne construisons pas de camions. Nous construisons le substrat de routage et de prévision que les organisations utilisent pour raisonner sur des systèmes comme le fret autonome. Le HAI Engine (✅ Production, depuis 2016), le pipeline Sisters → Oracle (✅ Production) et World Monitor (✅ Production) sont tous des mécanismes pour produire des sorties calibrées et mesurées plutôt que des affirmations uniques. La même logique du Theorem 3 qui régit nos prévisions régit le permis par phases.

Quel est le risque de l'instrument faible dans un régime par phases ? Une phase qui compte la mauvaise métrique — par exemple, interventions par mile sans les classer par scénario — admet des piles qui semblent correctes en moyenne et échouent dans la queue. La solution est une métrique par porte publiée et auditable, révisée entre les phases.

Sources

• 2026 — Truckers News, « Kodiak receives permit for autonomous truck testing in California » — https://www.truckersnews.com/trucks/article/15832896/kodiak-receives-permit-for-autonomous-truck-testing-in-california