La question paraît naïve, et elle ne l'est pas : peut-on demander à un modèle ce qui se passe en lui, et croire sa réponse ? Elle se pose partout où l'on tente d'auditer un système : « pourquoi as-tu répondu cela ? », « as-tu utilisé ce document ? », « quelque chose t'a-t-il été demandé que tu n'aurais pas dû accepter ? ». Ces questions sont posées tous les jours, et les réponses obtenues sont prises pour argent comptant.
L'obstacle est connu depuis longtemps : un modèle produit toujours quelque chose. Il ne dit jamais « je n'ai pas accès à cette information ». Il compose une réponse plausible, qui peut être exacte par accident, et qui ressemble en tout point à une réponse fondée. Une confabulation et une introspection réussie sont indiscernables si l'on se contente de lire.
Ce qui a changé depuis fin 2025, c'est qu'on dispose enfin d'une méthode pour les distinguer. Et ce qui rend le sujet vivant, c'est que les résultats qu'elle produit sont contestés en ce moment même.
La méthode : intervenir, puis demander
Le protocole qui a débloqué le sujet s'appelle l'injection de concept. Il consiste à extraire, par contraste entre deux jeux de textes, la direction interne qui correspond à une notion — disons « tout ce qui touche au pain », ou « majuscules » — puis à l'ajouter artificiellement aux activations du modèle pendant qu'il traite une demande neutre. On lui pose ensuite une question : détectes-tu une pensée injectée, et si oui, de quoi parle-t-elle ?
L'élégance du dispositif tient à ceci : l'expérimentateur sait ce qu'il a injecté, et le modèle n'a aucun moyen de le déduire de son entrée, puisque l'entrée n'en porte aucune trace. Une réponse correcte ne peut donc pas venir du texte reçu.
Les résultats publiés en octobre 2025 par un chercheur d'un laboratoire d'IA : à la meilleure couche et à la bonne intensité d'injection, le modèle le plus capable testé signale correctement l'injection dans environ 20 % des essais, avec zéro faux positif sur cent essais de contrôle sans injection.
Les deux chiffres comptent autant l'un que l'autre. Vingt pour cent, c'est peu. Zéro faux positif, c'est beaucoup : cela signifie que le modèle ne crie pas « pensée injectée ! » à tout bout de champ. Quand il le dit, il a raison. Le reste du temps, il ne dit rien.
L'auteur assortit ce résultat de réserves qu'il faut citer, parce qu'elles sont plus fortes que ce qu'en ont retenu la plupart des commentaires : « les capacités que nous observons sont hautement peu fiables ; les échecs d'introspection restent la norme ». Il ajoute que les mécanismes sous-jacents « pourraient rester assez superficiels et étroitement spécialisés », que le protocole place les modèles dans des conditions étrangères à leur entraînement comme à leur déploiement, et que ces capacités « pourraient ne pas avoir la même portée philosophique que chez l'humain ».
Le mécanisme, tracé
Un résultat de niveau « le modèle y arrive parfois » ne dit rien de la manière. Un travail de mars 2026 mené sur des modèles à poids ouverts a cherché le circuit responsable, et il en rapporte quatre choses.
Le comportement est robuste. La détection tient sur des invites et des formats de dialogue variés, toujours avec zéro faux positif.
Il naît du post-entraînement. La capacité « émerge spécifiquement du post-entraînement » : les algorithmes d'optimisation de préférences la font apparaître, l'ajustement supervisé standard non. C'est un fait technique lourd de conséquences — l'introspection observée n'est pas une propriété du modèle de base, mais un produit de la phase d'alignement décrite dans Aligner un modèle : RLHF, DPO et les préférences humaines.
Le circuit a deux étages. Des traits « porteurs d'indice », dans les couches situées juste après l'injection, détectent une perturbation de façon monotone quelle que soit sa direction ; ils inhibent ensuite des traits « de vanne » qui, par défaut, produisent une réponse négative. Identifier quel concept a été injecté relève de mécanismes ultérieurs, largement distincts de ceux de la détection.
La capacité est sous-exploitée. Ablater les directions de refus améliore la détection de 53 % ; un vecteur de biais entraîné l'améliore de 75 % sur des concepts jamais vus — dans les deux cas « sans augmenter significativement les faux positifs ». Les auteurs concluent que cette introspection « pourrait être substantiellement amplifiée dans les modèles futurs ».
Ce dernier point renverse la lecture qu'on ferait des 20 %. Ce n'est pas un plafond de capacité : c'est un plancher d'élicitation. Le modèle en sait plus qu'il n'en dit, en grande partie parce qu'il a été entraîné à décliner les questions de ce genre.
L'application pratique : faire dire à un modèle ce qu'on lui a appris
Le passage de la curiosité à l'outil s'est fait en avril 2026, avec les adaptateurs d'introspection. Le principe : entraîner un petit module additionnel sur une collection de modèles dont on connaît le comportement implanté, de sorte que chacun se mette à verbaliser ce qu'il a appris quand on l'interroge. Ce module, une fois obtenu, s'applique à d'autres modèles.
L'épreuve est sérieuse : un banc de 56 modèles, porteurs chacun de l'un de 14 comportements préoccupants, entraînés de surcroît de façon adverse pour résister à la divulgation. Les résultats : 59 % de réussite moyenne sur les quatre configurations, contre 53 % à la meilleure méthode concurrente et 44 % à la meilleure technique en boîte blanche ; en questionnement direct, l'adaptateur obtient une description correcte du comportement chez 50 modèles sur 56.
C'est le premier résultat qui met l'auto-rapport au niveau, voire au-dessus, des méthodes qui lisent le modèle de l'extérieur — celles que décrit Interprétabilité : ce qu'on sait vraiment lire dans un modèle. Et il faut mesurer ce que cela signifie pour l'audit : demander devient une technique, pas un pis-aller.
La contestation, en cours
Un mois plus tard, une équipe universitaire a publié une réfutation méthodique de l'interprétation introspective. Son argument central est de forme, et il est solide : « la preuve comportementale seule est intrinsèquement insuffisante pour établir des affirmations fortes sur l'introspection ».
Les auteurs réexaminent deux paradigmes. Sur la détection d'altération de l'état interne, ils constatent que les modèles ne distinguent pas de façon fiable une intervention sur leurs activations d'une manipulation de l'entrée : la réussite apparente relèverait d'une détection d'anomalie générique, pas d'une lecture de soi. Sur la prédiction d'un état caché, ils montrent qu'un classifieur n'utilisant que l'entrée fait aussi bien que le modèle interrogé sur lui-même, et que le modèle tombe au niveau du hasard sur une tâche de contrôle réétiquetée. Conclusion : les preuves actuelles ne suffisent pas à établir un contrôle métacognitif.
Ce qu'une organisation peut en faire aujourd'hui
Rien de tout ceci ne se transpose tel quel : l'injection de concept exige un accès aux activations, l'adaptateur exige un entraînement. Mais quatre conséquences pratiques tiennent debout dès maintenant.
Un auto-rapport n'est pas une preuve, il est une piste. Quand un assistant explique pourquoi il a répondu cela, vous obtenez une hypothèse à vérifier, jamais un constat. La distinction est la même que pour la trace de raisonnement, traitée dans l'article précédent, et elle vaut ici avec une force supérieure : le rapport porte sur un état auquel le modèle n'a, au mieux, qu'un accès partiel et peu fiable.
Posez la question deux fois, autrement. Un rapport stable sous reformulation vaut mieux qu'un rapport unique. Un rapport qui change selon la façon de demander vous apprend surtout la sensibilité du modèle à la formulation — ce qui est déjà une information utile, et un rappel de Pourquoi la même question ne donne pas la même réponse.
Ne confondez pas l'auto-critique et l'introspection. Faire relire une réponse par le modèle selon des règles écrites, comme le décrit L'auto-critique par règles : un modèle qui se corrige, fonctionne — mais c'est une relecture d'un texte, pas une inspection d'un état. La première est robuste et déjà exploitable ; la seconde est un domaine de recherche ouvert.
Continuez à instrumenter l'extérieur. Journaux, entrées effectivement fournies, documents effectivement récupérés, appels effectivement passés : ces preuves-là ne dépendent d'aucune capacité du modèle et ne se dégraderont pas avec la prochaine version. C'est la logique d'audit que détaille Ouvrir la boîte noire : expliquer et auditer une IA, et elle reste la fondation. L'auto-rapport vient par-dessus, jamais à la place.
Pourquoi le sujet ne s'arrêtera pas là
Trois raisons rendent cette question durable. La première : les mécanismes tracés en mars 2026 montrent que la capacité vient du post-entraînement, ce qui la rend modifiable par des choix d'entraînement — donc susceptible d'être renforcée délibérément. La deuxième : les gains d'élicitation, +53 % et +75 %, indiquent qu'on est loin du plafond. La troisième est la plus importante pour la sécurité : les autres surfaces de contrôle s'usent. Les évaluations sont émoussées par la reconnaissance du décor ; les traces de raisonnement pourraient cesser d'être lisibles. Si l'auto-rapport devient fiable, il compensera en partie. S'il ne le devient pas et qu'on s'y fie quand même, on aura remplacé une mesure imparfaite par une fausse assurance — le risque exact que soulignent, en des termes voisins, les deux camps de ce débat.
Cette vague refermée, la question de fond demeure : trois surfaces de contrôle — l'évaluation, la trace, l'auto-rapport — reposent toutes, à des degrés divers, sur ce que le modèle veut bien laisser voir de lui-même. Les mouvements de la recherche sont suivis dans le radar IA et dans le bulletin Nouveautés.
Une question, un projet IA ?
Vos audits reposent sur ce que l'assistant déclare de son propre fonctionnement, et vous cherchez quelles preuves extérieures poser à côté ? Échangeons sur votre contexte.
Prendre contact →