MODE DÉGRADÉ
Infrastructure
Fonctionnement réduit mais maîtrisé d'un service quand un composant tombe en panne ou qu'on choisit de l'arrêter. On perd du débit, du confort ou des fonctions annexes, mais l'activité essentielle continue.
Repli manuel d'un système d'IA : Pour un système d'IA à haut risque, le mode dégradé est la procédure humaine qui reprend la tâche quand le déployeur suspend le système (AI Act, article 26 §5). Sans elle, une suspension réglementaire devient un arrêt d'activité, et l'organisation hésite alors à suspendre.
Défini avant la panne : Il faut fixer à l'avance les fonctions conservées, le déclencheur, le décideur nommé et le critère de retour au fonctionnement normal. Un mode dégradé conçu pendant l'incident s'appelle une improvisation, et il est en général moins bien documenté que la panne elle-même.
Testé et chiffré : Une bascule qu'on n'a jamais jouée ne fonctionne pas le jour où on en a besoin. L'exercice doit aussi mesurer la capacité réelle en mode réduit, par exemple le volume de dossiers qu'on peut traiter à la main chaque jour.
Distinct de la reprise : Le plan de reprise d'activité sert à restaurer le système. Le mode dégradé sert à faire tenir le métier sans le système, pendant la panne. Les deux se complètent, aucun ne remplace l'autre.
Ce qui arrive si on s'en passe
Sans mode dégradé prévu, la panne d'un seul composant entraîne souvent l'arrêt complet du service : une dépendance annexe indisponible (cache, moteur de recherche, envoi de notifications) bloque aussi les fonctions essentielles, qui n'en avaient pas réellement besoin. Le comportement en cas d'incident n'est plus choisi mais subi : les délais d'attente s'accumulent, les files saturent et les erreurs se propagent en cascade vers les services appelants. Faute de règles décidées à l'avance, l'équipe improvise sous pression, ce qui favorise les contournements risqués, comme désactiver un contrôle d'authentification ou la journalisation pour faire repartir le service au plus vite. Enfin, quand aucun état dégradé n'est défini ni signalé, la supervision distingue mal une coupure partielle d'un fonctionnement normal. La reprise s'allonge alors, car rien ne fixe ce qu'il faut restaurer en priorité.
Explication de la marmotte
Imagine un magasin dont la caisse électronique tombe en panne un samedi. Si personne n'a rien prévu, le magasin ferme. Si quelqu'un a préparé un carnet, une calculatrice et une boîte de monnaie, on continue à vendre. Ça va plus lentement et c'est moins confortable, mais les clients repartent avec leurs courses. Ce plan de secours s'appelle le mode dégradé : c'est une façon de faire l'essentiel quand l'outil habituel ne marche plus, ou quand on a décidé de l'arrêter parce qu'il fait des erreurs. Il faut le préparer et l'essayer avant la panne, parce qu'improviser au milieu de la file d'attente marche rarement.