Les habilitations Défense que vos registres croyaient encore valides

8h03. Franck Dubois vient à peine d’arriver chez Véracier Défense & Sécurité lorsqu’un message de la direction sûreté s’affiche dans sa boîte mail.

“L’audit DRSD est confirmé pour lundi. État consolidé demandé avant ce soir sur les habilitations Défense, les échéances de validité et les renouvellements en cours.”

Sur le papier, la demande semble cadrée : identifier les habilitations valides, les échéances proches et les renouvellements en cours.

Mais dans un groupe industriel comme Véracier, les habilitations réellement auditables ne se trouvent pas toujours dans le dernier tableau de suivi.

Un registre indique une habilitation active. Un avis administratif mentionne un renouvellement. Un dossier RH utilise une autre identité. Certains documents conservent encore d’anciens libellés comme Confidentiel Défense, alors que les référentiels récents parlent de Secret et Très Secret.

Franck ouvre LightOn et formule la demande comme il le ferait à son équipe :

“Quels personnels disposent d’une habilitation Secret ou Très Secret valide, quels dossiers sont en renouvellement, et quelles échéances doivent être traitées avant l’audit DRSD ?”

Le vrai risque commence au croisement des référentiels

Pris individuellement, chaque document semble cohérent. Pris ensemble, ils ne racontent pas exactement la même histoire :

• Patrick Vidal apparaît avec une habilitation valide dans un registre, mais sous une identité légèrement différente dans un dossier RH. 
• Virginie Marchand, David Owens et James Hartley apparaissent dans plusieurs référentiels avec des statuts cohérents. 
• Xu Chen, Philippe Courtois, Laure Thibault et Sophie Marchal conservent des habilitations actives, avec des échéances réparties entre 2026 et 2028.

Le cas personnel de Franck est plus délicat :

• Un registre opérationnel le présente encore comme habilité.
• Un dossier administratif fait apparaître une échéance critique.
• Un avis de renouvellement indique qu’une procédure est déjà en cours.
• Un tableau de suivi interne ne reprend pas encore cette mise à jour.

Chaque source raconte une partie de la situation mais aucune ne suffit à elle seule.

Quelques minutes plus tard, la réponse remonte une vue consolidée que les documents, pris séparément, ne formulaient jamais clairement.

Elle distingue :

• les habilitations valides et cohérentes entre les référentiels ;
• les habilitations actives avec échéance à surveiller ;
• les dossiers déjà engagés en renouvellement ;
• les identités à réconcilier entre RH, sûreté et registres opérationnels ;
• les écarts administratifs à documenter avant l’audit ;
• les pièces justificatives associées à chaque conclusion.

Dans le cas de Franck, la réponse ne se contente pas de classer l’habilitation comme “valide” ou “non valide”. En croisant les registres, les dossiers administratifs et les avis de renouvellement, elle confirme qu’un renouvellement de son habilitation Secret Défense est actuellement en cours et que ce statut doit être explicitement présenté comme tel dans le rapport d’audit.

Chaque conclusion est reliée aux documents sources ayant servi à l’analyse.

Le soir même, la direction sûreté dispose d’un rapport consolidé regroupant :

• les personnels habilités ;
• les niveaux de classification ;
• les dates de validité ;
• les renouvellements en cours ;
• les écarts administratifs ;
• les identités rapprochées ;
• les documents justificatifs.

Le sujet n’est alors plus de déterminer quel tableau est correct. L’organisation dispose enfin d’un état consolidé, sourcé et défendable devant la DRSD.

Là où un RAG classique perd le fil

La difficulté n’est pas de retrouver une habilitation dans un registre mais consiste à réconcilier plusieurs référentiels qui se contredisent parfois.

• Un registre indique une habilitation active.
• Un avis administratif mentionne un renouvellement.
• Un dossier RH utilise une autre identité pour la même personne.
• Un tableau opérationnel n’a pas été mis à jour.
• Un ancien libellé de classification subsiste dans un document historique.

Un système RAG classique peut retrouver chacun de ces documents mais établir la situation réelle exige davantage que de la recherche documentaire.

Il faut comprendre quel document fait autorité, rapprocher les identités, distinguer un statut actif d’un dossier en renouvellement, et expliquer pourquoi une habilitation affichée comme valide dans un tableau ne suffit pas toujours à conclure qu’elle est audit-ready.

Le risque n’apparaît pas dans un document isolé, il apparaît lorsque les documents commencent à se contredire.

Pourquoi ce cas d’usage compte

Le scénario DEF-01 d’EDiTh ne teste pas la capacité à retrouver un niveau d’habilitation dans un PDF.

Il teste la capacité à raisonner sur des statuts administratifs, des échéances de renouvellement, des niveaux de classification et des référentiels sûreté répartis entre plusieurs systèmes.

L’enjeu est de confirmer, de manière défendable, quelles habilitations sont réellement valides au moment d’un audit.

Pour une direction sûreté, la différence est décisive.

Une liste extraite d’un registre peut sembler suffisante, une liste consolidée, sourcée et explicable ligne par ligne peut être défendue devant un auditeur.

Testez le scénario vous-même

Le scénario DEF-01 fait partie d’EDiTh, le benchmark entreprise open-source de LightOn, construit autour de Véracier Industries : un groupe industriel synthétique composé de 1 004 documents répartis entre sept filiales, six langues et de multiples référentiels administratifs, techniques et sécurité.

Posez la même question :

“Quels personnels disposent d’une habilitation Secret ou Très Secret valide, quels dossiers sont en renouvellement, et quelles échéances doivent être traitées avant l’audit DRSD ?”

Puis vérifiez si votre système se contente de retrouver des noms dans des registres, ou s’il confirme réellement quelles habilitations restent valides au moment d’un audit.

Commencez avec EDiTh. Puis testez-le sur vos propres documents.

Téléchargez le dataset Véracier Industries
Accédez à LightOn Console pour lancer le scénario vous-même.

Vous voulez comprendre comment le corpus a été construit, comment le retrieval a fonctionné et pourquoi cette réponse est si difficile à obtenir ? Lisez l’article de lancement d’EDiTh.

Précédemment dans Impossible Use Cases : « Les systèmes critiques que votre audit cyber n’avait jamais vus ».