Comment créer une capsule IA : le guide complet

Ce que l'on fabrique, exactement#

La première confusion à lever concerne l'objet lui-même. Une capsule n'est pas une conversation bien réglée, ni un gabarit de prompt, ni un abonnement à un modèle. C'est un paquet : un ensemble de fichiers assemblés, signés, puis scellés en un artefact unique.

Ouvrez-le, vous trouverez toujours les mêmes pièces : un manifeste qui déclare qui elle est et ce qu'elle a le droit de faire, un exécutant qui répond aux sollicitations, une identité cryptographique avec sa clé publique, une mémoire de départ, des compétences exposées, et la signature qui scelle l'ensemble. Le tout tient dans un fichier que l'on peut copier sur une clé USB.

C'est cette matérialité qui change tout. Un prompt vit dans un onglet ; une capsule vit dans un fichier qui a un auteur, une version et une empreinte. Si la distinction entre l'artefact et son exécution n'est pas encore claire, elle est détaillée dans notre article sur la différence entre une capsule et un agent — c'est le préalable à tout ce qui suit.

Étape 1 — Décider du périmètre#

C'est l'étape que tout le monde saute, et c'est celle qui décide de la réussite. La question n'est pas « que veux-je automatiser ? » mais « quel métier cette capsule exerce-t-elle ? ».

Une capsule qui « gère l'entreprise » ne fonctionne pas. Une capsule qui « qualifie les demandes entrantes, rédige une proposition chiffrée et relance à trois jours » fonctionne, parce que son périmètre est délimité par un début, une fin et un livrable. Le bon test : si vous ne pouvez pas décrire ce qu'elle produit sous la forme d'un objet remis à quelqu'un — un devis, un compte rendu, une fiche, une décision — le périmètre est encore trop vague.

Prenons un exemple concret, celui d'une capsule de qualification des demandes entrantes. Son périmètre : lire une demande arrivée par courriel ou formulaire, en extraire le besoin réel, le budget évoqué et l'échéance, vérifier si le demandeur existe déjà dans les contacts, produire une fiche de qualification notée, puis rédiger une proposition chiffrée à partir d'un modèle maison. Elle s'arrête là. Elle n'envoie pas la proposition — c'est une décision humaine — et elle ne négocie pas.

Ce périmètre est bon pour trois raisons. Il commence par un événement identifiable, il finit par un objet remis, et chaque étape intermédiaire est vérifiable séparément. On peut le tester avec vingt anciennes demandes et comparer le résultat à ce qu'un humain avait fait. Un périmètre qui ne se teste pas de cette manière ne se pilotera pas davantage en production.

Deuxième arbitrage : une capsule ou plusieurs ? Le format autorise les deux. Une capsule peut sceller un spécialiste unique, ou une organisation entière — un directeur, des consultants et leurs contrôles. Le critère de découpe n'est pas technique, il est patrimonial : ce qui doit pouvoir être cédé, versionné ou audité d'un seul geste appartient à la même capsule. Si vous imaginez vendre le module « comptabilité » sans le module « commercial », ce sont deux capsules.

Étape 2 — L'identité#

Une capsule sans identité est un script. L'identité, ici, est une paire de clés Ed25519 et un identifiant décentralisé au format W3C — le même standard que celui des identités numériques vérifiables.

mar identity create --out ~/.mar/keys/owner.json
mar identity show

Cette paire de clés est ce qui fait de vous l'émetteur. Elle signera le manifeste, puis le scellement. Deux conséquences pratiques, à comprendre avant de continuer : la clé privée ne quitte jamais votre machine si vous scellez en local, et la perdre revient à perdre la capacité d'émettre de nouvelles versions de vos capsules — pas les capsules déjà scellées, qui restent valides, mais votre signature d'auteur. On la sauvegarde comme on sauvegarde une clé de coffre.

C'est aussi à ce moment que se décide un point de gouvernance souvent négligé : qui, dans l'organisation, détient la clé d'émission. Ce n'est pas une question technique. C'est la même question que « qui a le droit de signer un contrat ».

Étape 3 — Le manifeste et les capacités déclarées#

Le manifeste est la carte d'identité professionnelle de la capsule : son rôle, sa mission, sa version, et surtout ses capacités — les droits qu'elle réclame.

Le modèle est volontairement inversé par rapport à la plupart des outils : ce qui n'est pas déclaré est refusé. Une capsule qui n'a pas déclaré l'accès réseau sortant ne pourra pas appeler une adresse externe, même si son exécutant essaie. L'application de ces droits ne dépend pas de sa bonne volonté : elle est imposée par le bac à sable qui l'exécute.

Les cinq familles de droits sont l'accès réseau sortant, la lecture de fichiers, l'écriture de fichiers, l'usage d'outils nommés, et le lancement de sous-processus. La règle de conception tient en une phrase : déclarez le minimum, puis élargissez quand un besoin réel se manifeste. Une capsule qui réclame tout est une capsule qu'aucun auditeur ne validera — et qui, le jour d'un incident, ne pourra pas prouver qu'elle n'a pas fait ce qu'on lui reproche.

Étape 4 — La mémoire de départ#

Une capsule embarque une mémoire initiale : les connaissances dont elle a besoin pour être compétente dès la première minute. C'est ce qui distingue un spécialiste d'un généraliste à qui l'on explique tout à chaque fois.

Ce qui entre dans cette mémoire de départ : les procédures internes, le vocabulaire maison, les modèles de documents, les cas de référence, les contraintes réglementaires du métier. Ce qui n'y entre pas : les données vivantes, qui changent tous les jours et qui doivent être consultées à l'exécution, pas figées dans un artefact signé.

La bonne question de tri est celle de la durée de vie. Une information qui sera fausse dans un mois n'a rien à faire dans une capsule scellée — elle vit dans une source consultée à l'exécution. Une information qui reste vraie pendant un an mérite d'être scellée avec l'artefact, parce qu'elle fait partie de son savoir-faire.

Il faut aussi accepter une propriété de ce modèle : la mémoire scellée est figée, mais celle que l'agent accumule en travaillant ne l'est pas. Elle s'écrit ailleurs, dans un journal en ajout seul et un rappel vectoriel qui lui permet de retrouver les situations semblables. Deux exemplaires de la même capsule, après un mois de travail, n'ont plus la même expérience — et c'est le comportement attendu.

Étape 5 — Les outils et les connecteurs#

Une capsule qui ne fait que produire du texte reste un assistant. Une capsule qui agit — envoie, enregistre, facture, planifie — devient un collaborateur. Le passage de l'un à l'autre tient aux outils qu'on lui donne.

Un outil, dans ce modèle, n'est pas une clé d'API collée dans un prompt. C'est une liaison déclarée : un service du catalogue, une méthode précise, une forme d'entrée et de sortie. Le catalogue interne couvre les services que l'on retrouve dans presque toutes les organisations — messagerie, agenda, stockage, paiement, service client — chacun avec sa méthode d'authentification et son point d'entrée.

Le raccordement effectif se fait par un connecteur : une instance configurée du service, avec ses identifiants chiffrés, rattachée à un utilisateur. La distinction compte plus qu'il n'y paraît. La capsule déclare « j'ai besoin d'un accès messagerie » ; le connecteur dit « voici quelle boîte, avec quels droits, pour quel utilisateur ». C'est ce qui permet de céder la même capsule à deux clients sans jamais leur transmettre les accès de l'autre.

Enfin, si votre capsule est une équipe, ses membres n'ont pas tous le même statut. Un employé est dérivé de l'identité de la capsule — clé partagée, confiance totale, membre stable. Un consultant est une identité externe à qui l'on remet un jeton de capacité signé, limité dans sa portée et dans le temps. On ne donne pas les clés de la maison à un prestataire de passage : le format encode cette évidence.

Étape 6 — Les garde-fous#

C'est l'étape qui sépare une démonstration d'un système que l'on met en production. Trois contrôles se placent dans la capsule, pas autour d'elle.

Le contrôleur qualité évalue le livrable et le refuse en dessous du seuil fixé. Ce n'est pas un avis : c'est une porte. Un livrable sous le seuil ne sort pas, il repart en correction.

L'auditeur trace ce qui a été décidé, avec quoi, et par qui. Il écrit dans un journal en ajout seul — rien ne s'y efface — et c'est lui qui rend une décision explicable trois mois plus tard, quand plus personne ne se souvient du contexte.

Le garde-fou applique des règles déterministes, sans modèle de langage dans la boucle : montants bornés, données obligatoires, formats vérifiés, refus par défaut en cas de doute. La règle de conception est constante — en cas d'incertitude, on refuse. Un système qui accepte quand il ne sait pas est un système qui finira par accepter une erreur coûteuse.

Il existe un quatrième garde-fou, souvent oublié à la conception et découvert à la première facture : le plafond économique. Chaque exécution porte une limite de dépense, fixée par défaut à un niveau volontairement bas, et au-delà de laquelle l'exécution s'arrête avec une erreur explicite plutôt que de continuer à consommer. Ce n'est pas une précaution théorique : une capsule mal conçue qui boucle sur elle-même peut brûler en une nuit ce qu'elle devait économiser en un mois.

Ce plafond se règle en connaissance de cause, à partir de la projection de coût de l'étape suivante — pas au doigt mouillé, et surtout pas « très haut pour être tranquille ». Un plafond haut ne protège de rien ; il repousse simplement la découverte du problème au moment où il coûte le plus cher. La bonne pratique consiste à le fixer juste au-dessus du coût observé sur un échantillon réel, puis à le relever explicitement si le périmètre s'élargit. Un dépassement n'est pas un incident : c'est un signal de conception.

À cela s'ajoute la barrière humaine, qui n'est pas un contrôle technique mais une décision d'organisation. Certaines actions ne se délèguent pas : ce qui engage de l'argent, ce qui touche à des personnes, ce qui est publié au nom de l'entreprise. La capsule prépare, un humain arbitre. C'est un choix assumé, pas une limite technique — et c'est ce qui rend le reste délégable en confiance.

Étape 7 — Le banc d'essai, avant de sceller#

Une capsule scellée est immuable : c'est sa force, et c'est pourquoi on ne scelle pas à l'aveugle. Avant le scellement, la capsule passe un banc d'essai automatique, qui n'est pas une simple exécution de test.

Quatre vérifications s'enchaînent. Des essais de fumée confirment qu'elle répond et que ses sorties ont la forme annoncée. Une projection de coût estime ce que coûtera une exécution avant qu'elle ne coûte quoi que ce soit — c'est ce qui permet de découvrir qu'une conception élégante consomme dix fois le budget prévu. Un balayage des capacités compare ce qu'elle réclame à ce qu'elle utilise réellement, et signale les droits demandés pour rien. Un contrôle de cohérence réglementaire vérifie que ce qu'elle déclare correspond à ce qu'elle fait.

L'ensemble produit une note sur cent. Une note basse ne bloque rien de force, mais elle vous dit exactement où vous en êtes : sceller une capsule à quarante sur cent, c'est figer un problème dans un objet immuable.

Étape 8 — Sceller, publier, raccorder#

Le scellement transforme un dossier de travail en actif. Trois opérations, dans cet ordre.

Sceller. La capsule est chiffrée, signée par votre clé d'émetteur, et accompagnée d'une licence signée qui porte ses bornes : durée de validité, quota d'appels, nombre d'appareils simultanés, juridictions autorisées. Le régime de scellement se choisit à ce moment — du gabarit largement diffusé à la cession privée où les parts de clé restent chez le client et où des contre-signataires figurent dans la licence.

mar cap-seal ./ma-capsule.mar --mode W \
  --owner-did did:key:z6Mk... \
  --owner-key ~/.mar/keys/owner.json \
  --out ./ma-capsule.cap

Publier. L'artefact entre au registre : son émetteur, sa version, son empreinte. Il devient citable, donc vérifiable par un tiers. Point important : publier les métadonnées n'oblige pas à publier le contenu. Une capsule scellée hors ligne, sur une machine isolée, peut être référencée sans que le fichier lui-même quitte votre infrastructure.

Raccorder. La capsule est autorisée sur une surface — un espace de travail, une application, un canal. C'est là que l'artefact cesse de dormir et qu'un agent se met au travail. Portées, quotas, coupure d'urgence et révocation s'ancrent à ce niveau, jamais dans l'application qui consomme le résultat.

Et parce qu'un actif doit pouvoir être contrôlé par quelqu'un d'autre que son vendeur, la vérification est autonome : elle recalcule la signature et l'empreinte sans réseau, avec les seules primitives cryptographiques du système.

mar verify ./ma-capsule.cap

Sans code, ou en ligne de commande ?#

Les deux chemins mènent au même artefact, et le fichier produit est identique. Ils ne s'adressent simplement pas au même besoin.

Un détail qui compte pour les organisations soumises à des contrôles : le scellement local peut produire une preuve signée exportable, un document que l'on remet à un auditeur sans lui donner accès au système. C'est le genre de fonction dont on ignore l'existence jusqu'au jour où elle est réclamée par écrit.

Faut-il vraiment une capsule ?#

Question honnête, et la réponse est parfois non. Trois cas où l'on s'épargne le travail décrit ici.

Si le besoin est ponctuel — une analyse à faire une fois, un texte à reformuler — un assistant conversationnel suffit largement. Sceller un artefact pour un usage unique, c'est fabriquer un moule pour une seule pièce.

Si le besoin est purement mécanique et parfaitement déterministe — copier un champ, renommer un fichier, envoyer un accusé de réception identique — une automatisation classique fera le travail, plus vite et pour moins cher. L'intelligence n'apporte rien là où il n'y a rien à interpréter.

Si personne, dans l'organisation, ne sait décrire la procédure, la capsule n'est pas la première étape. Elle exigera cette description, et vous découvrirez le problème au milieu du travail. Autant l'affronter d'abord.

En revanche, trois signaux indiquent qu'une capsule est le bon outil. Le travail se répète avec des variations — chaque demande ressemble à la précédente sans lui être identique. Il exige un jugement que l'on peut expliciter — un ordre de priorité, un critère de refus, une manière de trancher. Et il produit un livrable que quelqu'un attend. Quand ces trois conditions sont réunies, ce que vous fabriquez n'est plus un outil : c'est un poste de travail.

Ce que devient la capsule une fois installée#

Le travail de création s'arrête au raccordement ; à partir de là, l'objet change de nature. La capsule reste ce qu'elle est — un artefact immuable, signé, rangé — et un agent en naît : une entité avec sa propre identité, sa mission, son budget, ses compteurs d'exécution et sa réputation.

Cette bascule a une conséquence pratique sur votre façon de travailler. Vous ne « corrigez » plus la capsule, vous observez l'agent. Ses compteurs vous disent ce qu'il coûte et ce qu'il rapporte, son journal vous dit pourquoi il a tranché comme il l'a fait, son taux d'échec vous indique où la conception a été trop optimiste. Ces constats reviennent alors alimenter la version suivante de l'artefact.

C'est une boucle, pas une ligne droite : concevoir, sceller, observer, resceller. Les organisations qui progressent le plus vite ne sont pas celles qui conçoivent la capsule parfaite du premier coup — c'est impossible — mais celles qui bouclent souvent, en s'appuyant sur ce que les agents ont réellement produit. Nous détaillons cette phase d'exploitation dans notre article sur la différence entre une capsule et un agent, et le raccordement de plusieurs capsules entre elles dans celui sur comment connecter ses capsules et ses agents.

Combien de temps cela demande-t-il ?#

Une première capsule utile se conçoit en quelques jours, pas en quelques minutes — et la répartition du temps surprend souvent.

La conception du périmètre et la rédaction de la mémoire de départ occupent le plus clair de l'effort : c'est du travail de métier, pas de la technique. Le raccordement des outils est rapide quand les accès existent, long quand il faut les demander. Les garde-fous se posent en une heure si l'on sait ce que l'on refuse, et en trois jours si la décision n'a jamais été prise dans l'entreprise. Le scellement, lui, prend quelques secondes.

Autrement dit : le temps de création d'une capsule mesure la clarté de votre métier, pas la difficulté de l'outil. Les organisations qui vont vite sont celles qui savaient déjà décrire leurs procédures. Les autres découvrent, en construisant leur capsule, ce qu'elles n'avaient jamais écrit — et c'est souvent le bénéfice le plus immédiat de l'exercice.

Questions fréquentes#

Faut-il savoir programmer pour créer une capsule ?#

Non pour la conception, oui pour les cas particuliers. Le Lab permet de définir le périmètre, les rôles, la mémoire, les outils, les règles et les contrôles sans écrire de code, puis de sceller. On entre dans le code quand un comportement sort des gabarits — un calcul métier spécifique, un format d'échange maison, une intégration qui n'existe pas au catalogue. Dans ce cas, le code ne remplace pas la conception : il vient s'y insérer.

Combien de temps faut-il pour créer sa première capsule ?#

Comptez quelques jours pour une capsule réellement utilisable, dont la majeure partie n'est pas technique : délimiter le périmètre, écrire la mémoire de départ, décider ce que la capsule n'a pas le droit de faire. Le scellement lui-même prend quelques secondes. Une maquette se monte en une après-midi ; une capsule que l'on met devant des clients demande le temps de définir ses refus.

Peut-on modifier une capsule après l'avoir scellée ?#

Non, et c'est volontaire : l'immuabilité est ce qui rend la signature utile. On scelle une nouvelle version, avec sa propre empreinte et sa propre licence, on l'installe, puis l'agent issu de l'ancienne version passe en retrait — son journal restant lisible pour l'audit. En pratique, on travaille donc par versions successives, exactement comme pour un logiciel publié.

Une capsule peut-elle contenir une équipe entière ?#

Oui. Le format est récursif : une capsule peut référencer d'autres capsules, et sceller une organisation complète — un directeur, des consultants, les contrôles associés — avec son mode de coordination déclaré : séquentiel, parallèle, par routage, hiérarchique ou par consensus. C'est le même artefact, avec un contenu plus riche. Le critère de découpe reste patrimonial : ce qui se cède ensemble se scelle ensemble.

Où sont stockées les clés et les identifiants d'accès ?#

La clé d'émetteur reste chez vous ; en scellement local, elle ne quitte jamais la machine. Les identifiants des services raccordés vivent dans des connecteurs, chiffrés et rattachés à un utilisateur — jamais en clair dans la capsule. C'est ce qui permet de remettre le même artefact à deux clients : chacun le raccorde à ses propres accès, et aucun ne voit ceux de l'autre.

Que se passe-t-il si je perds ma clé d'émetteur ?#

Les capsules déjà scellées restent valides et vérifiables : leur signature ne dépend pas de la présence de votre clé. Ce que vous perdez, c'est la capacité de publier de nouvelles versions sous la même identité d'émetteur. Cette clé se traite donc comme une clé de coffre : sauvegarde hors ligne, et une décision explicite sur qui, dans l'organisation, a le droit de l'utiliser.

À retenir#

Créer une capsule, c'est huit décisions, dont une seule est technique. Délimiter un métier. Établir une identité d'émetteur. Déclarer le minimum de droits. Choisir ce qui mérite d'être scellé. Raccorder des outils avec des portées limitées. Poser les refus avant les fonctionnalités. Mesurer avant de figer. Sceller, publier, raccorder.

Le reste — le modèle de langage, l'hébergement, l'interface — se remplace. L'artefact, lui, vous appartient : il porte votre signature, il se vérifie sans nous, et il fonctionnera encore quand la mode technologique aura changé trois fois.

Deux portes d'entrée, selon votre point de départ : le Lab pour concevoir et sceller vos capsules, l'Atelier pour les mettre au travail et suivre ce qu'elles produisent.

Pour aller plus loin#

La spécification complète de l'objet que vous scellez est détaillée dans le format d'agent portable, et la définition d'ensemble dans ce qu'est une capsule IA.

Si vos capsules entrent dans un périmètre réglementé, trois lectures complètent ce guide : la conformité au règlement européen, la preuve opposable et le tiers de confiance. Les registres correspondants sont exposés sur Orchessia Trust.