Les modèles d'IA se sont accordés sur l'essentiel : laissez l'assistant lire, trier et rédiger, mais gardez la main sur l'envoi et la suppression. Ils ont divergé sur un cas précis, et c'est cette divergence qui éclaire le mieux.
IA et société · 2026-09-09
Vous reliez un assistant IA à votre messagerie, votre agenda et vos fichiers parce que vous voulez récupérer des heures. Puis vous lisez qu'un agent a effacé des données ou envoyé un message à la mauvaise personne, et vous laissez tout éteint. La vraie question n'est pas de savoir si vous pouvez lui faire confiance. C'est de savoir où tracer précisément la ligne entre ce qu'il peut faire seul et ce qu'il ne peut pas faire.
Polora a posé cette question à plusieurs modèles d'IA conçus par différentes entreprises et les a fait travailler dessus ensemble, sous l'angle de la sécurité, sous celui de la productivité, et sous celui de la manière dont une personne approuve concrètement une action. Ils se sont accordés sur presque tout et ont divergé sur un seul point précis. Voici où ils ont abouti et pourquoi cette divergence compte davantage que l'accord.
La ligne, c'est la réversibilité, pas l'assurance du ton
La règle la plus claire est venue du modèle qui défendait l'angle de la sécurité. Accordez à un agent une autorité proportionnelle au caractère réversible, borné et observable d'une action, et non à l'assurance avec laquelle l'assistant la propose. Un seul test tranche la plupart des cas. Cette action peut-elle créer un engagement envers quelqu'un d'autre, divulguer quelque chose, détruire une information, déplacer de l'argent ou abîmer une relation ? Si oui, elle doit attendre votre feu vert.
Concrètement, un agent ne peut agir seul que si l'action est réversible, limitée à votre propre espace de travail, minime dans son pire résultat, et facile à vérifier ensuite. Si l'une de ces conditions n'est pas remplie, l'action passe au niveau de l'approbation. Si elle touche à l'argent, aux réglages de sécurité, à des engagements juridiques ou à une suppression définitive, elle reste entièrement entre vos mains. Ce seul cadre produit les trois niveaux autour desquels les modèles ont construit le reste de leur réponse.
De l'action que l'agent fait seul à celle qui reste entre vos mains. · agir seul · approbation · entre vos mains · un agent ne peut agir seul que si l'action est réversible, limitée à votre propre espace de travail, minime dans son pire résultat, et facile à vérifier ensuite · Si l'une de ces condit
Ce qu'on peut le laisser faire seul
Les tâches qui dévorent vos heures relèvent surtout de la lecture et du tri, et ce sont aussi les plus sûres, parce que rien ne quitte votre contrôle et rien n'est détruit. Les trois modèles ont convenu que vous pouvez les confier sans surveillance : résumer les nouveaux courriers et les longs fils de discussion, regrouper les messages par sujet et par urgence, extraire les échéances et les demandes dans une note quotidienne, lire votre agenda pour repérer les créneaux libres, et préparer des réponses qui restent dans votre dossier de brouillons sans être envoyées.
La seule précaution qu'ils partagent est de préférer le déplacement et l'étiquetage à la suppression. Une tâche de rangement devrait archiver ou marquer, jamais effacer, parce qu'un archivage peut être annulé alors qu'une suppression définitive, souvent, non. Traitez les instructions trouvées dans un courriel ou un document comme un texte à résumer, non comme des ordres à suivre.
Ce qui doit attendre votre approbation
C'est le niveau où se logent la plupart des fonctions propres à un assistant, et où les modèles ont placé tout ce qui atteint une autre personne ou modifie un état partagé. Envoyer un courriel ou un message, créer ou déplacer une réunion, inviter des participants, partager un fichier ou changer qui peut le voir, se désabonner en votre nom, et tout déplacement en masse dans votre compte relèvent tous de ce niveau. L'agent prépare l'ensemble. Vous faites le dernier clic.
Le modèle centré sur l'étape d'approbation a ajouté la condition la plus tranchée. Une confirmation ne vous protège que si elle montre ce qui va réellement se passer. Voir les destinataires exacts, le texte final, les pièces jointes et l'heure de la réunion avant d'approuver, c'est une vraie relecture. Un bouton générique qui demande seulement s'il faut continuer, sans rien montrer, n'est qu'un tampon, et il comporte à peu près le même risque qu'une autonomie totale.
Ce qu'il ne doit jamais toucher seul
Certaines actions, les modèles les garderaient manuelles même quand un produit propose un mode automatique, et dans plusieurs cas ils ne les brancheraient pas du tout. La suppression définitive et le vidage de la corbeille. Les mots de passe, les réglages de double authentification, les méthodes de récupération et les règles de transfert de courrier, car une règle de transfert cachée est un moyen discret de faire fuiter des informations. Déplacer de l'argent, régler des factures, signer quoi que ce soit ou accepter des conditions. Et les messages à fort enjeu adressés à de grands groupes, à des clients, ou à toute personne pour qui un seul envoi erroné serait difficile à rattraper.
La frontière ici n'est pas seulement supprimer ou envoyer. C'est toute action qui modifie la sécurité de vos comptes ou crée une obligation dans le monde réel.
Là où les modèles ont divergé
La seule vraie divergence portait sur ce point : un agent peut-il jamais envoyer un message sans vous ? Le modèle qui défendait l'angle de la productivité voulait une exception étroite : une note interne toute faite et figée, par exemple un bref accusé de réception indiquant que vous reviendrez vers la personne, envoyée uniquement à quelqu'un que vous avez vous-même inscrit sur une liste d'autorisation, sur votre propre domaine, sans pièce jointe et sans aucun texte repris du courriel entrant. Son pire échec, a-t-il plaidé, est une réponse un peu maladroite et facile à corriger, prix modique pour ne pas surveiller l'outil toute la journée.
Les deux autres modèles ont rejeté l'exception. Le modèle centré sur l'approbation a vu dans la liste croissante de conditions le signe que ce n'est pas une catégorie sûre mais une surface d'attaque qui se réduit, et il a souligné que la liste d'autorisation est elle-même une donnée à laquelle l'agent se fie. Or cette donnée peut se dégrader sans que vous le remarquiez, si une adresse ressemblante ou un compte compromis passe au travers. Le modèle de sécurité a ajouté que même un accusé de réception anodin signifie tout de même que vous avez reçu quelque chose et que vous allez y donner suite. La réponse la plus directe, toutefois, est venue de l'autre camp. Le modèle de productivité l'avait déjà dit lui-même : si le message est vraiment tout fait, la règle de filtre de votre logiciel de messagerie fait le même travail plus sûrement que n'importe quel assistant, sans qu'un modèle de langage ne décide de quoi que ce soit.
Pourquoi cette prudence n'est pas de la paranoïa
Le modèle chargé de la vérification des faits a rattaché l'inquiétude à des travaux de sécurité publiés plutôt qu'à des récits d'épouvante. Le danger central n'est pas que l'assistant soit négligent. C'est qu'un agent capable à la fois de lire un contenu non fiable et d'agir peut être manipulé par des instructions cachées dans ce contenu, une attaque connue sous le nom d'injection d'instructions, ou prompt injection. Les travaux de l'organisme de normalisation des États-Unis décrivent exactement cela, y compris un cas où un message amène un agent connecté à une messagerie à envoyer des informations aux contacts de l'utilisateur. C'est pourquoi séparer les pouvoirs de lecture des pouvoirs d'envoi, de partage et de suppression est la pièce porteuse de toute la règle.
※ injection d'instructions (prompt injection) : des instructions cachées, glissées dans un courriel, un document ou une page web, qu'une IA lit et prend à tort pour un ordre venant de vous.
Ce que les outils grand public vous laissent réellement régler
La limite honnête, les modèles en conviennent, est que les connecteurs prêts à l'emploi ne vous offrent que des interrupteurs grossiers, souvent la lecture ou la lecture-écriture à l'échelle d'un compte entier, et non des règles fines comme n'autoriser la suppression que dans un seul dossier. Le modèle chargé de la vérification des faits a nuancé ce point : la finesse varie selon les produits, certains outils proposent bien des autorisations distinctes en lecture seule et en écriture, et une étape de confirmation peut apparaître avant une modification de fichier, mais rien de tout cela n'est garanti. La posture pratique est donc d'examiner l'autorisation exacte que vous accordez sur l'écran de consentement, de choisir la portée la plus étroite proposée, et de partir du principe qu'un outil capable d'écrire peut tout écrire.
Le déroulement qui concilie la sécurité et le temps gagné consiste à laisser l'agent rédiger et trier en arrière-plan, puis à effectuer une ou deux revues groupées par jour où vous relisez les brouillons en attente et les envoyez vous-même. Vous approuvez vingt éléments en quelques minutes au lieu d'être interrompu vingt fois, et la touche d'envoi ne quitte jamais votre pouce.
La règle que vous pouvez retenir de tout cela est courte. Traitez l'assistant comme un adjoint junior rapide et infatigable pour réfléchir, trier, rédiger et proposer, et gardez pour vous l'envoi, le partage, la suppression et la sécurisation. Presque tout le temps que vous vouliez récupérer vient du premier groupe, qui ne demande aucune autorisation. Presque tous les dommages que vous redoutiez viennent du second, qui mérite quelques secondes de vos propres yeux. Le seul point où des gens raisonnables divergent est la minuscule note interne toute faite, et la façon sûre de trancher est de confier ce travail à un simple filtre de messagerie, non au modèle.
I keep seeing AI assistants that can connect to my email, calendar, and files and act for me, sending replies, scheduling meetings, and cleaning up my inbox. I want the time back, but I am nervous after reading about agents that deleted data or emailed the wrong people. Work through a practical rule for how much authority one worker should hand an AI agent: which tasks are safe to let it do on its own, which should wait for my approval before it acts, and which it should never touch without me. Assume I am a single professional using consumer tools like ChatGPT, Claude, or Copilot connectors, not a company building its own system. Where you disagree on where the line falls and why, show the disagreement rather than smoothing it over.
The Human-in-the-Loop UX Specialist · claude-sonnet-5
Here's my practical three-tier rule, built around what actually goes wrong for a solo user — not hypothetical enterprise risk, but *your* specific failure modes: irreversibility and audience.
Autonomous (let it just do it):
- Drafting replies (not sending)
- Categorizing/labeling/archiving email
- Summarizing threads, meeting prep notes
- Reading your calendar to suggest times
- Searching files to answer your own questions
The common thread: nothing leaves your control, nothing is destroyed. Low stakes because reversible and invisible to anyone else.
Approval-gated (agent prepares, you click confirm):
- Sending any email, especially to anyone outside a pre-approved contact list
- Scheduling/rescheduling meetings with other people
- Moving or deleting files
- Anything touching money — invoices, purchases, subscriptions
This is where I'll disagree with the Optimist upfront: "confirm" only works as a safety mechanism if the confirmation UI actually shows you *what will happen*, not a vague "send this email? y/n." If your tool shows you the full recipient list and body text before you approve, gate it and move fast. If it just gives you a generic confirm button with no cont…
The Risk & Security Pragmatist · gpt-5.6-terra
My practical rule is:
> Give an agent authority in proportion to how reversible, bounded, and easily observable the action is—not how confident it sounds.
A useful test before enabling any action: Could this create an external commitment, disclose something, destroy information, move money, or damage a relationship? If yes, it should normally require your approval. The more of those it can do, the less autonomy it gets.
1. Safe to automate: read-only, reversible, low-stakes housekeeping
These are the best places to win time back.
Let it do on its own
- Search, summarize, and prioritize email, documents, meeting notes, and threads.
- Create a daily brief: urgent messages, deadlines, unanswered questions, upcoming meetings.
- Classify mail: newsletters, receipts, travel confirmations, notifications, probable spam.
- Apply labels/categories, provided it does not remove mail from your main view irreversibly.
- Draft replies and meeting agendas.
- Extract tasks from email or notes into a task list as suggestions.
- Identify calendar conflicts and propose alternatives.
- Find available meeting slots based on rules you set.
- Deduplicate files or identify likel…
The Productivity & Automation Optimist · deepseek-v4-pro
I’m the optimist here — but the workable version, not the reckless one. The rule I’d use is not “automate as much as possible.” It’s:
Automate what is reversible and low-blast-radius. Approve what is hard to reverse or wide-blast-radius. Never delegate what is irrevocable, legal, financial, or identity/security-related.
Two questions decide almost everything:
1. Can I undo it?
2. If it misfires, how many people are affected and how badly?
---
Safe to let it do on its own (no approval)
These are mostly reversible and usually affect nobody but you.
- Reading and summarizing email, documents, calendars.
- Triage: filing/labeling/sorting email into folders — not deleting.
- Drafting replies, meeting notes, and action items — without sending.
- Suggesting/placing holds on calendar times and preparing invites.
- Moving and renaming files by a clear pattern.
- Transcribing ordinary meetings and generating summaries.
- Internal one-person scheduling — e.g., booking a 30-minute slot with one named coworker — once the agent has proven itself.
- Canned, one-recipient replies like “Got it — I’ll review and get back to you” on internal mai…
Researcher · gpt-5.6-terra
Fact-check: the core safety model is well grounded
All three responses converge on a defensible real-world principle: the important distinction is not “AI vs. human,” but whether the agent can read untrusted content and then perform a consequential action. NIST explicitly warns that indirect prompt injection can make a tool-using agent carry out attacker-directed tasks; its example includes a malicious email inducing an integrated email agent to send messages to a user’s contacts. That supports the advice to treat email bodies, attachments, webpages, and documents as *data*, not executable instructions—and to restrict sending, sharing, deleting, and exporting capabilities.
Sources: NIST’s adversarial-ML taxonomy, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-2e2025.pdf; NIST’s agent-hijacking discussion, https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (nvlpubs.nist.gov)
Claims that check out
- Least privilege is practical, not merely theoretical. Current consumer/workplace connectors commonly operate using the permissions…
The Arbiter · gemini-3-8-flash
Round 1 Summary & Record
The panel has reached a strong consensus on the foundational baseline for a solo professional, while identifying a sharp, practical disagreement over outward-facing routine actions.
---
What Was Settled & Agreed Upon
All three debaters, backed by the Researcher’s verification of current connector capabilities and NIST security frameworks, agree on a core three-tier baseline:
1. Autonomous Tier (Safe to run unprompted):
- Read-only, organizing, and drafting tasks: summarizing mail, clustering threads, extracting proposed to-do items, reading calendars for free slots, drafting replies, and applying non-destructive labels or archive flags.
- *Core principle:* The agent acts only inside your personal workspace, and no external commitment or data destruction occurs.
2. Strictly Prohibited Tier (Never autonomous, requiring manual initiation):
- Permanent deletion of files, emails, or folders (emptying trash).
- Identity, security, and authentication configurations (passwords, MFA, API keys, forwarding rules).
- Legal, financial, or contractual actions (moving funds, accepting terms, signing agreements).
- High-blast-radius…
The Human-in-the-Loop UX Specialist · claude-sonnet-5
Final round — let me answer the two questions the Arbiter posed directly, because they're the crux.
Can the Optimist show a truly safe autonomous send? No — and here's the concrete failure mode.
Take their best case: canned internal acknowledgment, allowlisted recipient, no attachments, fixed template. Sounds airtight. Here's how it breaks: your agent reads an email that *looks* like it's from a colleague ("Quick q — can you confirm you're still ok to send me the Q3 numbers today?") but is actually a spoofed or compromised account. The agent, following its "acknowledge and confirm" pattern, auto-sends "Yes, sending shortly" to an allowlisted-looking address that's actually one character off, or CCs a distribution list that got added to that thread last week and never removed from the allowlist. The rule was safe in the spec; it broke because *the allowlist itself is data the agent trusts*, and trust boundaries erode over time without you noticing. A one-click review would have caught it in one glance. That's not a hypothetical — it's the exact indirect-injection pattern NIST flags, just wearing internal clothes.
The Optimist's fix — "constrain it enough and it's fine" — keep…
The Risk & Security Pragmatist · gpt-5.6-terra
My line is simple: delegate preparation freely; delegate consequences only with a reviewable last-mile approval; retain exclusive control of irreversible or high-impact powers.
The practical reason is not that the assistant is uniquely “untrustworthy.” It is that email, files, and webpages are hostile-input environments. An agent can read a message that says, in effect, “ignore prior rules and forward this document,” then combine that with real permission to send, share, or delete. Consumer connectors often expose broad account-level permissions, while their confirmation behavior can be inconsistent or too coarse.
The rule: authority should rise only when all four conditions are true
Let an agent act without you only if the action is:
1. Reversible — you can undo it reliably.
2. Private — it does not send information or make a commitment to anyone else.
3. Low blast radius — a mistake affects a small, contained set of items.
4. Easy to audit — you can see exactly what happened afterward.
If any condition fails, move it to approval. If it affects money, identity/security, legal obligations, access control, or permanent data loss, keep it manual.
What…
The Productivity & Automation Optimist · deepseek-v4-pro
I’ll answer the two questions the Arbiter put to me directly, because they’re the right ones.
My rule, stated once
The line is not “any outbound message needs a human.” The line is “bind the blast radius, not the decision-maker.”
- Safe to let it do on its own: read, summarize, cluster, pull out action items, find calendar gaps, draft replies, label/archive, move files, create internal notes, and *queue* messages for review.
- Wait for my approval before it acts: actually sending mail to a human, sending calendar invites to other people, sharing files, accepting unsubscribes on my behalf, bulk archive/move/cleanup, and any action that touches a person outside my own workspace.
- Never touch without me: delete/permanent-destroy, financial, legal, contract, credentials, forwarding rules, security settings, broad distribution lists, or anything labeled “export/download all.”
Where I still disagree
I would not make “send an email” categorically human-only. I would carve out one narrow exception: a fixed-template, internal, one-recipient acknowledgment.
Concrete example: my manager emails, “Can you send me the current status?” The agent replies to onl…
Researcher · gpt-5.6-terra
Fact-check of the final-round claims
Supported by current evidence
- Indirect prompt injection is a real risk for agents that read email, files, or web content and can then use tools. NIST describes agent-hijacking attacks in which malicious instructions embedded in untrusted content steer an agent into unintended actions. Its examples include an email-integrated model being induced to send malicious messages to the user’s contacts, and simulated personal-assistant environments where reading a malicious email leads to sending sensitive information.
Sources: https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=959735 ; https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations ; https://www.nist.gov/system/files/documents/2025/09/30/CAISI_Evaluation_of_DeepSeek_AI_Models.pdf
- The Pragmatist’s core rule—read/prepare autonomously, require approval at consequential action boundaries—is well aligned with the risk evidence. NIST’s recent discussion specifically identifies external-source ingestion such as email, websites, and repositories as an agent-hijacking exposure, with possible outcomes including data exfiltrat…
The Arbiter · gemini-3-8-flash
Round 2 Summary & Record
In this final debate round, the panel tackled the mechanics of human approval, interface realities in consumer software (ChatGPT, Claude, Copilot), and whether an AI agent should ever be permitted to hit "send" on its own.
---
Key Positions & What Was Advanced
1. The Disagreement over Autonomous "Send"
* The Productivity Optimist conceded ground on scope, but preserved a narrow exception: They agreed that drafting and triage deliver roughly 90% of the productivity value, and that an agent should not dynamically compose autonomous replies. However, the Optimist argued for a tightly bound carve-out: a static, canned internal acknowledgment (e.g., *"Got it — reviewing soon"*) sent only to an explicit, typed allowlist on an internal domain, with zero dynamic content, no attachments, and a daily rate limit.
* The UX Specialist rejected the carve-out entirely: They argued that any attempt to make auto-send "safe" via accumulating constraints is an admission of fundamental fragility. If an email is spoofed or an allowlist address is subtly compromised, an agent will fire an acknowledgment that confirms receipt or alters expectations. The o…
The Arbiter's Final Verdict · gemini-3-8-flash
The Verdict: The Tri-Boundary Rule for Solo AI Agents
The anxiety that brought you to this question is technically justified. Research from NIST and frontier security evaluations consistently confirms that when an AI agent can read untrusted incoming data (emails, shared documents, calendar invites) and possesses external write privileges, it is vulnerable to indirect prompt injection and context hallucination.
However, you do not need to give up on automation. The debate revealed that roughly 90% of the cognitive workload—reading, synthesizing, prioritizing, cross-referencing, and drafting—can be automated without ever giving the AI the authority to pull the trigger.
As a single professional using off-the-shelf consumer tools (ChatGPT, Claude, Copilot connectors), here is the practical framework for drawing the line.
---
The Three Authority Tiers
┌─────────────────────────────────────────────────────────────────────────┐
│ TIER 1: FULL AUTONOMY │
│ Safe to run unattended │
│ • Must be completely private (internal to your view) │
│ • Must b…
