Un satellite indiquait qu'un dépôt était sous l'eau. C'était l'ombre d'un nuage, et le déclencheur paramétrique était à un clic de verser 1,2 M$.

Un satellite a observé le dépôt de Mesa Junction, a détecté une tache sombre là où le sol aurait dû être sec, et a signalé l'emplacement comme inondé. Une police paramétrique d'assurance inondation a interprété ce déclencheur comme un fait avéré et s'est préparée à verser automatiquement une indemnité de 1,2 M$, sans expert en sinistres, sans appel téléphonique, sans seconde vérification. La tache sombre n'était que l'ombre d'un nuage. Elle avait disparu des images six jours plus tard, et le sol en dessous n'avait jamais été mouillé.

J'ai conçu ce cas précis à dessein, car c'est celui qu'une seule image satellite ne peut jamais déceler. Je m'appelle Ashutosh et je dirige Veriprajna. TriggerProof est une démonstration que j'ai conçue pour prouver une thèse bien précise : le moment critique dans l'assurance paramétrique contre les inondations n'est pas la détection, mais la décision de payer. Chaque emplacement, tuile, jauge fluviale et rapport de terrain qu'elle contient est un substitut synthétique et fidèle aux lois de la physique, que j'ai développé pour mettre en scène les modes de défaillance en toute clarté. Vous pouvez l'ouvrir et tester l'ensemble vous-même sur veriprajna.com/fr/demos/intelligence-satellitaire-des-inondations-arbitrer-le-declencheur-parametrique-avant-le-paiement. Le dépôt de Mesa Junction est l'exemple par lequel je veux commencer, car c'est ce cas qui m'a appris ce que j'étais réellement en train de construire.

Quatre phénomènes distincts assombrissent les mêmes pixels

Je n'ai mesuré l'ampleur du problème que lorsque je me suis assis pour générer l'imagerie synthétique et que j'ai dû rendre quatre éléments visuellement identiques sur une seule image. L'assurance paramétrique contre les inondations a remplacé l'expert en sinistres par un déclencheur : un satellite indique qu'un site est sous l'eau, et les fonds sont débloqués. Le problème, c'est que sur une image optique unique ou lors d'un passage radar, une véritable inondation, l'ombre d'un nuage, une ombre radar ou de relief et un réservoir d'eau permanent s'assombrissent tous de la même façon. Une image isolée ne peut pas les distinguer, car l'information permettant de les départager ne réside pas dans une seule image.

Cela a totalement recadré la démonstration pour moi. L'erreur catastrophique dans ce métier n'est pas l'inondation que le déclencheur manque. C'est l'inondation que le déclencheur invente, un versement de 2 M$ décidé avec certitude pour une ombre, sans piste d'audit pour justifier la décision lorsqu'un réassureur demande des comptes un an plus tard. TriggerProof ne détecte pas les inondations et ne produit pas de données satellitaires. Il prend un déclencheur qui a déjà été activé et arbitre s'il doit réellement donner lieu à un paiement.

Une image indiquait une inondation ; la suivante montrait que le sol n'avait jamais été mouillé

Je me souviens encore du moment où j'ai fait défiler la séquence d'images de Mesa Junction la première fois qu'elle s'est affichée correctement. L'interface vous permet d'ouvrir un site signalé et d'examiner les images d'acquisition une à une, l'optique en haut, le radar en bas. Sur l'image de déclenchement, la tache sombre est bien présente, vert signal d'eau, exactement ce qui a déclenché l'alerte. Passez à l'acquisition suivante et elle a disparu. Revenez en arrière et la rétrodiffusion radar sous cette même tache apparaît normale sur chaque image, car le radar a vu le sol sec directement à travers le nuage pendant tout ce temps.

L'ombre s'est déplacée ; l'eau serait restée. Cela ne s'observe qu'à travers le temps et en combinant plusieurs capteurs, jamais sur l'unique image qui a activé le déclencheur.

Les lois de la physique ne laissent place à aucun doute dès lors que l'on juxtapose les images. L'ombre d'un nuage est transitoire et se déplace à la vitesse des nuages : elle est donc sombre sur une acquisition et a disparu sur la suivante. Une véritable inondation persiste d'une acquisition à l'autre et apparaît à la fois sombre sur le plan optique et faible au radar. Deux règles encodent précisément cela : la persistance temporelle et la concordance radar-optique. Pour Mesa Junction, toutes deux renvoient le résultat FAIL, et le classifieur conclut à une ombre de nuage avec un indice de confiance de 1,00. Les 1,2 M$ n'auraient jamais dû être mis en attente de versement.

Cinq règles tranchent, pas le modèle linguistique

Au début, j'ai tenté de confier cette décision au modèle linguistique, et je m'en félicite, car il a échoué de la manière la plus instructive qui soit. J'avais chargé un agent d'analyser les mêmes éléments de preuve et lui avais demandé, en substance, si l'emplacement était réellement inondé. Face à un cas ambigu, il m'a rédigé un paragraphe fluide et péremptoire plaidant pour une inondation ; il se trompait, et rien dans son ton ne laissait deviner cette erreur. Cet après-midi-là a scellé un choix d'architecture que je n'ai plus jamais remis en question.

La décision est donc confiée à du code Python standard, articulé autour de cinq discriminateurs inspectables, sans aucun modèle probabiliste sur le circuit financier. La persistance temporelle (R1) sépare une inondation d'une ombre de nuage passagère. La concordance radar-optique (R2) distingue une inondation d'une ombre de nuage comme d'une ombre radar. La pente du MNT (R3) écarte l'eau qui devrait stagner sur un relief escarpé. Un masque d'eau permanente (R4) exclut les réservoirs répertoriés. La connectivité hydrologique (R5) vérifie que la zone inondée est réellement reliée au réseau hydrographique. Le vérificateur décide ; le modèle linguistique ne fait que conseiller. L'agent consultatif repose sur Pydantic AI, permet d'interchanger les modèles, utilise par défaut claude-opus-4-8, et il confronte le verdict physique à des signaux de terrain indépendants pour renvoyer : corrobore, contredit ou non concluant. Il peut être outrepassé, et si je retire la clé d'API, la démonstration s'exécute intégralement hors ligne grâce à une solution de repli déterministe, car la composante à laquelle je confie un déblocage de fonds ne peut pas être celle qui s'exprime par des paragraphes pleins d'assurance.

Quand les lois de la physique elles-mêmes doutent, le système escalade au lieu de deviner

Le cas où le système déclare « je ne sais pas » m'importe bien davantage que toutes les détections sans ambiguïté. Le hub de Canal Street en est l'illustration parfaite. Les signatures optiques et radar sont limites, le signal d'inondation persiste sur deux images sur trois, et la jauge fluviale indépendante n'a jamais franchi le niveau de débordement. Les éléments de preuve sont en totale contradiction. L'indice de confiance ressort à 0,151, bien en dessous du seuil d'automatisation de 0,65 calé sur le jeu de données annoté, et l'agent de terrain contredit frontalement la classification satellitaire.

Le contrôle de la police transmet ces 0,8 M$ à un analyste humain avec l'ensemble des preuves à l'appui, sous la mention « nécessite une preuve », plutôt que de jouer à pile ou face en prétendant faire de l'automatisation. Un déclencheur d'inondation qui escalade les cas véritablement ambigus est perçu par certains acheteurs comme un produit inférieur. Je vois les choses à l'opposé. C'est la seule version que j'autoriserais à fonctionner sans surveillance, car l'alternative à l'escalade consiste ici à parier à la va-vite sur de l'argent réel, sous le déguisement d'une décision.

Le chiffre du portefeuille auquel je reviens sans cesse

Je reviens constamment sur ce portefeuille de huit sites, car il concrétise les enjeux comme aucun cas isolé ne saurait le faire. Une tempête traverse un portefeuille de huit zones. Le déclencheur traditionnel à image unique s'active sur six d'entre elles et met en file d'attente 8,0 M$ d'indemnisations automatiques. TriggerProof arbitre le portefeuille : deux inondations réelles sont confirmées et payées pour 4,0 M$, trois faux positifs sont neutralisés (une ombre de nuage à 1,2 M$, une ombre radar à 1,0 M$, un réservoir permanent à 1,0 M$) permettant de retenir 3,2 M$, et l'unique cas ambigu est escaladé pour 0,8 M$.

La moitié de ce que le déclencheur traditionnel aurait versé, soit 4,0 M$ sur 8,0 M$, est soit bloquée, soit retenue pour vérification. C'est le chiffre clé, et je tiens à préciser sa portée : il s'agit du portefeuille synthétique de la démo, huit cas que j'ai construits pour respecter rigoureusement la physique, et non d'un registre de sinistres réels. Le mécanisme est bien réel et inspectable. Les déclarations sont scénarisées afin que vous puissiez voir le dispositif à l'œuvre.

Zéro décision dangereuse, et la réserve que je refuse d'omettre

J'ai mené un banc d'essai rigoureux, car un portefeuille de huit cas est une démonstration, pas une preuve statistique. Le banc de test évalue 60 cas annotés, allant de signatures nettes jusqu'à du bruit proche du seuil. Le résultat phare n'est pas un score de précision, mais un bilan de sécurité : zéro décision automatisée dangereuse, contre 48 pour la méthode de référence à image unique qui paie chaque cas signalé. Quatre-vingts pour cent des dossiers sont résolus automatiquement et les 20 % incertains font l'objet d'une escalade. Parmi les dossiers résolus automatiquement, la suppression des faux positifs atteint 36 sur 36 et le rappel des inondations 12 sur 12, et chacun des 12 cas réellement ambigus est escaladé au lieu d'être tranché de façon automatisée.

Le but n'a jamais été d'afficher un score parfait sur mon propre jeu de test. L'enjeu est que le système ne prenne jamais de décision automatisée hasardeuse. Quand il a un doute, il escalade.

Cette mise en garde accompagne chacun de ces chiffres, et je refuse qu'elle soit occultée. Ils sont mesurés sur un ensemble fixe et étiqueté de 60 cas synthétiques respectant fidèlement la physique, et non sur une garantie universelle ou un résultat opérationnel sur le terrain. L'étape suivante en toute honnêteté ne consiste pas à formuler des promesses plus vastes, mais à valider le modèle sur des archives réelles comme Sen1Floods11 et des scènes Sentinel en direct ; c'est précisément ce qu'apporterait une mission réelle, et non ce que cette démo accomplit déjà. L'affirmer sans fard est ce qui me permet d'assumer pleinement tous les autres chiffres.

Une indemnisation que vous ne pouvez pas justifier a posteriori est une dette juridique, même lorsqu'elle était légitime

Je n'avais pas prévu de faire de la traçabilité des preuves la pièce maîtresse, mais au final, c'est l'aspect pour lequel j'étais le plus convaincu qu'un assureur pourrait s'engager. Une indemnisation justifiée que vous ne pouvez pas reconstituer après coup reste un risque juridique, car « le satellite l'a dit » n'est pas un argument qu'un réassureur ou un auditeur accepte. Chaque décision, qu'il s'agisse d'un paiement ou d'un rejet, génère donc un dossier d'audit médico-légal : le lignage des données de chaque image, les preuves règle par règle avec la valeur mesurée de chaque discriminateur, le journal d'élimination des faux positifs, le recoupement avec les données de terrain indépendantes et un hachage de provenance SHA-256 de la décision.

Je tiens à préciser ce que ce hachage est et ce qu'il n'est pas. C'est une empreinte cryptographique de contenu qui rend l'enregistrement infalsifiable sans détection, afin que quiconque puisse la recalculer et vérifier que la décision n'a pas été altérée a posteriori. Il ne s'agit pas d'une signature numérique d'infrastructure à clés publiques (PKI), et la récupération satellitaire, la programmation SAR, les flux au sol ainsi que l'intégration avec la plateforme de gestion des sinistres sont tous simulés dans cette démo afin que l'ensemble s'exécute sur mon ordinateur portable. Ce qui est authentique, c'est la structure du dossier : pour chaque décision de paiement automatisée, précisément quelle loi de la physique a indiqué quoi, avec quel niveau de confiance, confrontée à quel signal indépendant.

L'assurance paramétrique a fait un compromis réel en renonçant à l'expert en sinistres pour rendre les indemnisations instantanées et incontestables. Elle a hérité en retour d'un problème physique qu'elle ne peut pas résoudre sur une seule image, et le risque auquel ce compromis vous expose est un versement rapide et assuré pour une simple ombre. La solution durable se trouve hors du modèle : des règles déterministes qui séparent les faux semblables dans le temps et entre capteurs, un filtre qui transmet les cas ambigus à un être humain et un dossier de preuves qui rend chaque décision défendable. Un satellite plus précis ne résout pas un problème d'arbitrage, et c'est bien d'un problème d'arbitrage qu'il s'agit.

Et si vous préférez le voir en action plutôt que de me lire le décrire, voici le système s'exécutant de bout en bout.

Mesa Junction est le cas sur lequel je reviens sans cesse. Seule la seconde acquisition a su faire la différence entre l'ombre et l'inondation, et le déclencheur s'est activé avant qu'elle n'arrive. Vous pouvez explorer cette séquence d'images vous-même et invalider le paiement qui semblait devoir se déclencher, sur veriprajna.com/fr/demos/intelligence-satellitaire-des-inondations-arbitrer-le-declencheur-parametrique-avant-le-paiement. La question que je poserais à quiconque gère un portefeuille d'assurance inondation automatisé est précise et vérifiable : parmi les déclencheurs que vous avez indemnisés automatiquement la saison dernière, combien pourriez-vous encore prouver qu'il s'agissait bien d'eau et non d'une ombre ?