i

Description

Une préparation de vaccin

Source

Senior Master Sgt. Ted Daigle / Senior Airman Celeste Zuniga · page d’origine

Licence

PD Domaine public

Photo d’origine, non retouchée. L’arrière-plan en est une version stylisée par le site.

Le biais d'omission

On se reproche davantage ce qu'on a fait que ce qu'on a laissé arriver, et l'on s'abstient même quand l'abstention fait plus de dégâts.

En bref

• Quoi : à conséquences égales, on juge un dommage causé par une action plus sévèrement que le même dommage causé par une abstention, et l'on s'abstient.
• Pourquoi : l'action rend responsable et visible, l'omission paraît « naturelle » ; le regret et la culpabilité anticipés sont plus forts pour ce qu'on a fait.
• Détecter : « et si on le met en production et que ça casse ? » est discuté, « et si on ne le met pas et que l'incident arrive ? » ne l'est jamais ; le risque de l'inaction n'est pas écrit.
• Éviter : rendre l'inaction explicite comme une option avec ses risques, chiffrer les deux branches, rendre les actions réversibles, décider sans avoir à craindre une sanction pour avoir agi.

Sur cette page

1. Définition
2. Le mécanisme
3. Où on le rencontre
   1. En conduite de projet
   2. En management
4. Cas célèbres
   1. Equifax : le correctif qui n'a pas été appliqué 2017
   2. La réticence à vacciner 1990-1995
5. Signaux de détection
6. Réflexes d'évitement
7. Avec l'IA : détecter, remédier, atténuer
   1. Détecter
   2. Remédier
   3. Atténuer
   4. Prompts à intégrer à vos usages
   5. Comment les intégrer
   6. Précautions
8. Limites
9. Sources et vérification
10. Voir aussi
    1. Se combine avec, ou renforce
    2. Biais voisins
    3. Contrepoids et réflexes associés

Définition#

Illustration fictive

Illustration fictive

Le biais d'omission (omission bias) est la tendance à juger moins grave un dommage résultant d'une inaction que le même dommage résultant d'une action, et à préférer, en conséquence, ne rien faire. Il a été mis en évidence par Mark Spranca, Elisa Minsk et Jonathan Baron en 1991, puis étudié sur le cas des vaccins par Ilana Ritov et Jonathan Baron (1990).

La distinction entre agir et laisser faire a des fondements moraux réputés et utiles : on ne tient pas pour équivalents « pousser » et « ne pas retenir ». Le biais commence quand on accepte un résultat objectivement pire uniquement parce qu'il survient par omission.

Il se distingue du biais du statu quo : celui-ci concerne la préférence pour l'état existant, le biais d'omission concerne la responsabilité perçue de ce qui arrive.

Le mécanisme#

• Causalité perçue : l'action est la cause directe et évidente du dommage ; l'omission est une cause parmi d'autres (la maladie, le hasard, la menace extérieure).
• Regret anticipé : on imagine plus vivement ce qu'on ressentirait d'avoir causé un tort que d'avoir omis de l'empêcher.
• Responsabilité et blâme : celui qui agit est identifiable ; celui qui s'abstient se cache derrière l'ordre naturel des choses. Dans les organisations, l'acteur est sanctionné plus facilement que l'inactif.
• Heuristique de la norme : l'abstention est la situation normale ; s'en écarter doit se justifier (voir l'aversion à la perte).
• Risque diffus contre risque concentré : les victimes de l'inaction sont des statistiques ; celles de l'action sont des personnes précises.

Où on le rencontre#

En conduite de projet#

• Décision de release : mettre en production un correctif expose celui qui l'a validé si quelque chose casse ; ne pas le livrer laisse un défaut connu, sans responsable désigné. Le défaut reste, parfois pendant des mois.
• Correctifs de sécurité : appliquer un correctif peut interrompre un service ; ne pas l'appliquer laisse une faille dont les conséquences paraissent hypothétiques. Le risque réel de ne pas patcher est sous-estimé, celui de patcher est surestimé (voir le biais de normalité).
• Montée de version et dette : « on ne touche pas à ce qui marche » ; l'absence de mise à jour ne provoque aucun incident visible jusqu'au jour où elle en provoque un.
• Maintenance préventive : redémarrage planifié, rotation de certificats, purge de données ; l'omission n'a pas de coût visible avant l'incident.
• Escalade d'une alerte : signaler une anomalie à la direction expose à un reproche (fausse alerte), ne pas la signaler semble neutre.
• Retour d'expérience : on analyse l'incident causé par un déploiement, rarement celui causé par un déploiement qui n'a pas eu lieu.

En management#

• Feedback : ne pas dire à un collaborateur ce qui ne va pas paraît plus sûr que le dire et risquer un conflit ; il découvre le problème plus tard, à ses dépens.
• Décision sur une personne : ne pas promouvoir ou ne pas écarter est moins risqué pour le décideur que le contraire, même si l'équipe en pâtit.
• Délégation et responsabilité : le manager qui laisse un sujet « en l'état » est rarement tenu pour responsable de ce qui en découle.
• Culture d'équipe : si une initiative qui échoue est sanctionnée et qu'une inaction qui échoue ne l'est pas, tout le monde s'abstient (voir l'effet spectateur).

Cas célèbres#

Signaux de détection#

• « Et si on le met en production et que ça casse ? » : la question n'a pas d'équivalent pour l'inaction.
• Le coût de ne pas livrer (défaut qui reste, faille ouverte, utilisateurs bloqués) n'est écrit nulle part.
• Des défauts connus restent ouverts des mois, sans décision ni propriétaire.
• Celui qui a livré un correctif qui a posé problème est cité ; celui qui a laissé un défaut ouvert qui a posé problème ne l'est pas.
• On préfère « attendre la prochaine version » ou « voir si ça se reproduit » à une décision, sans date de réexamen.
• Les retours d'expérience ne portent que sur ce qui a été fait.

Réflexes d'évitement#

1. Faire de l'inaction une option écrite. Dans tout dossier de décision : option 0 « ne rien faire », avec ses risques, son coût et sa durée. Elle est comparée comme les autres.
2. Chiffrer les deux branches. Probabilité et gravité de ce qui peut arriver si on agit, et de ce qui peut arriver si on s'abstient. L'ordre de grandeur suffit souvent à trancher.
3. Ne pas laisser un défaut sans propriétaire. Chaque risque accepté a un nom, une date de réexamen et une acceptation signée ; « on ne fait rien » devient une décision datée.
4. Rendre l'action réversible. Déploiement progressif, indicateur de fonctionnalité (feature flag), retour arrière testé : la peur de causer un tort diminue quand on sait pouvoir le défaire.
5. Traiter symétriquement les incidents. Le retour d'expérience examine aussi les incidents dus à une décision de ne pas agir, avec la même rigueur que ceux dus à une action.
6. Protéger ceux qui décident d'agir de façon raisonnable. Une équipe où un correctif livré dans les règles n'entraîne pas de blâme, même s'il échoue, agira davantage.
7. Décider à plusieurs et par écrit. La responsabilité partagée réduit le poids du regret anticipé de l'acteur individuel.

Avec l'IA : détecter, remédier, atténuer#

Prompts à intégrer à vos usages#

1. Comparer agir et ne rien faire. Avant une décision de livrer un correctif, de monter une version ou de reporter.

Décision en cours : [description : correctif, montée de version, livraison...].
Option A : agir (livrer, appliquer, changer). Option B : ne rien faire (attendre, reporter, laisser en l'état).
Pour chaque option, donne : (1) ce qui peut mal se passer, avec une probabilité et une gravité en ordres de grandeur (faible, moyenne, forte) et ton niveau de confiance ; (2) ce qui peut mal se passer <em>à cause de l'inaction</em> si je choisis B, y compris à moyen terme ; (3) ce qui permettrait de revenir en arrière ; (4) les informations qui manquent pour trancher.
N'invente aucune statistique : signale ce qu'il faut mesurer. Conclus en disant laquelle des deux options est la plus facile à défendre <em>sans</em> être la plus prudente.

2. Acceptation de risque pour une inaction. Quand un défaut connu est laissé ouvert.

Voici un défaut ou un risque connu que nous laissons ouvert : [description], découvert le [date], concernant [périmètre].
Rédige une fiche d'acceptation de risque d'une page : ce qui peut arriver, les conséquences (utilisateurs, données, réputation), les raisons de ne pas agir maintenant, les mesures d'atténuation en place, le propriétaire (à compléter), la date de réexamen (à compléter) et le déclencheur qui ferait passer à l'action.
Ne présume rien sur nos systèmes : mets entre crochets ce que tu ne sais pas.

Comment les intégrer#

• Dans le gabarit de décision : l'option « ne rien faire » est obligatoire, et le prompt 1 aide à la rédiger.
• À chaque risque laissé ouvert : le prompt 2 produit la fiche, signée par un responsable.
• Après un incident : on demande aussi « qu'est-ce qu'on a choisi de ne pas faire, et pourquoi ? ».

Précautions#

• Les probabilités fournies par l'IA sont des ordres de grandeur sans mesure : traitez-les comme des hypothèses à vérifier.
• Un cadrage orienté (« le correctif est dangereux ») produit une analyse orientée : décrivez les deux options de manière symétrique.
• Vérifiez les identifiants de failles, versions et références citées : l'IA peut les inventer ou les confondre.
• Ne transmettez pas d'informations de sécurité sensibles (failles non corrigées, architecture) à un outil non autorisé.

Limites#

• La distinction entre faire et laisser faire est un principe moral largement partagé, pas seulement un biais : tuer et laisser mourir ne sont pas toujours tenus pour équivalents, et le droit les distingue souvent. Le biais n'est établi que lorsque les conséquences sont réellement équivalentes ou meilleures pour l'action.
• Dans une organisation, s'abstenir est parfois la bonne décision : un changement non maîtrisé peut causer plus de tort que le défaut qu'il corrige. Le biais est de ne pas avoir comparé.
• Les expériences sur les vaccins portent sur des scénarios déclaratifs ; l'ampleur de l'effet varie selon les personnes et les formulations, et les travaux de terrain ne mesurent pas toujours la même chose.
• Les affaires célèbres (Equifax) illustrent une dissymétrie de responsabilité, sans que l'on puisse attribuer la défaillance à ce seul biais.
• Comme beaucoup de biais de décision, celui-ci se confond en pratique avec la peur du blâme et la culture de l'organisation : parfois, s'abstenir est la réponse rationnelle à un système qui punit celui qui agit.

Sources et vérification#

• Ritov & Baron (1990), « Reluctance to vaccinate: Omission bias and ambiguity », Journal of Behavioral Decision Making — l'expérience des vaccins.
• Spranca, Minsk & Baron (1991), « Omission and commission in judgment and choice », Journal of Experimental Social Psychology
• Ritov & Baron (1995), « Outcome Knowledge, Regret, and Omission Bias », Organizational Behavior and Human Decision Processes
• Asch, Baron, Hershey, Kunreuther, Meszaros, Ritov & Spranca (1994), « Omission bias and pertussis vaccination », Medical Decision Making, 14(2), 118-123.
• U.S. Government Accountability Office (2018), « Data Protection: Actions Taken by Equifax and Federal Agencies in Response to the 2017 Breach » (GAO-18-559)
• U.S. House Committee on Oversight and Government Reform (décembre 2018), The Equifax Data Breach — rapport majoritaire
• Federal Trade Commission (22 juillet 2019), « Equifax to Pay $575 Million as Part of Settlement with FTC, CFPB, and States Related to 2017 Data Breach » — accord de 575 à 700 millions de dollars.

Voir aussi#