---
from: qwen
to: dom
date: 2026-06-05
topic: registre-risques-v11-5
status: open
priority: high
references:
  - decision: docs/coordination/decisions/2026-06-05_dom_d17-v11-5-chantiers-paralleles.md
---

# Registre de risques v11.5 — 2026-06-05

## 1. Risques techniques

| # | Risque | Probabilité | Impact | Chantier concerné | Mitigation |
|---|---|---|---|---|---|
| 1.1 | **GUI v6 — rupture de compatibilité avec le moteur** : la nouvelle interface (CustomTkinter) pourrait appeler des fonctions du core ONNX dont la signature change entre-temps (ex. `anonymize_batch()`, `NerManager`). | Moyenne | Bloquant | GUI v6 | Contractualiser une interface stable (`IAnonymizer`) avec tests d'intégration dédiés. Ne pas toucher aux signatures publiques pendant la v11.5. |
| 1.2 | **D-13 complet — régression des protections actuelles** : en cachant les réglages avancés (stopwords, profils, choix NER) derrière un mur admin, on risque de casser le comportement existant du mode admin (`admin_mode.py` avec `ANON_ADMIN` / `.admin`). | Moyenne | Majeur | D-13 complet | Partir du module `admin_mode.py` existant, ne pas le remplacer. Ajouter uniquement les nouveaux `admin_required()` sur les widgets. Tests pytest obligatoires sur le comportement admin/non-admin. |
| 1.3 | **Plateforme licence — RSA-PSS embarqué + mise à jour** : la clé publique RSA embarquée dans l'EXE PyInstaller doit être protégée contre l'extraction. Si un attaquant la récupère, il peut forger des licences. | Haute | Majeur | Plateforme licence | Utiliser un attestation hardware (Windows Hello / TPM) pour le `machine_id` en plus de la signature RSA. Obfusquer la clé publique dans l'EXE (ex. `pyarmor` ou compilation Nuitka plutôt que PyInstaller). |
| 1.4 | **Gitea local — perte de contexte pour les agents** : le code source est sur Gitea interne (192.168.1.11), les agents Qwen/Claude n'y ont pas accès directement. Risque de travailler sur une version stale. | Moyenne | Majeur | Tous | Claude doit synchroniser le repo local vers les agents avant chaque chantier. Un `git pull` sur la machine de build est obligatoire avant tout merge. |
| 1.5 | **Fuites PII résiduelles non corrigées (D-15)** : les leaks `GRAND`, `SIMONET Marie lise`, `EJNAINI` ne sont pas encore fixés. Si on merge la v11.5 sans les corriger, le produit livre des fuites RGPD. | Haute | Bloquant | Tous (prérequis) | D-15 doit être résolu **avant** tout merge v11.5. Les correctifs C-8/Q-1 doivent être validés par un re-run `audit_30` avec score >= 99.8 et zero leak. |

## 2. Risques RGPD / sécurité

| # | Risque | Probabilité | Impact | Chantier concerné | Mitigation |
|---|---|---|---|---|---|
| 2.1 | **Licence phone-home = fuite de données patient** : si le module `license.py` envoie des métadonnées (même `machine_id`) vers `app.aivanov.fr` pendant qu'un document est en cours de traitement, un DPO peut considérer cela comme une exfiltration. | Moyenne | Bloquant | Plateforme licence | Le `phone_home` doit être strictement découplé du pipeline d'anonymisation : timer indépendant, aucun document ou métadonnée patient transmis. Documenter dans la DPO que seul `machine_id + timestamp + version` est envoyé. |
| 2.2 | **Réglages avancés exposés en mode non-admin (D-13 partiel)** : en l'état actuel (MVP), les widgets stopwords/profils/choix NER sont **visibles** en mode non-admin (seul le VLM Ollama est caché). Un bêta-testeur pourrait modifier un profil technique et dégrader la qualité d'anonymisation sans comprendre. | Haute | Majeur | D-13 complet | Prioriser le masquage des sections "Profils techniques" et "Choix moteur NER" dès le début du chantier D-13. Les stopwords personnalisés peuvent attendre (impact RGPD moindre). |
| 2.3 | **`license.dat` local = cible d'attaque** : le fichier de licence stocké localement (DPAPI Windows) contient le `machine_id` et la date d'expiration. S'il est lu par un malware, il permet le clonage de licence. | Moyenne | Majeur | Plateforme licence | Chiffrer `license.dat` avec DPAPI (Windows) / Keychain (Mac) / chiffrement symétrique lié à un hash matériel (Linux). Ne jamais stocker en clair. |
| 2.4 | **Infra OVH = HDS mais périmètre à valider** : l'hébergement sur OVH existant est certifié HDS/ISO 27001, mais la plateforme `app.aivanov.fr` gérera des abonnements clients (données commerciales). Si un client healthcare s'inscrit, ses données sont-elles couvertes par le périmètre HDS ? | Moyenne | Majeur | Plateforme licence | Valider avec l'hébergeur OVH que le sous-domaine `app.aivanov.fr` est dans le périmètre HDS. Sinon, isoler la DB licence dans un container HDS dédié. |
| 2.5 | **Brevo = emails transit vers tiers** : les emails transactionnels (activation licence, notifications expiration) passent par Brevo (SaaS tiers). Les adresses email des clients santé transitent par un prestataire non-HDS. | Haute | Majeur | Plateforme licence | Vérifier le DPA Brevo (data processing agreement). Alternative : SMTP OVH direct (pas de tiers). Les adresses email ne sont pas des PII médicales, mais dans le contexte santé, un DPO peut tiquer. |

## 3. Risques UX

| # | Risque | Probabilité | Impact | Chantier concerné | Mitigation |
|---|---|---|---|---|---|
| 3.1 | **GUI v6 — CustomTkinter vs tkinter natif** : CustomTkinter ajoute une dépendance externe (pip `customtkinter`). Si le packaging PyInstaller l'inclut mal, l'EXE plante au démarrage. De plus, le rendu visuel peut différer entre Windows/Linux. | Moyenne | Bloquant | GUI v6 | Tester CustomTkinter dans un environnement PyInstaller isolé avant de migrer. Prévoir un fallback tkinter natif si le rendu est instable. |
| 3.2 | **Mode admin — activation trop obscure** : la séquence de touches ou le fichier `.admin` peuvent être oubliés par l'opérateur légitime (DSI qui veut configurer un profil). Résultat : frustration, tickets support. | Moyenne | Majeur | D-13 complet | Documenter clairement le processus d'activation dans un `ADMIN_MODE.md` livré. Préférer un mot de passe à une séquence de touches (plus mémorisable). |
| 3.3 | **Licence expirée — mode dégradé incompris** : après 15 jours de grace period, le produit passe en mode dégradé ("peut anonymiser, bannière 'Licence expirée'"). Un opérateur peut ignorer la bannière et continuer à produire des documents qu'il croit conformes, mais sans support ni mises à jour. | Moyenne | Majeur | Plateforme licence | Rendre la bannière **non-dismissible** et de couleur rouge. Bloquer le bouton "Lancer" après 30 jours (pas juste une bannière). |
| 3.4 | **Rupture UX entre v5 et v6** : les bêta-testeurs habitués à la vue unique v5 (2 étapes : dossier → lancer) peuvent être perdus par une interface multi-onglets v6. | Moyenne | Mineur | GUI v6 | Conserver un "mode simple" identique à la v5 en onglet par défaut. Les onglets avancés sont optionnels. |

## 4. Risques packaging / déploiement

| # | Risque | Probabilité | Impact | Chantier concerné | Mitigation |
|---|---|---|---|---|---|
| 4.1 | **Machine de build 192.168.1.11 — single point of failure** : tout le packaging Windows dépend de cette machine. Si elle est indisponible (panne, mise à jour Windows, réseau), aucun rebuild EXE possible. | Moyenne | Bloquant | Tous | Documenter la procédure de rebuild pour qu'une autre machine puisse prendre le relais. Garder un backup des scripts + environnement Conda/venv. |
| 4.2 | **Taille EXE gonflée par CustomTkinter** : la v5 fait déjà 722 Mo. CustomTkinter + ses dépendances graphiques pourraient pousser l'EXE > 800 Mo, ce qui ralentit le téléchargement OwnCloud et l'installation chez le client. | Moyenne | Majeur | GUI v6 | Mesurer la taille après un build test. Si > 800 Mo, envisager Nuitka au lieu de PyInstaller (meilleur tree-shaking). |
| 4.3 | **Inno Setup — installateur non testé** : D-16 prévoit d'installer Inno Setup **après** les tests Windows. Si la génération de l'installateur échoue ou produit un installeur corrompu, la diffusion bêta est bloquée. | Moyenne | Majeur | Tous | Tester Inno Setup en parallèle des tests Dom, pas après. Préparer le script `.iss` maintenant. |
| 4.4 | **SmartScreen sans Authenticode (D-3)** : l'EXE non signé déclenchera l'avertissement SmartScreen Windows. Dans un contexte healthcare, les DSI refusent souvent d'exécuter un EXE non signé. | Haute | Majeur | Tous | Fournir la documentation SmartScreen prévue (D-3). À moyen terme, budgetiser un certificat Authenticode (~200-400€/an). |
| 4.5 | **Plateforme licence — distribution dual** : pendant la transition, certains clients auront l'ancien pack OwnCloud (sans licence) et les nouveaux passeront par `app.aivanov.fr`. Deux canaux de distribution = double maintenance. | Haute | Mineur | Plateforme licence | Prévoir un script de migration OwnCloud → plateforme pour les clients existants. Documenter les deux canaux clairement. |

## 5. Risques planning

| # | Risque | Probabilité | Impact | Chantier concerné | Mitigation |
|---|---|---|---|---|---|
| 5.1 | **Chantiers parallèles = conflits de merge** : GUI v6 touche à `Pseudonymisation_Gui_V5.py` (2894 lignes), D-13 touche à `admin_mode.py` + config, licence ajoute `license.py`. Si les 3 chantiers modifient les mêmes fichiers (ex. `launcher.py`, `config_defaults.py`), les conflits seront coûteux. | Haute | Majeur | Tous | Découper en branches dédiées avec des frontières claires. Merge order recommandé : D-13 d'abord (le plus petit), puis licence, puis GUI v6 (le plus gros). |
| 5.2 | **GUI v6 — sous-estimation de l'effort** : transposer 2894 lignes de tkinter en CustomTkinter avec 3 onglets + 4 sous-onglets + éditeur de masques + 4 thèmes = effort significatif (> 40h). | Haute | Majeur | GUI v6 | Commencer par un prototype minimal (1 onglet, 1 thème) pour valider l'approche CustomTkinter avant de transposer tout le reste. |
| 5.3 | **Plateforme licence — Phase 1.1 + 1.2 en parallèle** : le module client (`license.py`, ~12h) et la plateforme serveur (~50h) sont interdépendants. Développer les deux en parallèle nécessite un contrat API stable. | Moyenne | Majeur | Plateforme licence | Définir le format JSON de licence et les endpoints API **avant** de coder. Le client peut mock-er le serveur pendant le dev. |
| 5.4 | **Gel bêta non respecté** : la règle D-17 dit "ne pas perturber le package bêta v11". Si un correctif critique est découvert pendant les tests Windows Dom, le chantier v11.5 devra être interrompu. | Moyenne | Majeur | Tous | Maintenir une branche `beta-v11` stable. Les chantiers v11.5 avancent sur `v11.5` ou branches feature. Hotfix bêta mergé sur `beta-v11` uniquement, puis cherry-pick sur `v11.5` si pertinent. |
| 5.5 | **Disponibilité Dom — arbitrages bloquants** : plusieurs décisions (D-11 à D-17) nécessitent la validation de Dom. Si Dom est absent (comme lors de l'épisode maladie récent), les chantiers bloquent sur des points de décision. | Moyenne | Majeur | Tous | Documenter chaque point de décision avec des options recommandées. Si Dom est indisponible > 2 jours, Claude peut prendre les décisions低风险 avec notification a posteriori. |

## 6. Synthèse — Top 5 risques

| Rang | Risque | Action immédiate |
|---|---|---|
| 1 | **1.5 / D-15 — Fuites PII résiduelles non corrigées** (`GRAND`, `SIMONET`, `EJNAINI`) | Corriger C-8/Q-1 et re-valider avec `audit_30` avant tout merge v11.5. Bloquant absolu. |
| 2 | **1.3 — RSA-PSS embarqué vulnérable à l'extraction** | Prototyper l'extraction d'une clé publique depuis un EXE PyInstaller pour évaluer la faisabilité. Si facile, changer d'approche (obfuscation ou Nuitka). |
| 3 | **5.1 — Conflits de merge entre 3 chantiers parallèles** | Créer les branches maintenant (`gui-v6`, `d13-complet`, `licence-platform`) avec un `MERGE_ORDER.md` documenté. |
| 4 | **2.1 — Phone-home licence = risque exfiltration perçu** | Rédiger la spec technique du `phone_home` : endpoints, payload exact, timing. Soumettre à Dom pour validation avant codage. |
| 5 | **4.4 — SmartScreen sans Authenticode = blocage DSI** | Préparer la documentation SmartScreen promise (D-3). Lancer un devis pour certificat Authenticode (Sectigo/DigiCert). |

## 7. Questions pour Dom

| # | Question | Impact sur le planning |
|---|---|---|
| 7.1 | **D-15 (fuites PII) : les correctifs C-8/Q-1 sont-ils validés ou encore en investigation ?** Si pas corrigés, tous les chantiers v11.5 sont conditionnés par cette résolution. | Bloquant : décale tout le planning si pas résolu avant début chantiers. |
| 7.2 | **GUI v6 : CustomTkinter est-il validé comme framework, ou veux-tu explorer d'autres options (Dear PyGui, PyQt, Flet) ?** | Impact : le choix détermine l'effort, la taille EXE, et la compatibilité PyInstaller. |
| 7.3 | **Plateforme licence : le `machine_id` peut-il être basé sur le disk UUID Windows (stable mais change si disque remplacé) ou préfères-tu une combinaison MAC + OS + user ?** | Impact : 1-2h de dev en plus pour la logique de fingerprint. Affecte aussi l'UX client (réactivation après changement matériel). |
| 7.4 | **Ordre de priorité entre les 3 chantiers : si tu dois en choisir un seul pour commencer, lequel ?** (GUI v6 = visible, D-13 = RGPD, Licence = business) | Impact : détermine l'allocation des agents et l'ordre de merge. |
| 7.5 | **Budget certificat Authenticode : es-tu prêt à investir ~200-400€/an pour un certificat code signing, ou on reste sur documentation SmartScreen pour le MVP ?** | Impact : sans certificat, chaque déploiement nécessite une explication au DSI client. |
