La maison commune comme système d'exploitation

Le point de départ est une métaphore radicale mais féconde : l'ordre mondial actuel - avec tout son tissu politique, économique et juridique - est un système d'exploitation qui fonctionne, mais vieillissant. Appelons-le, par convention, « Windows 11 ». Il n'est pas dénué de sens : il démarre, des milliards de processus y tournent, il a survécu à bien des versions. Mais ses bogues sont déjà connus - non les hypothétiques, mais ceux qui affleurent au fil des décennies et coûtent des vies humaines.

La question de ce document : avec une équipe complète de développeurs et une page blanche, à quoi ressemblerait la version suivante, « Windows 12 » ? Non une parfaite (il n'en existe pas), mais la plus juste et la plus complète que la situation présente permette d'atteindre.

La métaphore du SE est prise au sérieux, non pour l'ornement. Un système d'exploitation a une véritable anatomie d'ingénierie : un noyau et des anneaux de privilège, un modèle de permissions, l'isolation des processus, un ordonnanceur de ressources, un mécanisme de mise à jour, la gestion des erreurs, l'authentification. Chacun de ces axes se projette sur l'architecture d'une société avec une précision surprenante - et là où la projection se rompt, elle se rompt de façon instructive. À la fin (Partie IX), nous examinons aussi le défaut central de la métaphore elle-même : un SE a un propriétaire, et l'humanité ne doit en avoir aucun. La langue des systèmes d'exploitation a été choisie précisément pour cette exactitude - c'est la voie la plus proche et la plus claire pour expliquer une structure de cette sorte. Et « Windows 12 » est une lentille analytique, non un slogan : dans le modèle même, l'État ne disparaît pas mais devient une couche mince (Partie III), de sorte qu'il s'agit de la refonte de toute la pile comme objet d'étude, complémentaire aux États, non d'un appel à les abolir.

Les termes techniques spécialisés (kernel, user space, capability, zero-knowledge, sandbox, nullifier et autres) sont délibérément laissés sans glose : une note sur chacun alourdirait le texte, et leur sens est aisé à retrouver. Ce qui importe ici, ce n'est pas la définition informatique précise, mais le rôle qu'un terme joue dans la structure.

Le document est ainsi agencé : d'abord un diagnostic du vieux système (I), puis un bilan de ce qui doit en survivre (II), ensuite l'architecture du nouveau (III) et la place de l'être humain en son sein (IV). Viennent après les trois modules les plus chargés, ouverts un à un (V-VII), leurs conflits mutuels (VIII), le piège de l'architecte (IX), des tests de rupture jusqu'au point critique (X), un règlement de comptes avec des tentatives réelles et vivantes (XI) et, enfin, l'horizon ouvert du travail (XII).

L'erreur capitale de toute conversation sur l'avenir de l'ordre mondial est de traiter l'État comme un monolithe qui existe ou n'existe pas. L'État n'est pas une entité, mais un faisceau de fonctions échues à une même main pour des raisons de guerre, d'impôt et d'industrie :

1. Un monopole de la force légitime - qui a le droit de contraindre.
2. La juridiction sur un territoire - le pouvoir sur un morceau d'espace physique.
3. La fourniture des biens communs - routes, réseaux, défense, tribunaux, infrastructures.
4. L'appartenance et l'identité - qui compte comme « l'un des nôtres », à qui une personne est rattachée.
5. La redistribution - le soin des faibles, l'assurance contre le malheur.
6. Le droit et la résolution des différends - règles et arbitrage.
7. La représentation externe - une voix vers le dehors, sur la scène internationale.

Aucune loi de la nature n'exige que ces sept fonctions logent dans une seule boîte. L'histoire les a soudées. Et aujourd'hui elles se dessoudent sous nos yeux : l'identité fuit vers les réseaux, l'argent vers les protocoles, les différends vers l'arbitrage privé, les biens communs vers des structures transnationales. Comprendre l'État comme un faisceau détachable et non comme un atome est le fondement de tout ce qui suit.

Avant de rien concevoir de neuf, il faut déterminer honnêtement ce qui ne peut être jeté. La version romantique de l'avenir - les États se dissolvant simplement en communautés volontaires - se brise contre plusieurs faits durs.

L'espace physique est rival

Une rivière, un réseau électrique, un port, un hectare de terre ne peuvent se « bifurquer », et l'on ne peut être dans deux juridictions à la fois. Tant que les gens ont un corps et occupent de l'espace, quelqu'un gouverne cet espace et tranche les conflits qui le concernent. C'est le noyau inextirpable du pouvoir territorial : la matière engendre la compétition pour l'usage exclusif.

La sécurité physique - le cas extrême, où la sortie est impossible

Une pandémie, une invasion, une catastrophe. Ici, il faut une structure qu'on ne puisse quitter d'un simple clic, car elle doit retenir dans le coût commun ceux qui préféreraient la fuir. La liberté de sortie est magnifique contre la tyrannie et mortelle contre une pandémie : le virus se moque de la communauté volontaire à laquelle une personne appartient.

Le soin de ceux qui ne peuvent contribuer

C'est l'argument le plus fort en faveur de quelque chose d'apparenté à l'État, et le moins souvent dit à voix haute. Les communautés volontaires sont par nature bonnes à prendre soin des utiles et mauvaises à prendre soin des inutiles : les malades, les vieux, les brisés, les « non rentables ». À la solidarité, l'histoire a contraint justement par une structure non quittable - celle dont le sain et le riche ne peuvent émigrer pour échapper à leurs obligations envers le faible. Ôtez la contrainte à la solidarité, et vous obtenez le tri des personnes selon l'utilité. Ce n'est pas la liberté. C'est le darwinisme avec une bonne interface.

La première décision d'ingénierie de tout SE : ce qui tourne dans l'anneau 0 (privilégié, avec accès complet) et ce qui tourne dans le user space, où un processus peut planter sans faire tomber le système. Un monolithe est une mauvaise architecture. Ici, l'architecture est bâtie comme un micronoyau. Dans le noyau ne va que ce qui est physiquement inséparable et rival - ce dont on ne peut sortir :

• la protection de la sécurité physique et de l'espace physique ;
• les systèmes planétaires de survie - climat, océan, atmosphère, orbite, spectre, eau ;
• le gouvernement des hypertechnologies, où le coût de l'erreur est l'espèce entière (intelligence artificielle, bio-ingénierie) ;
• et, surtout, le maintien du modèle de permissions lui-même - la garantie que nul ne devienne root.

Tout le reste - l'économie, la culture, les communautés, les modes de vie, les fois, les esthétiques - est transféré dans le user space. Là, il concourt, se trompe, fait faillite, meurt et renaît, sans emporter le système avec lui. Le noyau est mince ; au-dessus, un espace bouillonnant de processus libres.

Le cœur de tout le modèle, et le point où se brise la plupart des systèmes historiques.

Dans un système d'exploitation, le souverain est l'utilisateur. Les processus existent pour servir l'utilisateur ; quand un processus gêne l'utilisateur ou se fige, on le termine - une opération de routine, non une tragédie. Le bogue le plus profond de presque tout ordre social est qu'il inverse ce rapport : l'être humain devient un processus au service du Système - l'économie, la nation, l'État, le parti, la « grande cause ». On ordonnance l'être humain aux tâches du système, plutôt que l'inverse.

La meilleure idée de la sécurité informatique moderne, ce sont les droits comme capacités sous le principe du moindre privilège. Sur elle se bâtit toute la politique.

• Aucun acteur ne reçoit plus d'autorité qu'une tâche donnée n'en exige.
• Toute autorité est révocable, bornée dans le temps et auditable. Il n'y a pas de concessions de pouvoir perpétuelles, inconditionnelles, héréditaires.
• Les droits de l'homme ne sont pas une déclaration abstraite, mais des capability-tokens concrets et inaliénables qu'aucune juridiction ne peut retirer, qu'on ne peut échanger ni conditionner à l'utilité.

Fédération, polycentrisme, sandboxes. Les communautés, les économies et les modes de vie sont des processus isolés. L'un tombe - les autres vivent. Alors le droit de sortie est le droit de terminer un processus ou de le quitter. C'est le frein le plus puissant contre la tyrannie : un pouvoir qu'on peut quitter est contraint d'être supportable, car sinon il reste sans gens. Mais il y a un coût (voir Partie VIII) : la sortie totale mène au tri par ressemblance, à la perte de la solidarité par-delà la différence et à la question de « qui tient ceux que tous quittent ». Le droit de sortie est absolu dans le user space et impossible dans le noyau - sinon la Partie II elle-même s'effondre.

Assemblée en un tout, l'architecture ne donne pas « pas d'État », mais une pluralité de couches. Le principe ordonnateur est la subsidiarité : une décision se prend au niveau le plus bas capable de la porter, et ne monte plus haut que lorsqu'elle le doit.

Une telle division concilie la liberté et la sécurité mieux que tout ce qu'on a inventé jusqu'ici : elle ne centralise pas par habitude ni ne décentralise par dogme, mais place chaque tâche là où elle se résout réellement.

Le modèle répond à la question directe - ce que l'être humain devient en son sein - par trois faisceaux.

Droits (capability-tokens, inaliénables, garantis par le noyau)

Fonction

L'être humain est à la fois l'utilisateur (souverain sur son propre domaine) et, collectivement, la seule source de l'autorité du noyau. Le noyau est légitime exactement dans la mesure où il s'exécute au nom des utilisateurs. Il n'y a pas de « peuple au-dessus des personnes », pas d'« État au-dessus des citoyens » comme une entité supérieure à part - il y a des personnes dont la volonté conjuguée est le seul root. Plus précisément : root comme position occupée n'existe pas du tout (Partie IX) ; il n'y a qu'une source distribuée d'autorité que nul ne s'approprie.

Devoirs (le prix de la couche non quittable - sans quoi toute la construction est utopique)

• Ne corromps pas la mémoire partagée. Ne déverse pas tes coûts dans la biosphère et dans la vie d'autrui. Internaliser les externalités n'est ni un impôt ni une morale - c'est une interdiction de la memory corruption : nul ne peut écrire la destruction dans une mémoire que tous partagent.
• Soutiens l'entretien du commun. Contribue à la couche du noyau (sécurité, le commun, protection des faibles), dont on ne peut sortir - précisément parce qu'on ne peut en émigrer pour échapper à l'obligation. C'est la seule contrainte légitime à contribuer.
• Entretiens le système. La participation comme maintenance. Un SE que nul n'entretient se dégrade. La citoyenneté est à la fois un login et un tour de garde du système : une part minimale d'attention et de travail, sans laquelle le commun rouille.

Le vrai dilemme

C'est un trilemme : trois propriétés dont deux au plus sont atteignables simultanément.

Tout système réel sacrifie l'une pour deux. Selon toute vraisemblance, c'est une propriété structurelle du problème, non une faiblesse d'ingénierie.

Ce qu'on a essayé et comment cela se brise

• Un registre biométrique centralisé. L'unicité est résolue de belle manière. Mais c'est exactement le root : un point unique d'exclusion (coupez l'enregistrement et une personne devient un cadavre civil), un point unique de surveillance, un inévitable function creep.
• Web-of-trust (parrainage). Décentralisé, privé. Mais la résistance Sybil faiblit à l'échelle et reproduit l'inégalité du graphe social : le bien connecté est vérifié ; l'isolé reste personne.
• Proof-of-personhood par biométrie. L'unicité à l'échelle est résolue. Mais : un honeypot biométrique de taille planétaire ; la confiance dans le matériel ; la vulnérabilité à la contrainte ; l'irréversibilité (un iris ne se réémet pas) ; et derrière tout cela, une entreprise. Une déduplication biométrique mondiale qui fonctionne est, en soi, une infrastructure de surveillance toute prête.
• Un document d'État enveloppé de selective disclosure. Il améliore la confidentialité, mais laisse l'État émetteur comme racine de confiance et hérite de la loterie de la citoyenneté.

L'option la moins mauvaise

Le mouvement clé est de décoller ce que le mot « identité » a fondu en un seul bloc : l'authentification (le même sujet d'une session à l'autre), l'unicité (un seul sujet) et les attributs (plus de 18 ans / membre de ceci / titulaire du droit X). Le crime majeur des systèmes de passeport est de faire passer les trois par un identifiant unique.

• Le vérificateur de l'unicité ne doit jamais devenir l'observateur de l'activité. Entre « qui est unique » et « ce qu'une personne a fait » se dresse un mur cryptographique : zero-knowledge proofs et nullifiers. L'émetteur délivre la preuve et oublie ; nul ne détient de dossier ; la preuve reste avec la personne.
• Une pluralité d'émetteurs au lieu d'un monopole. Beaucoup d'indépendants ; k-parmi-n suffit. Aucun n'est root, aucun n'est un point unique d'exclusion.
• La révocabilité au lieu de la biométrie brute comme clé. La clé primaire est une credential réémissible. La biométrie échoue justement à la réémission, donc elle ne peut être la racine.
• Nullifiers par contexte. Prouver l'unicité « dans cette élection » sans la lier à l'unicité « sur ce forum ».

Le vrai dilemme

Deux questions couplées : comment allouer la rareté (terre, énergie, matière, attention) et qui finance le noyau non quittable. Au-dessus des deux plane le conflit de deux échecs :

L'option la moins mauvaise

1. Un socle protégé. Un minimum garanti sous lequel une personne ne tombe pas : nourriture, énergie, accès au calcul et à l'information, santé de base. La justification n'est pas la pitié, mais la liberté : on ne peut négocier librement que s'il y a un lieu où s'en aller d'un mauvais marché. Le socle donne la force de se lever et de partir ; il rend équitable le marché qui est au-dessus.
2. Le commun est mesuré et payé. Le commun rival (la capacité d'absorption de l'atmosphère, l'orbite, le spectre, l'eau, l'attention) n'est ni gratuit ni privatisé - l'accès est tarifé et rationné. Le revenu de l'épuisement du substrat partagé finance le socle et le noyau. C'est une rente sur le commun (dans l'esprit de Henry George), non un impôt sur la production : on paie non pour ce qu'on a créé, mais pour ce qu'on a pris à tous.
3. Un plafond à la concentration - une fonction de sécurité, non de l'envie. La concentration extrême des ressources égale la concentration du pouvoir, égale un aspirant root, et l'absence de racine est parmi les axiomes du modèle. Limiter l'accumulation, c'est de l'anti-capture. La justification est plus forte que la morale : non « la richesse est injuste », mais « la super-richesse est une saisie non autorisée des droits de l'administrateur ».

Le vrai dilemme

L'option la moins mauvaise

• La politique comme expérience. Un déploiement par étapes au lieu de « tout d'un coup » ; A/B sur un petit périmètre consentant ; mesure contre des métriques déclarées d'avance ; extension seulement si cela a marché.
• Un biais vers la réversibilité. Préférence pour les changements qui peuvent être annulés. Les irréversibles reçoivent un seuil bien plus élevé. Clauses de caducité : les règles expirent et doivent être réaffirmées. Le défaut est l'abrogation, non l'accumulation ; une institution morte expire en silence au lieu de s'attarder par inertie.
• La bifurcation comme soupape. Perdu la mise à jour ? Ne pars pas en guerre - scinde-toi sur des règles ouvertes. Le pluralisme appliqué au temps.
• Séparer le pouvoir de changer les règles du pouvoir qui en tire profit. Qui écrit un amendement ne doit pas s'en nourrir. Le changement se débat sous un voile partiel d'ignorance sur sa propre position future.
• Qui garde le metteur à jour. Le mécanisme de mise à jour est lui-même du code, et qui peut le changer est le vrai root. Aussi la méta-règle est-elle la chose la plus difficile à changer : seulement par des super-majorités soutenues et étirées dans le temps. Time-locks : changer le noyau exige un soutien tenu sur plusieurs périodes. Une majorité un mardi ne touche pas au noyau.

Cela importe plus que n'importe quel module pris isolément. Les trois modules ne sont pas des tâches indépendantes, mais un pupitre de molettes où chaque réglage de l'une gâte une autre. Un modèle honnête est tenu de montrer ces conflits, non de les cacher.

Ici, la métaphore du SE se fissure, et cette fissure est la chose la plus importante du document. Un système d'exploitation a un propriétaire - celui qui détient le root, décide de ce qui est bon pour l'utilisateur et pousse des mises à jour sans demander. L'humanité ne doit avoir aucun propriétaire de ce genre.

Le plus dangereux dans la tâche « conçois un nouvel ordre mondial » est la tentation d'assembler un système beau, unifié, rationnellement agencé, avec un seul architecte sage. C'est exactement ce qui, à travers l'histoire, a tué par millions. La société n'est pas du code ; les valeurs n'ont pas de compilateur ; il n'y a pas de test unitaire pour la justice ; et quiconque déclare savoir comment les choses doivent être et exige le droit de réécrire tout le monde est plus dangereux que le bogue qu'il entreprend de corriger.

Cela vaut aussi pour le document lui-même. Il est écrit d'une seule voix - et c'est justement pourquoi il ne peut être pris pour un système achevé. Sa vocation est d'être ouvert, contesté et bifurqué, non installé.

Un modèle qu'on ne soumet pas à un scénario de rupture n'est pas un modèle, mais un décor. Faire passer « Windows 12 » par trois scénarios durs montre honnêtement où il tombe.

Scénario 1. Une pandémie

Un agent pathogène rapide et mortel. Le noyau a besoin d'une contrainte instantanée à une mesure commune, alors que toute l'architecture est bâtie autour du droit de sortie et de la contrainte minimale.

Scénario 2. Une guerre pour une ressource physique

Deux couches territoriales revendiquent une même rivière / un même plateau / un même corridor. La ressource est rivale, la bifurcation est impossible.

Scénario 3. Capture par une IA

Une IA hyper-puissante siège dans le noyau. Qui contrôle ce processus contrôle le code le plus privilégié de la planète.

Rien ici n'est entièrement neuf. Presque chaque élément, quelqu'un l'a déjà essayé dans la vie réelle - et presque chaque tentative s'est brisée sur quelque chose. Un modèle honnête est tenu de connaître ses prédécesseurs et de ne pas faire passer l'ancien pour l'inédit. La nouveauté, s'il en est, ne réside que dans la configuration. Chaque tentative vivante est un test de rupture d'un module déjà mené pour nous.

La valeur du modèle ne réside pas dans ses réponses, mais dans la qualité des questions qu'il rend concrètes et vérifiables. Les points faibles des parties précédentes sont l'agenda même. Les pistes concrètes ouvertes à la recherche, à la conception et à l'épreuve conjointes :

1. Sybil sans un Big Brother. Certifier l'unicité d'un être humain sans construire ni un registre central de surveillance ni une porte excluante. Pour l'instant, un trilemme sans solution.
2. Une personhood additive, non une condition préalable. Pour que l'absence d'un login ne dépouille jamais une personne de sa dignité fondamentale. Protection contre le risque principal - une classe de non-personnes numériques.
3. Financer le noyau non quittable sans un nouveau collecteur-tyran. La rente sur le commun est une hypothèse ; qui la collecte, sans transformer le trésor en un nouveau root, reste ouvert.
4. La vitesse du noyau contre la protection face à la capture. Donner au noyau de la rapidité dans une catastrophe sans construire une machine à régime d'exception.
5. Un arbitre plus fort que le plus fort et pourtant non un tyran. Peut-être la réponse ne réside-t-elle pas dans la force, mais dans une construction où rompre l'ordre désavantage tout le monde à la fois - mais cela doit être bâti et éprouvé.
6. L'auditabilité de l'incompréhensible. Garder le contrôle humain sur une IA hyper-puissante dans le noyau quand son code ne peut être compris par un esprit humain. Peut-être la plus importante.
7. Socle et sortie à la fois. Concilier le droit de partir avec la solidité du commun, pour que la liberté de diverger ne tue pas la solidarité.
8. Des métriques sans Goodhart. Mesurer le succès des politiques sans écraser l'incommensurable et sans lancer une course au contournement des seuils.