Tout le monde voit la même caméra, en direct, dans la même réunion

Une alarme, un véhicule arrêté là où il ne devrait pas, une alerte dans une installation. L'opérateur la voit sur son écran. La personne qui doit décider est dans un autre bâtiment, et le responsable de la zone est dans la rue. Aujourd'hui, la conversation commence toujours pareil : quelqu'un décrit au téléphone ce qu'il a devant lui, et les autres décident sur une description au lieu d'une image. Avec IRIS, on ouvre une salle depuis le mur lui-même et la caméra entre dans l'appel : tous les trois regardent la même image, au même instant, pendant qu'ils parlent. Personne n'a eu à ouvrir une autre application, et aucune autre n'aurait pu le faire : pour mettre cette caméra dans l'appel, il faut être aussi le système qui l'enregistre.

Certains sites ne peuvent tout simplement pas laisser sortir une image. Une prison, un hôpital, une infrastructure critique. Pour eux, ouvrir un outil de visioconférence extérieur et partager l'écran n'est pas un confort discutable : c'est une chose qu'ils n'ont pas le droit de faire. Leur solution de rechange n'est pas un autre outil : c'est ne pas tenir la réunion. La visioconférence d'IRIS n'appelle aucun service externe, ni pour établir la salle ni pour l'audio et la vidéo. Tout passe par le même port 443 que le reste du système : l'équipe réseau n'a rien de nouveau à ouvrir sur le pare-feu. Et cela fonctionne à l'identique sur un site sans accès à internet.

Dans une cellule de crise, n'entre que qui doit y entrer. Les opérateurs rejoignent la salle avec leur compte et les droits qu'ils ont déjà dans le système. Celui qui est dans la rue entre avec un lien qui expire, qui compte ses usages et qui s'annule à l'instant ; ce même lien décide de ce qu'il peut faire : publier sa caméra, voir le mur, écrire dans le chat, ou seulement regarder. Une salle compte quatre rôles —hôte, opérateur, terrain et spectateur— et qui n'est pas hôte ne modère pas, quoi qu'il bricole dans son navigateur : le refus vient du serveur, pas de l'écran. Salles, liens, messages et enregistrements restent isolés par organisation : un centre qui suit plusieurs clients ne les mélange jamais.

Quand la réunion se termine, elle reste. La vidéo reste, avec son empreinte cryptographique qui prouve que personne n'y a touché, conservée dans le même coffre de preuves que les images des caméras et prête à rejoindre un dossier. Le journal de la salle reste, en ajout seul et jamais réécrit : qui est entré, avec quel rôle et avec quel lien, quelles caméras étaient regardées à chaque instant, qui a coupé le micro de qui et qui a fermé. Le chat reste, avec ce qui a été écrit et avec ce que l'intelligence artificielle a été priée de dire et ce qu'elle a répondu. Et les limites se disent à voix haute : une salle accueille jusqu'à huit personnes à la fois, et la neuvième reçoit un message de salle pleine, jamais un échec muet.

Convoquer une cellule de crise est d'habitude une démarche à part : retrouver le lien, le coller dans un message, puis expliquer par écrit où regarder. Ici, non. Le lien du plan d'opérations porte la réunion en son sein, et avec elle ce que l'opérateur a ouvert : le cadrage de la carte, les couches, les caméras qu'il a choisies et la fiche de l'incident. S'il a un dossier ouvert, le même s'ouvre chez l'autre. Les caméras du lien ne sont pas recopiées : elles sont redemandées avec les droits de celui qui l'ouvre, si bien qu'un lien partagé ne montre jamais à personne ce qu'elle ne pourrait pas voir par elle-même. Et celui qui le reçoit peut entrer en mode lecture seule : il suit le plan et entend la réunion, mais il ne déplace pas la carte et ne la ferme pas.

On connaît un produit à ce qu'il fait quand quelque chose n'est pas à sa place. Si le système ne sait pas où ranger les enregistrements, l'enregistreur ne démarre pas et le dit : il ne tient jamais pour enregistrée une réunion qui ne l'est pas. S'il manque une donnée nécessaire pour fonctionner, le service prévient au lieu de démarrer à l'aveugle sur une valeur inventée. Et tant que le service de réunion ne répond pas encore, l'écran d'état le déclare plutôt que d'afficher des zéros qui passeraient pour des données. Si l'enregistrement lâche au milieu d'une réunion, la réunion continue : la panne reste consignée, mais personne ne se retrouve privé de parole. Rien de tout cela ne brille en démonstration ; tout se voit le jour où quelque chose tourne mal.