Les erreurs de design, souvent considérées comme de simples imprécisions, peuvent parfois mener à des conséquences bien plus graves qu’on ne l’imagine. Un mauvais choix d'interface, une information mal présentée, ou une faille dans l’ergonomie d’un logiciel peut transformer des instants critiques en véritables tragédies. Dans cet article, nous explorerons trois exemples bien réels où des erreurs de conception ont entraîné des situations dramatiques…

Le message d’alerte qui a embrasé Notre-Dame

Le 15 avril 2019, une nuit de terreur s’abat sur Paris. Un incendie cataclysmique s’empare de la cathédrale de Notre-Dame. La France et le monde entier assistent à ce drame, impuissants, tandis que les flammes dévorent cette œuvre gothique emblématique. Mais derrière cette vision d’enfer, une autre force, plus insidieuse, scellait déjà le destin de l’édifice : une erreur d’interface, presque imperceptible dans sa simplicité, qui ouvrait la porte au chaos.

À 18h18, l’agent de sécurité reçoit une alerte de son logiciel de surveillance. Une alarme incendie, cruciale, mais aussi trompeuse. Le premier message livre une description ambiguë de la zone touchée : « combles nef sacristie ». Ces mots vagues et trompeurs désignent une zone immense et floue. Puis, vient un second message, encore plus déroutant, un code alphanumérique : « ZDA-110-3-15-1 », comme une énigme lancée au milieu des flammes. L’un des 160 détecteurs de fumée de la cathédrale parle, mais personne ne peut vraiment comprendre son langage.

L’agent se retrouve seul dans ce dédale d’informations, piégé dans un labyrinthe de termes techniques et de chiffres. Le système, au lieu d'éclairer l'urgence, se transforme en une ombre perfide qui complique la réalité. Les mots « combles nef sacristie » sont facilement mal interprétés. L’agent, pensant agir logiquement mais en proie au doute, croit que le feu brûle dans les combles de la sacristie, une structure secondaire attenante à la cathédrale.

Il envoie un garde explorer cette zone. Le silence règne. Aucune trace d'incendie... Tout semble indiquer une fausse alerte…. Pendant ce temps, le véritable danger couve, dissimulé dans l’obscurité des combles du bâtiment principal. Là, sous l’antique charpente de Notre-Dame, vieille de plusieurs siècles, les flammes grandissent en silence. Elles s’étendent comme un prédateur invisible, prêtes à dévorer cette « forêt » de bois.

Alors que les minutes passent, l’incendie s’intensifie en silence. Ce n’est plus une simple alerte ignorée, c’est une catastrophe en marche, masquée par un message trompeur. Une catastrophe qui aurait pu être éviter si le risque avait été clairement identifié dès ses prémices. Mais ce n’est pas le cas … La charpente s’embrase, déchaînant un enfer incandescent qui transforme l’édifice en une torche vivante. Ce brasier, incontrôlable, fait de Notre-Dame une proie des flammes, ses vieilles pierres hurlant dans la nuit.

Ce n’est que trente minutes après l’alerte que l’ampleur du désastre apparaît aux yeux de tous, il est déjà trop tard. Les pompiers, arrivant trop tardivement, luttent jusqu’au petit matin contre un monstre de flammes, mais Notre-Dame brûle, condamnée.

Ce soir-là, ce n’était pas seulement les flammes qui dévoraient la cathédrale, mais les messages d’alerte eux-mêmes, piège fatal pour l’agent pris dans un flot de confusion. Avec une interface mieux conçue (des zones clairement indiquées et une alerte visuelle précise), la catastrophe aurait peut-être pu être évitée. Le véritable danger ne résidait pas dans les flammes, mais dans l’imperfection du design.

—

Cette histoire s’appuie sur les faits réels et le récit détaillé de l’événement, tiré de l'analyse de Raffaele Ventura : Notre-Dame et le paradoxe de la sécurité.

Terreur à Hawaï suite à une erreur de clic

Le 13 janvier 2018, une matinée ordinaire à Hawaï s'est rapidement transformée en un véritable cauchemar. À 8h07 précises, un message glaçant apparaît sur les téléphones portables de toute l'île : « BALLESTIC MISSILE THREAT INBOUND TO HAWAII. SEEK IMMEDIATE SHELTER. THIS IS NOT A DRILL. » (Menace de missile balistique en direction d'Hawaï. Cherchez immédiatement un abri. Ceci n'est pas un exercice.) En l’espace de quelques secondes, le paradis tropical s’est métamorphosé en scène de panique, où la peur et la confusion régnaient. Ce que les habitants ne savaient pas encore, c'est que tout avait commencé par une simple, mais fatale, erreur de clic.

L'Agence de gestion des urgences d'Hawaï (HI-EMA) effectuait ce matin-là une routine familière : un exercice de simulation de crise. L’objectif était de tester le système d'alerte d'urgence, destiné à informer la population en cas de menace réelle. L’atmosphère dans le centre de contrôle était calme, presque banale. Ce genre d'exercice était régulier et bien rodé, exécuté par des équipes habituées aux protocoles stricts. Mais ce jour-là, quelque chose allait mal tourner. Dans la salle de contrôle, parmi les écrans, les boutons et les codes, un agent en poste ne savait pas encore qu'il allait déclencher l'une des plus grandes paniques collectives de l’histoire récente.

Face à son écran, l'agent est confronté à une interface simple en apparence, mais trompeuse dans sa conception. Deux options se présentent à lui, côte à côte : « Test d'alerte » et « Alerte réelle ». La différence est pourtant immense. D'un côté, un simple test de routine, invisible au grand public. De l'autre, une alerte qui, en quelques secondes, plonge toute une population dans une terreur indescriptible. Mais ce matin-là, dans un moment d'inattention ou de confusion, l’agent fait l’impensable : au lieu de cliquer sur « Test », il choisit l'option fatale, celle qui envoie un message d'alerte réelle à des millions de personnes. Le message est envoyé, immédiatement. Alors que n'importe quel OS demande une confirmation pour supprimer un fichier basique..

À l'extérieur du centre de contrôle, l'île plonge instantanément dans la panique. Le message d'alerte arrive sur les téléphones, les radios et les télévisions. Partout, les mêmes mots terrifiants s’affichent : un missile balistique est en route vers Hawaï, et chacun doit immédiatement se mettre à l'abri. Ce n'est pas un exercice.

Dans les rues, c’est le chaos. Les habitants se précipitent dans les abris, mais les infrastructures de l'île, non préparées pour une menace de cette ampleur, ne peuvent pas répondre à la demande. Certains parents, terrorisés, cachent leurs enfants dans les égouts, espérant les protéger d’une explosion imminente. Des voitures sont abandonnées sur les routes alors que des familles fuient dans toutes les directions, sans savoir où aller. Les appels désespérés inondent les lignes téléphoniques saturées, tandis que des messages d’adieu sont envoyés aux proches. Pendant 38 longues minutes, la peur s’installe, et l'idée de la fin imminente se répand, implacable.

Mais dans la salle de contrôle, la réalité s’installe. À peine trois minutes après avoir envoyé l'alerte, les responsables de l'agence réalisent l'erreur monstrueuse qui vient de se produire. Il n'y a pas de missile. Il n'y a jamais eu de missile. La menace qui plane sur Hawaï n'est pas celle d'une attaque nucléaire, mais bien celle de l'horreur provoquée par une simple erreur humaine, facilitée par un design d'interface défaillant.

Corriger cette erreur prend un temps interminable. Les systèmes en place ne permettent pas d’annuler facilement une alerte déjà envoyée. Pendant 38 minutes, l'île entière vit dans la terreur la plus pure. Ce n’est qu’à 8h45, après des tentatives frénétiques de la part des autorités pour désamorcer la situation, qu’un second message est envoyé : « Il n’y a pas de menace de missile. L’alerte envoyée précédemment était une erreur.» Mais le mal est fait. Les larmes, la panique, et l’angoisse de ces minutes cruciales laissent une empreinte indélébile dans l’esprit des habitants.

En guise de bilan, cet incident révèle trois erreurs fondamentales en matière d'ergonomie, chacune ayant amplifié la gravité de la situation :

• Des boutons mal différenciés,

• Une absence de confirmation pour l’envoi d’une alerte critique,

• L'impossibilité d'annuler un message une fois envoyé.

La conception de l'interface reposait ainsi entièrement sur le contrôle utilisateur, sans anticiper l'erreur humaine dans un moment de pression.

—

Cette histoire s’appuie sur des faits réels et basée sur le Wikipédia:
2018 Hawaii False Missile Alert.

Le logiciel qui a condamné les patients d’Épinal

Entre 2004 et 2005, dans les couloirs de l’hôpital d’Épinal, une tragédie se préparait sans bruit. Chaque jour, des patients franchissaient les portes de la salle de radiothérapie, persuadés de recevoir un traitement vital contre le cancer. Pourtant, derrière cette routine médicale, des doses excessives de radiation étaient administrées à de nombreux patients. Ce qui devait soigner était en réalité en train de causer de graves dommages. Une erreur, en apparence simple et liée au paramétrage d’un nouveau logiciel de radiothérapie, allait marquer douloureusement l’histoire médicale, entraînant des séquelles physiques et psychologiques pour de nombreux patients.

La situation s’est compliquée dès l’installation du logiciel de planification des doses. Conçu pour ajuster les radiations selon les besoins de chaque patient, ce logiciel, d’origine britannique, était mal traduit et mal compris. Un paramétrage incorrect a faussé les commandes des machines, qui administraient alors des doses de radiation allant jusqu’à 20 % au-dessus des prescriptions. Cette erreur, difficile à détecter, s’installait à chaque séance de traitement, sans qu’aucun médecin ni technicien, pris par la méconnaissance du système, ne détecte l’anomalie. Les vérifications étaient absentes, les contrôles de sécurité insuffisants, et un système destiné à soigner causait des dommages involontaires.

Les mois passant, les premiers effets ont commencé à se manifester chez les patients : brûlures internes, douleurs persistantes, lésions qui ne guérissaient pas. Personne ne soupçonnait que les radiations, censées les guérir, étaient en réalité à l’origine de ces symptômes. Ce n’est qu’après de longs mois de souffrance que la vérité a émergé : l’erreur avait touché 450 patients, et pour 12 d’entre eux, ces surirradiations ont été fatales.

L'enquête qui a suivi a révélé une série de défaillances successives. Le logiciel, mal traduit, comportait des instructions ambigües qui ont dérouté les équipes. Les formations étaient trop brèves et insuffisantes, laissant le personnel sans support adéquat. Les contrôles de sécurité, essentiels pour protéger les patients, n’ont pas été appliqués, et les doses n’étaient pas vérifiées. Aucun double contrôle n’a été mis en place, et chaque jour, des patients recevaient des doses critiques sans surveillance supplémentaire.

Ce n’est qu’en 2006, lorsque ces erreurs ont été exposées, que l’hôpital a officiellement reconnu le problème. Le scandale a éclaté, plongeant les patients et leurs familles dans le choc et la colère. Les rapports publiés par l'Autorité de sûreté nucléaire (ASN) et l'Inspection générale des affaires sociales (IGAS) étaient accablants, dénonçant une chaîne d'erreurs humaines, techniques et organisationnelles. La gravité de cette tragédie ne résidait pas seulement dans les doses administrées, mais dans l’enchaînement de négligences qui ont permis à la catastrophe de se prolonger.

Ce drame restera dans les mémoires comme un exemple des dangers que peuvent provoquer des technologies mal conçues et mal encadrées, aggravées par l’inattention humaine. Plus qu’un problème d’interface, il s’agit ici d’un défaut de design de service et de workflow. L’absence de protocoles de vérification et de formation a exposé le personnel à des erreurs graves, rappelant la nécessité d’un flux de travail bien structuré et sécurisé dans des environnements aussi critiques.

—

Cette histoire s’appuie sur les faits réels rapportés dans l’analyse des rapports de SFPM et de l’IRSN, ainsi que les articles publiés dans Libération, 20 Minutes et Wikipédia

Conclusion

Ces histoires montrent combien un design mal pensé peut aller jusqu'à mettre en danger la sécurité et la vie humaine. Qu'il s'agisse d'interfaces confuses, d'informations floues ou de workflows défaillants, chaque erreur de conception a, dans les 3 histoires ci-dessous, ouvert la porte à des évènements tragiques.

La phase de design est une étape essentielle pour obtenir une vue d’ensemble de l’expérience et identifier les risques potentiels avant qu’ils ne deviennent critiques. Si cette approche est capitale pour tout projet, elle est d'autant plus cruciale pour les outils à haut risque, où les conséquences d’un design imprécis peuvent aller bien au-delà d’une simple gêne pour l’utilisateur.