HACCP et IA, ce qu’un capteur automatique ne remplace pas

Commençons par corriger l’image la plus répandue, parce qu’elle explique pourquoi tant de plans HACCP ne servent à rien.

Le HACCP n’est pas une checklist d’hygiène. C’est une méthode de prévention. On identifie ce qui peut mal tourner avant que ça arrive, on repère les endroits où on peut l’arrêter, et on met en place de quoi le surveiller.

La méthode vient des années 60. Elle a été développée par la NASA avec l’industriel Pillsbury et les laboratoires de l’armée américaine, pour garantir la sécurité des aliments emportés dans l’espace, où un empoisonnement n’a aucune solution. Elle a été reprise par le Codex Alimentarius en 1993, puis intégrée au paquet hygiène européen, dont le texte central est le règlement 852/2004.

Les 2 autres textes à connaître de nom, parce qu’on vous les opposera. Le règlement 178/2002 porte la traçabilité et le retrait. L’arrêté du 21 décembre 2009 porte les températures.

LES 3 FAMILLES DE DANGERS

  BIOLOGIQUES  Bacteries, virus, parasites,
               moisissures. Les plus frequents en
               cuisine, et les plus invisibles.

  CHIMIQUES    Residus de produits de nettoyage,
               pesticides, additifs mal doses.
               Les allergenes s'y rattachent.

  PHYSIQUES    Un eclat de verre, un morceau de
               plastique, un cheveu. Les plus
               evidents a comprendre.

  ⚠ Pour les traquer, on passe chaque etape au
    crible des 5 M. Main d'oeuvre, Matiere,
    Materiel, Methode, Milieu. C'est une grille
    de lecture, pas une formalite.

Le point qui change tout, et qu’on oublie souvent. L’obligation porte sur le résultat, pas sur les moyens. Personne ne vous impose la forme de vos relevés. On vous demandera de prouver que vos produits sont sûrs, et cette preuve, c’est vous qui la fabriquez. C’est exactement la même logique que ce qu’il faut journaliser quand une machine travaille pour vous.

Voici la distinction qui décide si votre plan est utilisable ou s’il est un roman de 500 pages que personne ne lit.

Il y a 3 niveaux de maîtrise, et ils ne se valent pas. ⚠ Avec une précision qui évite un malentendu, le niveau du milieu vient de la norme ISO 22000, pas du Codex ni du paquet hygiène. Un petit restaurant n’est pas tenu d’en avoir. Il aide quand même à penser.

LA PYRAMIDE DE LA MAITRISE

  CCP        Le sommet, et il est etroit.
             Une etape ou un rate cause un danger
             direct et grave, et ou AUCUNE etape
             suivante ne rattrapera le coup.
             Exemple, la cuisson a coeur.

  PRPO       Le milieu.
             Une mesure de controle visant un
             danger precis. Exemple, prendre la
             temperature a la livraison, voir 8
             degres la ou le produit en exige 4,
             et refuser. ⚠ Le seuil depend du
             produit, 2 degres pour la viande
             hachee, 3 pour les abats.

  PRP        Les fondations, et elles sont larges.
             Les prerequis d'hygiene qui valent
             partout. Nettoyage, lavage des mains,
             entretien des chambres froides.

  ⚠ Beaucoup de PRP, quelques PRPO, tres peu de
    CCP. Si vous avez 15 CCP, vous n'avez pas un
    plan rigoureux, vous avez un plan que personne
    ne pourra tenir.

La question qui tranche est simple. Est-ce qu’une étape ultérieure peut rattraper ce danger ? Si oui, ce n’est pas un CCP. Si non, et que le danger est grave, c’en est un.

C’est là que l’automatisation devient intéressante. Un capteur assure très bien la surveillance, y compris celle d’un point critique, c’est exactement ce que font les sondes de pasteurisation en industrie. Ce qu’il ne fait pas, c’est l’action corrective. Il constate, il alerte, il ne tranche pas.

C’est l’erreur la plus fréquente, et elle vient de l’image du thermomètre.

Une limite critique est une valeur mesurable qui sépare le sûr du dangereux. Elle dépend du produit, et elle prend des formes très différentes.

QUATRE LIMITES CRITIQUES, QUATRE NATURES

  UNE TEMPERATURE
    Volaille, 74 degres a coeur. Viande hachee de
    boeuf, 71 degres pendant 15 secondes. Viande
    hachee de volaille, 74 degres.
    ⚠ Ce sont des BAREMES recommandes par l'ANSES,
      pas des seuils de la loi. Le seul chiffre du
      droit francais est le +63 degres a coeur de
      l'arrete du 21 decembre 2009, ou un couple
      temps-temperature equivalent que VOUS validez.

  UNE DUREE
    Refroidissement rapide. Ne pas rester entre 63
    et 10 degres plus de 2 heures. Arrete du 21
    decembre 2009. ⚠ Sauf si une analyse des
      dangers validee montre qu'un refroidissement
      plus lent suffit. La porte de sortie existe,
      elle se documente.

  UNE ACIDITE
    Riz de sushi. Le pH descend sous 4,2, cible
    pratique 4,1. ⚠ Le seuil de 4,6 qu'on lit
    partout vise le botulisme. Le vrai danger du
    riz est ailleurs, et il pousse au-dessus de
    4,2. Sur le riz acidifie, le pH est un CCP.

  UNE ACTIVITE DE L'EAU
    Saucisson sec, aw inferieure ou egale a 0,90.
    Ce n'est ni la chaleur ni l'acide, c'est la
    quantite d'eau disponible pour les bacteries.
    A valider avec le guide de la charcuterie.

  ⚠ Retenez la zone de danger, entre 4 et 63
    degres. En conditions ideales une bacterie
    double toutes les 20 a 30 minutes.
    ⚠⚠ Et le froid RALENTIT sans arreter. La
      listeria se multiplie encore entre 0 et 4
      degres, donc dans votre chambre froide.

Le meilleur cas d’école est la vinaigrette maison au jaune d’œuf cru. ⚠ En restauration collective, cet exemple n’a pas lieu d’être, l’œuf coquille cru y est interdit et seul l’ovoproduit pasteurisé est admis. Il reste valable en restauration commerciale. Le danger est connu, c’est la salmonelle. Mais l’arme habituelle contre les bactéries, la cuisson, n’existe pas ici, puisque l’œuf reste cru.

La question change donc. Puisqu’on ne peut pas éliminer le danger, comment l’empêcher de se développer. La réponse vient de l’acidité du vinaigre, qui rend le milieu inhospitalier. ⚠ Et attention au raisonnement, on lit souvent le mauvais. Un point critique ne se définit pas par le fait de tuer la bactérie. Le Codex dit prévenir ou éliminer ou réduire à un niveau acceptable. Prévenir compte. La seule question qui tranche reste celle de la section précédente, une étape ultérieure peut-elle rattraper le coup. Sur le riz de sushi acidifié, les autorités sanitaires exigent d’ailleurs le pH comme point critique à part entière.

Et si vous n’avez pas de pH-mètre, la variable qui vous reste est le temps. Préparation au plus près du service, tenue à 4 degrés, consommation dans les 24 heures.

Voici le point le plus important de cet article, et il est contre-intuitif.

C’est le cas d’école que raconte à peu près tout formateur en sécurité alimentaire. Un responsable qualité découvre lors d’un audit que ses relevés de température sont parfaits. Pas une seule variation en 3 mois.

C’est impossible. Un équipement réel varie. Ces relevés parfaits ne prouvent pas la maîtrise, ils prouvent que l’équipe remplit les cases sans regarder l’appareil. Le système est devenu un rituel vide.

⚠ Maintenant, posez un capteur automatique. Les relevés deviennent parfaits par construction, complets, réguliers, sans trou. Et vous venez de supprimer le seul indice qui trahissait un système mort.

CE QUE L'AUTOMATISATION DONNE ET CE QU'ELLE PREND

  ELLE DONNE
    Des mesures fiables, continues, horodatees,
    impossibles a remplir apres coup dans le
    parking en fin de service.

  ELLE PREND
    Le signal humain. Un releve manuel trop
    regulier trahissait le decrochage. Un releve
    automatique est regulier par nature, donc il
    ne trahit plus rien.

  CE QU'IL FAUT JOURNALISER A LA PLACE
    Non plus la mesure, mais la REACTION. Combien
    d'alertes, en combien de temps traitees, par
    qui, et avec quelle decision sur le produit.

  ⚠ Une alerte qui se declenche et que personne
    n'acquitte est le nouveau releve trop parfait.
    C'est ca qu'il faut regarder desormais.

La conséquence pratique est simple. Quand vous automatisez la surveillance, changez d’indicateur. Ne regardez plus si les relevés sont complets, ils le seront toujours. Regardez le délai entre l’alerte et son traitement. C’est exactement ce que le règlement européen appelle la supervision humaine, celle qui exige qu’un opérateur comprenne, surveille et puisse interrompre, et dont le calendrier a été repoussé à décembre 2027.

Le calcul tient en quelques lignes, à partir de l’export que fournit n’importe quelle sonde connectée.

#!/usr/bin/env bash
# sante-du-plan.sh
# Le nouvel indicateur, une fois les releves automatises.
# Entree : un export CSV de la sonde, une ligne par alerte
#   date;capteur;valeur;acquittee_le;action_enregistree
#   Dates au format 2026-08-16T14:30:00, secondes
#   comprises. Necessite gawk, pas mawk.
set -euo pipefail
F="${1:-alertes.csv}"

echo "Alertes du mois : $(tail -n +2 "$F" | wc -l)"

# 1. Alertes jamais acquittees. Le nouveau releve
#    trop parfait, c'est celui-la.
awk -F';' 'NR>1 && $4=="" {n++} END {
  print "Jamais acquittees  :", n+0}' "$F"

# 2. Acquittees sans aucune action derriere.
#    Quelqu'un a clique, personne n'a agi.
awk -F';' 'NR>1 && $4!="" && $5=="" {n++} END {
  print "Acquittees a vide  :", n+0}' "$F"

# 3. Delai moyen entre l'alerte et l'acquittement.
# ⚠ Une expression awk ne se coupe PAS en deux lignes,
#   meme entre parentheses. Une instruction par ligne.
# ⚠ mktime rend -1 en silence si la date est mal
#   formee. Sans le garde, la moyenne serait absurde.
gawk -F';' 'NR>1 && $4!="" {
  debut=mktime(gensub(/[-:T]/," ","g",$1))
  fin=mktime(gensub(/[-:T]/," ","g",$4))
  if (debut>0 && fin>0) { s+=fin-debut; n++ }
} END {
  if (n) printf "Delai moyen        : %d min\n", s/n/60
}' "$F"

Les 2 premiers nombres sont ceux qui comptent. Une alerte jamais acquittée, ou acquittée sans qu’aucune action ne suive, c’est le relevé trop parfait de l’ère automatique. Si ces 2 compteurs montent, votre plan est redevenu un rituel, avec un capteur en plus.

Faisons le partage honnêtement, parce que les vendeurs de matériel ne le font jamais.

Un capteur ou une IA porte très bien la partie mécanique et répétitive. C’est réel, ce n’est pas du gadget, et ça libère du temps que le personnel de cuisine n’a pas.

LE PARTAGE DES ROLES

  LA MACHINE PORTE
    - la mesure continue des temperatures
    - l'enregistrement horodate, tres difficile
      a reecrire apres coup
    - l'alerte immediate au depassement
    - le calcul des dates limites secondaires
    - l'archivage et la recherche d'une etiquette
    - le rapprochement d'un lot et des plats

  L'HUMAIN GARDE
    1. LA DECISION quand la limite est franchie.
       Isoler le lot, corriger, detruire ou
       requalifier. Aucun capteur ne tranche ca.

    2. LA VERIFICATION du systeme lui-meme.
       Les sondes sont-elles etalonnees, les
       procedures suivies, le diagramme a jour.

    3. LA COMPREHENSION dans l'equipe.
       Chaque operateur doit pouvoir dire je
       surveille ca parce que si ca derape, voila
       ce qui arrive.

  ⚠ Le 3 est celui qu'on sacrifie en premier quand
    on automatise, et c'est le seul qui tient
    quand la machine tombe en panne.

Ce partage n’a rien de propre à la restauration, et la même démonstration vaut en santé, où la certification de l’hébergeur ne dit rien de ce que le modèle garde. C’est exactement la frontière que nous écrivons pour chaque agent IA que nous installons. Ce qu’il fait seul, ce qu’il prépare en attendant un accord, et ce qu’il ne fera jamais.

C’est le domaine où l’outil numérique change le plus la vie, et pour une raison simple. La traçabilité est un travail de mémoire et de recherche, ce que les humains font mal et les machines très bien.

Ce qu’il faut conserver pour chaque produit tient en 3 informations. Le nom du produit, son numéro de lot, et sa date limite.

⚠ Et voici l’erreur qui revient tout le temps. Le code-barres à 13 chiffres imprimé sur l’emballage ne contient pas le numéro de lot. Il identifie la référence, pas la fournée. Il n’y a tout simplement pas la place, ses 13 chiffres sont un identifiant commercial dont le dernier est une clé de contrôle.

Ce qui porte réellement le lot, c’est la mention précédée de la lettre L en clair sur l’emballage. Et en lecture machine, un code GS1-128 ou un DataMatrix, où le lot est introduit par l’identifiant 10, la date de durabilité par le 15 et la date limite par le 17.

CE QUI SE CONSERVE, ET COMBIEN DE TEMPS

  A LA RECEPTION
    Bon de livraison, releve de temperature,
    etat du vehicule, integrite des emballages.
    Et la non-conformite si vous refusez.

  EN PRODUCTION
    Nom du produit, numero de lot, date limite.
    Photo de l'etiquette, recopie ou decoupage,
    peu importe la forme.

  A L'OUVERTURE
    Une date limite secondaire, avec la date
    d'ouverture, la date de fin, et par qui.

  SI VOUS LIVREZ DES PROFESSIONNELS
    Le reglement 178/2002 demande la nature, la
    quantite, la date et l'identification du
    client. Les temperatures de depart et
    d'arrivee viennent du guide de bonnes
    pratiques, pas du reglement. Utiles, mais
    ne les confondez pas.
    ⚠ Rien de tout cela si vous livrez des
      particuliers. L'obligation s'arrete avant
      le consommateur final.

  ⚠ Regle de fer, et soyons honnetes sur son
    statut. Aucun texte ne l'ecrit comme ca. Mais
    100 pour cent des produits en enceinte froide
    qui portent une etiquette conforme, c'est ce
    qui separe un plan qui tient d'un plan qui
    s'effondre au premier rappel. Pas 95.

Sur les durées, ce n’est pas un usage professionnel mais le document d’orientation de la Commission européenne sur l’article 18 du règlement 178/2002. Et la règle est l’inverse de ce qu’on lit souvent. 5 ans est la règle générale par défaut. Une date limite de moins de 3 mois ramène à 6 mois après fabrication ou livraison. Un produit à date de durabilité se conserve pour sa durée de vie plus 6 mois. C’est long, et c’est précisément ce qu’un classeur papier ne tient pas.

L’automatisation gagne ici sans discussion. Photographier une étiquette, la classer, la retrouver en un geste, calculer une date limite secondaire, relier un lot aux plats qui en sont sortis. C’est du travail de machine, et c’est aussi le type de tâche que nous décrivons dans ce qui marche vraiment quand on met de l’IA au restaurant.

Terminons par l’ordre, parce qu’il compte plus que le choix de l’outil.

Commencez par le diagramme de fabrication. Toutes les étapes, de la réception des matières premières jusqu’au service, dans l’ordre réel.

Puis faites l’étape que presque tout le monde saute. Allez le vérifier sur le terrain. Pas dans un bureau, en cuisine, avec l’équipe. Rien n’est plus courant que de belles procédures écrites au calme qui décrivent une réalité qui n’existe pas.

C’est cette confrontation qui révèle les écarts, et c’est là que se trouve la valeur. Le reste du plan découle du diagramme, et un diagramme faux produit un plan faux, avec des points critiques placés au mauvais endroit.

L’analyse des dangers se fait de la même manière, en équipe et sur la ligne, pas sur un tableur. La bonne question à se poser à chaque étape tient en 2 mots. Et si ? Et si le couvercle n’est pas hermétique, et si la matière première arrive contaminée, et si le fournisseur a stocké dehors.

Une dernière chose, et elle vaut pour l’automatisation comme pour le papier. Un plan HACCP n’est pas un dossier qui prend la poussière, c’est un système vivant. La documentation doit servir, pas décorer. Un cahier avec des photos, des schémas et des cas concrets, qu’un nouveau comprend en 10 minutes, vaut mieux qu’un roman juridique que personne n’ouvre.

Et si vous voulez voir à quoi ressemble le reste du chantier numérique d’un établissement, nous l’avons détaillé pour les restaurateurs.