Liste de contrôle relative à la conformité en matière d'IA destinée aux responsables de l'expérience client dans les secteurs réglementés

Un examinateur ne vous demande pas si votre IA est sûre. Il vous demande de montrer ce qui a été dit au client, pourquoi, et d'où provenaient ces informations. Si vous n'êtes pas en mesure de le faire, la politique affichée au mur ne vous sera d'aucune utilité.

Une liste de contrôle de conformité en matière d'IA destinée aux responsables de l'expérience client (CX) est un ensemble d'exigences auxquelles tout déploiement d'IA en contact avec la clientèle doit satisfaire avant de pouvoir être justifié auprès d'une autorité de régulation ; elle couvre notamment la traçabilité, la gouvernance, le traitement des données, la supervision humaine et la validation continue.

Cette liste de contrôle fait toute la différence entre un déploiement qui résiste à un examen approfondi et un autre qui ne résiste qu'à une simple démonstration.

Points clés à retenir

• Une liste de contrôle de conformité relative à l'IA recense les éléments de preuve qu'un régulateur ou un auditeur demandera concrètement : ce qu'a dit l'IA, pourquoi elle l'a dit, d'où provenait cette information et qui pouvait passer outre sa décision.
• La « sécurité » et la « traçabilité » sont deux normes différentes. La sécurité signifie que l'IA ne causera aucun préjudice. La traçabilité signifie que vous pouvez prouver à une autorité de régulation ce qui s'est passé et pourquoi.
• La plupart des manquements à la conformité sont d'ordre architectural. Même une « boîte noire » dotée d'un journal d'audit ne permet pas de retracer le cheminement décisionnel qui sous-tend une réponse donnée.
• Lorsque chaque réponse peut être rattachée à une source contrôlée, la précision et la traçabilité découlent d'une même source, alliant ainsi une précision de plus de 98 % à une trace complète de l'historique des échanges.
• Découvrez à quoi ressemble un processus décisionnel basé sur l'IA et pouvant faire l'objet d'un audit en environnement de production. Prenez rendez-vous pour une démonstration.

Qu'est-ce qu'une liste de contrôle de conformité en matière d'IA ?

Une liste de contrôle de conformité en matière d'IA est un ensemble structuré d'exigences auxquelles un système d'IA destiné au grand public doit satisfaire avant de pouvoir être déployé et justifié dans un environnement réglementé.

Cela couvre la traçabilité, la gouvernance, le traitement des données, le contrôle humain et la validation continue.

Il ne s'agit pas d'une liste de contrôle de l'état de préparation à l'IA, qui porte sur la préparation organisationnelle : qualité des données, gestion du changement, indicateurs de réussite.

La « préparation » consiste à se demander si vous êtes prêt à déployer. La « conformité » consiste à se demander si vous êtes en mesure de défendre ce que vous avez déployé.

Pourquoi la notion de « sécurité » n'est pas le critère appliqué par les autorités de régulation

Les termes « sûr » et « vérifiable » sont utilisés comme s'ils avaient la même signification. Or, ce n'est pas le cas.

« Sûre » signifie que l'IA ne causera aucun préjudice. C'est là une intention de conception.

« Vérifiable » signifie que vous pouvez prouver à une autorité de régulation ce qui a été dit et pourquoi. Il s'agit d'une norme en matière de preuve, celle qui s'applique dans le cadre d'un contrôle.

Une mention de transparence indiquant aux clients qu’ils s’adressent à une IA relève des bonnes pratiques. Elle ne constitue pas une preuve. Seul le parcours décisionnel explique pourquoi une réponse spécifique a été donnée, et c’est précisément à cela que sert la gouvernance de type « glass box ».

Le cadre réglementaire dont les responsables de l'expérience client doivent désormais rendre compte

Les responsables de l'expérience client (CX) sont désormais chargés de gérer des cadres réglementaires qui relevaient auparavant exclusivement des services juridiques et de gestion des risques. Ce qu'il vous faut, c'est une prise de conscience opérationnelle, et non une simple fonction de conformité.

La loi européenne sur l'IA impose des obligations concernant les IA à haut risque et celles en contact direct avec les clients, notamment en matière de transparence et de contrôle. L'article 30 du RGPD traite des registres de traitement et de la localisation des données pour les activités menées dans l'Union européenne.

Dans le secteur des services financiers, les exigences du CFPB, de l'OCC et de la FDIC portent sur la vérifiabilité des communications avec la clientèle et la cohérence des informations fournies, conformément aux recommandations du CFPB relatives aux décisions fondées sur l'IA. La circulaire SR 11-7 définit les exigences en matière de documentation des risques liés aux modèles.

Pour les solutions SaaS B2B destinées à des clients soumis à une réglementation, les critères SOC 2 relatifs aux services de confiance, en particulier l'intégrité du traitement et la confidentialité, revêtent une importance capitale. Il s'agit ici d'une mise en contexte et non d'un avis juridique.

La liste de contrôle de conformité en matière d'IA : 10 exigences

Dix critères permettent de justifier le déploiement d'une IA en contact avec la clientèle. Chacun d'entre eux apporte des preuves concrètes, et ne se limite pas à une simple intention.

1. Chaque réponse peut être rattachée à une source précise et réglementée.
2. Le contenu est géré par versions, ce qui vous permet de montrer ce que l'IA savait à ce moment-là.
3. Le cheminement décisionnel correspondant à n'importe quelle réponse peut être reconstitué à la demande.
4. Les garde-fous sont appliqués au niveau de la couche d'architecture, et non par le biais d'instructions fournies dans la ligne de commande.
5. Le transfert vers un conseiller est une décision mûrement réfléchie, consignée et susceptible d'être examinée.
6. Les modifications apportées à la couche de connaissances sont gérées, approuvées et consignées.
7. Les données client, les données de recherche et le contexte du modèle sont clairement séparés.
8. Les options de localisation des données et de déploiement s'adaptent au cadre réglementaire dans lequel vous exercez vos activités.
9. Un utilisateur peut examiner, modifier et corriger tout résultat généré par l'IA, la modification effectuée étant enregistrée.
10. La précision est validée en continu après le lancement, et non certifiée une seule fois lors de la mise en service.

Les quatre groupes ci-dessous les détaillent.

Exigences 1 à 3 : Traçabilité et provenance

Les intentions liées à la source constituent le cœur du système. Le contenu est pré-traité et géré par le biais de l'ingénierie des connaissances, de sorte que chaque réponse renvoie à la source dont elle provient, avec une trace complète de l'historique de la conversation.

Le suivi des versions du contenu répond à la question que se posent réellement les examinateurs. Non pas « que dit l’IA aujourd’hui ? », mais « qu’a-t-elle dit à l’époque ? » et « pourquoi ? ».

La reconstitution du chemin de décision montre l'intention correspondante et la source qui y a répondu, ce qui confirme qu'aucun élément n'a été généré lors de l'exécution.

C'est ce qu'on appelle l'« intelligence programmée », qui s'appuie sur l'architecture à double LLM d'Encore, et c'est la raison pour laquelle une précision de plus de 98 % et la prévention des « hallucinations » sont intégrées au cœur du système, et non pas ajoutées en post-production.

Exigences 4 à 6 : Gouvernance et contrôle

Les garde-fous doivent être de nature architecturale. Une couche d'application des règles limite ce que le système peut dire, plutôt qu'une instruction de ligne de commande qu'un modèle peut choisir de suivre ou non.

L'escalade doit être une décision encadrée, consignée et pouvant faire l'objet d'un suivi, avec un transfert d'information incluant l'intégralité du contexte afin que le client n'ait pas à se répéter. C'est là qu'intervient l'assistance par un agent en direct.

Toute modification apportée aux connaissances doit suivre un processus de validation et d'audit, afin que le registre indique qui a modifié quoi, quand et sur l'ordre de qui.

C'est là que les programmes au niveau des politiques échouent généralement. La politique existe, mais le système ne peut ni la faire respecter ni en apporter la preuve.

Exigences 7 à 8 : Traitement et localisation des données

Les données client, les données de récupération et le contexte du modèle doivent être clairement séparés. Cette séparation vous permet de déterminer avec précision où une donnée donnée a été transférée.

Le déploiement sur site et dans un VPC, avec une configuration de résidence par région, revêt une importance particulière pour les organisations soumises à des contraintes strictes.

Cela renvoie à l'article 30 du RGPD concernant les registres de traitement relatifs aux activités de voyage et d'hôtellerie au sein de l'UE, ainsi qu'aux questions relatives à la résidence qui sont généralement soulevées en premier lieu par le RSSI.

Exigences 9 à 10 : Contrôle humain et validation continue

Le contrôle humain est une exigence de conformité, et non une solution de secours. Une personne doit être en mesure d'examiner, de passer outre et de corriger tout résultat, et cette dérogation doit elle-même être consignée à titre de preuve.

L'autonomie par étapes est la voie réglementée. La fonction « Read » observe et établit des références sans intervenir. La fonction « Recommend » propose des suggestions qui doivent être approuvées par un humain. La fonction « Act » exécute les actions dans le respect des limites réglementaires, avec des pistes d'audit tout au long du processus.

C'est une validation continue qui permet de le finaliser. L'exactitude n'est pas certifiée une fois pour toutes lors de la mise en service, car les connaissances évoluent et les questions changent.

Les tests de régression, l'évaluation de la précision et l'intégration des exigences de gouvernance et de conformité garantissent sa mise à jour. La couche de maintenance autonome d'Encore analyse les tendances d'escalade afin de combler les lacunes de contenu.

Pourquoi la conformité échoue au niveau de l'architecture, et non au niveau des politiques

Les organisations rédigent la politique de transparence, procèdent à la vérification juridique et mettent en place le journal d'audit. Puis, lors d'un contrôle, elles se rendent compte que le système n'est pas en mesure d'expliquer pourquoi une réponse particulière a été générée.

Un journal d'audit consigne le fait qu'une réponse a été donnée. Il ne retrace pas le raisonnement. C'est la seule information qui satisfait un enquêteur.

La solution réside dans l'approche « la connaissance d'abord ». Lorsque la connaissance structurée et contrôlée prime et que le modèle est mis à son service, la précision et la traçabilité proviennent d'une même source.

La conformité devient une caractéristique intrinsèque de l'architecture, et non plus une couche ajoutée a posteriori.

C'est aussi pour cette raison qu'il est difficile d'intégrer la conformité a posteriori. Une conception axée sur les modèles doit reconstruire l'explicabilité après coup, et c'est précisément cette explicabilité a posteriori qui ne tient pas la route.

Si votre déploiement actuel ne permet pas de reconstituer un seul chemin de décision, c'est là que réside la lacune. Découvrez à quoi ressemble la traçabilité.

Utilisation de la liste de contrôle par secteur d'activité

Services financiers. Privilégiez la traçabilité et la gestion des versions. Les réponses pouvant être rattachées à des intentions sources réglementées sont défendables lors des contrôles menés par le CFPB, l’OCC et la FDIC.

La cohérence des informations fournies est assurée, que ce soit via le chat, la fonction vocale ou la recherche, car ces trois services s'appuient sur la même base de connaissances réglementée.

La documentation du modèle est générée sans recourir à une instrumentation sur mesure. 

BBVA a transformé son service client grâce à la solution d'IA Inbenta, ce qui lui a permis de réduire de 84 % le nombre de cas renvoyés vers les niveaux supérieurs du service client.

Tourisme et hôtellerie. Priorité accordée au traitement et à la localisation des données. Registers de traitement conformément à l'article 30 du RGPD, configuration de la localisation par région et journaux d'interactions vérifiables, gérés dans plus de 90 langues et pour des volumes importants.

GOL Airlines traite plus de 10 millions de demandes par an sur un marché naturellement multilingue, et Travel Club conserve des journaux vérifiables sur l'ensemble des canaux.

Jeux d'argent et jeux en ligne, ainsi que solutions SaaS B2B destinées à des clients soumis à une réglementation. Accorder la priorité à la traçabilité héritée.

Un fournisseur de SaaS opérant dans des secteurs réglementés se voit imposer les exigences d'audit de ses clients, et les intentions liées à la source permettent de répondre à ces exigences.

Les critères SOC 2 relatifs à l'intégrité et à la confidentialité du traitement correspondent à des contrôles architecturaux. L'explicabilité en mode multi-locataires signifie que chaque client n'a accès qu'à ses propres données.

En quoi Encore répond aux critères de la liste de contrôle

Inbenta Encore a été conçue pour les secteurs réglementés en tant que plateforme d'IA agentique unifiée ; la liste de contrôle correspond donc à l'architecture, et non à des modules complémentaires.

• Traçabilité et gestion des versions. Chaque réponse découle d’une intention source régie et versionnée, accompagnée d’une piste d’audit complète détaillant son processus de production. La conformité réglementaire est intégrée d’emblée, et non ajoutée a posteriori.
• Barrières de sécurité architecturales. Une couche d'application des politiques limite ce que le système peut exprimer, de sorte que le contrôle et la preuve ne font qu'un.
• Isolation des données. Les données client, les données de récupération et le contexte du modèle restent distincts, avec des options de localisation sur site, dans un VPC et par région.
• Escalade contrôlée. Grâce àl'assistance en direct d'un agent, le transfert s'effectue en tenant compte de l'ensemble du contexte, est consigné et peut faire l'objet d'un examen, ce qui permet de démontrer l'intervention humaine plutôt que de la supposer.
• Validation continue. Les cadres de test basés sur l'IA couvrent les tests de régression, l'évaluation de la précision et l'intégration des exigences de gouvernance et de conformité, tandis qu'une couche de maintenance autonome comble les lacunes de contenu après le lancement.
• Couverture multicanal. La boîte à outils CX basée sur l'IA propose les mêmes réponses standardisées sur le chat, la messagerie vocale et le moteur de recherche, garantissant ainsi une cohérence des informations fournies sur tous les canaux.
• La précision au service de la connaissance. L'intelligence programmée, optimisée par l'architecture à double LLM d'Encore, atteint une précision supérieure à 98 % dans plus de 90 langues et plus de 850 intégrations d'entreprise, avec un déploiement plus rapide de plus de 75 %.

Aucun de ces éléments ne suffit à lui seul à garantir la conformité d'une organisation. Ils vous fournissent l'architecture et les éléments probants nécessaires pour justifier ce que vous mettez en place.

Inbenta Encore est une plateforme d'IA agentique unifiée qui a remporté le TSIA Star Award dans la catégorie « Innovateur de l'année en matière de réussite client numérique ».

Il est plus facile d'intégrer la conformité dès le départ que de l'ajouter a posteriori. Consultez le parcours décisionnel vérifiable en production.

Foire aux questions

Que doit contenir une liste de contrôle relative à la conformité de l'IA en matière d'expérience client ?

Il doit couvrir les éléments de preuve exigés par une autorité de régulation : traçabilité vers une source réglementée, gestion des versions du contenu, reconstitution du cheminement décisionnel, garde-fous architecturaux, enregistrement des escalades, modifications réglementées des connaissances, séparation et localisation des données, enregistrement des interventions manuelles et validation continue. Chaque élément doit permettre de fournir des preuves.

Quelle est la différence entre une IA sûre et une IA vérifiable ?

La « sécurité » signifie que l'IA ne causera aucun préjudice, ce qui constitue un objectif de conception. L'« auditabilité » signifie qu'il est possible de prouver à une autorité de régulation ce qui a été dit et pourquoi, ce qui correspond à une norme en matière de preuve. Un système peut être sûr et néanmoins échouer à un audit s'il n'est pas en mesure de reconstituer le cheminement décisionnel à l'origine d'une réponse.

La loi européenne sur l'IA s'applique-t-elle à l'IA utilisée dans le service client ?

C'est possible, en fonction de l'utilisation qui est faite du système et de sa classification en matière de risques. L'IA en contact avec la clientèle implique des obligations de transparence et de contrôle humain, et les utilisations présentant un risque plus élevé entraînent des obligations supplémentaires. Il s'agit là d'un contexte général et non d'un avis juridique ; votre équipe chargée de la conformité doit évaluer la conformité de votre déploiement par rapport aux obligations applicables.

Comment prouver à une autorité de régulation ce qu'une IA a dit et pourquoi ?

Avec un parcours décisionnel, et pas seulement un journal d'audit. Vous indiquez l'intention qui a été identifiée, la source versionnée qui a fourni la réponse, si celle-ci a été vérifiée ou modifiée par un humain, et ce que le client a reçu. Cela est possible lorsque les réponses sont extraites d'une base de connaissances régie et liée à des sources, plutôt que générées au moment de l'exécution.

Qui est responsable de la conformité en matière d'IA dans un centre de contact : l'équipe chargée de l'expérience client (CX) ou l'équipe chargée de la conformité ?

Les deux, et c'est pourquoi cette liste de contrôle a été conçue pour être partagée. Le service CX est responsable du déploiement ; les services Risques et Conformité sont chargés de la norme à laquelle celui-ci doit se conformer. Les exigences énoncées ici constituent le terrain d'entente, de sorte que l'architecture fournisse les preuves requises par le service Conformité.

Est-il possible d'assurer la conformité a posteriori d'un déploiement d'IA existant ?

En partie, mais cela s'avère difficile lorsque le système est axé sur les modèles, car l'explicabilité doit être reconstruite a posteriori et les explications a posteriori tiennent rarement la route. Une architecture axée sur la connaissance fait de la conformité une propriété intrinsèque de la conception, plus facile à intégrer dès le départ qu'à ajouter a posteriori.