Une IA fiable doit laisser aux clients un recours humain

L’approbation de l’IA en contact avec les clients doit être renouvelée

Un système d’IA en contact avec les clients peut conserver son approbation initiale même après que son rôle a suffisamment changé pour exiger une nouvelle décision. Un assistant approuvé pour répondre à des questions peut commencer à recommander des issues, obtenir l’accès à des comptes clients ou laisser à un employé très peu de possibilité concrète de s’y opposer. L’approbation reste utile tant que ses hypothèses sur l’autorité, les résultats pour les clients et le contrôle humain restent valables.

Ces hypothèses comptent dans des usages bien connus : génération de contenu marketing, personnalisation des offres, réponse aux questions des clients et recommandation de ce que les personnes devraient envisager ensuite. Chacun peut affecter un client par les informations présentées, les données collectées ou l’action entreprise. La gouvernance doit donc suivre le système après son déploiement, en plus des tests et de l’examen juridique requis avant le lancement.

La confiance des clients rend cette responsabilité continue plus urgente. Le fournisseur de sécurité Thales, qui bénéficie commercialement de la demande en protection des données et en sécurité, indique dans son Digital Trust Index 2026 que seuls 23 % font confiance aux entreprises pour utiliser l’IA de manière responsable avec leurs données. Pour les équipes qui préparent ou examinent un système, cette préoccupation soulève une question pratique : quelle autorité l’organisation a-t-elle accordée, et comment en contrôle-t-elle l’usage ?

Définir les actions autorisées du système avant le lancement

L’autorité exige une décision distincte de la capacité technique. Un agent IA, c’est-à-dire un système connecté à des outils capables d’exécuter des tâches, peut produire une réponse factuellement correcte puis déclencher une action en dehors de l’autorité qui lui était destinée. Évaluer la qualité des réponses doit donc aller de pair avec la vérification des systèmes métier auxquels il peut accéder et des restrictions appliquées pendant son fonctionnement.

Ces contrôles périphériques sont au cœur de l’avertissement qu’Allan Dabre, senior manager of technology compliance and AI risk chez PwC, a adressé à CMSWire. PwC vend des services de conseil dans ces domaines et bénéficie de la demande en gestion des risques liés à l’IA. Dabre a déclaré : « Le risque que les équipes de risque manquent le plus souvent se situe dans le dispositif d’encadrement, pas dans le modèle. Les entreprises passent des mois à évaluer les données d’entraînement d’un fournisseur et ses tests de biais, puis donnent à l’agent qui en résulte un accès très large aux systèmes, avec presque aucun contrôle d’exécution sur ce qu’il peut faire une fois déployé. » Ici, le dispositif d’encadrement désigne les systèmes, autorisations et contrôles qui régissent un agent déployé ; les contrôles d’exécution appliquent des restrictions pendant son fonctionnement.

Un accès large a des conséquences lorsqu’un agent peut émettre un remboursement, modifier un paramètre de compte ou faire remonter une réclamation sans que personne n’ait approuvé cette autorisation. Chaque action peut être légitime dans le cadre du service client, mais chacune exige une décision explicite sur l’autorité indépendante. Une politique de remboursement, par exemple, doit préciser quand un agent peut agir et quand une personne doit approuver le résultat. La connexion technique doit faire respecter cette décision.

Mettre ces autorisations par écrit est le point de départ proposé par Emily Hartstone, fondatrice et PDG de From The Hart Management, dont l’activité de conseil aux entreprises lui donne un intérêt commercial dans la demande de conseils en gouvernance. Elle conseille aux entreprises : « Commencez par la question que la plupart des démarches de gouvernance évitent : que ce système est-il autorisé à faire sans intervention humaine ? Pas ce qu’il peut faire, mais ce qu’il est autorisé à faire. Rédigez cette liste avant le lancement, car si vous ne pouvez pas l’écrire, vous n’avez pas encore un système que vous pouvez gouverner. Vous en avez un dont vous espérez qu’il se comportera bien. » Cette liste donne aux équipes produit, ingénierie et risque une base commune pour approuver les connexions et les actions.

L’application de ces règles transforme cet accord en restriction opérationnelle. Les équipes doivent identifier les systèmes métier connectés, préciser les autorisations d’accès, définir les actions permises et établir des règles d’escalade. L’examen des données d’entraînement et les tests de biais restent nécessaires, tandis que les contrôles d’exécution empêchent qu’une réponse exacte déclenche une action conséquente non autorisée. Les enregistrements doivent identifier qui a approuvé ces limites, et les clients doivent disposer d’un moyen de contester les décisions conséquentes.

Réévaluer l’approbation lorsque l’usage ou le contrôle humain change

Le maintien de ces limites commence par l’identification de ce qui fonctionne déjà. Dans l’AI-Ready Governance Survey 2026 de OneTrust, éditeur de logiciels de gouvernance de l’IA, 1 200 décideurs seniors répartis sur huit marchés ont signalé un écart entre l’encouragement à utiliser des agents IA et leur gouvernance. OneTrust a un intérêt commercial direct dans cet écart, car l’entreprise vend des logiciels de gestion de la gouvernance.

L’enquête a révélé que 87 % des organisations encourageaient l’usage d’agents IA, tandis que 47 % disposaient de contrôles de gouvernance et d’une supervision clairs pour ces agents. Trente et un pour cent n’ont identifié les cas d’usage de l’IA qu’une fois déjà en fonctionnement. Lorsque la découverte suit le déploiement, la première décision de gouvernance peut arriver après que les employés et les clients ont commencé à dépendre d’un système. Un inventaire doit donc inclure une découverte active en plus de l’enregistrement avant le lancement.

Une fois un déploiement identifié, les évaluateurs doivent vérifier si la supervision humaine modifie encore les décisions. Dean Cooper, directeur informatique groupe et créateur du Human-Accountable AI Responsibility Model, a décrit cette progression à CMSWire : « Une IA de service client peut commencer par aider un employé à rédiger une réponse. Ensuite, elle commence à analyser la demande du client. Puis à recommander une issue », a-t-il déclaré. Chaque étape donne au système davantage d’influence sur le jugement qui suit.

Un employé peut rester impliqué tout au long de cette progression tout en perdant le contrôle concret. Cooper a poursuivi : « À terme, l’employé peut en pratique se contenter d’approuver une décision que l’IA a déjà prise. Sur le papier, l’organisation peut toujours dire qu’il y a un humain dans la boucle. Sur le plan opérationnel, cet humain peut n’être devenu guère plus que le clic final. » Un enregistrement d’approbation doit donc être examiné en parallèle d’éléments montrant que l’employé a bien étudié la recommandation et pouvait la contester.

Un examen significatif dépend des conditions de travail de l’employé. L’évaluateur a besoin de suffisamment d’informations pour apprécier la recommandation, de suffisamment de temps pour examiner les préoccupations et de l’autorité nécessaire pour rejeter ou modifier le résultat proposé. À mesure que le rôle de l’IA s’étend de la rédaction à l’analyse puis à la recommandation, les équipes doivent vérifier si les employés évaluent réellement les décisions. Un écran d’approbation ne soutient la responsabilité que lorsque l’évaluateur peut y exercer son jugement.

Les changements dans la finalité du système exigent une réévaluation similaire. Usama Ahmad, fondateur de ReceptFlow, a un intérêt commercial, via son entreprise, dans la manière dont les entreprises adoptent et gèrent l’IA. Il décrit le risque : « Un système d’IA approuvé pour “répondre aux FAQ et prendre des rendez-vous” commence discrètement à traiter des sujets comme le triage de symptômes ou le filtrage initial de dossiers juridiques parce que personne ne l’a réexaminé à mesure que son usage dérivait. » L’approbation initiale couvre alors un travail aux conséquences différentes de celles envisagées au départ.

À mesure que les responsabilités s’élargissent, les équipes doivent mettre à jour l’inventaire et réévaluer les changements de données, de capacités, d’utilisateurs et de finalité métier. Passer de la prise de rendez-vous au triage de symptômes, par exemple, modifie l’expertise et les garde-fous nécessaires pour traiter une réponse incorrecte. Les évaluateurs doivent vérifier si les restrictions, la supervision humaine et les voies de support client restent adaptées. Le renouvellement doit suivre les changements significatifs d’autorité, de résultats observés ou de contrôle humain concret, plutôt qu’un intervalle calendaire universel.

Tester les réponses et les résultats dans les conditions auxquelles les clients sont confrontés

Réévaluer l’autorité est une partie de l’examen ; vérifier ce que reçoivent les clients en est une autre. En février 2024, le Civil Resolution Tribunal de la Colombie-Britannique a jugé Air Canada responsable dans l’affaire Moffatt v. Air Canada après que le chatbot de son site web a fourni des informations incorrectes sur les tarifs de deuil. Le tribunal a rejeté l’argument selon lequel le chatbot portait une responsabilité indépendante pour ses déclarations. La responsabilité de l’entreprise découlait des informations fournies à un client, ce qui signifie que les restrictions d’accès aux comptes et les contrôles continus d’exactitude répondent à des types d’échec différents.

Les tests de résultats doivent aussi examiner comment les décisions automatisées affectent différents groupes. En mai 2025, un juge fédéral en Californie a autorisé les demandes dans l’affaire Mobley v. Workday, concernant une discrimination alléguée fondée sur l’âge par l’outil d’IA de présélection des candidats de Workday, à se poursuivre sous la forme d’une action collective nationale. Les demandes concernaient des demandeurs d’emploi plus âgés ; la décision procédurale a permis à l’affaire d’avancer sans trancher la question de savoir si une discrimination avait eu lieu. Bien que la présélection des candidats s’adresse à un public différent du service client, elle illustre pourquoi l’examen de décisions conséquentes doit analyser le traitement entre groupes concernés.

Tester un déploiement particulier commence par les questions que ses utilisateurs posent réellement. JP Garbaccio, responsable AEO, ou answer engine optimization, chez Searchable, travaille dans un domaine commercial concerné par la manière dont les organisations apparaissent dans les réponses générées par l’IA et a un intérêt dans la demande d’évaluation de ces résultats. Il a déclaré à CMSWire : « Les données d’entraînement vous disent à partir de quoi un modèle a appris, et l’assurance d’un fournisseur vous dit comment il s’en est sorti sur ses propres questions. Ni l’un ni l’autre ne vous dit ce qu’il dira à vos clients. » Les tests d’acceptation doivent donc refléter les produits, les politiques et les dossiers clients de l’entreprise.

Garbaccio recommande une séquence précise : « Testez-le donc avec de vraies questions issues de vos journaux de support, exécutez chacune plusieurs fois et évaluez les réponses par rapport à des faits que vous avez vous-même vérifiés. Décomposez ensuite le taux d’erreur par segments pertinents, comme le produit et la région. » Les exécutions répétées mettent en évidence la variation des réponses à une même question. L’évaluation par rapport à des faits vérifiés permet d’établir si ces réponses sont acceptables pour l’entreprise, tandis que la segmentation des résultats montre où les erreurs se concentrent.

Le même examen doit couvrir l’équité du traitement client. Les équipes doivent comparer les taux d’erreur, les recommandations, les prix, l’accès au service et les résultats des décisions entre groupes pertinents, y compris des cas limites réalistes. Des schémas de langage différents, des dossiers incomplets et des circonstances inhabituelles peuvent révéler des faiblesses dans les workflows standard. Tester ces conditions aide à identifier qui reçoit des réponses de moindre qualité ou un service moins utile, tandis que des procédures documentées d’enquête et de correction établissent ce qui se passe lorsqu’un écart apparaît.

L’exploitation en conditions réelles ajoute des paramètres que les tests contrôlés peuvent manquer. Les schémas de réclamation, les taux d’escalade et les différences dans les résultats clients peuvent révéler des obstacles récurrents, y compris des situations qu’un employé humain pourrait reconnaître et résoudre. Lorsque ces signaux apparaissent, les équipes doivent examiner le comportement du modèle, les prompts, les instructions fournies au modèle, et les sources d’information connectées, puis corriger le problème ou suspendre l’exploitation. Les mises à jour du modèle du fournisseur et les changements apportés aux informations fournies au système doivent également déclencher de nouveaux tests.

Évaluer le bénéfice client selon la pertinence, l’équité et des voies de recours utilisables

Les tests peuvent établir l’exactitude, mais le bénéfice client dépend aussi de la capacité des personnes à résoudre leurs problèmes. Dans une enquête Gartner menée en février et mars 2026 auprès de 3 566 clients business-to-business (B2B) et business-to-consumer (B2C), 50 % ont déclaré que les interactions étaient plus faciles lorsque les entreprises utilisaient l’IA générative, ou GenAI, qui produit du contenu comme du texte. Dans la même enquête, 87 % ont déclaré que les entreprises utilisant la GenAI pour le service client devaient proposer une option avec agent humain. Gartner vend des services de recherche et de conseil ; l’entreprise bénéficie donc commercialement de la demande de recommandations sur ces choix.

La combinaison de la commodité et de l’accès à un humain indique une exigence pratique de conception. Lorsqu’un sujet est sensible, complexe ou non résolu, ou qu’une action a des conséquences significatives, les clients ont besoin d’un moyen d’accéder à quelqu’un capable d’exercer son jugement, d’expliquer une décision et d’assumer la responsabilité de l’étape suivante. Les réclamations, l’escalade, l’assistance humaine et les recours offrent différentes formes de recours. Leur valeur dépend de leur capacité à aider la personne à résoudre le problème, y compris lorsque sa situation sort du processus standard.

Les attentes varient aussi selon l’usage de l’IA. Une enquête Gartner publiée en mars 2026 a révélé que la moitié des consommateurs américains préféraient faire affaire avec des marques qui n’utilisaient pas la GenAI dans les messages, publicités et contenus destinés aux consommateurs. Séparément, une enquête Gartner menée en octobre 2025 auprès de 1 539 consommateurs américains a révélé que 68 % se demandaient fréquemment si le contenu et les informations qu’ils rencontraient étaient réels. Ces résultats portent sur la préférence de marque et l’incertitude quant à l’authenticité, des questions distinctes de la commodité et de l’accès humain dans le service client.

Pour les équipes marketing, ces préoccupations font de la pertinence un test nécessaire de la personnalisation. Stefanie Boyer, professeure de marketing à Bryant University, a déclaré à CMSWire : « Nous le voyons dans la prospection commerciale. Les entreprises peuvent désormais générer des e-mails hautement personnalisés à une échelle énorme, mais “personnalisé” ne veut pas dire pertinent. Une IA peut mentionner une conférence où quelqu’un est intervenu il y a six ans, puis enchaîner immédiatement sur un argumentaire commercial générique. Techniquement, c’est personnalisé. Du point de vue de l’acheteur, cela peut en réalité sembler moins authentique et nuire à la confiance. » Son exemple montre comment l’utilisation d’un détail personnel peut ne pas répondre à un besoin actuel.

Le besoin actuel d’un client donne aux équipes une base pratique pour juger l’interaction. Une alerte d’annulation de vol avec une option de réacheminement répond à un problème connu ; un distributeur qui exploite une vulnérabilité déduite pour pousser à l’achat exploite une connaissance sensible. Les améliorations d’engagement et de conversion doivent rester secondaires par rapport à la question de savoir si l’interaction aide le client. L’examen doit donc couvrir la pertinence, les affirmations non étayées, les inférences sensibles, le contenu synthétique trompeur et la provenance, c’est-à-dire l’origine du contenu.

La transparence aide les clients à comprendre ces interactions, tandis que les pratiques sous-jacentes déterminent si elles méritent leur confiance. Les entreprises doivent signaler l’intervention de l’IA lorsqu’elle est pertinente pour des réponses, recommandations et contenus qui influencent des décisions, et expliquer clairement la source du système, ses limites et ses contraintes importantes. Elles doivent aussi obtenir un consentement significatif pour les usages inattendus des données et ne collecter que les informations nécessaires à la tâche. La collecte, la conservation ou l’exposition au-delà des attentes raisonnables peuvent compromettre un service par ailleurs utile.

La confidentialité, le choix et les recours font donc partie de l’évaluation de la valeur client. Une recommandation pertinente peut malgré tout reposer sur un usage inapproprié des données, tandis qu’une réponse exacte peut laisser un sujet sensible non résolu si aucune personne qualifiée n’est joignable. L’examen juridique ajoute des exigences à ces décisions produit, avec des obligations qui dépendent de la juridiction, de l’usage des données et des conséquences pour les individus.

Faire correspondre les obligations juridiques au cas d’usage et à l’évolution de ses conséquences

L’examen juridique doit relier chaque déploiement au lieu où se trouvent ses clients, aux données qu’il utilise, aux affirmations qu’il formule et à ses conséquences potentielles. En octobre 2026, le cadre de l’UE comprend des obligations déjà en vigueur ainsi que des échéances ultérieures pour d’autres exigences. Les équipes doivent donc évaluer séparément les obligations actuelles et les préparatifs en vue des dates ultérieures de conformité.

Les obligations actuelles incluent les règles de pratiques interdites de l’AI Act de l’UE et une obligation révisée de culture IA du personnel, concernant les connaissances dont le personnel a besoin pour comprendre et utiliser l’IA. Le Digital Omnibus on AI, règlement (UE) 2026/1744, impose aux entreprises de prendre des mesures soutenant la culture IA du personnel plutôt que de garantir un niveau donné. Son calendrier sépare aussi les exigences de transparence des obligations ultérieures pour les systèmes à haut risque ; l’usage du déploiement et l’échéance pertinente sont donc des éléments importants de l’examen.

Au regard de ce calendrier, les équipes tournées vers l’UE doivent évaluer les divulgations d’interaction, les étiquettes de contenu pertinentes et le marquage lisible par machine, qui permet aux logiciels d’identifier les contenus générés. Elles doivent aussi prendre en compte le General Data Protection Regulation, ou GDPR, ainsi que ses restrictions et garanties pour les décisions exclusivement automatisées produisant des effets juridiques ou des effets significatifs similaires. L’examen doit analyser le traitement des données personnelles, les décisions conséquentes, les contenus nécessitant une identification et les risques pour les droits fondamentaux. Les échéances ultérieures de l’AI Act ne suspendent pas les obligations existantes.

Les États-Unis exigent un examen différent, car il n’existe pas de loi fédérale globale sur l’IA. Le droit fédéral de protection des consommateurs, y compris celui appliqué par la Federal Trade Commission, ou FTC, s’applique toujours aux affirmations trompeuses, aux pratiques déloyales et à l’usurpation d’identité. Les entreprises qui hébergent ou diffusent du contenu utilisateur doivent aussi prendre en compte le Take It Down Act et les règles visant les images intimes synthétiques. Cette loi couvre certaines images intimes créées ou modifiées par IA.

Les exigences des États ajoutent des obligations concernant l’information, le profilage, les informations sensibles et les décisions automatisées. Les réglementations de la California Privacy Protection Agency, ou CPPA, sur la technologie de prise de décision automatisée, également appelée ADMT, imposent une conformité au 1er janvier 2027. Le Colorado a remplacé son AI Act de 2024 par la loi plus étroite de transparence sur les décisions automatisées SB 26-189, qui entre en vigueur le 1er janvier 2027, sous réserve d’un recours juridique en cours qui pourrait la retarder. Ces différences obligent les équipes à faire correspondre les obligations à chaque usage.

Les contestations juridiques doivent aussi être traitées avec soin lorsque les équipes consignent les obligations actuelles. L’Executive Order 14365, signé le 11 décembre 2025, a créé une task force du ministère de la Justice chargée de contester les lois des États sur l’IA, tout en laissant ces lois en place tant qu’aucune autre mesure n’en modifie l’effet. Les équipes doivent distinguer la date d’entrée en vigueur d’une obligation d’une contestation susceptible de l’affecter. Cet enregistrement donne aux responsables de déploiement une base pour réagir lorsque les conditions juridiques changent.

Attribuer un responsable et un processus d’examen pour l’ensemble du cycle de vie

Répondre aux changements juridiques et opérationnels exige un responsable nommé pour chaque déploiement. Les équipes produit en définissent la finalité, tandis que les équipes data, sécurité, juridique, conformité et en contact avec les clients supervisent les accès, les obligations et les communications. La direction doit imposer la détection des erreurs, des biais et des préjudices clients après le lancement. Le responsable du déploiement coordonne l’examen et l’escalade afin que la responsabilité reste claire lorsque plusieurs équipes doivent agir.

Le responsable a besoin d’un dossier de déploiement qui soutienne les décisions tout au long du cycle de vie du système. Il doit identifier la finalité, les clients concernés, l’accès aux données et si le système influence des actions ou les exécute. Il doit aussi documenter la classification des risques, les applications approuvées et interdites, les choix importants de données et de modèle, ainsi que le raisonnement derrière les décisions de conception significatives. Les évaluateurs peuvent alors comparer le fonctionnement actuel avec les décisions qui ont justifié l’approbation.

La création de ce dossier commence par un cas d’usage étroitement défini et une description des préjudices inacceptables. Avant le déploiement, les équipes doivent désigner le responsable, identifier les clients concernés et établir les voies d’examen et d’escalade. La préparation des données et la conception doivent ensuite suivre ces limites : consigner les informations nécessaires, restreindre l’accès, documenter les décisions de modèle et de conception, et préciser les actions autorisées et interdites. Cela relie la finalité déclarée à des limites sur l’autorité indépendante.

Avant le lancement, les équipes doivent tester si la conception répond à ces exigences dans des conditions réalistes. Les tests d’exactitude, de sécurité et d’équité doivent inclure des cas inhabituels et des différences entre groupes, ainsi que des vérifications du bon fonctionnement de l’escalade humaine. Les équipes doivent aussi définir les conditions de rollback, c’est-à-dire un retour à une version ou une configuration antérieure plus sûre du système. Après le lancement, les réclamations, erreurs, écarts, faiblesses de sécurité et changements de modèle doivent alimenter la surveillance, les mises à jour de l’inventaire, la correction et la réévaluation.

L’intensité de ce travail doit augmenter avec le préjudice potentiel. Le crédit, l’emploi, l’assurance, le logement et l’accès aux services essentiels peuvent affecter les opportunités ou les besoins fondamentaux ; le niveau de contrôle doit donc refléter ces conséquences. Les déploiements de service client et de marketing nécessitent aussi des contrôles spécifiques, car des informations erronées, un usage inapproprié des données et un ciblage manipulateur peuvent nuire aux clients. C’est l’usage qui détermine quelles garanties exigent une attention particulière.

Ces garanties deviennent utilisables grâce à des procédures d’intervention convenues avant que les problèmes ne surviennent. Les équipes ont besoin de conditions définies pour suspendre un processus activé par l’IA, de procédures pour corriger des résultats défectueux et de critères pour revenir sur des changements risqués. L’examen continu de la sécurité doit suivre les tests préalables au lancement, et quelqu’un doit conserver la capacité d’expliquer, de modifier ou d’arrêter chaque déploiement. Pour les clients en dehors des workflows standard, ces procédures doivent préserver une véritable possibilité de contester des décisions conséquentes et d’obtenir une aide qualifiée pour les sujets sensibles ou non résolus.

En résumé

L’approbation d’une IA en contact avec les clients repose sur des hypothèses concernant ce que le système peut faire, les personnes qu’il affecte et la manière dont les humains conservent le contrôle. Ces hypothèses peuvent cesser d’être valables à mesure que les équipes ajoutent des capacités, connectent davantage de données ou s’appuient plus fortement sur les recommandations. Les dirigeants doivent traiter les changements significatifs comme des décisions nécessitant un examen, plutôt que de laisser l’approbation initiale couvrir un rôle en expansion.

Cela exige un responsable désigné ayant l’autorité d’intervenir, des preuves sur les résultats clients et des conditions claires de réévaluation. L’examen doit établir si les autorisations restent adaptées à la tâche, si les employés peuvent réellement contester les recommandations et si les clients peuvent joindre quelqu’un capable de résoudre des problèmes conséquents. Un simple enregistrement d’approbation ne peut pas répondre à lui seul à ces questions.

La responsabilité des dirigeants consiste à financer et à faire appliquer ces contrôles tout au long de l’exploitation. Les équipes ont besoin de temps pour enquêter sur les écarts, corriger les erreurs et suspendre les systèmes lorsque les garanties ne sont plus adaptées. Une IA en contact avec les clients ne reste responsable que lorsque l’entreprise peut expliquer ses actions, limiter son autorité et assumer ses responsabilités lorsqu’elle cause un préjudice.