Référentiel ouvert — volet 2
Les 12 contrôles de l'IA sous-traitée
Ouverture de comptes avec KYC, production de contenus, back-office : quand un processus est externalisé, l'IA entre souvent par la marge du prestataire, sans déclaration. Le donneur d'ordre reste pourtant seul responsable devant son régulateur, ses clients et sa marque : on sous-traite le travail, jamais la responsabilité.
Ce volet 2 du référentiel énonce les 12 contrôles d'un processus sous-traité où l'IA intervient. Ils ne se posent plus sur des frontières techniques, mais sur la frontière contractuelle : ce que le contrat doit exiger, ce que vous devez pouvoir voir, et ce que l'argent et la réversibilité doivent dire. Publié en accès libre : les 12 questions auditent une relation BPO en une heure environ, avec ou sans TokenShift.
Responsabilité & délégation
Le régulateur, vos clients et votre marque vous tiennent responsable de ce que le prestataire fait en votre nom. Ces contrôles établissent ce qui ne se transfère jamais.
Un propriétaire de la relation, avec pouvoir de suspension
Une personne côté client possède la relation externalisée, avec des droits contractuels de suspension et d'intervention mobilisables seule, sur critères écrits.
Le test
Qui, chez vous, peut suspendre le service demain matin, et sur quelle clause ?
Échoue quand
La relation appartient aux achats le jour de la signature, puis à personne ; ou la suspension exige un préavis qui la rend théorique.
La liste des décisions non délégables
Les décisions qui ne franchissent jamais la frontière contractuelle, écrites au contrat. KYC : rejet définitif, gel, déclaration de soupçon. Contenus : publication sous votre marque, engagement public.
Le test
Montrez la liste des décisions que le prestataire n'a pas le droit de prendre, même si son IA sait les préparer.
Échoue quand
La délégation s'étend en silence, parce que « leur outil le fait déjà très bien ».
La matrice à trois mains
Pour chaque tâche : qui propose, qui décide, qui signe — l'IA du prestataire, un opérateur du prestataire, ou vous. Par classe de risque.
Le test
Ce dossier refusé le mois dernier : qui a décidé — leur IA, leur agent, ou l'un des vôtres ?
Échoue quand
Personne ne sait répondre, parce que la frontière IA/humain est invisible depuis chez vous.
Contrat & transparence IA
Vous perdez le contrôle direct le jour de la signature. Ces contrôles font de la transparence une obligation contractuelle, pour que la preuve puisse remplacer l'observation.
L'obligation de déclaration IA, chaîne comprise
Le prestataire déclare où l'IA intervient dans votre prestation, avec quels modèles, quelle autonomie, et quels sous-traitants IA — son fournisseur de modèle est votre quatrième partie. Usage non déclaré = manquement.
Le test
Votre contrat oblige-t-il le prestataire à déclarer un nouvel usage d'IA avant sa mise en service sur vos flux ?
Échoue quand
L'IA entre par la marge du prestataire, et vous l'apprenez par un incident — ou par la presse.
Des garde-fous exigés, opposables, avec droit de regard
Le contrat impose un artefact de garde-fous versionné applicable à vos flux (entrées, sorties, périmètre d'accès, refus), consultable à la demande.
Le test
Pouvez-vous obtenir sous 48 h le fichier de garde-fous applicable à vos dossiers, daté et versionné ?
Échoue quand
Les garde-fous n'existent que dans le discours commercial du prestataire.
La notification des changements matériels, avec re-recette
Changement de modèle, de niveau d'autonomie, de sous-traitant IA ou de localisation des données : notification préalable et re-recette sur échantillon avant bascule sur vos flux.
Le test
Le prestataire peut-il changer de modèle sans vous le dire ? Si oui, il l'a déjà fait.
Échoue quand
Son plan de bascule interne s'exécute sans que votre recette suive.
Interface & preuve
Ce que vous ne pouvez plus observer, vous devez pouvoir le prouver. Ces contrôles rendent vos résultats vérifiables et votre auditabilité non externalisable.
La recette à réception, par classe de risque
Critères d'acceptation par livrable et contrôle de second niveau côté client, échantillonné par risque : renforcé sur les cas sensibles (dossiers KYC atypiques ; chiffres, citations et allégations des contenus), allégé et assumé ailleurs.
Le test
Quel pourcentage recevez-vous ET re-contrôlez-vous, et pourquoi ce chiffre-là ?
Échoue quand
La confiance remplace l'échantillon — ou l'inverse, le re-contrôle à 100 % qui paie deux fois le même travail.
Le journal reconstituable sur vos flux
Pour chaque dossier traité en votre nom : quelle part IA, quelle version de modèle, quel humain, quand — reconstituable et accessible à vous, vos auditeurs et votre régulateur, même si le système appartient au prestataire.
Le test
Ce compte ouvert le mois dernier : la part IA de la décision, en 48 heures ?
Échoue quand
Le journal existe « chez eux », mais ne vous est ni contractuellement dû, ni techniquement accessible : votre auditabilité a été externalisée avec le reste.
Le devoir d'exception et d'incident
Seuils, délais et canal contractuels. L'exception alimente un rapport périodique ; l'incident (fraude suspectée, fuite, hallucination sur un dossier ou un contenu publié) remonte au propriétaire client immédiatement, sans attendre le comité.
Le test
Quand avez-vous reçu le dernier rapport d'exceptions ? Et le dernier incident, en combien de temps ?
Échoue quand
Les incidents sont absorbés par les opérations du prestataire pour protéger le SLA : le contrat paie la ponctualité, pas la vérité.
Économie & sortie
L'IA sous-traitée déplace l'argent et le pouvoir. Ces contrôles gardent la métrique, le prix et la sortie de votre côté de la table.
La métrique contradictoire
La qualité et la valeur mesurées côté client, sur vos propres points de mesure, pas seulement par les KPI auto-déclarés du prestataire.
Le test
Vos chiffres et les leurs racontent-ils la même histoire ? Quand ont-ils divergé pour la dernière fois ?
Échoue quand
Le tableau de bord du prestataire est votre seule source : le thermomètre appartient au patient.
Le prix aligné sur l'automatisation
Clause de productivité et modèle de prix au dossier ou au résultat, pas à l'équivalent temps plein ; droit de benchmark. Si l'IA du prestataire divise son coût par deux, le contrat dit où va le gain.
Le test
Si leur IA réduit leur coût de 40 %, votre facture bouge-t-elle — et quand ?
Échoue quand
Vous payez des ETP qui n'existent plus ; l'automatisation enrichit la marge du prestataire et finance sa négociation contre vous.
La réversibilité, artefacts IA compris
Plan de sortie testé, et propriété écrite des artefacts construits sur votre compte : prompts, évaluations, garde-fous, journaux, données dérivées. Vous devez pouvoir ré-internaliser ou changer de prestataire sans repartir de zéro.
Le test
Si vous sortez dans six mois : qu'emportez-vous, et chez qui tournent réellement vos données aujourd'hui ?
Échoue quand
L'intelligence accumulée sur vos flux appartient de fait au prestataire : la sortie est théoriquement possible et pratiquement impayable.
Comment utiliser ce référentiel
Prenez une relation externalisée, pas le portefeuille achats. Posez les 12 questions telles qu'elles sont écrites, avec le propriétaire de la relation, la direction des achats et un juriste. L'audit tient en une heure ; le contrat dira le reste.
Trois contrôles manquent dans la plupart des contrats signés avant 2026 : la déclaration IA (4), le prix aligné sur l'automatisation (11) et la réversibilité des artefacts IA (12). Commencez par là — souvent par un avenant.
Les deux volets se composent : ce référentiel gouverne la relation ; à l'intérieur du prestataire, le volet 1 devrait s'appliquer — exigez-le. Dans le chemin TokenShift : Decision Clarity audite la relation, un avenant installe les contrôles 4 à 9, et le Governance Retainer fait vivre le comité conjoint et les contrôles 10 à 12.
Le processus tourne chez vous, pas chez un prestataire ? Le volet 1 couvre la production interne.
Les 12 contrôles de la production gouvernéeUn contrat BPO à auditer ?
Decision Clarity applique ces 12 questions à une relation externalisée et rend une décision prête pour comité exécutif en 4 à 6 semaines.
Réserver une session