Le centre de contact est précisément le type de charge de travail pour lequel le cadre de souveraineté du cloud a été conçu.

Si vous deviez concevoir une charge de travail dans le but délibéré de ne pas respecter le cadre de souveraineté du cloud de la Commission, vous mettriez en place un centre de contact moderne. Enregistrements vocaux des clients. Données PCI dans le flux de paiement. Informations médicales sur la ligne dédiée à la santé. Données relatives aux prestations sociales sur la ligne dédiée aux services publics. Transcriptions de chaque appel. Résumés générés par l’IA. Suggestions d’actions optimales entraînées à partir de tous les éléments ci-dessus.

C'est pourquoi le CC est le type de charge de travail sur lequel le framework va d'abord porter ses effets, et où les fonctionnalités d'IA ajoutées au cours des deux dernières années ont discrètement fait chuter des scores qui étaient auparavant jugés satisfaisants.

Où en sont aujourd'hui les successions CC ?

C'est une généralisation, mais elle est utile.

• Une plateforme de collaboration collaborative (CC) dans le cloud, dont le siège social est situé aux États-Unis et hébergée dans une région de l'UE, qui utilise ses fonctionnalités d'IA par défaut pour la transcription et la synthèse, obtient la note SEAL-1. Les données peuvent se trouver à Francfort, mais ce n'est pas le cas de l'inférence du modèle ni de la gestion des locataires.
• Cette même plateforme, dont les fonctionnalités d'IA ont été désactivées et dont l'assistance est désormais assurée par une équipe de livraison basée dans l'Union européenne, passe sous la bannière de SEAL-2.
• Une plateforme de calcul en nuage basée dans l'UE, avec une conservation des clés au sein de l'UE, des inférences de l'IA pour la parole et le texte réalisées dans l'UE, ainsi qu'un processus de suppression documenté, peut atteindre le niveau SEAL-3.
• Le protocole SEAL-4 en CC reste largement théorique en dehors des centres d'appels gouvernementaux et nécessite que l'ensemble de la pile, y compris les combinés et la périphérie du réseau, soit sous contrôle de l'UE.

Les objectifs SOV qui influencent le plus le score CC

SOV-3, données et IA

Le CC génère deux flux de données qui n’avaient jamais existé à cette échelle auparavant : les transcriptions intégrales des appels et les résumés générés par des modèles. Ces deux types de données sont des données à caractère personnel. Bon nombre d’entre elles relèvent de catégories particulières. Si l’un ou l’autre de ces flux est traité par un modèle situé hors de l’UE, le traitement enfreint alors l’interprétation la plus stricte du SOV-3, quel que soit l’endroit où le fichier audio lui-même est stocké.

Ce cadre prévoit quatre exigences spécifiques :

• la gestion des clés de chiffrement par le client,
• une visibilité sur le moment où les données sont consultées et par qui,
• suppression vérifiable,
• et le contrôle de l'UE sur la chaîne de production de l'IA.

La plupart des fonctionnalités d'IA de création de contenu (CC) dans le cloud présentent actuellement des lacunes sur au moins deux de ces points.

SOV-2, aspects juridiques et juridictionnels

Les enregistrements et les transcriptions constituent le type de preuve le plus fréquemment demandé dans le cadre d'enquêtes réglementaires, de litiges en matière d'emploi et de procédures pénales. Si une autorité non européenne peut obtenir l'accès à ces données par l'intermédiaire de la société mère, le risque n'est pas purement théorique. C'est actuellement le cas pour la plupart des plateformes mondiales de commerce collaboratif.

SOV-7, sécurité et conformité

Le cadre réglementaire souhaite savoir où se trouve le SOC, qui gère la réponse aux incidents et en vertu de quelle législation le processus de réponse aux incidents est divulgué. Un SOC fonctionnant 24 heures sur 24, 7 jours sur 7, selon un modèle « follow-the-sun » et qui transfère les interventions à une équipe américaine ou indienne pendant la nuit ne peut pas être considéré comme étant sous contrôle européen.

SOV-4, en service

CC est une plateforme en temps réel essentielle à l'activité. Si le fournisseur cesse d'assurer le support ou modifie ses conditions commerciales, le parc informatique pourra-t-il continuer à être exploité par du personnel de l'UE, avec une documentation de l'UE, sur une infrastructure de l'UE ? Pour de nombreux déploiements à grande échelle, la réponse honnête est aujourd'hui « non ».

Le piège de l'IA, et comment conserver la valeur sans perdre de points

La plupart des DSI se disent que les fonctionnalités d'IA sont simplement des ajouts. Il suffit de les activer, de profiter du gain de productivité et de se soucier de la souveraineté plus tard. Le cadre technique les considère comme faisant partie intégrante de la charge de travail. Une fois la fonctionnalité d'IA activée, son flux de données fait partie intégrante du flux de données de la charge de travail.

Il existe trois façons de conserver la valeur de l'IA tout en défendant le score SEAL :

1. Exigez que chaque fonctionnalité d'IA repose exclusivement sur un traitement au sein de l'UE. Si le fournisseur ne peut s'y engager par écrit, désactivez cette fonctionnalité.
2. Distinguez le pipeline d'entraînement du pipeline d'inférence. Même si l'inférence est réservée à l'Union européenne, l'entraînement sur les données clients peut ne pas l'être. Il convient de définir le périmètre de chacun d'entre eux.
3. Enregistrez chaque interaction avec l'IA de la même manière que vous enregistrez chaque interaction avec un agent humain. La traçabilité est un critère SOV-3. Les fournisseurs qui ne sont pas en mesure de fournir un journal d'audit de l'IA pour chaque appel n'obtiennent pas de bons résultats selon ce référentiel.

Voici un excellent exemple. Un environnement de centre de contact (CC) du secteur de la vente au détail semblait hébergé dans l’UE et avait passé avec succès un audit allégé de SecNumCloud. En examinant de près les fonctionnalités d’IA, on s’est aperçu que les transcriptions étaient envoyées à un modèle de synthèse hébergé aux États-Unis, et que le client n’avait aucun moyen de conserver les clés d’accès à ces transcriptions. La solution n’a pas consisté à changer de plateforme, mais à reconfigurer les fonctionnalités d’IA, à modifier le chemin d’inférence et à ajouter un avenant au contrat. La charge de travail est passée du niveau SEAL-1 au niveau SEAL-2 en un trimestre.

Huit questions à poser à votre assureur avant votre prochain renouvellement

1. Où sont stockées les différentes catégories de données de centre de contact : fichiers audio, transcriptions, notes des agents, enregistrements d'écran, résumés générés par l'IA et mises à jour du CRM ?
2. Quelles fonctionnalités d'IA sont activées, sur quelle infrastructure, dans quelle juridiction et dans le cadre de quel contrat ?
3. Le contenu fourni par les clients est-il parfois utilisé pour entraîner, affiner ou évaluer un modèle, et peut-on s'y opposer en fournissant des preuves ?
4. Qui détient les clés de chiffrement, et pouvons-nous les conserver nous-mêmes, par catégorie de données ?
5. Quelles sont les preuves de suppression pour chaque catégorie de données, et comment sont-elles vérifiées ?
6. Où se trouve le SOC, et qui gère le processus d'intervention en cas d'incident ?
7. Quelle est la structure exacte de chaque niveau d'assistance, et à quelles données chaque niveau a-t-il accès ?
8. Quelle est la procédure de sortie si la situation en matière de souveraineté venait à se détériorer pendant la durée du contrat, et quel est le coût de cette sortie à l'heure actuelle ?

Ce que cela signifie pour les acheteurs

Le CC est le domaine d’activité où le score SEAL est le plus visible aux yeux des autorités de régulation, des clients et de la presse, et où les fonctionnalités d’IA vous font discrètement perdre des points entre deux renouvellements. N’attendez pas que les cahiers des charges s’adaptent. Évaluez dès maintenant votre parc CC par rapport à ce référentiel et utilisez les lacunes identifiées comme points à aborder lors de votre prochain entretien commercial avec votre fournisseur.

Damovo a son siège social dans l'Union européenne, est gérée depuis l'Union européenne et est structurée de manière à pouvoir être évaluée au regard du cadre de référence, plutôt que d'adopter une attitude défensive à son égard. Nous évaluons nos propres positions SEAL par domaine d'activité, nous acceptons une réévaluation au cours du contrat et nous considérons ce cadre comme les clauses contractuelles que nous souhaiterions voir figurer dans le contrat si nous étions de l'autre côté de la table.