Gouvernance de l'IA dans le service client : gérer le risque derrière le marketing

Le service client par IA est l'une des applications d'IA les plus rapidement adoptées en 2026. Intercom Fin, Zendesk AI, Salesforce Service Cloud AI, HubSpot, Ada, et des dizaines d'autres plateformes proposent des agents IA qui traitent les demandes clients de premier niveau, trient les requêtes d'assistance, génèrent des réponses et automatisent de plus en plus l'ensemble des interactions avec les clients. La technologie est bien réelle et de plus en plus performante. Mais l'IA orientée client est également l'un des déploiements d'IA les plus à risque, exposant les organisations à des mesures d'application réglementaire, à une responsabilité au titre du droit de la consommation, à une atteinte à la réputation et à une dégradation opérationnelle du service qui n'apparaît pas dans les démonstrations des fournisseurs.

L'environnement réglementaire de l'IA dans le service client

L'IA orientée client se situe à l'intersection de plusieurs régimes réglementaires :

Droit de la protection des consommateurs. Les interdictions de conduite trompeuse ou mensongère s'appliquent aux interactions clients pilotées par IA. En Australie, l'article 18 de l'Australian Consumer Law (s 18 ACL) ; les articles 1041H du Corporations Act et 12DA de l'ASIC (Australian Securities and Investments Commission) Act pour les services financiers. Aux États-Unis, la section 5 du FTC relative aux pratiques déloyales ou trompeuses. Au Royaume-Uni, les Consumer Protection from Unfair Trading Regulations. Dans l'UE, la directive sur les pratiques commerciales déloyales.

Exigences de divulgation propres à l'IA. L'article 50 de l'EU AI Act (règlement européen sur l'IA, applicable à compter du 2 août 2026) exige que les utilisateurs soient informés qu'ils interagissent avec une IA, sauf si cela est évident du contexte. La loi californienne sur les chatbots (applicable à compter du 1er janvier 2026) exige que les chatbots s'identifient comme IA. Le Texas TRAIGA (1er janvier 2026) comprend des exigences de divulgation. Des dispositions similaires existent dans plusieurs autres États américains.

Vie privée et protection des données. Le service client par IA traite généralement des données personnelles, ce qui déclenche l'application du RGPD/UK GDPR, du CCPA, du PDPA de Singapour, de l'Australian Privacy Act et de régimes similaires. Les dispositions ADM (décision automatisée) du DUAA 2025 (articles 22A à 22D, applicables à compter du 5 février 2026) concernent le service client par IA au Royaume-Uni. L'obligation de transparence ADM de l'Australian Privacy Act est applicable à compter du 10 décembre 2026.

Obligations propres à certains secteurs. Services financiers (Consumer Duty de la FCA (Financial Conduct Authority) au Royaume-Uni, obligations de l'ASIC en Australie, MAS (Monetary Authority of Singapore) à Singapour) ; santé (HIPAA aux États-Unis, gouvernance des données du NHS au Royaume-Uni) ; services publics réglementés et télécommunications.

Cinq modes de défaillance de la gouvernance propres au service client par IA

1. L'IA se présentant comme un humain. Lorsque l'IA n'est pas clairement identifiée, l'organisation peut être en infraction avec ses obligations de divulgation et s'exposer à des mesures d'application. La loi californienne sur les chatbots et l'article 50 de l'EU AI Act exigent explicitement la divulgation. Au-delà de la question juridique, cela érode la confiance des clients lorsque l'IA finit par être identifiée.

2. L'IA donnant des informations erronées avec assurance. Les hallucinations de l'IA dans le service client produisent des réponses assurées, d'apparence plausible, mais factuellement erronées. Les clients qui agissent sur la base de conseils erronés fournis par l'IA peuvent disposer de recours valables contre l'organisation. Dans les contextes réglementés (conseils en services financiers, informations de santé, informations juridiques), l'exposition réglementaire est élevée.

3. L'IA prenant des engagements que l'organisation ne peut honorer. Les agents IA s'engagent parfois sur des remboursements, des surclassements ou des conditions en dehors du processus autorisé par l'organisation. Le droit des contrats peut lier l'organisation à ces engagements. L'affaire du chatbot d'Air Canada (2024), dans laquelle l'entreprise a été tenue de respecter les conditions que son chatbot avait proposées à un client endeuillé, a établi ce principe, qui est repris dans des juridictions comparables.

4. Les défaillances d'escalade de l'IA. Les clients en détresse réelle (crise de santé mentale, difficultés financières, risque pour la sécurité) nécessitent une intervention humaine. Les systèmes d'IA qui n'escaladent pas de manière appropriée créent une vulnérabilité et peuvent entraîner une action réglementaire. Les dispositions du Consumer Duty de la FCA relatives aux clients vulnérables traitent explicitement de ce point. La loi californienne de janvier 2026 interdit les chatbots de santé mentale dépourvus de protocoles relatifs aux idées suicidaires.

5. L'IA héritant des biais du service client. Une IA de service client entraînée sur des données historiques peut hériter de schémas discriminatoires : qualité de réponse différente, taux d'escalade différents, résolution des réclamations différente selon les groupes démographiques. Ces schémas peuvent ne pas être visibles sans surveillance active et peuvent déclencher des mesures d'application en matière de lutte contre la discrimination.

À quoi ressemble une bonne gouvernance de l'IA dans le service client

Une divulgation claire. Les clients savent qu'ils interagissent avec une IA dès le début de l'interaction. La divulgation est bien visible, et non dissimulée dans les conditions de service. L'IA est identifiée comme telle tout au long de l'interaction. Lorsque l'IA vient en complément d'agents humains (modèle hybride), son intervention est tout de même divulguée.

Un périmètre défini. Le périmètre de l'IA est explicitement limité aux cas d'usage où sa performance est fiable. Au-delà de ce périmètre, l'IA transmet la main à un humain. L'organisation sait quel périmètre elle a autorisé l'IA à traiter et surveille toute dérive de ce périmètre.

Un suivi de la qualité. Un contrôle humain par échantillonnage des interactions clients de l'IA, une mesure structurée de l'exactitude, de la satisfaction client, des schémas de réclamation et des résultats de résolution. Ce suivi est indépendant, il n'est pas assuré par l'équipe qui gère la relation avec le fournisseur d'IA.

Des déclencheurs d'escalade. Des critères définis pour l'escalade vers un humain : le client demande un humain (toujours honorer cette demande) ; indicateurs de client vulnérable (difficultés financières, crise de santé mentale, préoccupation de sécurité) ; incertitude de l'IA au-delà d'un seuil défini ; question hors périmètre ; réclamation ou litige formel ; mots clés spécifiques (suicide, automutilation, fraude, incident de sécurité, plainte réglementaire).

Des limites d'autorité. L'IA ne peut pas engager l'organisation au-delà d'une autorité définie. Les remboursements au-delà d'un seuil, les modifications de contrat, les engagements réglementaires nécessitent l'approbation d'un humain. Le système applique ces limites de manière technique, et pas seulement par la politique.

Une piste d'audit. Toutes les interactions de l'IA sont enregistrées avec suffisamment de détails pour un examen ultérieur. Un enregistrement destiné au client (transcription) est disponible sur demande. L'enregistrement interne comprend le raisonnement de l'IA, les scores de confiance, les décisions d'escalade et les examens humains.

Des parcours dédiés aux clients vulnérables. Une identification et une prise en charge explicites des indicateurs de client vulnérable. Des voies directes vers un support humain pour les clients vulnérables. Les résultats pour les clients vulnérables sont suivis séparément.

Une surveillance des biais. Une analyse des résultats par groupe démographique lorsque cela est possible : taux de résolution, taux d'escalade, scores de satisfaction ventilés selon les données démographiques disponibles. Une investigation est menée dès l'apparition de disparités.

Diligence raisonnable à l'égard des fournisseurs de plateformes d'IA pour le service client

Au-delà de la diligence raisonnable standard applicable aux fournisseurs d'IA, l'acquisition d'une IA de service client devrait traiter les points suivants :

Quelle est la méthodologie de sécurité du fournisseur pour l'IA orientée client ? Contrôles de sécurité spécifiques, filtres de contenu, limitations de périmètre, déclencheurs d'escalade, schémas de refus.

Comment le fournisseur gère-t-il les scénarios impliquant des clients vulnérables ? Des protocoles spécifiques pour la santé mentale, les difficultés financières, les préoccupations de sécurité. Des preuves démontrables que l'IA a été testée dans ces scénarios.

Quel est le point de référence d'exactitude du fournisseur pour votre cas d'usage ? Les allégations générales d'exactitude des fournisseurs sont généralement exagérées. L'exactitude en conditions réelles pour votre secteur, votre langue et votre clientèle spécifiques peut différer sensiblement.

Comment le fournisseur gère-t-il les hallucinations ? Choix architecturaux spécifiques, ancrage par génération augmentée de récupération (retrieval-augmented generation) dans votre contenu autorisé, schémas de refus pour les requêtes incertaines, seuils de confiance déclenchant l'escalade.

À quelles données d'interaction client le fournisseur a-t-il accès ? Transcriptions, données clients, historique d'assistance : à quoi l'infrastructure du fournisseur accède-t-elle, que stocke-t-elle, que conserve-t-elle ?

Comment le fournisseur gère-t-il les engagements pris par l'IA en dehors de la politique définie ? Des garde-fous spécifiques encadrant l'autorité de l'IA à prendre des engagements. La répartition de la responsabilité dans le contrat si l'IA s'engage sur quelque chose que l'organisation ne peut honorer.

Le précédent Air Canada

L'affaire du chatbot d'Air Canada de 2024 (Moffatt v Air Canada, 2024 BCCRT 149) est l'affaire de référence en matière de responsabilité liée au service client par IA. Le chatbot d'Air Canada avait fourni à un client des informations incorrectes concernant le remboursement d'un tarif de deuil. Le client s'est fié à ces informations ; Air Canada a par la suite refusé le remboursement en affirmant que le chatbot s'était trompé. Le Civil Resolution Tribunal de la Colombie-Britannique a jugé Air Canada responsable, rejetant l'argument selon lequel le chatbot constituait une entité juridique distincte. Le Tribunal a estimé qu'Air Canada était responsable de « toutes les informations figurant sur son site web », y compris celles fournies par le chatbot.

Ce principe est repris dans d'autres juridictions : le principe selon lequel une organisation ne peut décliner sa responsabilité pour les résultats produits par son IA de service client est de plus en plus établi. Les tribunaux britanniques ont appliqué des principes similaires. L'ACL australien aboutirait au même résultat. Le droit européen de la protection des consommateurs fonctionne de manière similaire.

Feuille de route pratique de mise en œuvre

Pour les organisations qui débutent ou font mûrir leur gouvernance de l'IA dans le service client : cartographier les déploiements actuels d'IA de service client au regard des cinq modes de défaillance ; vérifier la conformité de la divulgation avec l'article 50 de l'EU AI Act (applicable à compter d'août 2026), la loi californienne sur les chatbots, le Texas TRAIGA et les autres régimes de divulgation applicables ; mettre en œuvre un suivi de la qualité avec un échantillonnage documenté, une mesure de l'exactitude, une analyse démographique ; revoir les parcours d'escalade, en particulier pour les clients vulnérables, les réclamations réglementaires et les scénarios de litige ; mettre à jour les contrats fournisseurs avec des dispositions propres à l'IA couvrant les données d'entraînement, la propriété intellectuelle, les données clients, l'exactitude et la responsabilité ; former l'équipe d'assistance à la gouvernance de l'IA de service client, à ce que l'IA est autorisée à faire, à quand la contourner et à comment escalader les préoccupations ; mettre en place une réponse aux incidents pour les défaillances de l'IA de service client, avec des procédures définies de notification, d'investigation et de remédiation.

Le service client par IA permet réellement à de nombreuses organisations de gagner du temps et de réduire les coûts. La charge de gouvernance, lorsqu'elle est bien menée, protège cette valeur et permet d'éviter les modes de défaillance créant un risque de perte disproportionné.

Sources : BC Civil Resolution Tribunal · EU AI Act, Commission européenne

Lectures connexes