Checklist sécurité QA IA : IT, juridique et achats

Une checklist sécurité QA IA est la liste des contrôles que l’IT, le juridique et les achats mènent avant qu’un outil de contrôle qualité par IA puisse lire vos conversations de support. Elle couvre les audits et certifications de l’éditeur, l’accord de traitement des données et les sous-traitants ultérieurs, l’utilisation éventuelle de vos données pour entraîner des modèles, l’évaluation des conseillers au regard du RGPD et du règlement européen sur l’IA (AI Act), et les conditions de sortie.

En bref

• Répartissez la checklist par responsable : l’IT prend les contrôles de sécurité, le juridique la protection des données et les règles sur l’IA, les achats le contrat et le dossier documentaire.
• La QA par IA est examinée de plus près que la plupart des outils de support, car elle lit chaque conversation et évalue des salariés, souvent avec des fournisseurs de modèles d’IA comme sous-traitants ultérieurs.
• Les contrôles IT portent sur les audits indépendants, le chiffrement, les accès, la journalisation, les tests et la réponse aux incidents.
• Les contrôles de protection des données suivent les articles applicables du RGPD : contrat de sous-traitance, sous-traitants ultérieurs, transferts, conservation, analyses d’impact et décisions automatisées.
• Les contrôles propres à l’IA portent sur l’entraînement des modèles, les fournisseurs de modèles, la revue humaine et la place de l’outil dans l’AI Act, dont les règles pour les usages à haut risque s’appliquent à partir du 2 décembre 2027.

Cette checklist s’adresse aux équipes qui achètent un logiciel de contrôle qualité du service client qui évalue les conversations avec de l’IA. Les références juridiques ont été vérifiées sur les textes officiels le 4 novembre 2026. Elles sont un point de départ pour votre propre conseil juridique, pas un substitut.

Comment utiliser cette checklist sécurité QA IA

Confiez chaque partie de la checklist à l’équipe qui en est responsable, envoyez toutes les questions à l’éditeur en une fois et demandez des documents plutôt que des réponses dans un formulaire. La plupart des revues de sécurité s’enlisent parce que les questions arrivent en trois vagues de trois équipes.

Marquez chaque point comme conforme, conforme sous condition ou non conforme. Un « non conforme » sur les points 1, 9, 10 ou 17 devrait suspendre l’achat jusqu’à sa résolution. Si vous comparez aussi les fonctionnalités, lisez en parallèle notre comparatif de logiciels de contrôle qualité.

Pourquoi un logiciel de QA par IA mérite une revue plus stricte

Un logiciel de QA par IA mérite une revue plus stricte parce qu’il lit chaque conversation client, évalue les salariés qui l’ont traitée et envoie souvent du texte à des fournisseurs de modèles d’IA. Données clients, données salariés et évaluation automatisée se retrouvent dans un seul outil.

Trois éléments le distinguent d’un module de helpdesk classique :

• Le volume : un programme manuel lit un échantillon, un outil d’IA peut traiter chaque conversation, y compris des numéros de carte, des données de santé ou des réclamations saisies par un client.
• Les salariés comme personnes concernées : les notes qualité sont des données personnelles de vos conseillers et peuvent alimenter des décisions de rémunération, de promotion ou de licenciement. Cela fait entrer en jeu les règles du RGPD sur les décisions automatisées et, dans l’AI Act, la catégorie de l’IA utilisée pour évaluer des travailleurs.
• Les fournisseurs de modèles : l’IA qui rédige notes et commentaires est souvent hébergée par un tiers, qui devient sous-traitant ultérieur de vos données.

Contrôles de sécurité IT

Les contrôles IT confirment qu’un auditeur indépendant a testé les contrôles de l’éditeur et que les bases du chiffrement, des accès, de la journalisation et de la réponse aux incidents sont en place. Demandez les rapports eux-mêmes, sous NDA, pas un badge sur un site web.

1. Rapport d’audit indépendant. Demandez le dernier rapport SOC 2 Type II et vérifiez sa période et son périmètre. Les rapports SOC 2, définis par l’AICPA, couvrent les contrôles liés à la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la vie privée. Un rapport Type II vérifie que les contrôles ont fonctionné sur une période, pas seulement qu’ils ont été conçus.
2. Certificat ISO 27001. Vérifiez que le périmètre du certificat couvre le produit acheté, sa date d’expiration et l’organisme certificateur.
3. Tests d’intrusion. Demandez à quelle fréquence un tiers teste l’application de production et comment les constats critiques sont suivis jusqu’à leur correction.
4. Chiffrement. Confirmez que les données sont chiffrées en transit et au repos, et qui gère les clés.
5. Contrôle des accès. Demandez comment le personnel de l’éditeur accède aux données de production, si l’accès est limité au besoin d’en connaître et journalisé, et comment vos propres utilisateurs s’authentifient.
6. Journaux d’audit. Vérifiez si vous pouvez voir qui, dans votre entreprise, a consulté ou modifié des notes et des paramètres, et dans quelle offre.
7. Réponse aux incidents. Demandez le plan de réponse aux incidents et le délai dans lequel l’éditeur vous informe d’un incident touchant vos données.
8. Continuité. Demandez le plan de continuité d’activité et de reprise après sinistre, et si les données de production restent hors des environnements de développement et de test.

Contrôles de protection des données et RGPD

Les contrôles RGPD confirment que l’éditeur agit comme votre sous-traitant dans le cadre d’un contrat conforme à l’article 28, que chaque sous-traitant ultérieur et chaque transfert est connu, et que vous avez fait votre propre travail sur les salariés. Lisez les clauses au regard du règlement, pas du résumé de l’éditeur.

9. Un accord de traitement des données conforme à l’article 28, paragraphe 3. L’article 28, paragraphe 3, du RGPD énumère ce que le contrat doit prévoir : traitement uniquement sur vos instructions documentées, confidentialité du personnel, mesures de sécurité de l’article 32, règles pour les sous-traitants ultérieurs, aide pour les droits des personnes et pour les articles 32 à 36, suppression ou restitution à la fin, et audits. Vérifiez que l’accord couvre les fonctions d’IA, pas seulement le produit de base.
10. Sous-traitants ultérieurs. Selon l’article 28, paragraphe 2, un sous-traitant a besoin de votre autorisation écrite préalable pour recourir à un autre sous-traitant et, en cas d’autorisation générale, doit vous informer des changements pour que vous puissiez vous y opposer. Demandez la liste avec le rôle et la localisation des données de chacun, y compris les hébergeurs de modèles d’IA.
11. Transferts hors de l’UE. Si un sous-traitant ultérieur est hors de l’EEE, demandez la base du transfert au titre du chapitre V du RGPD : une décision d’adéquation (article 45) ou des garanties comme les clauses contractuelles types (article 46).
12. Conservation et suppression. Demandez combien de temps conversations, transcriptions et notes sont conservées, si vous pouvez fixer la durée et comment les données sont restituées ou supprimées après le contrat, comme l’exige l’article 28, paragraphe 3, point g.
13. Minimisation des données. Demandez si vous pouvez exclure des files, des champs ou des canaux de l’évaluation, pour que l’outil ne traite que ce dont la qualité a besoin (article 5, paragraphe 1, point c).
14. Notification des violations. Selon l’article 33, paragraphe 2, un sous-traitant doit vous notifier une violation « dans les meilleurs délais » après en avoir pris connaissance. Vérifiez que le contrat prévoit un engagement concret, car votre propre délai de 72 heures pour notifier l’autorité de contrôle au titre de l’article 33, paragraphe 1, court dès que vous en avez connaissance.
15. Votre analyse d’impact. L’article 35 impose une analyse d’impact relative à la protection des données (AIPD) lorsqu’un traitement est susceptible d’engendrer un risque élevé, notamment en cas d’évaluation systématique et approfondie de personnes fondée sur un traitement automatisé et débouchant sur des décisions produisant des effets juridiques ou similaires. Les lignes directrices du G29 sur l’AIPD (2017, reprises par le CEPD) retiennent l’évaluation ou la notation, la surveillance systématique et les salariés comme facteurs, et indiquent qu’un traitement qui remplit deux de leurs critères exige dans la plupart des cas une AIPD. Demandez à l’éditeur les informations nécessaires pour la rédiger ; l’article 28, paragraphe 3, point f, oblige le sous-traitant à vous aider.
16. Décisions automatisées sur les conseillers. L’article 22 donne aux personnes le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires. Si les notes qualité alimentent des décisions sur des conseillers, assurez-vous qu’une personne les examine et que les conseillers peuvent contester une note. Vérifiez aussi les règles nationales du travail : l’article 88 permet aux États membres de prévoir des règles plus spécifiques pour les données des salariés, et les représentants du personnel peuvent devoir être consultés.

Contrôles propres à l’IA

Les contrôles propres à l’IA établissent ce que deviennent vos données dans les fonctions d’IA, qui peut corriger l’IA et où l’outil se situe dans l’AI Act. Demandez des réponses écrites que vous pourrez annexer au contrat.

17. Entraînement des modèles. Demandez par écrit si vos conversations servent à entraîner ou à affiner un modèle, par l’éditeur ou par ses fournisseurs de modèles.
18. Fournisseurs de modèles. Demandez quels fournisseurs d’IA traitent vos données, où, et si les fonctions d’IA peuvent être désactivées ou sont soumises à une activation volontaire.
19. Revue et correction humaines. Vérifiez qu’un évaluateur peut modifier toute note ou commentaire de l’IA, que la modification est enregistrée et que les conseillers peuvent contester une note, comme dans notre guide sur la conception d’un circuit de contestation des notes IA (en anglais). C’est aussi votre garantie au titre de l’article 22.
20. Explicabilité et tests. Demandez si chaque note montre la preuve qui la justifie, comme décrit dans notre article sur la traçabilité des notes qualité (en anglais), et si vous pouvez tester les notes de l’IA contre celles de vos évaluateurs avant la mise en production. Notre protocole de validation de l’évaluation par IA (en anglais) montre comment mener ce test.
21. Position au regard de l’AI Act. Demandez comment l’éditeur classe le produit et ce qu’il vous fournit en tant que déployeur. Le tableau ci-dessous donne les dates.

L’interdiction et le point à haut risque proviennent du règlement sur l’IA, règlement (UE) 2024/1689, vérifié sur la version consolidée. La date pour le haut risque est passée du 2 août 2026 au 2 décembre 2027 avec le règlement (UE) 2026/1744 qui le modifie, en vigueur depuis le 27 juillet 2026.

Selon l’article 3, point 39, la reconnaissance des émotions repose sur des données biométriques : l’interdiction concerne donc surtout les fonctions vocales. Qu’un outil qualité relève du point 4, b), dépend de l’usage que vous faites des notes. Faites trancher la question par vos juristes pour votre cas.

Contrôles achats et contrat

Les contrôles achats transforment les réponses en clauses contractuelles et garantissent une sortie propre. Une réponse de sécurité qui n’est pas dans le contrat reste un argument commercial.

22. Clauses contractuelles. Intégrez les réponses aux points 7, 10, 12, 14 et 17 dans le contrat ou dans l’accord de traitement des données.
23. Sortie. Convenez du délai pour exporter les données après la résiliation, des formats, et de la date de suppression par l’éditeur.
24. Le dossier documentaire. Rassemblez au même endroit : rapport d’audit, certificats, accord de traitement des données, liste des sous-traitants ultérieurs, synthèse du test d’intrusion, plans de réponse aux incidents et de continuité, et tout questionnaire standard rempli par l’éditeur, comme un SIG Lite.

Comment Kaizo répond à cette checklist

Kaizo publie la plupart de ses réponses dans son Trust Center, avec les rapports disponibles sur demande. Le tableau relie les points à ce que disent aujourd’hui les pages de Kaizo ; quand une page ne répond pas à un point, posez-nous la question pendant la revue de sécurité.

Kaizo évalue les conversations une fois terminées. Il n’écoute pas les appels en direct, ce qui sort la surveillance en temps réel du périmètre de cette revue.

Comment mener la revue de sécurité sans bloquer l’achat

Lancez la revue de sécurité la même semaine que les démos, pas après le choix des métiers. Envoyez toute la checklist en une fois, demandez le dossier documentaire et commencez votre analyse d’impact en parallèle.

Étape 1 : Envoyez la checklist avec l’appel d’offres

Les questions de sécurité, juridiques et achats envoyées avec la première demande à l’éditeur obtiennent une réponse en même temps que les questions produit. Envoyées après une décision, elles deviennent un second projet.

Étape 2 : Demandez les documents, puis seulement ce qu’ils laissent ouvert

Lisez d’abord le rapport d’audit, l’accord de traitement des données et la liste des sous-traitants ultérieurs. La plupart des lignes d’un questionnaire y trouvent leur réponse, et le reste devient une courte liste pour un appel.

Étape 3 : Rédigez l’AIPD pendant la négociation du contrat

Votre analyse d’impact a besoin des réponses de l’éditeur sur les flux de données, les sous-traitants ultérieurs et la conservation, que vous avez maintenant. Associez tôt les représentants du personnel si les notes des conseillers doivent servir à des décisions de performance. Notre guide pour mener un programme qualité en qui les conseillers ont confiance (en anglais) explique comment leur présenter l’évaluation.

Demandez notre dossier sécurité lors d’une démo en direct. Nous vous présentons Kaizo sur des données d’exemple réalistes et envoyons les documents du Trust Center dont votre équipe a besoin. Réserver un rendez-vous.

Questions fréquentes

Qu’est-ce qu’un questionnaire de sécurité fournisseur ?

Un questionnaire de sécurité fournisseur est une liste standard de questions qu’un acheteur envoie à un fournisseur pour vérifier ses contrôles de sécurité et de protection des données avant de signer. Les formats courants sont le SIG et le SIG Lite de Shared Assessments et le CAIQ de la Cloud Security Alliance. Beaucoup d’éditeurs en gardent un rempli, ce qui fait gagner des semaines aux deux parties.

Connecter un outil qualité à Zendesk change-t-il la conformité RGPD ?

Oui. Quand un outil qualité récupère des conversations dans Zendesk ou un autre helpdesk, l’éditeur de l’outil traite ces données personnelles pour votre compte : il vous faut donc un accord de traitement des données avec cet éditeur lui-même. La conformité du helpdesk ne couvre pas un outil distinct. Ajoutez l’éditeur à votre registre des traitements.

Quels sont les 7 principes du RGPD ?

L’article 5 du RGPD pose sept principes : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité ; responsabilité. Pour la QA par IA, la minimisation et la limitation de la conservation comptent le plus : n’évaluez que les files nécessaires et ne gardez pas les conversations plus longtemps que la finalité qualité l’exige.

Un logiciel de QA par IA est-il à haut risque selon l’AI Act ?

Il peut l’être. L’annexe III, point 4, b), classe à haut risque l’IA destinée à surveiller et évaluer les performances et le comportement de personnes au travail, avec des obligations applicables à partir du 2 décembre 2027. Un outil qualité qui évalue des conseillers peut en relever, selon sa destination et votre usage. Obtenez un avis juridique pour votre cas.

Faut-il informer les conseillers que l’IA évalue leurs conversations ?

Oui : au titre des obligations de transparence des articles 13 et 14 du RGPD, les conseillers doivent savoir comment leurs données personnelles sont traitées, y compris l’évaluation automatisée. Beaucoup de pays ajoutent des règles du droit du travail, et les représentants du personnel peuvent avoir leur mot à dire. Informer tôt, y compris sur la façon de contester une note, facilite aussi le déploiement.