Confier le traitement des documents de back-office à un prestataire BPO ou l'automatiser avec l'IA sur vos propres serveurs : comment décide un directeur des opérations

Quand les dossiers de sinistre, les tickets de support ou les dossiers KYC s'accumulent, un directeur des opérations peut recruter, confier le travail à un prestataire BPO ou l'automatiser avec l'IA sur les propres serveurs de l'entreprise. Les dossiers KYC (know your customer, connaissance du client) sont les pièces d'identité et autres documents qu'une entreprise financière recueille avant d'accepter un client. Le BPO (business process outsourcing), ou externalisation des processus métier, signifie que le personnel d'une autre entreprise fait le travail, parfois depuis un autre pays. Avec l'automatisation, un logiciel installé sur des serveurs que contrôle votre entreprise lit les documents et transmet à des personnes les dossiers qu'il ne sait pas traiter. Un prestataire BPO convient au travail où la plupart des dossiers demandent le jugement d'une personne et où du personnel extérieur a le droit de voir les documents. Les types de documents qui reviennent se prêtent à l'automatisation, tout comme les documents qui doivent rester dans l'entreprise. Certaines entreprises combinent les deux.

Quelles sont nos options pour le traitement des documents de back-office ?

Agrandir l'équipe interne garde les documents et le savoir-faire dans l'entreprise. Chaque hausse de volume implique alors de recruter et de former des personnes à qui il faut du temps pour atteindre leur plein rythme.

Un prestataire BPO prend en charge un processus entier, comme le contrôle des dossiers de sinistre ou le tri des tickets de support, dans le cadre d'un contrat assorti de niveaux de service. Les niveaux de service sont les objectifs sur lesquels le prestataire s'engage, par exemple le délai de traitement de chaque dossier. Trouver et former les personnes devient l'affaire du prestataire. Son personnel peut se trouver dans un autre pays et travailler soit dans les systèmes du prestataire, soit dans les vôtres, avec des identifiants que vous lui fournissez.

L'automatisation par l'IA sur vos propres serveurs, c'est un logiciel qui lit chaque document avec un grand modèle de langage (LLM), le type d'IA qui fait fonctionner ChatGPT. Le logiciel vérifie les champs qu'il extrait au regard de vos règles et écrit dans vos systèmes ceux qui passent les contrôles. Les dossiers qui échouent aux contrôles vont à une personne.

Les voies peuvent se combiner. Un logiciel peut prendre en charge les champs courants, comme les noms, les dates et les montants d'un formulaire standard, et laisser le reste à des personnes.

Qui voit nos documents quand un prestataire BPO fait le travail ?

Le personnel du prestataire les voit, car lire les documents, c'est son travail, et les dossiers de sinistre et les dossiers KYC regorgent de données à caractère personnel. Au sens du règlement général sur la protection des données (RGPD) de l'UE, une entreprise qui traite des données à caractère personnel pour votre compte est un sous-traitant. Votre entreprise reste le responsable du traitement, celui qui décide pourquoi et comment les données sont utilisées.

L'article 28 du RGPD, consulté le 19 octobre 2026 sur EUR-Lex, le site officiel de l'UE pour ses textes de loi, dispose que le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes ». Il exige aussi un contrat ou un autre acte juridique contraignant avec chaque sous-traitant. En vertu de ce contrat, le sous-traitant doit veiller à ce que les « personnes autorisées à traiter les données à caractère personnel » soient tenues à la confidentialité, par leur propre engagement ou par la loi. Le prestataire a aussi besoin de votre autorisation écrite avant de faire appel à un autre sous-traitant, par exemple une autre entreprise qui reprend une partie du travail.

Laisser le personnel du prestataire se connecter à vos systèmes, sans copier de fichiers chez le prestataire, met tout de même les données à sa disposition. Le Comité européen de la protection des données (CEPD), qui réunit les autorités de protection des données de l'UE, traite ce cas dans ses lignes directrices 05/2021, version 2.0 du 14 février 2023, consultées le même jour.

Selon les lignes directrices du CEPD, l'accès à distance depuis un pays tiers, c'est-à-dire un pays situé hors de l'Espace économique européen (EEE), « est également considéré comme un transfert » lorsque trois critères sont remplis. Cela vaut « même s'il ne s'effectue que par l'affichage de données à caractère personnel sur un écran ». L'un des critères est que l'entreprise qui reçoit l'accès, ici le prestataire BPO, se trouve dans un pays tiers. Le CEPD ajoute qu'un tel transfert « ne peut avoir lieu que sous certaines conditions », fixées au chapitre V du RGPD.

Les documents restent-ils chez nous si l'IA tourne sur nos propres serveurs ?

Les documents restent chez vous si chaque partie du système, modèle de langage compris, tourne sur des serveurs que votre entreprise contrôle. Aucun personnel extérieur ne lit les documents dans le travail quotidien, et le texte de chaque document ne part ni chez OpenAI ni chez aucun autre fournisseur de modèles. Si le système utilise un modèle hébergé par un fournisseur extérieur, les documents partent chez ce fournisseur.

Sur vos propres serveurs, il vous reste à décider quels membres du personnel peuvent ouvrir quels dossiers et ce que le système peut écrire dans ses logs, les journaux de ce qu'il a fait. Les personnes qui construisent et exploitent le système peuvent avoir besoin de voir de vrais documents. Une société d'ingénierie qui fait ce travail pour vous est alors en général un sous-traitant au sens du RGPD, comme l'est un prestataire BPO. L'article sur l'externalisation du développement d'IA sans laisser sortir vos données, dont le lien figure plus haut, explique comment des ingénieurs externes peuvent travailler sur un tel système.

Dans un dispositif mixte, le personnel d'un prestataire BPO peut traiter la file de revue de votre système, la liste des dossiers que le logiciel a envoyés à une personne. Le personnel du prestataire ne voit alors que ces dossiers, et les règles du RGPD sur les contrats de sous-traitance et sur l'accès à distance depuis l'extérieur de l'EEE continuent de s'appliquer à lui.

Qui est responsable si le travail externalisé tourne mal ?

Votre entreprise conserve les obligations que la loi lui impose, et le prestataire assume ses propres obligations en vertu du contrat. Le règlement anti-blanchiment de l'UE, le règlement (UE) 2024/1624, consulté sur EUR-Lex le même jour, montre comment cela fonctionne pour le KYC. Une fois le règlement applicable, son article 18 permet aux entreprises qu'il couvre, dont les banques et les autres établissements financiers, d'externaliser auprès de prestataires de services des tâches que le règlement leur impose.

Une entreprise qui externalise ces tâches doit en informer son superviseur, c'est-à-dire l'autorité qui la surveille, avant que le prestataire ne commence. L'entreprise « reste pleinement responsable de toute action, qu'il s'agisse d'un acte ou d'une omission, liée aux tâches externalisées ». L'article 18 désigne aussi des tâches qui « ne sont en aucun cas externalisées ». Parmi elles :

• La décision relative au profil de risque attribué à un client
• La décision d'accepter un client ou d'effectuer une transaction occasionnelle avec lui
• L'approbation des politiques, procédures et contrôles internes de l'entreprise en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme
• L'approbation des critères de détection des transactions et activités suspectes ou inhabituelles

Le même article interdit d'externaliser ces tâches auprès de prestataires établis dans des pays tiers que l'UE a recensés pour leurs risques de blanchiment. L'exception est un prestataire du même groupe, sous d'autres conditions. L'article 90 dispose que le règlement « est applicable à partir du 10 juillet 2027 », plus tard pour deux catégories d'entreprises : vérifiez donc les règles nationales qui s'appliquent à vous aujourd'hui.

Le considérant 47, qui fait partie du préambule du règlement, précise que « l'utilisation ou l'acquisition de logiciels de tiers » par l'entreprise ne constitue pas une externalisation lorsqu'aucun prestataire de services n'exécute la tâche.

Un logiciel peut constituer un dossier KYC et en vérifier les champs, tandis qu'une personne désignée de votre entreprise approuve le client. Pour les sinistres, consignez par écrit les décisions que votre propre personnel prend toujours, quelle que soit la voie qui prépare le dossier.

Comment chaque voie fait-elle face à un pic de volume ?

Une fin de mois ou une échéance réglementaire peut provoquer un afflux de dossiers. Un prestataire BPO y fait face en réaffectant du personnel venu d'autres missions ou en recrutant. Demandez-lui de quel préavis il a besoin et ce que deviennent ses niveaux de service pendant que les nouveaux venus apprennent vos règles.

Un logiciel peut traiter davantage de documents selon les mêmes règles dès qu'il dispose d'une capacité serveur suffisante. Les dossiers qu'il ne sait pas traiter vont toujours à des personnes : un afflux de scans de mauvaise qualité ou de cas inhabituels fait donc grossir la file de revue. Décidez à l'avance qui traite cette file lors de votre journée la plus chargée, votre propre personnel ou celui d'un prestataire d'astreinte.

Qui fait le mieux le travail sur nos documents : le personnel d'un prestataire ou le logiciel ?

La même mesure vaut pour les deux. Prenez un échantillon de documents récents de chaque type et faites consigner par votre propre personnel la valeur correcte de chaque champ. Le personnel du prestataire et le logiciel sont ensuite notés sur cet échantillon, pour chaque champ de chaque type de document.

Un prestataire peut traiter l'échantillon lors d'un essai, si vos règles de conformité autorisent son personnel à voir ces documents. Le logiciel est testé sur le même échantillon, sur des serveurs où ces documents peuvent être traités. Comparez l'exactitude de chaque champ, la part des dossiers envoyés à une personne et le délai entre l'arrivée d'un document et un enregistrement finalisé.

Mesurez votre propre personnel sur le même échantillon. Les personnes se trompent aussi, et le score de votre personnel est le niveau que les deux voies doivent atteindre. Les articles dont le lien figure plus haut, l'un sur les questions à poser à un prestataire d'automatisation, l'autre sur l'achat ou la construction d'une IA documentaire, expliquent comment constituer l'échantillon. Le second l'appelle un jeu de recette.

Comment les prestataires BPO et les sociétés d'ingénierie facturent-ils le travail ?

Les modèles de tarification varient : demandez donc à chaque prestataire BPO et à chaque société d'ingénierie comment chacun facture. Un prestataire BPO peut facturer par personne, à l'heure ou par document traité. Le devis d'une société d'ingénierie peut comporter deux volets : la construction du système, puis son support.

Notez par écrit vos volumes prévus par type de document et par mois sur trois ans, y compris votre mois le plus chargé, et faites établir chaque devis sur ces mêmes chiffres. Ajoutez vos propres coûts : les serveurs et le personnel de la file de revue pour le logiciel, ou le temps que vos managers passent à superviser un prestataire. Chaque devis doit aussi montrer comment le prix évolue quand votre volume baisse ou qu'un formulaire change.

Si nous mettons fin au contrat, que gardons-nous ?

Avec un prestataire BPO, une grande partie du savoir-faire, comme la façon de traiter les cas inhabituels, se trouve dans la tête de son personnel. Ce savoir part avec lui à la fin du contrat, sauf s'il a été mis par écrit.

Demandez au prestataire des règles de traitement écrites dès le départ, et faites-les mettre à jour à mesure que le travail évolue. Conservez l'échantillon et ses réponses correctes dans vos propres fichiers. Les règles écrites et l'échantillon vous permettent de confier le travail à un nouveau prestataire ou à un logiciel, et de vérifier que la qualité se maintient.

Pour les données à caractère personnel contenues dans les documents, l'article 28 du RGPD exige que le contrat de sous-traitance précise ce qui se passe à la fin du travail. Selon le choix de votre entreprise, le sous-traitant « supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services ». Il détruit aussi ses copies, sauf si la loi l'oblige à les conserver. Convenez avant de signer de l'option que vous retenez et de la façon dont le prestataire la confirmera.

Sur la voie de l'automatisation, vous gardez le code, les instructions données au modèle et tout modèle entraîné plus avant sur vos données, si le contrat vous les transfère. Lisez ce que le contrat exclut, comme les composants que la société réutilise d'un projet à l'autre.

Que demander à un prestataire BPO et à une société d'ingénierie ?

Envoyez les mêmes questions à chaque candidat, sur les deux voies :

• Où se trouveront les personnes qui voient nos documents, et se connecteront-elles à nos systèmes ou copieront-elles des fichiers dans les vôtres ?
• Quelles autres entreprises participeraient au travail, et dans quels pays ?
• Traiterez-vous notre échantillon de documents avant que nous signions, pour que nous puissions noter les résultats champ par champ ?
• Que devient un dossier que vous ne savez pas traiter, et qui, dans notre entreprise, le voit ensuite ?
• À la fin du contrat, quelles règles écrites, quel code et quelles données nous reviennent, et sous quelle forme ?

Les règles sur l'externalisation, les transferts de données et les vérifications sur les clients varient selon les pays et les secteurs. Cet article prend des textes de l'UE pour exemples et ne constitue pas un conseil juridique : vérifiez la voie que vous choisissez avec un avocat ou votre régulateur.

Où se situe amBrain ?

Le seul projet de modèle de langage qu'amBrain décrit publiquement est le suivant : « Nous avons mené une intégration de LLM jusqu'en production dans le périmètre FinTech d'un client : extraction et normalisation d'avis non structurés de courtiers et de places de marché — opérations sur titres, changements d'instruments et de marges — en enregistrements structurés consommés par le système de trading. »

Cet article n'est pas une étude de cas, et le client n'est pas nommé. La phrase citée ne dit pas où tournait le modèle dans ce projet ni lesquelles des étapes décrites plus haut il comprenait. Rien ici ne dit qu'amBrain a construit des systèmes pour des dossiers de sinistre, des tickets de support, des dossiers KYC ou tout autre document de back-office. Rien ne dit non plus qu'amBrain a remplacé un prestataire BPO, a travaillé avec l'un d'eux ou a exploité un dispositif mixte associant un logiciel et le personnel d'un prestataire.

Le RGPD et le règlement anti-blanchiment n'apparaissent dans cet article qu'en tant que règles que votre entreprise peut avoir à respecter. L'article n'affirme rien sur la situation d'amBrain elle-même au regard de ces règles ou de toute autre. Il ne donne ni prix ni délais d'amBrain, ni conditions pour un prototype ou un pilote, y compris un essai sur votre échantillon avant signature.

amBrain développe des logiciels depuis 2019. Elle travaille en trois formats : la prestation complète, une équipe dédiée ou des ingénieurs intégrés à votre équipe. Sur la propriété, sa formule est : « Le client conserve la pleine propriété du produit et du code, à l'exception de nos composants réutilisables. » Si amBrain figure sur votre liste restreinte, soumettez-lui le même échantillon et les mêmes questions qu'à n'importe quelle autre société d'ingénierie.