Agents IA et contrat BPO : qui contrôle l’infrastructure et les données ?

Un prestataire annonce qu’il a intégré des agents IA à son service client. Le contrat mentionne un hébergement des données en Europe, et le donneur d’ordre s’en contente. Il ignore souvent sur quels serveurs tournent les agents, quelles informations partent vers les modèles et qui décide des accès.

Le 13 octobre 2026, Etisalat UAE, opérateur télécom des Émirats arabes unis, et l’éditeur américain DataRobot ont annoncé l’extension de leur partenariat. L’opérateur déploiera des agents IA avec la plateforme Agent Workforce de DataRobot, hébergée dans son propre centre de données.

L’annonce vient d’un pays hors des zones habituelles d’ExternFlow. Elle sert ici de cas concret pour une question de contrat BPO qui concerne tout donneur d’ordre : qui contrôle la technique, entre le client, le prestataire et l’éditeur.

Ce qu’Etisalat UAE et DataRobot ont annoncé le 13 octobre

Le communiqué, daté de Boston, décrit un accord pluriannuel qui prolonge une collaboration engagée depuis 2022. Les premiers usages portaient sur la prévision de l’attrition client, les ventes additionnelles et le risque de crédit. Les agents IA entrent maintenant dans les unités opérationnelles, sous un cadre de gouvernance commun aux modèles prédictifs, génératifs et agentiques.

Le point distinctif est l’hébergement. Les données sensibles et les traitements restent dans l’infrastructure gérée par l’opérateur. Etisalat UAE dit conserver le contrôle sur le lieu d’exécution, les données accessibles aux agents et leur gouvernance.

Ce que le communiqué du 13 octobre publie, et ce qu’il tait

Source : communiqué DataRobot et Etisalat UAE, Boston, 13 octobre 2026.

Le communiqué confirme un partenariat et une architecture cible ; aucun indicateur ne permet de juger ce que les agents produisent déjà.

Trois responsabilités à distinguer dans un contrat BPO

Dans un dispositif de ce type, trois acteurs interviennent. Le client fournit les données et reste responsable de leur usage. Le prestataire organise les traitements et choisit les outils. L’éditeur de la plateforme rend l’exécution possible, souvent sans voir le contrat qui vous lie au prestataire.

Quand un agent se trompe, la facture se discute entre les deux premiers, comme le montre qui paie l’erreur d’un agent IA dans un workflow externalisé. L’intérêt du cas Etisalat UAE est ailleurs : l’opérateur a choisi d’exploiter lui-même l’infrastructure, ce qui déplace vers lui une partie du contrôle que l’éditeur conserve d’ordinaire.

Agents IA : quatre questions qu’un hébergement en Europe ne règle pas

La localisation des données figure dans la plupart des contrats. Elle ne dit rien du reste. Un agent peut lire une base hébergée à Paris, envoyer un extrait à un modèle exécuté ailleurs et écrire le résultat dans un troisième système. Les quatre questions ci-dessous couvrent ce que la clause de localisation laisse ouvert.

Quatre questions de contrôle, et la pièce à demander pour chacune

Grille ExternFlow, construite à partir des engagements décrits dans le communiqué du 13 octobre 2026.

La dernière question est la moins posée et la plus coûteuse en fin de contrat. Une clause de réversibilité rédigée pour des fichiers ne couvre pas des agents, leurs règles et les journaux qui prouvent ce qu’ils ont fait. Elle se complète par une liste de livrables au format exploitable sans la plateforme.

Ce qu’un hébergement privé garantit à un donneur d’ordre

Faire tourner les agents dans sa propre infrastructure modifie la maîtrise technique : les accès, les données et les traitements restent sous le contrôle de l’exploitant. DataRobot vend cette possibilité depuis juillet 2026, avec des déploiements hors cloud public, sur site ou en réseau isolé ; le cas Etisalat UAE en est l’illustration la plus visible.

Cette maîtrise ne garantit pas la conformité. Un sous-traitant au sens de l’article 28 du RGPD reste soumis aux mêmes obligations. Si l’infrastructure se trouve hors de l’Union européenne, les règles de transfert s’appliquent comme pour tout autre prestataire, selon la checklist de l’externalisation hors Union européenne et le RGPD.

L’hébergement privé exige aussi des compétences internes en infrastructure, sécurité, supervision et maintenance. Un prestataire qui le propose doit montrer qui en a la charge.

Ce que cela change selon votre situation

Votre prestataire utilise déjà des agents IA

Demandez le schéma d’architecture et la matrice des droits, puis comparez-les au contrat signé. Si les agents lisent ou écrivent dans vos systèmes, exigez le journal d’audit de leurs gestes, à votre disposition sans délai.

Vous consultez des prestataires

Ajoutez une question au cahier des charges : infrastructure propre, cloud public ou environnement hybride, avec le pays et l’éditeur de la plateforme. Rapprochez la réponse des obligations de confidentialité et de réversibilité, en complément des dix questions à poser à un prestataire BPO qui utilise l’IA.

Vous êtes prestataire

Le cas montre qu’une intégration de l’IA aux opérations se défend sans dépendre d’une plateforme externe qui héberge tous les traitements. Il montre aussi son prix : des équipes d’infrastructure et de sécurité à plein temps. Pour les agents qui agissent dans des logiciels sans interface de programmation, les agents IA et la RPA dans le back-office externalisé détaillent la maintenance à prévoir.

Trois lignes à ajouter au prochain avenant

L’accord Etisalat UAE et DataRobot ne livre aucun chiffre ; le contrôle s’écrit donc dans le contrat. Trois lignes suffisent pour commencer : le lieu d’exécution des agents, la liste des flux vers les modèles et la matrice des droits. Signez la réversibilité des agents avant tout déploiement, avec le plan de sortie décrit pour une externalisation.

Sources et références

Cet article s’appuie notamment sur le communiqué conjoint de DataRobot et d’Etisalat UAE sur l’extension de leur partenariat du 13 octobre 2026, sur le communiqué de DataRobot du 22 juillet 2026 décrivant les déploiements hors cloud public, sur site ou en réseau isolé, sur la fiche client consacrée à l’usine IA autogérée d’e& UAE, sur les règles de la CNIL pour transférer des données hors de l’Union européenne et sur le texte du RGPD, dont l’article 28 encadre la sous-traitance, ainsi que sur le compte rendu de CXO Insight Middle East sur l’accord du 14 octobre 2026.