Quatrième volet de la série verticale. Ici : la finance, un secteur doublement contraint : la conformité interdit le cloud, et la menace exige l'IA.
La menace qui a changé d'échelle
La fraude vocale n'est plus l'affaire d'un imitateur au téléphone. Depuis l'arrivée du clonage vocal (quelques secondes d'audio suffisent), les cas documentés se multiplient : faux ordres de virement autorisés par la voix d'un dirigeant, usurpation dans les centres de relation client, contournement de l'authentification vocale elle-même.
Confrontées à cette menace, les banques ont besoin de deux choses simultanément :
1. Analyser les appels entrants et sortants (détection de fraude, conformité des conversations, coaching des agents) 2. Automatiser une partie du service vocal (assistance, information, qualification)
Or chacune de ces deux exigences se heurte au même mur : l'analyse d'un appel bancaire exige de traiter des données réglementées, parfois des données de carte (PCI-DSS), toujours des données personnelles et financières, très souvent du contenu couvert par le secret professionnel bancaire.
Le double réglementaire : DORA et PCI-DSS
DORA (Digital Operational Resilience Act, en application depuis janvier 2025)
Le règlement européen de résilience opérationnelle du secteur financier impose, entre autres :
- Maîtrise des risques tiers : tout prestataire ICT est cartographié, ses risques évalués, un cloud US est un fournisseur critique dont l'acte de réquisition (Patriot Act, CLOUD Act) devient votre risque de non-conformité
- Continuité d'activité : la plateforme doit survivre à la panne d'un tiers, une dépendance à un cloud tiers qui peut tomber est contraire à la philosophie DORA
- Tests de résilience : possible quand l'infrastructure est la vôtre, délicat quand elle est partagée
PCI-DSS (paiement)
Dès qu'une conversation bancaire peut contenir des données de carte (panique de l'appelant qui récite son numéro), la plateforme d'enregistrement et d'analyse entre dans le périmètre PCI-DSS, 12 exigences, des audits annuels (QSA), des coûts de conformité non triviaux sur toute solution tierce qui touche ces données.
La conséquence mathématique : chaque fournisseur SaaS supplémentaire dans le périmètre (STT cloud, LLM API, TTS cloud) est un audit de plus, un contrat PCI de plus, un risque de plus.
La fraude vocale elle-même
Le clonage vocal n'est plus de la science-fiction : des cas documentés montrent des arnaques au « fake CEO » et l'usurpation de clients pour autorisations de virement. Une banque a besoin de détecter ces tentatives, et la détection passe par l'analyse des flux vocaux, donc par le même périmètre de données sensibles.
Ce que l'on ne peut pas faire dans le cloud US (et ce qu'on peut faire on-prem)
| Action | Cloud US | On-prem DalonCorp |
|---|---|---|
| Enregistrer et transcrire les appels clients | ⚠️ Données bancaires transmises à un tiers US | Whisper sur vos GPU, local |
| Analyser (sentiment, intention, fraude) | ⚠️ Transferts hors UE | Analyse locale en temps réel |
| Faire raisonner l'agent sur des données client | ⚠️ Contexte sensible dans les prompts | Ollama local, données contextuelles locales |
| Conserver les enregistrements | ⚠️ Rétention limitée du fournisseur, juridiction US | Rétention illimitée sur vos disques |
| Attester l'accessibilité aux régulateurs | ⚠️ Dépend du tiers | Audit log illimité, traçabilité NSC |
| Détecter la fraude en temps réel | ⚠️ Selon API exposée | Pipeline local, latence milliseconde |
La colonne de droite n'est pas un confort : c'est souvent la différence entre déployable et bloqué en comité conformité.
Le cas d'usage intégré : centre d'appels bancaire
Concrètement, ce que DalonCorp propose on-premise :
En temps réel pendant l'appel
- Transcription streaming (Whisper), l'agent voit la conversation se former
- Détection de fraude vocale : analyse des motifs (urgence, pression, demande inhabituelle de transfert), alerte agent, flag IA
- Coaching temps réel des agents (script compliance, information obligatoire)
Automatiquement après l'appel
- Résumé structuré (qualité, conformité, prochaine action), via NLPBC/Ollama
- Score et catégorisation (plainte ? cross-sell ? fraude suspectée ?)
- Archivage réglementaire avec durée conforme à votre cadre
En protection le pipeline d'AAGuard bannit les IP qui cherchent à exploiter l'infrastructure d'enregistrement.
L'argument DORA : la souveraineté comme exigence réglementaire
DORA ne dit pas « tout on-prem », elle impose la maîtrise des risques fournisseurs. Or, en 2026, un fournisseur SaaS de Voice AI sous juridiction US est par définition un risque de concentration et de sous-traitance en cascade (chaîne de tiers non maîtrisable).
L'architecture on-premise est la réponse la plus simple à un article DORA : pas de fournisseur critique supplémentaire pour l'analyse vocale, l'infrastructure est la vôtre, testée, monitorée, documentée. Les obligations de tests de résilience (tests de scénarios de crise) se font sur votre infrastructure, pilotées par vos équipes.
Ce que ça change pour une banque
- Conformité par construction : RGPD, PCI-DSS, DORA, secret professionnel bancaire, aucune donnée ne quitte vos serveurs, rétention illimitée possible
- Détection de fraude vocale en production : analyse sémantique en temps réel (urgences suspectes, demandes inhabituelles), signal de risque agent
- Clonage vocal neutralisé : l'authentification n'est plus basée sur la voix seule, NSC cryptographique côté client, plus résilient au clonage
- 0€ de coût AI récurrent : le calcul on-prem standard, des millions de minutes analysées au même coût électrique
Pour aller plus loin
- La sécurité de bout en bout, les 5 couches, dont le Guardian IA (PCI-DSS)
- La chaîne vocale temps réel, Whisper et Piper pour les call centers
- L'article sur le Patriot Act, pourquoi le cloud US est intenable en finance
- Télécharger la proposition de valeur (PDF)