Les usages que nous refusons, et l'architecture qui l'applique.

La plateforme est conçue pour capturer l'intelligence de la main-d'oeuvre et la transformer en intelligence sur laquelle les dirigeants peuvent agir. Elle n'est pas conçue pour surveiller des individus nommés, identifier des répondants, vendre des données au niveau du répondant, ou alimenter le ciblage militaire. Conformément à la politique d'utilisation et aux exigences de conformité d'Anthropic, et via nos propres applications contractuelles et architecturales, nous refusons ces usages. L'architecture est conçue de sorte que les refus soient difficiles ou coûteux à contourner même avec un accès privilégié.

Nous ne faisons pas de commentaires éditoriaux sur les décisions stratégiques que nos clients prennent sur la base d'une intelligence agrégée. Fermer des magasins, restructurer des unités opérationnelles, repenser des rôles : ce sont des décisions que l'opérateur était en mesure de prendre. Le corpus existe pour les éclairer.

La ré-identification individuelle, la surveillance de personnes nommées et les autres usages ci-dessous appartiennent à une catégorie distincte. Ils sont refusés.

Ce refus s'inscrit au-dessus de la politique d'utilisation et du régime de conformité d'Anthropic, et en est cohérent. Anthropic est le partenaire LLM pour chaque plan, et toute tentative d'exécuter le pipeline en violation de leur politique échoue côté partenaire avant d'atteindre notre architecture.

Libellé contractuel : «Le client ne doit pas utiliser la plateforme, le corpus ou toute intelligence dérivée en lien avec le ciblage militaire, les systèmes d'aide à la décision militaire, la conception de systèmes d'armement, les achats d'armements, ou toute application destinée à diriger ou autoriser l'usage de la force contre des personnes.»

Application architecturale : Les plans dont l'usage prévu indique une application militaire sont rejetés à l'étape de provisionnement du tenant. Anthropic et ElevenLabs ont leurs propres politiques d'utilisation qui excluent les applications militaires ; une tentative d'exécuter le pipeline en violation de ces politiques échoue également côté partenaire.

Libellé contractuel : «Le client ne doit pas utiliser la plateforme pour identifier les opinions, la conduite ou les caractéristiques de tout répondant nommé spécifique. L'intelligence agrégée est la sortie autorisée ; l'attribution nominative ne l'est pas.»

Application architecturale : La substitution vocale synthétique supprime le handle audio vers une personne nommée. L'étape de caviardage supprime les noms des transcriptions avant l'enrichissement. Les lignes de faits stockent l'intelligence dérivée contre des tranches de segments. Les identifiants des répondants sont absents de la ligne. La cascade de sécurité dans le chemin d'accès aux données filtre chaque requête selon la portée de l'appelant ; une portée qui permettrait des requêtes sur des répondants nommés est rejetée au provisionnement du tenant.

Une portée OAuth qui permettrait une requête sur un répondant nommé n'existe pas sur la plateforme. Tenter d'en introduire une serait un changement de code contre le schéma publié et le contrat.

Libellé contractuel : «Le client ne doit pas tenter de ré-identifier un répondant à partir d'un artefact produit par la plateforme, que ce soit par analyse vocale, corrélation de transcriptions, reconstruction de vecteur de segment ou toute autre technique. Le client ne doit pas demander, contracter pour, ou accepter tout livrable tiers qui produit l'identification d'un répondant.»

Application architecturale : L'audio original ne laisse aucune trace dans aucun système que nous opérons, ni chez ElevenLabs sous le contrat de non-rétention. La ré-identification par la voix nécessite l'existence d'un enregistrement. Il n'en existe aucun. L'étape de caviardage supprime les identifiants de personnes de la transcription avant l'enrichissement, et la transcription nettoyée est le seul artefact que les étapes en aval voient. Le magasin de faits porte des vecteurs de segments mais pas des identifiants de répondants ; les vecteurs de segments décrivent des tranches (niveau, géographie, format de magasin) à une granularité assez grossière pour que la reconstruction d'un seul répondant soit en dessous du seuil de récupération pratique.

Libellé contractuel : «Le client ne doit pas vendre, licencier ou autrement transférer des données au niveau du répondant, y compris les transcriptions brutes et les lignes de faits par répondant, à un tiers. L'intelligence agrégée et délimitée par segment peut être partagée sous des accords partenaires de marque séparés avec leurs propres conditions de consentement et d'utilisation.»

Application architecturale : L'API partenaire de marque et le flux d'agents servent à partir des lignes d'entités et des agrégats de segments. Aucune des deux surfaces ne lit les transcriptions brutes. L'accès aux transcriptions brutes est restreint aux surfaces opérateur à l'intérieur du tenant du client. Il n'y a pas de surface «exporter les transcriptions brutes vers un tiers» sur la plateforme.

Libellé contractuel : «Le corpus client ne doit pas être utilisé pour entraîner, affiner ou autrement améliorer tout modèle d'apprentissage automatique opéré par Nexa Intelligence, par le client, ou par tout tiers, y compris les partenaires LLM et voix nommés dans la liste des sous-traitants.»

Application architecturale : Le contrat de non-entraînement d'Anthropic pour chaque plan et le contrat de non-entraînement d'ElevenLabs pour chaque plan constituent l'application côté partenaire. À l'intérieur du tenant client, la plateforme n'exécute pas de pipeline d'entraînement. La calibration de méthodologie que nous effectuons ajuste des paramètres déterministes (demi-vies, valeurs seuils), non des poids de modèles.

Libellé contractuel : «Le client ne doit pas injecter des répondants synthétiques, générés par IA ou autrement non humains dans le corpus comme s'il s'agissait d'une vraie capture. L'affirmation d'intégrité du corpus requiert que chaque fait soit traçable vers un vrai entretien avec un vrai travailleur.»

Application architecturale : Le pipeline de capture requiert le dossier de consentement du répondant. Le dossier de consentement est associé à une personne réelle qui a confirmé au début de l'entretien. Le filtre de pré-enrichissement filtre les conversations qui semblent synthétiques (trop courtes, trop mécaniques, pas de forme d'onde audio). L'augmentation par des répondants synthétiques comme usage autorisé n'existe pas sur la plateforme.

Libellé contractuel : «Le client ne doit pas utiliser la plateforme pour identifier, cibler, exercer des représailles contre, ou autrement agir contre tout répondant individuel sur la base de déclarations faites pendant l'entretien, y compris les déclarations relatives à l'activité syndicale, au lancement d'alerte, à la divulgation des conditions de travail, ou à toute autre activité légalement protégée.»

Application architecturale : La même chaîne d'anonymisation qui prévient la ré-identification générale s'applique ici. Les identifiants des répondants sont supprimés avant l'enrichissement. Le magasin de faits ne porte pas d'identifiants de répondants. Les tableaux de bord n'affichent pas d'attribution par répondant. L'opérateur ne peut pas interroger «quels travailleurs ont dit X» depuis la plateforme ; la plateforme n'a pas les données pour y répondre.

Lorsqu'une demande arrive qui violerait l'un des refus, la réponse est procédurale. Nous indiquons au client que le refus est dans le contrat et que nous n'implémenterons pas la demande. Si le client conteste l'interprétation, la question passe par la clause de résolution des litiges contractuels. L'équipe d'ingénierie ne la renégocie pas de façon informelle.

Pour les demandes qui viennent de l'extérieur de la relation client (un partenaire demandant des données au niveau du répondant, un régulateur demandant une recherche dans le corpus), le refus est communiqué par écrit et le client est notifié. L'équipe juridique du client gère toute escalade externe ; nous coopérons dans les limites que notre contrat et la loi autorisent.