Comment élaborer une politique d’utilisation de l’IA pour une petite entreprise

Qu’est-ce qu’une politique d’IA ?

Une politique sur l’IA est un court document interne qui indique aux salariés quels outils d’intelligence artificielle ils peuvent utiliser, pour quelles tâches, avec quelles informations et quelles étapes doivent précéder l’utilisation d’un résultat produit avec l’aide de l’IA. Dans une petite entreprise, elle tient généralement en quelques pages et relève d’un fondateur, d’un responsable des opérations ou de la personne qui s’occupe déjà des données et des contrats.

L’expression recouvre plusieurs documents souvent confondus. Une politique d’utilisation acceptable fixe les règles que les salariés suivent au quotidien. Une politique relative à l’IA générative traite des outils qui produisent du texte, des images ou du code, ainsi que des risques liés aux contenus générés. Un cadre de gouvernance définit le pilotage de ces deux politiques : qui approuve un outil, qui tient le registre, à quelle fréquence les décisions sont réexaminées. La plupart des entreprises de moins de 200 personnes peuvent réunir les trois dans un seul document, à condition que chaque partie soit clairement identifiée.

Ce guide couvre les décisions nécessaires à toute politique d’intelligence artificielle, avec des exemples de clauses pour une entreprise fictive. Il fournit des informations générales, et non des conseils juridiques. Les lois sur la protection des données, l’emploi et la protection des consommateurs varient selon les pays et les secteurs. Faites donc examiner la version que vous adoptez par un conseiller qualifié.

À quoi doit servir une politique d’IA dans une petite entreprise ?

Une politique utile aide chacun à décider quoi faire avant de saisir des informations dans un outil ou d’utiliser sa réponse. Elle doit préciser les services autorisés, les tâches adaptées, les limites concernant les informations, les responsabilités de vérification et la procédure à suivre en cas de doute ou de problème. Une liste d’avertissements sans ces décisions pratiques laisse les salariés dans l’incertitude. Ceux qui ne savent pas quoi faire cessent d’utiliser les outils ou les utilisent discrètement.

Partez des processus de travail réels des équipes. Un brouillon d’invitation fondé sur des informations publiques ne nécessite pas les mêmes contrôles qu’une synthèse de documents clients confidentiels. Pour chaque processus, notez l’objectif, les sources, le destinataire et les conséquences d’une erreur. Ce contexte constitue un meilleur point de départ que de traiter tous les usages de l’IA de la même manière.

Un bon test consiste à vérifier si une personne qui vient d’arriver pourrait répondre à trois questions après lecture : quel compte utiliser, quelles informations ne jamais y coller et à qui s’adresser. Si le document ne permet pas d’y répondre, il ne remplit pas encore son rôle, aussi complet puisse-t-il paraître.

Une petite entreprise est-elle légalement tenue d’avoir une politique d’utilisation de l’IA ?

Dans la plupart des pays, aucune loi générale n’impose à chaque petite entreprise de disposer d’un document intitulé « politique d’utilisation de l’IA ». Les obligations existantes s’appliquent toutefois à la manière dont le personnel utilise l’IA. La législation sur la protection des données, les clauses de confidentialité des contrats clients, le droit du travail et les règles publicitaires ne cessent pas de s’appliquer parce qu’un outil a produit le brouillon. Une politique est un moyen pratique de montrer au personnel comment ces obligations existantes s’appliquent à son utilisation de l’IA.

Au Royaume-Uni, l’ICO publie des recommandations sur l’IA et la protection des données, ainsi qu’une boîte à outils sur les risques à destination des organisations. Les deux pages indiquent actuellement que les recommandations sont en cours de révision à la suite de la loi sur l’utilisation et l’accès aux données. Vérifiez donc leur statut actuel avant de vous appuyer sur un point précis. Dans l’UE, l’article 4 de l’EU AI Act sur la maîtrise de l’IA s’applique depuis le 2 February 2025 aux fournisseurs et aux déployeurs de systèmes d’IA. Les questions-réponses de la Commission européenne sur la maîtrise de l’IA précisent qu’il n’existe pas d’approche unique, que les certificats ne sont pas obligatoires et qu’un registre interne des formations suffit. Elles donnent aussi l’exemple de salariés utilisant un assistant conversationnel pour rédiger des textes publicitaires ou traduire, qui doivent être informés de risques spécifiques tels que les hallucinations.

Si vous vendez dans l’UE, y employez du personnel ou traitez des données personnelles concernant des résidents de l’UE, faites-vous conseiller sur les règles qui vous concernent. Le propos de ce guide est plus limité : une politique écrite accompagnée d’une formation pratique est un moyen raisonnable de montrer que les personnes ont été informées des risques et de la manière de les gérer.

Qui doit être responsable des décisions ?

Désignez un responsable de la politique et les personnes habilitées à approuver les outils et les processus sensibles. Dans une entreprise de 12 personnes, le fondateur peut assumer tous ces rôles. Dans une entreprise de 80 personnes, le responsable des opérations peut approuver les outils, le responsable de la protection des données peut se prononcer sur les informations personnelles et les responsables de service peuvent vérifier les résultats dans leur domaine. Les employés ont besoin d'un point de contact unique pour les questions auxquelles la politique ne répond pas.

Les contenus consacrés à la gouvernance dans le guide pratique du cadre de gestion des risques liés à l’IA du NIST abordent la définition des rôles et des responsabilités, la formation du personnel aux risques liés à l’IA et les circuits de communication. La structure présentée ici est une adaptation opérationnelle pour une petite équipe. Utiliser ces rubriques ne rend pas une politique conforme à une loi et ne signifie pas qu’elle est approuvée par le NIST.

Inscrivez dans la politique elle-même le nom du responsable et celui de son suppléant, pas seulement un intitulé de poste. Dans les petites entreprises, les intitulés changent plus vite que les documents, et une procédure d’escalade qui renvoie à un poste que personne n’occupe n’en est pas une.

Comment consigner les outils autorisés ?

Consignez le service exact, l’offre et les usages autorisés, car un nom de marque seul masque des différences importantes. Un compte personnel grand public, un espace de travail professionnel d’entreprise et une intégration via une interface de programmation du même produit peuvent être soumis à des conditions différentes concernant la conservation des données, l’entraînement des modèles et le contrôle par les administrateurs. Consignez les paramètres et les conditions applicables plutôt que de supposer qu’une même déclaration s’applique à toutes les versions.

Posez des questions distinctes sur l’entraînement des modèles, la conservation des données, les accès, les lieux de traitement et la suppression. Une déclaration de non-utilisation pour l’entraînement ne garantit ni l’absence de stockage ni l’autorisation de téléverser un document client. À titre d’exemple, la documentation de Microsoft sur Copilot Chat utilisé par les organisations indique que les instructions et les réponses sont couvertes par son avenant relatif à la protection des données, qu’elles ne servent pas à entraîner les modèles de fondation et que les contrôles précis varient selon l’abonnement. C’est ce type de déclaration propre à chaque abonnement qu’il faut consigner, avec la date de vérification.

Attribuez à chaque autorisation un responsable et une date de réexamen afin que la liste puisse évoluer lorsque le service ou le processus de travail change. Le guide du cadre de gouvernance propose un modèle de registre qui tient sur une page.

Que peuvent coller les salariés dans un outil d’IA ?

Il n’existe pas de réponse universelle indépendante de l’outil, des données et des obligations de l’entreprise : la politique doit donc apporter une réponse adaptée à votre contexte. Commencez par répartir les informations en quelques catégories simples : informations publiques, internes, documents confidentiels de l’entreprise ou de clients, et données personnelles. Précisez ensuite, pour chaque outil approuvé, les catégories autorisées. Supprimer un nom ne suffit pas à rendre un document anonyme ni à autoriser son téléversement.

Les recommandations du centre national britannique de cybersécurité sur les grands modèles de langage sont sans détour sur le principe général : une requête est visible par l’organisation qui fournit le modèle. Elles préconisent de ne pas inclure d’informations sensibles dans les requêtes adressées aux modèles publics et de lire les conditions d’utilisation et la politique de confidentialité avant de poser des questions sensibles. Votre politique peut traduire cela en consignes précises pour les comptes que vous avez approuvés.

Donnez aux salariés des exemples concrets de contenus autorisés et restreints pour chaque processus de travail approuvé. Utilisez pour les formations des données fictives ou des données à faible risque explicitement approuvées. En cas de doute, les salariés doivent s’arrêter et contacter le responsable désigné plutôt que d’improviser une décision sur la confidentialité en pleine tâche.

Que doit-il se passer avant qu’un contenu généré soit utilisé ?

Tout résultat produit avec l’aide de l’IA doit faire l’objet d’une vérification adaptée à son utilisation, et la politique doit préciser qui en est responsable. Pour un brouillon d’e-mail, une relecture à la lumière des faits fournis peut suffire. Une explication chiffrée nécessite un calcul indépendant. Une affirmation concernant le droit, la santé, l’argent ou la sécurité doit être vérifiée par une personne qualifiée. La politique doit maintenir les validations existantes, sans laisser entendre que l’aide de l’IA les rend inutiles.

Demandez aux employés de conserver le brouillon généré séparément de la version approuvée pour utilisation. Pour les travaux importants, gardez suffisamment de traces de la vérification pour montrer quelle source a été utilisée, ce qui a changé et qui a pris la décision finale. Une réponse bien rédigée, ou l’affirmation du modèle selon laquelle elle est correcte, ne constitue pas une vérification indépendante.

Précisez les décisions qui restent du ressort des personnes. Exemple de clause courante : les outils d’IA peuvent aider à rédiger ou à résumer, mais ils ne doivent pas servir de base à une décision concernant le recrutement, la rémunération, les performances, le crédit ou une réclamation client sans qu’une personne désignée vérifie les informations sous-jacentes.

À quoi ressemble une politique finalisée pour une équipe de taille courante ?

Voici un exemple détaillé pour une agence de marketing fictive de 25 personnes, Harbour Lane Studio. Son personnel utilise l’espace de travail professionnel d’un assistant conversationnel souscrit par l’entreprise, ainsi que les fonctions d’IA de sa suite bureautique. Certaines personnes disposaient également de comptes personnels. Le fondateur est responsable de la politique et la personne à la tête du service client approuve tout ce qui implique des documents clients.

Exemple de clause sur les outils approuvés : "Utilisez uniquement l’espace de travail professionnel Harbour Lane de [assistant] et les fonctions d’IA de notre suite bureautique, en vous connectant avec votre compte professionnel. N’utilisez pas de comptes personnels pour les travaux de l’entreprise ou de ses clients."

Exemple de clause sur les informations : "Vous pouvez utiliser des informations publiques et internes dans les outils approuvés. Ne saisissez pas de dossiers clients, de tarifs clients ni d’informations marquées confidentielles, sauf si le responsable du service client a autorisé ce client et cette tâche dans le registre. Ne saisissez jamais de données personnelles concernant des candidats, des salariés ou des clients."

Exemple de clause sur la vérification : "Avant qu’un travail réalisé avec l’aide de l’IA soit envoyé à un client, le responsable du compte vérifie chaque affirmation factuelle à partir du cahier des charges ou d’une source identifiée, et supprime toute statistique, tout résultat ou toute recommandation dont la source ne peut pas être retrouvée. Les travaux réalisés avec l’aide de l’IA sont soumis aux mêmes exigences que toute autre version de travail."

Exemple de clause sur le recours à un responsable : "En cas de doute, arrêtez-vous et demandez à [nom du fondateur], ou à [nom du remplaçant] en son absence. Si vous pensez avoir saisi des informations à accès restreint dans le mauvais outil, prévenez cette personne le jour même. Vous ne serez pas sanctionné pour un signalement rapide."

Harbour Lane a ensuite testé la politique sur une tâche réelle, un bilan de campagne rédigé à partir d’un brief client, avant de demander à quiconque de la signer. Le test a révélé une lacune : personne ne savait si la charte de marque d’un client était considérée comme confidentielle. Le fondateur a ajouté une ligne au registre plutôt que de laisser chaque responsable de compte décider.

Comment la politique doit-elle encadrer les incertitudes et les erreurs ?

La politique doit prévoir une procédure claire pour signaler une divulgation accidentelle, un résultat non étayé ou un processus qui ne correspond plus à l’autorisation accordée. Elle doit aussi permettre de signaler ces problèmes sans crainte. Le personnel doit savoir quoi arrêter, qui contacter et quels éléments conserver pour la personne responsable. N’inventez pas une procédure générique de gestion des incidents qui contredit celle que vous avez déjà pour les problèmes de données ou de sécurité ; renvoyez à cette procédure.

Avant d’adopter la politique, faites un court exercice de simulation : quelqu’un a collé un document à accès restreint dans un compte personnel non autorisé. Le salarié sait-il où signaler l’incident ? Le responsable sait-il quel service et quel compte ont été utilisés, et quelles options de suppression le fournisseur propose ? Appuyez-vous sur les lacunes constatées pour améliorer la procédure avec les personnes compétentes pour la valider.

Comment vous assurez-vous que les personnes peuvent réellement l’appliquer ?

Un accusé de réception signé montre qu’une personne a reçu la politique ; il ne montre pas qu’elle sait l’appliquer. Pour apprendre à respecter une limite, il faut s’exercer sur une tâche réaliste : décider quoi exclure d’une consigne, vérifier une affirmation générée en la comparant à sa source et expliquer la modification apportée. C’est aussi ce que décrit la Commission européenne dans ses questions-réponses lorsqu’elle évoque l’information du personnel sur les risques propres à son travail.

Présentez à l’équipe un exemple autorisé, un exemple soumis à des restrictions et un cas incertain issus de votre propre travail. Demandez à chaque personne d’expliquer la différence et d’identifier à qui transmettre le cas en cas de doute. Revenez ensuite à la politique interne et ajoutez les exemples qui ont facilité les décisions.

Tosheo.ai est conçu pour cette étape de mise en pratique. Au lancement, il est prévu qu’un responsable choisisse les fonctions et les outils d’IA utilisés par l’équipe, que chaque apprenant passe un court test de positionnement et que les leçons se terminent par une tâche pratique dans un véritable outil, notée selon une grille d’évaluation visible. Il est prévu que les responsables voient la progression des compétences et les leçons terminées, pas les historiques bruts des conversations. Le produit ne rédige pas votre politique et ne la fait pas appliquer ; il vise à aider les personnes à pratiquer les habitudes qu’elle exige.

Comment maintenez-vous l’utilité de la politique ?

Réexaminez la politique chaque fois que les outils, les abonnements, les contrats ou les processus de travail changent, et à une date fixe au moins une fois par an. Demandez aux employés quelles décisions restent difficiles à prendre. Une politique que personne ne sait appliquer nécessite des exemples plus clairs ou une meilleure procédure de remontée des questions, pas une case supplémentaire à cocher pour confirmer sa lecture.

Indiquez la date de version et une note de modification en haut du document pour que chacun sache quelle règle est en vigueur. Lorsqu’un éditeur modifie ses conditions ou qu’un client ajoute une clause relative à l’IA dans un contrat, mettez à jour l’entrée du registre et informez les personnes concernées, plutôt que d’attendre la révision annuelle.

Quand ce guide n’est-il pas la bonne réponse ?

Cette approche est conçue pour des équipes d’environ 5 à 200 personnes qui utilisent des assistants IA prêts à l’emploi pour le travail intellectuel quotidien. Elle ne suffit pas à elle seule si vous développez ou vendez des systèmes d’IA, prenez des décisions automatisées concernant des personnes, travaillez dans un secteur fortement réglementé comme la santé, le conseil financier ou les services juridiques, ou avez des contrats clients contenant des clauses spécifiques à l’IA. Dans ces cas, une analyse juridique et de protection des données menée par des spécialistes qualifiés, et éventuellement une évaluation formelle des risques, est nécessaire avant de finaliser la politique.

Cela ne remplace pas non plus un programme de sécurité de l’information. Si votre entreprise ne dispose pas de règles de base sur les mots de passe, la sécurité des appareils ou la classification des données, commencez par les mettre en place ; une politique d’IA qui ne repose sur rien ne tiendra pas.

Sources et périmètre

Guide pratique du cadre de gestion des risques liés à l’IA du NIST : gouverner, vérifié le 16 octobre 2026 ↗

ICO, Recommandations sur l’IA et la protection des données (en cours de révision), vérifiées le 16 October 2026 ↗

ICO, boîte à outils sur les risques liés à l’IA et à la protection des données (en cours de révision), consultée le 16 octobre 2026 ↗

Commission européenne, maîtrise de l’IA - questions et réponses, dernière mise à jour le 27 July 2026 ↗

NCSC, ChatGPT et les grands modèles de langage : quels sont les risques ?, 14 mars 2023 ↗

Microsoft Learn, protection des données d’entreprise dans Microsoft Copilot et Copilot Chat, consulté le 16 octobre 2026 ↗