Qu’est-ce qu’une politique d’utilisation acceptable de l’IA ?
Une charte d’utilisation acceptable de l’IA précise les comportements attendus de toute personne utilisant des outils d’IA pour l’entreprise. Son périmètre est plus restreint que celui d’une politique générale sur l’IA. Elle n’explique pas qui approuve les fournisseurs ni comment le registre est révisé ; elle indique au salarié, au moment où il ouvre un outil, ce qu’il peut et ne peut pas faire.
De nombreuses entreprises disposent déjà d’une charte d’utilisation des outils informatiques couvrant les courriels, les appareils et Internet. Une charte d’utilisation de l’IA peut constituer une nouvelle section de ce document ou une page distincte qui y renvoie. L’essentiel est qu’elle parle de tâches et d’exemples, plutôt que de notions abstraites. « Utilisez l’IA de manière responsable » ne permet à personne de trancher ; « ne collez aucun contrat client dans un outil d’IA » le permet.
Cette page fournit des informations générales, et non des conseils juridiques. Faites examiner la version que vous adoptez par un conseiller qualifié, en particulier si vous traitez des données personnelles ou êtes soumis à des obligations de confidentialité envers vos clients.
Comment décider quels usages de l’IA autoriser ?
Classez les usages en trois catégories selon les informations concernées et les conséquences d’une erreur : autorisés, autorisés sous réserve d’approbation et interdits. Un usage n’est pas risqué parce qu’il fait appel à l’IA ; il l’est en raison des données saisies et de l’utilisation du résultat. Le même outil peut convenir pour reformuler un article de blog public et être inacceptable pour résumer un dossier disciplinaire.
Définissez les niveaux à partir d’une liste de tâches réelles. Demandez à chaque responsable d’équipe cinq tâches pour lesquelles les collaborateurs utilisent déjà l’IA, ou souhaiteraient l’utiliser. Classez chaque tâche dans un niveau : vous disposerez ainsi d’exemples concrets dès le premier jour.
| Niveau | Exemples courants | Ce que fait l’employé |
|---|---|---|
| Autorisé | Reformuler votre propre brouillon, résumer un article public, chercher des idées de titres, expliquer une formule de tableur | Utilisez un compte autorisé et vérifiez le résultat |
| Autorisé sous réserve d’approbation | Résumer des documents clients, rédiger des réponses aux clients à partir de l’historique des tickets d’assistance, analyser les données de vente internes | À utiliser uniquement si le processus figure dans le registre ; sinon, demandez d’abord au responsable |
| Non autorisé | Saisie de mots de passe ou de clés, saisie de données personnelles sur les salariés ou les candidats sans procédure approuvée, prise d’une décision d’embauche ou de rémunération avec l’IA, génération d’images de personnes réelles | Ne le faites pas ; demandez une autorisation si vous estimez qu’une exception est nécessaire |
À quoi ressemblent de bonnes clauses d’utilisation autorisée ?
De bonnes clauses précisent l’outil, la tâche et les informations concernées, et indiquent la marche à suivre à la place. Vous trouverez ci-dessous des exemples de clauses pour une entreprise fictive de logiciels de 40 personnes, Northgate Apps, qui dispose d’un espace de travail professionnel dans un assistant conversationnel et utilise les fonctionnalités d’IA de sa plateforme d’hébergement de code et de sa suite bureautique.
Chaque clause est assez courte pour être retenue et assez précise pour être appliquée. Remarquez qu’aucune ne dit « faites attention » ; chacune désigne un comportement.
Comptes
"Utilisez l’IA uniquement avec les comptes d’entreprise Northgate répertoriés dans le registre. N’utilisez pas de comptes personnels, d’offres gratuites ou d’extensions de navigateur non approuvées pour le travail de Northgate, même pour des questions rapides."
Code
"Vous pouvez utiliser l’assistant de programmation approuvé sur les dépôts Northgate. Ne collez dans aucun outil d’IA de données clients, de journaux de production contenant des données personnelles ou de secrets tels que des clés d’API. Le code généré est relu comme tout autre code avant sa fusion."
Clients
"Le personnel d’assistance peut utiliser l’assistant approuvé pour rédiger des réponses. Supprimez d’abord les numéros de compte et les informations de paiement. Une personne relit et corrige chaque réponse avant son envoi."
Affirmations
"Ne publiez pas de statistique, de référence comparative ou de résultat client produit par un outil d’IA sans avoir ouvert et vérifié la source d’origine."
Décisions concernant le personnel
"N’utilisez pas l’IA pour classer, présélectionner ou évaluer des candidats ou des salariés. Vous pouvez l’utiliser pour améliorer la formulation d’une offre d’emploi que vous avez rédigée."
Rapports
"Si vous avez saisi un contenu que vous n’auriez pas dû saisir, informez le responsable des opérations le jour même. Un signalement rapide est considéré comme la bonne démarche."
Quelles informations une politique d’utilisation acceptable de l’IA doit-elle restreindre ?
Limitez l’utilisation des informations par catégorie plutôt qu’en énumérant chaque type de document, et précisez pour chaque catégorie les comptes sur lesquels elle est autorisée. Les catégories habituelles sont les informations publiques, internes, confidentielles ou relatives aux clients, les données personnelles et les secrets tels que les mots de passe et les clés. La règle la plus simple à rédiger concerne les secrets : jamais, dans aucun outil.
Les recommandations du centre national britannique de cybersécurité sur les grands modèles de langage rappellent le principe général selon lequel une requête est visible par l’organisation qui fournit le modèle, et préconisent de ne pas inclure d’informations sensibles dans les requêtes adressées aux modèles publics. Un espace de travail professionnel peut être soumis à des conditions contractuelles différentes : consignez donc ce que prévoit votre formule. La documentation de Microsoft indique par exemple que Copilot Chat utilisé par les organisations relève de son avenant relatif à la protection des données et que les invites et les réponses ne servent pas à entraîner les modèles de fondation, tout en précisant que les mécanismes de contrôle varient selon la formule d’abonnement. Votre politique d’utilisation acceptable peut alors préciser quelles catégories de données sont autorisées dans cet espace de travail et lesquelles ne sont autorisées nulle part.
Pour les entreprises britanniques qui traitent des données personnelles, les recommandations de l’ICO sur l’IA et la protection des données constituent la référence officielle. Ses pages indiquent actuellement que ces recommandations sont en cours de révision à la suite de la loi sur l’utilisation et l’accès aux données ; vérifiez donc les informations en vigueur avant de vous appuyer sur un point précis.
Vous souhaitez voir le lien avec un métier ?
Découvrez l’essai en équipe prévu ↗Que doivent vérifier les salariés avant d’utiliser un contenu généré par l’IA ?
Les salariés doivent vérifier chaque affirmation factuelle, chiffre, citation et référence avant de transmettre un contenu, et supprimer tout élément dont ils ne peuvent pas retrouver la source. Le profil du NIST consacré à l’IA générative décrit la confabulation comme la production de contenus erronés ou faux présentés avec assurance ; une réponse bien formulée n’est pas une preuve. La charte d’utilisation acceptable doit rendre la personne qui utilise le résultat responsable de celui-ci.
Un exemple commenté : un responsable marketing de Northgate demande à l’assistant un court paragraphe expliquant pourquoi les petites équipes adoptent des outils de gestion de projet. Le brouillon contient une phrase affirmant qu’une majorité de petites entreprises ont changé d’outil l’année dernière, avec le nom d’une source à l’appui. Le responsable marketing ne trouve pas ce chiffre dans la source citée. Conformément à la clause de la politique d’utilisation acceptable relative aux affirmations, cette phrase est supprimée et le paragraphe est réécrit pour décrire les raisons données par les clients dans les demandes d’assistance de Northgate, sans chiffre.
Version peu fiable : "La plupart des petites équipes ont changé d’outil de gestion de projet l’année dernière, selon une enquête sectorielle récente." Version révisée : "Les équipes qui nous contactent mentionnent généralement deux raisons de changer : des transmissions manquées et un trop grand nombre d’outils." La seconde version est moins spectaculaire et peut être entièrement justifiée.
Les salariés doivent-ils signer une charte d’utilisation acceptable de l’IA ?
Une signature ou un accusé de réception est raisonnable, mais prouve seulement que la personne a reçu la politique. Complétez-le par un examen de dix minutes de trois cas issus de votre travail, un par niveau, et demandez à chaque personne de les classer et d’expliquer son choix. Vous aurez ainsi des éléments montrant que les personnes savent appliquer les règles, ce qui vaut plus qu’une signature en cas de problème.
Les questions-réponses de la Commission européenne sur la maîtrise de l’IA, qui portent sur l’article 4 de l’EU AI Act, précisent que les certificats ne sont pas obligatoires et qu’un registre interne des formations ou d’autres initiatives suffit. Si les règles de l’Union européenne s’appliquent à vous, garder une trace succincte des personnes ayant suivi la présentation guidée et de la date à laquelle elles l’ont fait est une bonne habitude. Demandez conseil pour savoir si ce règlement s’applique à votre entreprise et de quelle manière.
Comment faire appliquer une politique d’utilisation acceptable de l’IA sans surveillance ?
La plupart des petites entreprises font respecter leur politique d’utilisation acceptable de l’IA grâce à des comptes approuvés, des paramètres par défaut adaptés et une culture où les erreurs sont signalées, plutôt qu’en surveillant chaque instruction. Fournissez aux salariés un compte professionnel approuvé pour que la voie la plus pratique soit aussi celle qui est autorisée. Activez les paramètres d’administration proposés par votre forfait. Faites en sorte que les salariés puissent signaler les erreurs sans crainte, et traitez les manquements répétés aux règles dans le cadre d’un échange habituel sur la performance.
Si vous consultez les journaux d’utilisation disponibles dans une offre professionnelle, indiquez-le dans la politique et vérifiez les règles applicables en matière de droit du travail et de confidentialité. Une surveillance dissimulée tend à nuire à la culture de signalement dont dépend cette politique.
Tosheo.ai suit le même principe dans sa conception prévue : les responsables voient la progression des compétences et l’avancement des formations, jamais les historiques bruts des conversations des apprenants.
Quand une politique d’utilisation acceptable ne suffit-elle pas ?
Une charte d’utilisation encadre le comportement des salariés ; elle ne détermine pas quels fournisseurs sont sûrs, si un processus de travail nécessite une analyse d’impact relative à la protection des données, ni comment l’IA s’intègre dans un produit que vous vendez. Si votre entreprise développe des fonctionnalités d’IA, automatise des décisions concernant des personnes ou exerce une profession réglementée, vous avez également besoin d’un cadre de gouvernance et d’un examen par des spécialistes.
Ce n’est pas non plus une formation. Il est facile d’adhérer à une règle comme "vérifiez chaque affirmation", mais difficile de bien l’appliquer quand les délais sont serrés. Les personnes ont besoin de s’exercer sur des tâches réalistes pour acquérir cette habitude : c’est le rôle de la pratique adaptée à chaque métier.
Sources et périmètre
NCSC, ChatGPT et les grands modèles de langage : quels sont les risques ?, 14 mars 2023 ↗
NIST, profil de l’IA générative (NIST AI 600-1), juillet 2024 ↗