Comment utiliser ce modèle ?
Copiez les clauses ci-dessous dans votre propre document, remplacez tous les champs entre crochets et discutez de chaque clause avec la personne responsable du processus concerné. N'adoptez pas ce texte comme politique d'entreprise sans vérifier les outils, les informations et les obligations réellement en jeu. Il évite délibérément d'inventer une autorisation générale de transmettre des données professionnelles aux outils.
Utilisez une tâche familière pour vérifier si un salarié sait appliquer le document finalisé. Par exemple, sait-il quel compte est autorisé pour rédiger un e-mail à partir d’informations publiques, et à qui demander l’autorisation avant de partager un rapport client ? Si la réponse n’est pas claire, améliorez la politique avant de demander au personnel d’en accuser réception.
Ce modèle fournit des informations générales, et non des conseils juridiques. Les règles relatives à la protection des données, au travail et aux différents secteurs varient selon les pays ; un conseiller qualifié doit examiner la version que vous adoptez.
Que doivent contenir les clauses relatives à l’objectif, au périmètre et aux responsabilités ?
Les trois premières clauses expliquent pourquoi la politique existe, qui elle concerne et qui tranche en cas d’ambiguïté. Restez bref : elles servent à donner des repères, pas à produire des effets juridiques.
Clause 1, objet : "[Entreprise] utilise des outils d’IA pour aider le personnel à rédiger, synthétiser, effectuer des recherches et analyser. Cette politique explique quels outils sont approuvés, quelles informations peuvent y être utilisées, comment les résultats sont vérifiés et à qui s’adresser. Elle complète nos politiques de [sécurité de l’information / protection des données / confidentialité] sans les remplacer."
Clause 2, périmètre d’application : "Cette politique s’applique à l’ensemble des salariés, prestataires et [indépendants / stagiaires] qui travaillent pour [Entreprise], quel que soit l’appareil utilisé, y compris aux fonctionnalités d’IA intégrées aux logiciels que nous utilisons déjà, tels que [suite bureautique, outil de conception, CRM]."
Clause 3, responsabilité : "[Nom, fonction] est responsable de cette politique et du registre des outils approuvés. [Nom du remplaçant] assure le relais en son absence. Les questions sont à adresser à [adresse électronique ou canal]. [Nom, fonction] approuve tout processus de travail impliquant des données personnelles."
Comment remplir les clauses relatives aux outils et aux informations ?
Les clauses 4 et 5 concentrent l’essentiel des risques et nécessitent donc les réponses les plus précises. La clause 4 indique les comptes exacts ; la clause 5 précise les catégories d’informations pouvant être saisies dans chacun d’eux.
Clause 4, outils approuvés : "Utilisez uniquement les outils figurant dans le registre des outils approuvés, en vous connectant avec votre compte [Entreprise]. Les comptes personnels, les offres gratuites et les extensions de navigateur qui ne figurent pas dans le registre ne doivent pas être utilisés pour les travaux de [Entreprise] ou de ses clients. Pour demander un nouvel outil, envoyez un courriel à [responsable] en précisant l’outil, l’abonnement, la tâche et les informations concernées."
Clause 5, informations : "Vous pouvez utiliser des informations publiques et des [informations internes] dans les outils approuvés. Vous ne devez pas saisir de [documents confidentiels de clients / tarifs / données financières non publiées / code source / identifiants de connexion], sauf si le registre autorise cet outil pour cette tâche. Ne saisissez pas de données personnelles concernant le personnel, les candidats ou les clients, sauf si [nom] a approuvé le processus de travail concerné. Supprimer les noms ne suffit pas à rendre le partage des informations sûr."
Chaque autorisation inscrite au registre doit préciser le service et la formule, la tâche autorisée, les informations utilisables, la personne chargée de la vérification et une date de réexamen. Interrogez séparément les fournisseurs sur l’entraînement à partir de vos données, leur conservation, l’accès des administrateurs et leur suppression. Consignez ce que prévoient leurs conditions en vigueur, avec la date de votre vérification. L’absence d’entraînement ne signifie pas l’absence de stockage.
| Champ du registre | Exemple de fiche pour une entreprise fictive |
|---|---|
| Service et formule | Espace de travail professionnel de [assistant], comptes d’entreprise uniquement |
| Tâche autorisée | Rédaction et synthèse de documents internes et de travaux de recherche publics |
| Informations autorisées | Public et interne ; documents clients uniquement pour les clients répertoriés à l’annexe A |
| Personne chargée de la révision | Responsable de l’équipe du domaine concerné |
| Responsable et date de révision | [Nom du responsable], révision tous les six mois ou en cas de modification des conditions |
Que doivent préciser les clauses sur la vérification des contenus générés et les décisions concernant les personnes ?
La clause 6 rend la personne qui utilise un résultat responsable de sa vérification ; la clause 7 réserve aux personnes les décisions concernant d’autres personnes. Ces deux clauses doivent être cohérentes avec vos procédures d’approbation existantes, sans les remplacer.
Clause 6, vérification des résultats : "Vous êtes responsable de tout travail réalisé avec l’aide de l’IA que vous utilisez ou envoyez. Avant toute utilisation, vérifiez les faits, les chiffres, les citations et les références à partir des documents sources ou d’une source identifiée. Supprimez toute statistique, tout résultat, toute recommandation ou toute référence dont vous ne pouvez pas retrouver la source. Les travaux normalement soumis à l’examen du [service juridique / service financier / responsable hiérarchique] restent soumis à cet examen."
Clause 7, décisions concernant des personnes : "Les outils d’IA ne doivent pas servir de fondement aux décisions concernant le recrutement, la rémunération, les performances, les sanctions disciplinaires, le crédit ou une réclamation client. Ils peuvent aider à rédiger ou à organiser les documents, mais une personne désignée doit examiner les informations sous-jacentes et prendre la décision."
Si votre équipe traite un volume important de tâches, comme les réponses aux demandes d’assistance, ajoutez une phrase sur les contrôles par sondage : qui vérifie un échantillon des réponses rédigées avec l’aide de l’IA, à quelle fréquence et que faire si des erreurs récurrentes apparaissent.
Vous souhaitez voir le lien avec un métier ?
Découvrez l’essai en équipe prévu ↗Comment fonctionnent les clauses de déclaration, de signalement et de révision ?
Les trois dernières clauses précisent quand signaler l’utilisation de l’IA, que faire en cas de problème et comment maintenir la politique à jour.
Clause 8, transparence : "Informez la personne chargée de la relecture lorsqu’un brouillon a été produit en grande partie avec l’IA. Respectez les contrats clients et les règles des plateformes ou des publications concernant les contenus générés par l’IA. [Facultatif : les images ou textes générés par l’IA destinés aux clients portent la mention [libellé].]"
Clause 9, signalement : "Si des informations à accès restreint ont pu être saisies dans un outil non approuvé, ou si un résultat produit avec l’aide de l’IA a causé ou failli causer un problème, informez [responsable] le jour même en précisant l’outil, le compte et les éléments partagés. Suivez la [procédure existante de gestion des incidents] lorsqu’elle s’applique. Un signalement rapide ne sera pas considéré comme une faute."
Clause 10, révision : "[Responsable] révise cette politique et le registre au moins tous les [six / douze] mois, ainsi qu’à chaque changement d’outil, d’abonnement, de contrat ou de processus de travail. Version [numéro], approuvée par [nom] le [date]."
Quels champs à compléter nécessitent de véritables décisions ?
Chaque élément entre crochets correspond à une décision non prise, et non à un choix sûr par défaut. Signalez donc les éléments inconnus comme étant à examiner au lieu de les remplacer par une règle qui semble plausible. L’entreprise doit préciser qui est responsable de la politique, les services et les formules approuvés, les tâches autorisées, les informations soumises à restriction, les responsabilités de vérification, la procédure de signalement et la date de révision.
Consignez pourquoi un outil est approuvé pour une tâche précise. Les paramètres d’entraînement des modèles, la conservation des données, les contrôles d’accès et l’autorisation contractuelle sont des questions distinctes. Un outil peut convenir à un usage, tandis qu’un autre nécessite une autorisation supplémentaire. Faites clairement apparaître cette distinction dans le registre.
Un cas pratique : un cabinet fictif de tenue comptable de 18 personnes a commencé par remplir la clause 5 et a constaté qu’il ne pouvait pas y répondre, car ses lettres de mission ne disaient rien sur l’IA. Plutôt que de faire des suppositions, le dirigeant a interdit l’utilisation des documents clients dans l’attente d’un examen, autorisé immédiatement les usages reposant sur des informations publiques et internes, et prévu un échange avec son conseiller sur la mise à jour des lettres de mission.
Que doit examiner la personne chargée de la vérification ?
La personne chargée de la relecture doit vérifier que la politique est cohérente avec les processus existants en matière de sécurité de l’information, de protection de la vie privée, d’emploi et de publication, et qu’elle ne les remplace pas implicitement. Un court document sur l’IA ne doit pas assouplir une règle qui encadre déjà les données confidentielles ou les décisions lourdes de conséquences. Le choix des personnes chargées de la relecture dépend de l’organisation, du processus de travail et du cadre juridique applicable.
Les contenus consacrés à la gouvernance dans le guide pratique du cadre de gestion des risques liés à l’IA du NIST abordent les rôles, les responsabilités, la formation et les risques liés aux tiers ; ce modèle est notre adaptation pratique pour les petites équipes. Les recommandations de l’ICO sur l’IA et la protection des données constituent une ressource officielle britannique pour les questions relatives aux données personnelles. Ses pages indiquent actuellement qu’elles sont en cours de révision à la suite de la loi sur l’utilisation et l’accès aux données : consultez donc la version en ligne à jour. Ce modèle n’est ni un certificat de conformité ni une attestation que votre entreprise a mis en place les mesures de contrôle.
Cohérence
Une clause contredit-elle une politique existante en matière de données, de sécurité ou de ressources humaines ?
Contrats
Les contrats avec les clients ou les fournisseurs limitent-ils l’utilisation de l’IA ou imposent-ils de la signaler ?
Données personnelles
La personne chargée de la protection des données a-t-elle pris connaissance de la clause 5 et de la clause 7 ?
Faisabilité
Une nouvelle recrue sait-elle quel compte utiliser, quelles informations exclure et à qui poser ses questions ?
Comment présenter la politique à l’équipe ?
Présentez cette limite à l’aide d’exemples tirés de votre propre travail, plutôt qu’en donnant un document à lire. Examinez un exemple autorisé, un exemple soumis à restrictions et un cas incertain. Demandez aux participants d’expliquer la différence et de trouver à qui s’adresser en cas de doute. Laissez-leur le temps de poser des questions sur les outils et les comptes qu’ils utilisent réellement. Une simple confirmation de lecture ne prouve pas qu’une personne sait respecter une limite.
Revenez sur la politique après la première séance de mise en pratique. Ajoutez les exemples qui ont aidé à clarifier une décision et corrigez toute consigne qui ne correspondait pas aux méthodes de travail. Conservez un numéro de version et désignez un responsable pour que les salariés sachent où trouver les règles en vigueur.
Si vous souhaitez une pratique structurée, Tosheo.ai est en cours de conception pour proposer à chaque métier des leçons courtes se terminant par un exercice pratique dans un véritable outil d’IA, noté selon une grille d’évaluation visible. Le service ne rédige ni ne valide votre politique.
Quand un modèle générique n’est-il pas un bon point de départ ?
Un modèle générique n’est pas le bon point de départ si vous intégrez l’IA dans un produit que vous vendez, traitez des catégories particulières de données personnelles, exercez une profession réglementée ou avez des contrats qui fixent déjà des conditions d’utilisation de l’IA. Partez de ces obligations avec un conseiller qualifié et utilisez cette structure uniquement comme liste de sujets à examiner.
Ce n’est pas non plus adapté si personne n’en assume la responsabilité. Un modèle rempli une fois puis jamais réexaminé devient une liste de règles sur des outils que l’équipe n’utilise plus. Désignez un responsable avant de remplir la clause 4.