Pourquoi les outils d’IA générative ont-ils besoin de règles d’utilisation spécifiques ?
Les outils génératifs produisent de nouveaux textes, images, contenus audio ou codes au lieu de simplement retrouver ou trier des informations existantes : le principal risque se déplace donc des données d’entrée vers les contenus produits. Un outil de recherche renvoie des pages que vous pouvez examiner ; un outil génératif renvoie une ébauche au ton assuré qui peut contenir des faits inventés, des formulations empruntées ou une présentation biaisée. Une politique doit couvrir à la fois les données fournies et les contenus produits.
Le profil du NIST consacré à l’IA générative recense douze risques propres à l’IA générative ou aggravés par celle-ci. Pour une petite entreprise classique, cinq d’entre eux constituent l’essentiel d’une politique : les hallucinations (des contenus faux énoncés avec assurance), la confidentialité des données (fuite ou divulgation non autorisée), la propriété intellectuelle (reproduction de contenus protégés ou divulgation de secrets d’affaires), l’intégrité de l’information (contenus qui ne distinguent pas les faits des opinions ou ne signalent pas l’incertitude) et ce que le NIST appelle la configuration humain-IA, qui inclut le biais d’automatisation et la dépendance excessive.
Vous pouvez intégrer ces règles au même document que vos règles d’utilisation acceptable. Beaucoup de petites entreprises le font. Cette page se concentre sur les clauses propres aux contenus. Elle fournit des informations générales, pas des conseils juridiques.
| Le risque dans le profil NIST | À quoi cela ressemble au travail | Règle de la politique qui traite ce point |
|---|---|---|
| Fabulation | Une statistique inventée ou une référence à une page qui ne dit pas ce qui lui est attribué | Vérifier chaque affirmation factuelle en consultant une source avant toute utilisation |
| Confidentialité des données | La liste de contacts d’un client collée dans l’outil pour préparer un publipostage | Catégories d’informations associées aux comptes approuvés |
| Propriété intellectuelle | Une image dans le style d’un artiste reconnaissable, ou du code copié depuis un projet soumis à une licence | Règles sur les consignes de style, la réutilisation et la vérification des licences |
| Intégrité des informations | Un résumé qui présente une supposition comme un fait | Exigez que les incertitudes restent visibles dans les brouillons relus |
| Dépendance excessive | Accepter une analyse générée sans lire les données | Précisez les décisions qui restent du ressort d'une personne |
Que doit préciser une politique d’utilisation de ChatGPT destinée aux employés ?
Une politique d’utilisation de ChatGPT destinée aux salariés doit préciser quel compte utiliser, quelles informations ne jamais inclure dans une consigne, comment vérifier la réponse et à qui s’adresser. Les mêmes règles doivent s’appliquer à Claude, Gemini, Copilot et aux assistants similaires. Mentionner un seul produit dans le titre peut apporter de la clarté, mais rédigez les règles de façon à ne pas devoir les réécrire lorsque l’équipe ajoute un autre outil.
La distinction la plus importante est celle entre comptes personnels et comptes d’entreprise. Les offres grand public et professionnelles d’un même assistant peuvent avoir des conditions différentes concernant l’entraînement, la conservation des données et les droits de contrôle des administrateurs. La documentation de Microsoft indique, par exemple, que Copilot Chat utilisé par les organisations est couvert par son avenant relatif à la protection des données et que les instructions et les réponses ne sont pas utilisées pour entraîner les modèles de fondation, les contrôles variant selon l’offre. Consignez la déclaration équivalente pour chaque outil que vous approuvez, avec la date de vérification, plutôt que de la présumer.
Exemple de clause : "Utilisez [assistant] uniquement via votre compte professionnel [entreprise]. N’utilisez pas de compte personnel pour le travail de l’entreprise, même pour une question rapide, car les comptes personnels ne sont pas couverts par notre accord avec le fournisseur."
Que ne doit jamais inclure le personnel dans une consigne destinée à une IA générative ?
Le personnel ne doit jamais saisir de mots de passe, de clés ou d’autres secrets dans une instruction, et ne doit saisir des informations confidentielles, personnelles ou relatives aux clients que lorsqu’une procédure approuvée l’autorise. Les recommandations du centre national de cybersécurité britannique précisent qu’une requête est visible par l’organisation qui fournit le modèle et déconseillent de soumettre des requêtes dont la divulgation poserait problème.
Les fichiers importés font partie des instructions envoyées à l’IA. Un tableur joint à une demande de graphique transmet toutes ses colonnes, y compris celles qui ne sont pas nécessaires pour répondre à la question. Une clause de votre politique indiquant « supprimez les colonnes dont vous n’avez pas besoin avant l’importation » est facile à suivre et évite un incident courant.
Exemple de clause : "Avant de coller du contenu ou de téléverser un fichier, retirez tout ce qui n’est pas nécessaire à la tâche. N’incluez jamais de secrets. N’incluez pas d’informations sur les clients ni de données personnelles, sauf si le registre autorise cet outil et cette tâche. En cas de doute, demandez d’abord à [responsable]."
Comment les contenus générés devraient-ils être vérifiés avant utilisation ?
Le niveau de vérification du contenu généré doit dépendre de son usage : un simple coup d’œil suffit pour une réflexion personnelle, chaque affirmation d’un livrable client doit être reliée à une source, et tout contenu juridique, financier ou lié à la sécurité doit être examiné par une personne qualifiée. La politique doit désigner la personne chargée de vérifier chaque type de contenu, généralement celle qui l’enverra ou le publiera.
Un exemple détaillé tiré d’un cabinet de recrutement fictif de 15 personnes, Fenwick Talent. Un consultant saisit la consigne suivante : "Rédigez une note de marché de 150 mots destinée aux directeurs financiers sur le recrutement de contrôleurs de gestion à Leeds." Le brouillon affirme que la demande a fortement augmenté cette année et que les salaires ont progressé d’un pourcentage précis, en citant une enquête salariale nommée. Le consultant ne retrouve ni l’enquête ni le chiffre.
Texte peu fiable conservé tel quel : "La demande de contrôleurs de gestion à Leeds a fortement augmenté cette année, avec une hausse des salaires de [chiffre] selon [enquête]." Version révisée : "Pour les postes que nous avons pourvus ce trimestre, les directeurs financiers se sont surtout renseignés sur les délais de préavis et les modalités de travail hybride. Nous observons davantage de contre-offres au stade de la proposition d’embauche." La version révisée s’appuie uniquement sur les observations de Fenwick. La règle à l’origine de cette modification : "Supprimez toute statistique, enquête ou tout résultat que vous ne pouvez pas consulter et vérifier."
Vous souhaitez voir le lien avec un métier ?
Découvrez l’essai en équipe prévu ↗Quand les salariés doivent-ils signaler qu’un contenu a été généré par l’IA ?
Au minimum, les salariés doivent signaler à la personne qui relit leur travail qu’un brouillon a été généré en grande partie par l’IA, et respecter tout contrat client, toute règle de plateforme ou de publication imposant de le mentionner. Au-delà, ce signalement relève d’un choix de l’entreprise, qui dépend du public et du contexte.
Les exemples publics varient. Les directives provisoires de la ville de Boston à l’intention de son personnel, publiées en mai 2023, demandent aux employés de signaler leur utilisation de l’IA et de préciser le modèle utilisé. Elles suggèrent une mention telle que « Cette description a été générée par ChatGPT 3.5 et révisée par », suivie du nom de l’employé. Cela convient à un organisme public. Une petite agence peut décider qu’un signalement interne à la personne chargée de la vérification suffit pour les textes courants, et réserver les mentions externes aux images générées ou aux voix synthétiques.
Exemple de clause : "Indiquez à la personne chargée de la relecture si l’IA a produit une part importante d’un brouillon. Signalez les images, contenus audio ou vidéos générés par l’IA et destinés aux clients avec la mention [formulation]. Respectez toute consigne du client concernant l’utilisation de l’IA, qui prévaut sur cette clause."
Comment une politique d’utilisation de l’IA générative devrait-elle traiter le droit d’auteur et les images ?
La politique doit interdire au personnel de reproduire délibérément des œuvres protégées, imposer la vérification des licences avant toute réutilisation de code ou de contenus générés et interdire la génération d’images ou de voix de personnes réelles sans leur consentement. Le profil du NIST recense parmi les risques de l’IA générative la reproduction facilitée de contenus protégés par le droit d’auteur, le droit des marques ou des licences, ainsi que la divulgation facilitée de secrets d’affaires.
Le droit d'auteur applicable aux contenus générés par l'IA varie selon les pays et continue d'évoluer. La politique ne doit donc pas promettre que l'entreprise détient les droits sur chaque contenu généré ou peut le faire enregistrer. Elle doit préciser comment l'entreprise gère cette incertitude : par exemple, les images générées peuvent être utilisées librement pour des maquettes internes, mais toute utilisation dans une campagne client fait d'abord l'objet d'une vérification des conditions de licence de l'outil et des consignes du client.
Exemples de clauses : "Ne demandez pas de contenu dans le style d’un artiste vivant ou d’une marque nommément désignés, ni la reproduction de textes protégés par le droit d’auteur. Ne créez pas d’images, de contenus audio ou de vidéos représentant une personne réelle sans son consentement écrit. Vérifiez les conditions d’utilisation commerciale de l’outil avant d’intégrer des contenus générés à un travail destiné à un client." Demandez conseil sur les règles applicables dans votre juridiction.
Quelles décisions doivent rester du ressort d’une personne ?
Les décisions qui ont un effet important sur une personne, notamment en matière de recrutement, de rémunération, de performance, de crédit, de réclamations ou de santé et de sécurité, doivent rester du ressort d’une personne nommément désignée qui examine les informations sur lesquelles elles reposent. Les outils génératifs peuvent aider à rédiger, structurer ou résumer les éléments utiles à ces décisions ; ils ne doivent pas les prendre.
Le profil du NIST décrit le biais d’automatisation et la dépendance excessive comme des composantes du risque lié à la configuration des interactions entre humains et IA. Une politique permet de les contrer avec un test simple : la personne qui décide doit pouvoir expliquer sa décision sans se référer à ce que l’outil a dit. Lorsque des données personnelles sont en jeu, les recommandations de l’ICO sur l’IA et la protection des données constituent la référence officielle au Royaume-Uni ; ses pages indiquent actuellement qu’elles sont en cours de révision à la suite de la loi sur l’utilisation et l’accès aux données.
Quand une politique d’utilisation de l’IA générative n’est-elle pas adaptée ?
Une politique d’IA générative destinée au personnel ne suffit pas si vous intégrez des fonctions génératives à un produit, affinez des modèles à partir de données clients ou déployez un agent conversationnel qui échange avec le public en votre nom. Ces usages nécessitent un examen du produit, de la sécurité et des aspects juridiques qui va bien au-delà des règles destinées aux salariés.
Cela ne remplace pas non plus la pratique. Savoir qu’un brouillon peut contenir un chiffre inventé est une chose ; le repérer dans un délai serré en est une autre. Tosheo.ai est en cours de développement pour cette étape de mise en pratique : dans les parcours par métier prévus, chaque leçon se termine par une tâche pratique à réaliser dans un véritable outil d’IA, notée selon une grille d’évaluation visible. Tosheo.ai ne rédige pas votre politique et ne la fait pas appliquer.
Sources et périmètre
NIST, profil de l’IA générative (NIST AI 600-1), juillet 2024 ↗
NCSC, ChatGPT et les grands modèles de langage : quels sont les risques ?, 14 mars 2023 ↗