Charte d’usage de l’IA générative en entreprise : les règles à fixer pour les salariés

Pourquoi formaliser les usages de l’intelligence artificielle générative

Les outils d’intelligence artificielle générative peuvent produire du texte, du code, des images, des synthèses ou des traductions à partir d’une consigne en langage courant. Cette capacité les rend utiles dans de nombreuses fonctions, mais elle introduit aussi des risques que les procédures informatiques traditionnelles ne couvrent pas toujours. Un salarié peut, par exemple, transmettre des informations confidentielles à un service en ligne, reprendre une réponse inexacte dans un document destiné à un client ou utiliser une image dont les conditions de réutilisation ne sont pas établies.

Une charte d’usage ne vise pas à interdire toute expérimentation. Elle précise le cadre dans lequel les outils peuvent être employés, les données qui ne doivent jamais être communiquées, les vérifications attendues et les personnes à contacter en cas de doute. Elle sert aussi à distinguer les usages autorisés des usages nécessitant une validation préalable.

Pour être utile, le document doit rester opérationnel. Une règle comme l’interdiction de toute donnée sensible doit être accompagnée d’exemples concrets, d’une définition des informations concernées et d’une procédure de signalement. La charte doit également être cohérente avec les politiques existantes relatives à la sécurité, à la protection des données, au secret des affaires, à la propriété intellectuelle et à l’usage des équipements professionnels.

Définir le périmètre et les outils concernés

La première partie de la charte doit indiquer ce qu’elle couvre. Le périmètre peut inclure les assistants conversationnels, les fonctions d’IA intégrées à une suite bureautique, les logiciels de transcription, les générateurs d’images, les outils d’aide au développement et les services capables d’analyser des fichiers ou des enregistrements.

Il est préférable de distinguer plusieurs catégories plutôt que de traiter tous les outils de la même manière :

• Outils validés : services examinés par la fonction informatique, la sécurité ou la protection des données et accessibles dans un cadre défini.
• Outils expérimentaux : solutions utilisables pour des essais limités avec des données non sensibles, après accord de la personne responsable.
• Outils interdits : services présentant un risque incompatible avec les exigences internes ou dont les conditions de traitement ne peuvent pas être vérifiées.
• Fonctions intégrées : fonctionnalités d’IA présentes dans des logiciels déjà utilisés, qui doivent être évaluées selon les mêmes critères que les services autonomes.

La charte doit préciser si elle s’applique aux appareils personnels utilisés dans un cadre professionnel, au télétravail et aux comptes créés à titre individuel. Elle peut aussi prévoir un registre interne des outils autorisés, avec leur finalité, leur niveau de sensibilité accepté et le contact chargé du suivi.

Interdire la transmission des informations sensibles

La règle la plus importante concerne les données saisies dans les prompts, les fichiers importés et les contenus générés à partir d’informations internes. Un service d’IA peut conserver des journaux techniques, utiliser certaines données pour améliorer ses modèles ou les transmettre à des sous-traitants selon ses conditions contractuelles. Le fonctionnement dépend de chaque solution et de sa configuration. Une charte responsable ne présume donc pas qu’un outil est confidentiel par défaut.

La liste des contenus interdits doit être compréhensible par tous les métiers. Elle peut notamment inclure :

• les données personnelles non nécessaires à la tâche, notamment les coordonnées, identifiants, dossiers individuels et informations de santé ;
• les mots de passe, clés d’API, jetons d’accès, certificats et secrets techniques ;
• les contrats non publics, conditions commerciales, informations financières internes et documents relevant du secret des affaires ;
• les fichiers appartenant à un client, à un fournisseur ou à un partenaire lorsque leur transmission n’est pas autorisée ;
• les informations relatives à une procédure juridique, à une vulnérabilité non corrigée ou à un incident de sécurité ;
• les données permettant d’identifier directement une personne lorsque l’anonymisation n’est pas suffisante.

La pseudonymisation ne rend pas automatiquement une donnée anonyme. Si le rapprochement avec une autre base permet de retrouver la personne concernée, le risque demeure. Pour demander une reformulation ou une synthèse, le salarié doit retirer les éléments identifiants, réduire le contenu transmis et conserver le document original dans l’environnement prévu à cet effet.

Organiser une grille de classification des prompts et des fichiers

Une grille de classification rend les décisions plus rapides. Elle peut reprendre les catégories déjà utilisées pour les documents internes. L’objectif consiste à relier chaque niveau de sensibilité à un type d’outil et à des précautions précises.

Cette classification doit être accompagnée d’une consigne pratique : en cas d’incertitude, ne pas copier le contenu dans l’outil et demander l’avis du référent désigné. La charte peut aussi recommander de travailler sur un extrait fictif ou sur un jeu de données de test, à condition que celui-ci ne permette pas de reconstituer les informations originales.

Fixer des règles de confidentialité et de gestion des comptes

La charte doit expliquer comment accéder aux outils autorisés. Les comptes personnels ne devraient pas servir à traiter des informations professionnelles lorsque l’organisation met à disposition un environnement dédié. Cette séparation facilite la gestion des droits, la révocation d’un accès, la conservation des traces et l’application des paramètres de sécurité.

Les règles peuvent prévoir :

• une authentification renforcée lorsque le service la propose ;
• l’interdiction de partager un compte ou une clé d’accès ;
• la vérification de l’adresse du service avant tout dépôt de fichier ;
• la désactivation, lorsque l’option existe, de la conservation des conversations ou de la réutilisation des contenus à des fins d’entraînement ;
• la suppression des fichiers importés lorsque la tâche est terminée, selon les règles internes de conservation ;
• la revue périodique des utilisateurs autorisés et des extensions connectées.

La charte doit attirer l’attention sur les extensions de navigateur et les modules complémentaires. Certains peuvent lire le contenu des pages consultées, des documents ouverts ou des champs saisis. Une extension installée sans examen peut donc élargir considérablement le périmètre des données exposées. Toute connexion entre un outil d’IA et une messagerie, un espace documentaire ou un logiciel métier doit faire l’objet d’une évaluation distincte.

Rendre la vérification humaine obligatoire

Une réponse générée n’est pas une source garantie. Elle peut contenir une information fausse, une date erronée, une référence inexistante, une interprétation incomplète ou un raisonnement qui semble cohérent sans l’être. La charte doit donc imposer une validation adaptée à l’importance du contenu produit.

Pour un texte destiné à l’extérieur, la personne qui l’utilise doit au minimum :

1. relire le contenu et vérifier qu’il répond réellement à la demande ;
2. contrôler les noms, dates, chiffres, références et liens éventuels ;
3. comparer les affirmations importantes avec des sources fiables ou les documents de référence ;
4. supprimer les formulations trop affirmatives lorsque l’information reste incertaine ;
5. corriger les biais, généralisations et omissions repérés ;
6. assumer la validation finale avant diffusion.

Le niveau de contrôle doit augmenter lorsque le résultat touche à la santé, au droit, à la finance, au recrutement, à la sécurité ou à une décision concernant une personne. Dans ces domaines, l’IA peut aider à préparer ou à structurer un travail, mais elle ne doit pas remplacer l’expertise et l’arbitrage humain requis par le contexte.

Encadrer les décisions concernant les salariés et les clients

L’usage d’un système génératif dans une procédure de recrutement, d’évaluation, d’affectation ou de gestion disciplinaire demande une vigilance particulière. La production automatique d’un classement, d’un résumé de candidature ou d’une recommandation peut reproduire des biais présents dans les données utilisées ou dans la formulation de la demande. Elle peut aussi rendre difficile l’explication de la décision prise.

La charte doit interdire les décisions entièrement automatisées lorsqu’elles produisent des effets importants sur une personne, sauf cadre légal et organisationnel précisément établi. Elle doit prévoir une intervention humaine réelle, documentée et capable de remettre en cause la suggestion de l’outil. Les personnes concernées doivent recevoir une information appropriée lorsque la réglementation l’exige.

Avant de déployer un tel usage, il convient d’identifier :

• la finalité exacte du traitement ;
• les catégories de données utilisées ;
• les critères appliqués et leurs limites ;
• les risques de discrimination ou d’exclusion ;
• la personne responsable de la décision ;
• la possibilité de corriger une donnée ou de contester le résultat.

La charte ne remplace pas une analyse juridique ou une analyse d’impact lorsqu’elle est requise. Elle constitue un socle de comportement pour les utilisateurs et doit renvoyer vers les procédures internes correspondantes.

Protéger la propriété intellectuelle et les informations des tiers

Un salarié peut disposer d’un droit d’accès à un document sans disposer du droit de le transmettre à un service externe. Cette distinction est importante pour les productions réalisées avec un client, un fournisseur, un partenaire ou un employeur précédent. La charte doit rappeler que les conditions contractuelles et les licences s’appliquent également aux contenus envoyés à un outil d’IA.

Avant d’importer un texte, une image, un enregistrement audio, une vidéo ou du code, l’utilisateur doit se poser plusieurs questions :

• Qui détient les droits sur le contenu ?
• Le contrat autorise-t-il sa transmission à un prestataire technique ?
• Le fichier contient-il des éléments protégés ou confidentiels appartenant à un tiers ?
• Les conditions de l’outil précisent-elles ce que devient le contenu transmis et le résultat produit ?
• Le résultat généré peut-il être utilisé tel quel ou doit-il être retravaillé et vérifié ?

Pour les images, les voix, les marques et les contenus publiés, il faut également éviter toute imitation susceptible de créer une confusion avec une personne ou une création existante. La charte peut demander la conservation des consignes, des fichiers sources et des étapes de validation afin de documenter l’origine du contenu final.

Prévenir les risques liés au code et à la cybersécurité

Les assistants de programmation peuvent accélérer l’écriture, la documentation et la recherche d’erreurs. Ils peuvent aussi proposer du code vulnérable, utiliser une bibliothèque obsolète ou introduire une dépendance dont la licence ne correspond pas au projet. Une charte destinée aux équipes techniques doit prévoir des règles distinctes pour le code source et les secrets.

Les éléments suivants ne doivent pas être envoyés dans un outil non approuvé :

• clés privées, mots de passe, jetons et chaînes de connexion ;
• code source propriétaire ou extrait permettant de reconstituer une logique sensible ;
• journaux contenant des identifiants personnels ou des données de production ;
• détails d’une vulnérabilité avant sa prise en charge ;
• configurations réseau et informations facilitant une intrusion.

Tout code généré doit être compilé, testé et relu par une personne compétente. Les tests doivent rechercher les erreurs fonctionnelles, les problèmes de validation des entrées, les fuites de données, les permissions excessives et les dépendances non maîtrisées. Une analyse de sécurité ne doit pas être remplacée par une réponse produite par un autre modèle. Pour les applications sensibles, la procédure de revue du code reste la référence.

Informer les utilisateurs et organiser la montée en compétence

Une charte peu connue ou rédigée dans un vocabulaire juridique trop dense ne modifie pas les pratiques. Sa diffusion doit s’accompagner d’une formation adaptée aux métiers. Cette formation peut présenter des exemples de prompts sûrs et risqués, une méthode d’anonymisation, les signaux d’une réponse incertaine et la procédure à suivre en cas d’erreur.

Chaque utilisateur devrait savoir :

• quels outils sont autorisés dans son environnement ;
• quels types de données il peut traiter ;
• comment vérifier les réglages de confidentialité ;
• quand demander une validation avant usage ;
• comment signaler une fuite, une réponse dangereuse ou un comportement inattendu ;
• qui contacter pour une question de protection des données, de sécurité ou de propriété intellectuelle.

La formation doit aussi expliquer les limites des prompts. Une consigne détaillée améliore parfois la forme de la réponse, mais elle ne garantit ni l’exactitude des informations ni la confidentialité des données. Les salariés doivent apprendre à réduire la quantité d’information fournie, à utiliser des exemples fictifs et à séparer la préparation d’un document de sa validation finale.

Prévoir une procédure de signalement et de révision

Une erreur peut survenir malgré les précautions : fichier transmis au mauvais service, donnée personnelle incluse dans un prompt, contenu erroné diffusé ou clé secrète exposée. La charte doit indiquer quoi faire immédiatement. Le premier réflexe consiste à ne pas multiplier les copies du contenu et à prévenir le contact prévu par la procédure de sécurité ou de protection des données.

La procédure peut suivre cette séquence :

1. interrompre l’usage de l’outil concerné et ne pas supprimer les éléments nécessaires à l’analyse ;
2. noter la date, le service utilisé, la nature du contenu transmis et les personnes potentiellement concernées ;
3. signaler l’incident par le canal interne prévu ;
4. révoquer ou renouveler les secrets exposés, lorsque cela s’applique ;
5. conserver les informations utiles à l’investigation dans un espace sécurisé ;
6. appliquer les mesures correctives et mettre à jour la procédure.

La charte doit être révisée lorsque les outils, les contrats, les usages ou le cadre réglementaire évoluent. Un comité ou un référent peut examiner les nouveaux cas d’usage, suivre les incidents, retirer un outil et actualiser la liste des services approuvés. Cette gouvernance évite qu’un outil adopté pour une tâche limitée soit progressivement utilisé dans des contextes plus sensibles sans nouvelle évaluation.

Construire une charte applicable au quotidien

La rédaction peut suivre un parcours en plusieurs étapes. Il faut d’abord recenser les usages existants, y compris ceux qui ne sont pas déclarés. Les entretiens avec les équipes permettent d’identifier les tâches réellement réalisées : synthèse de réunions, traduction, assistance à la rédaction, analyse de données, développement ou création de supports.

Ensuite, chaque usage doit être évalué selon la nature des données, le niveau d’autonomie de l’outil, l’impact du résultat et les garanties du prestataire. Cette analyse permet de choisir entre autorisation, expérimentation encadrée et interdiction. Les règles doivent ensuite être formulées avec des verbes d’action : ne pas transmettre, vérifier, conserver, signaler, demander une validation.

Une charte efficace comprend généralement :

• un objectif et un périmètre ;
• un glossaire des termes utiles, comme prompt, donnée personnelle et contenu sensible ;
• la liste des outils autorisés ou le lien vers le registre interne ;
• les données interdites et les méthodes de réduction du risque ;
• les obligations de vérification, de traçabilité et de validation ;
• les règles propres au code, aux décisions et aux contenus destinés au public ;
• la procédure d’incident et les contacts ;
• la date de révision et le responsable de la mise à jour.

La signature ou l’acceptation de la charte doit s’accompagner d’un accès permanent au document et d’un rappel lors de l’arrivée de nouveaux salariés. Son objectif est de guider les décisions quotidiennes, pas de remplacer le jugement professionnel.

FAQ sur la charte d’usage de l’IA générative

Une charte doit-elle interdire les outils d’IA grand public ?

Pas nécessairement. Elle peut autoriser certains usages avec des données publiques ou fictives, tout en interdisant les informations confidentielles et les données personnelles non protégées. La décision dépend de l’évaluation du service, de ses réglages et du contexte d’utilisation.

Peut-on utiliser une IA pour rédiger un document professionnel ?

Oui, lorsque l’outil et le type de données sont autorisés. Le résultat doit être relu, vérifié et adapté au destinataire. La personne qui diffuse le document reste responsable de son contenu et de ses éventuelles erreurs.

Faut-il signaler l’utilisation d’une IA dans un document ?

La réponse dépend du contexte, des règles internes, des engagements contractuels et des obligations applicables. La charte peut définir les situations où cette transparence est attendue, notamment pour les contenus destinés à des tiers ou les décisions concernant des personnes.

Que faire si une donnée confidentielle a été envoyée par erreur ?

Il faut interrompre l’usage du service, éviter toute nouvelle diffusion et contacter rapidement le référent prévu par la procédure d’incident. Selon la nature de la donnée, une révocation d’accès, une analyse de l’exposition et des mesures de notification peuvent être nécessaires.

Qui doit approuver la charte ?

La gouvernance dépend de l’organisation, mais le document doit être examiné par les fonctions concernées par la sécurité, la protection des données, le juridique, les ressources humaines et les métiers. Cette validation croisée permet d’éviter une règle techniquement correcte mais impossible à appliquer dans le travail quotidien.