Politique d'utilisation acceptable de l'IA : que faut-il inclure (et un plan de session de formation) ?

Nombre de vos employés utilisent probablement déjà des outils d'IA. Une politique que personne ne lit ne protège personne. Une politique que les gens comprennent et savent appliquer, en revanche, est efficace.

Voici pourquoi c'est urgent. Au 3 mai 2026, 19.8 % des entreprises américaines déclaraient utiliser l'IA, et ce taux augmente avec la taille de l'entreprise : 37 % des entreprises de 250 employés ou plus et 32 % des entreprises de 100 à 249 employés (Bureau du recensement des États-Unis : Les grandes entreprises d’au moins 20 employés sont les plus gros utilisateurs d’IA(copie archivée). Plus l'entreprise est grande, plus il est probable qu'elle utilise déjà l'IA.

Cet article vous propose 10 sections à inclure, un questionnaire de 5 questions pour toute demande d'outil, 5 exemples de données et un plan de séance de 30 minutes. Il offre une structure et des exemples de phrases en langage clair, et non un texte de politique à adopter tel quel. Il s'agit d'informations générales et non de conseils juridiques.

Pourquoi avez-vous besoin d'une politique d'utilisation acceptable de l'IA ?

L'utilisation des outils évolue plus vite que la réglementation. On colle l'email d'un client dans un chatbot pour gagner dix minutes, sans mauvaise intention et sans savoir où le texte sera envoyé. Une politique de confidentialité permet de définir les attentes en amont : ce qui est acceptable, ce qui ne l'est pas et à qui s'adresser.

Cela aide aussi vos responsables. Sans cela, chaque question du type « Puis-je utiliser l'IA pour cela ? » devient une décision ponctuelle, et deux responsables donneront des réponses différentes.

Une politique est-elle une obligation légale ? En général, non. La loi européenne sur l’IA fixe des obligations telles que la culture de l’IA, et la Commission indique que ses obligations en la matière s’appliquent depuis le 2 février 2025, mais sa présentation de la loi ne mentionne pas de politique d’utilisation acceptable comme une exigence (Commission européenne : Cadre réglementaire de la loi sur l'IACette page ne concerne que la réglementation européenne. Vérifiez ce qui s'applique là où vous exercez votre activité.

Les 10 sections à inclure

Voici deux séries de 5. La série A porte sur le périmètre et les outils approuvés. La série B porte sur les données et les comportements. Chaque section contient un exemple en langage clair. Il s'agit d'exemples à adapter, et non de la politique de l'entreprise.

Ensemble A : périmètre et outils approuvés

1. Objectif. Expliquez en une ou deux phrases la raison d'être de cette politique. Exemple : « Nous voulons que vous utilisiez les outils d'IA pour travailler plus vite, sans mettre en danger les clients, les collègues ou l'entreprise. »
2. Qui cela concerne. Employés, sous-traitants, stagiaires et toute personne utilisant l'IA pour le compte de l'entreprise. Exemple : « Ceci s'applique à tous ceux qui travaillent pour nous, quel que soit l'appareil utilisé. »
3. Outils autorisés et interdits. Une courte liste, conservée à un endroit où les gens peuvent la trouver. Exemple : « Utilisez uniquement les outils figurant sur la liste approuvée. Tout autre outil nécessite une autorisation préalable. »
4. Comment demander un nouvel outil. Un itinéraire nommé avec un temps de réponse. Exemple : « Envoyez le formulaire de demande au service informatique. Vous recevrez une réponse sous 5 jours ouvrables. »
5. Responsabilité. Qui est le titulaire de la police d'assurance et qui répond aux questions ? Exemple : « Vous êtes responsable de tout ce que vous envoyez, que vous l'ayez écrit vous-même ou à l'aide d'un outil. »

Notre choix pour le groupe A : la responsabilité. Voici la phrase à retenir : si un outil l’a écrit et que vous l’avez envoyé, il vous appartient.

Ensemble B : données et comportement

6. Quelles données ne seront peut-être jamais intégrées à un outil ? Nommez les catégories. Exemple : « Ne saisissez jamais les données client, les mots de passe, les contrats ou tout autre élément confidentiel dans un outil qui n'est pas autorisé à cet effet. »
7. Données personnelles et données clients. Indiquez ce qui est autorisé, avec quel outil approuvé, et ce qui ne l'est pas. Exemple : « Ne collez pas de noms, d'adresses e-mail ou de numéros de compte dans un chatbot général. »
8. Vérification et étiquetage des résultats de l'IA. Les gens vérifient avant de partager. Exemple : « Vérifiez les faits, les chiffres et les noms auprès d’une source fiable avant d’utiliser les résultats de l’IA. Mentionnez l’aide apportée par l’IA si un client ou un responsable vous le demande. »
9. Propriété intellectuelle et droit d'auteur. Couvrir ce qui entre et ce qui sort. Exemple : « Ne divulguez pas de documents confidentiels appartenant à une autre entreprise. Demandez l'autorisation avant de publier des images ou du texte générés par IA comme étant votre propre travail. »
10. Comment signaler un problème. Rendez-le facile et sûr. Exemple : « Si un outil divulgue des données ou vous fournit un élément nuisible, veuillez en informer immédiatement le responsable de cette politique. Tout signalement précoce est apprécié. »

Notre choix pour l'ensemble B : la règle des données. Un simple copier-coller dans le mauvais outil peut entraîner une fuite de données ; il est donc primordial d'avoir une règle claire et précise à ce sujet.

Outils approuvés : un test en 5 questions

Une liste sera toujours en retard par rapport aux outils que les gens utilisent. Proposez à vos employés cinq questions auxquelles on ne peut répondre que par oui ou par non avant qu'ils n'essaient une nouvelle fonctionnalité.

1. Est-ce sur la liste approuvée ? Sinon, renseignez-vous avant de l'utiliser.
2. Est-ce que je sais où vont mes données ? Qui utilise cet outil, et où sont stockées les données que vous saisissez ?
3. Est-ce que je sais si cela conserve ce que je tape ? Vérifiez si l'outil enregistre vos données ou les utilise pour entraîner l'outil.
4. Est-ce que je sais à qui appartient le résultat ? Consultez les conditions d'utilisation pour savoir ce que vous pouvez faire avec les données produites par l'outil.
5. Sais-je à qui demander ? Utilisez la voie de requête décrite dans la section 4 de votre politique.

Répondre « non » ou « je ne sais pas » à l'une de ces questions vous incitera à vous arrêter et à poser la question, plutôt que de deviner. À titre de référence, le NIST publie un cadre volontaire pour la réflexion sur les risques liés à l'IA, accompagné d'un profil d'IA générative (NIST : Cadre de gestion des risques liés à l’IAIl ne s'agit pas d'une norme à laquelle il faut se conformer, et le NIST indique qu'elle est en cours de révision, mais c'est une source utile de questions sur les risques pour les personnes qui approuvent vos outils.

Notre choix : la question 2, où vont vos données. On peut facilement sauter cette question, et sa réponse indique si les quatre autres sont importantes.

Règles de données en pratique : 5 exemples

Les règles restent abstraites tant qu'on ne les applique pas à des tâches concrètes. Ces cinq exemples sont à adapter à vos propres outils et règles, et non à la politique de l'entreprise.

1. Rédaction d'un courriel. En règle générale, cela fonctionne correctement avec un outil approuvé, à condition de ne pas divulguer d'informations personnelles et de lire le résultat avant de l'envoyer.
2. Résumer une réunion. Cela dépend de l'outil. N'enregistrez ou ne collez une réunion que dans un outil prévu à cet effet, et informez-en les participants.
3. Coller une fiche client. Ne le faites pas, sauf si l'outil est approuvé pour les données clients. Remplacez les noms et les numéros par des espaces réservés si vous avez seulement besoin d'aide pour la formulation.
4. Téléchargement d'un contrat. Traitez-le comme une information confidentielle. Utilisez uniquement un outil approuvé par votre organisation à cet effet, ou abstenez-vous.
5. Générer une image. Convient pour les brouillons internes. Avant toute utilisation publique, consultez votre politique de droits d'auteur et renseignez-vous en cas de doute.

Notre choix : l’exemple 3, la fiche client. C'est une erreur facile à commettre, et un texte de remplacement ne prend que dix secondes.

Former le personnel à ce sujet : un plan de 30 minutes

Une politique ne modifie les comportements qu'après avoir été discutée en profondeur. Organisez une session de 30 minutes pour chaque équipe, puis répétez l'opération lorsque les outils ou les règles évoluent. N'oubliez pas le chiffre du recensement : si environ une grande entreprise sur trois utilise l'IA, il y a de fortes chances que certains de vos collaborateurs l'utilisent également.

Préparer: le résumé de la politique sur une page, les exemples de données ci-dessus sur les diapositives et un sondage.

1. Minutes 0 à 5 : pourquoi. Commencez par la question : « Quels outils d’IA utilisez-vous au travail ? » Partagez les réponses et expliquez la raison d’être de cette politique.
2. Minutes 5 à 12 : les 10 sections. Expliquez les deux ensembles en termes simples, en donnant un exemple pour chacun. Ne lisez pas la politique à voix haute.
3. Minutes 12 à 22 : scénarios. Présentez les cinq exemples de données un par un. Demandez : « Ces données peuvent-elles être intégrées à un outil d’IA ? » et laissez une minute aux participants pour voter avant de révéler la réponse.
4. Minutes 22 à 27 : questions. Questions ouvertes et anonymes. Les gens poseront des questions qu'ils n'oseraient peut-être pas formuler à voix haute, comme : « J'ai déjà fait ça le mois dernier. Ai-je des ennuis ? »
5. Minutes 27 à 30 : signature. Demandez à chacun de confirmer qu'il a lu la politique et qu'il sait à qui s'adresser.

Pour conclure, voici les chiffres du recensement : l’utilisation de l’IA augmente avec la taille de l’entreprise. Une courte session maintenant est donc moins coûteuse que de réparer une fuite plus tard. Pour une analyse plus approfondie, consultez notre article sur… Formation à l'alphabétisation en IA couvre les compétences et une mesure de leur application, et niveaux de classification des données vous aide à décider quelles données doivent être utilisées dans quel outil.

Notre choix : le bloc scénario. Il est plus facile de se souvenir d'un exemple concret lors d'un vote que d'une règle.

Façons d'organiser votre session sur les politiques d'IA avec AhaSlides

Cette session est plus efficace lorsque les participants répondent plutôt qu'ils n'écoutent. Utilisez ces types de diapositives, inspirés des exemples de cet article.

1. Choisissez la réponse : Pour chaque exemple de données, la question posée est : « Ces données peuvent-elles être intégrées à un outil d’IA ? », avec des options telles que « Oui, dans un outil approuvé », « Uniquement après suppression des noms » et « Non ».
2. Mot nuage: « Quels outils d'IA utilisez-vous ? » Vous voyez les outils réels, y compris ceux qui ne figurent pas sur votre liste.
3. Échelle de notation: « Chaque section est-elle suffisamment claire ? » Faites le test à la fin et réécrivez d’abord la section ayant obtenu le score le plus bas.
4. Ouvert : « Pour quelle tâche d'IA avez-vous besoin d'aide ? » Vous voyez ce que votre politique a omis.
5. Questions et réponses: L'anonymat permet aux gens de poser des questions qu'ils n'oseraient pas poser en privé. Nos conseils pour organiser une séance de questions-réponses aidera.

Le modèle de cours sur l'utilisation acceptable de l'IA au travail vous fournit les diapositives prêtes à être adaptées, de sorte que les cinq exemples de données ci-dessus peuvent être utilisés comme un vote.

Foire aux questions

Que devrait inclure une politique d'utilisation acceptable de l'IA ?

Périmètre, outils approuvés, règles relatives aux données, contrôles des résultats, propriété intellectuelle et procédure de signalement des problèmes : les 10 sections ci-dessus abordent chacun de ces points, avec un exemple pour chaque cas.

Une politique en matière d'IA est-elle exigée par la loi ?

De manière générale, non. La loi européenne sur l'IA fixe des obligations telles que la sensibilisation à l'IA, mais la synthèse de la Commission ne mentionne pas de politique d'utilisation acceptable comme exigence. Les règles varient selon les pays et les secteurs ; vérifiez donc celles qui s'appliquent à votre organisation.

Quelles données ne doivent jamais être intégrées à un outil d'IA ?

Toute donnée désignée comme confidentielle par votre politique, telle que les données clients, personnelles et contractuelles, doit être traitée à moins que l'outil ne soit approuvé pour ce type de données. En cas de doute, considérez-le comme confidentiel et demandez l'autorisation.

Le NIST AI RMF est-il obligatoire ?

Non. Le NIST précise que ce cadre est destiné à un usage volontaire. Il sert de référence pour la réflexion sur les risques liés à l'IA, et le NIST indique qu'il est en cours de révision.

Quelle doit être la durée de la séance de formation ?

Il n'y a pas de durée fixe. Une session de 30 minutes constitue un point de départ pratique, suivie d'une brève révision chaque fois que les outils ou les règles changent.

Par où commencer

Commencez par rédiger la règle relative aux données, car c'est primordial. Ensuite, planifiez une séance de 30 minutes avec l'équipe qui utilise le plus l'IA et demandez-lui ce qui manque à sa politique. Pour une vue d'ensemble de l'utilisation judicieuse de l'IA, consultez : formation de la main-d'œuvre en IA et jugement humainet en ce qui concerne la protection de la vie privée, Documentation sur l'IA et formation à la protection de la vie privéeLe bouton ci-dessous ouvre le modèle d'utilisation acceptable de l'IA au travail.