Charte IA : 8 règles pour encadrer l'usage de l'IA dans votre PME

Vos salariés utilisent déjà l'IA, avec ou sans votre accord. Plutôt que d'interdire, la plupart des entreprises ont intérêt à poser un cadre. C'est le rôle d'une charte d'usage de l'IA. Encore faut-il qu'elle soit lue, comprise et appliquée.

Ce qui fait une bonne charte

Une bonne charte est courte, compréhensible par tous et concrète. Elle ne cherche pas à tout prévoir : elle donne des repères clairs et indique à qui s'adresser en cas de doute. Une page vaut mieux qu'un règlement de vingt pages que personne ne lit.

La CNIL recommande d'ailleurs aux organisations qui déploient une IA générative d'encadrer les usages, de former les utilisateurs et de mettre en place une gouvernance associant les personnes concernées (direction, informatique, délégué à la protection des données). La charte en est la traduction la plus simple.

Un modèle en huit règles

1. Outils autorisés. J'utilise uniquement les outils d'IA validés par l'entreprise, avec mon compte professionnel. Je n'installe pas d'extension et je ne connecte pas de nouvel outil à mes données sans accord du référent informatique.
2. Données. Je respecte la classification : seules les données publiques peuvent aller dans un outil non validé. Les données confidentielles et personnelles ne vont que dans les outils prévus pour cela.
3. Vérification. Je relis et vérifie tout contenu produit par l'IA avant de l'utiliser : faits, chiffres, noms, sources, calculs. Je ne transmets rien que je ne pourrais pas justifier.
4. Responsabilité. Je reste l'auteur et le responsable de ce que je transmets, même s'il a été préparé avec l'IA.
5. Agents. Un agent IA n'est mis en place qu'avec l'accord de mon responsable et du référent informatique, avec une liste claire de ce qu'il peut faire seul, avec validation, ou jamais, et des droits limités au strict nécessaire.
6. Décisions sur les personnes. Aucune décision concernant une personne (recrutement, évaluation, sanction, rémunération) n'est prise par une IA. L'humain décide et justifie.
7. Transparence. Je signale l'usage de l'IA lorsque c'est requis : chatbot face à un client, contenu généré imitant une personne réelle, ou demande d'un client.
8. Signalement. Je signale sans attendre toute erreur importante, fuite de données, tentative de fraude ou comportement anormal d'un outil.

Pourquoi ces huit règles

• Les règles 1 et 2 répondent au principal risque : la fuite de données vers des outils non maîtrisés. Elles supposent que l'entreprise propose un outil officiel : une interdiction sans alternative pousse à l'usage caché.
• Les règles 3 et 4 rappellent qu'une IA peut se tromper avec beaucoup d'assurance, et que la responsabilité reste humaine.
• Les règles 5 et 6 encadrent les usages les plus sensibles : les agents qui agissent dans vos outils, et les décisions sur les personnes, que le règlement européen sur l'IA encadre particulièrement.
• La règle 7 découle des obligations de transparence de l'AI Act : une personne doit savoir qu'elle échange avec un chatbot, et les contenus imitant la réalité doivent être signalés.
• La règle 8 est la plus souvent oubliée. Une erreur signalée tôt se corrige facilement ; une erreur cachée s'aggrave.

Les erreurs à éviter

• Rédiger seul dans son coin. Associez au minimum la direction, le référent informatique et, si vous en avez un, le délégué à la protection des données.
• Oublier de nommer des personnes. Qui valide les outils ? Qui répond aux questions sur les données ? À qui signaler un incident ? Leurs noms doivent figurer dans la charte.
• La publier sans l'expliquer. Une charte qui arrive par mail sans explication reste lettre morte. Présentez-la, illustrez-la par des exemples du quotidien, et accompagnez-la d'une formation.
• La laisser vieillir. Les outils et les menaces évoluent vite. Relisez-la au moins une fois par an et à chaque nouvel outil important.

Si vous souhaitez l'intégrer au règlement intérieur ou à la politique de sécurité de l'entreprise, faites-la valider par votre conseil juridique : selon les cas, des formalités sont nécessaires, notamment l'information et la consultation des représentants du personnel.