L’usage de l’IA générative en entreprise soulève des questions de fiabilité, de gestion des données et de responsabilité. Ce guide propose une charte opérationnelle adaptée aux PME, fondée sur la FAQ CNIL du 18 juillet 2024. Il vise à encadrer les pratiques, limiter les risques et structurer la validation humaine, sans se substituer à une analyse juridique ou réglementaire propre à chaque cas.
1. Périmètre de la charte et objectifs
Définition du périmètre
Ce modèle de charte IA générative en entreprise peut encadrer les usages professionnels des systèmes d’intelligence artificielle générative par les collaborateurs. Son périmètre exact doit être adapté aux équipes, aux outils et aux données réellement concernés. Elle concerne l’utilisation de ces outils dans le cadre des activités internes, des échanges avec des tiers et de la production de contenus ou d’analyses. Sont inclus les services accessibles en ligne, les applications intégrées à des outils métiers et les solutions expérimentales, dès lors qu’elles reposent sur des modèles génératifs.
Le périmètre couvre tous les usages impliquant la création, la modification ou l’analyse de textes, d’images, de sons ou d’autres contenus générés automatiquement. Il s’étend aux situations où des données de l’entreprise, des informations personnelles ou confidentielles pourraient être introduites dans ces systèmes. Les usages à titre personnel, sans lien avec l’activité professionnelle, ne sont pas concernés par cette politique d’usage de l’IA.
Objectifs de la politique d’usage
La politique d’usage de l’IA vise à encadrer l’utilisation des systèmes génératifs afin de limiter les risques liés à la diffusion d’informations inexactes, à la divulgation de données confidentielles et à la reproduction non contrôlée de contenus générés. Elle a pour objectif de définir des règles claires sur les usages autorisés et interdits, en tenant compte des recommandations de la CNIL, notamment celles publiées dans la FAQ du 18 juillet 2024.
Cette charte a également pour but d’instaurer un circuit de validation humaine pour les résultats produits par l’IA générative, afin d’éviter une confiance excessive dans les sorties et de prévenir les erreurs ou les biais. Elle prévoit des modalités de signalement en cas de problème ou de doute sur un usage, ainsi qu’une fréquence de révision adaptée à l’évolution des pratiques et des outils. Exemple hypothétique : un collaborateur souhaite utiliser un outil génératif pour rédiger une synthèse à partir de documents internes ; il doit s’assurer que les informations partagées ne sont pas confidentielles et que le résultat est vérifié avant diffusion.
2. Usages autorisés : matrice et exemples
Matrice des usages autorisés
| Type d’usage | Autorisé | Conditions | Interdit |
|---|---|---|---|
| Rédaction de contenus génériques (notes, brouillons, idées) | Oui | Validation humaine obligatoire avant diffusion. Ne pas publier sans vérification. | Non applicable |
| Analyse de documents internes | Oui | Uniquement si les documents ne contiennent pas de données confidentielles ou personnelles. Utiliser un service interne ou validé. | Si présence de données confidentielles ou personnelles dans un service grand public. |
| Génération d’illustrations ou de supports visuels | Oui | Vérifier l’absence de plagiat ou de contenu inapproprié. Validation humaine requise. | Utilisation directe sans contrôle. |
| Traitement de données personnelles ou confidentielles | Non | Non applicable | Interdit avec un service grand public ou non validé. |
| Décision automatisée impactant un collaborateur ou un client | Non | Non applicable | Interdit sans validation humaine et contrôle spécifique. |
Exemples hypothétiques d’usages
- Exemple hypothétique : Un collaborateur utilise un outil d’IA générative pour proposer un plan de communication interne. Le texte généré est relu, corrigé et validé par un responsable avant diffusion.
- Exemple hypothétique : Un service marketing demande à l’IA de suggérer des slogans pour une campagne. Les propositions sont analysées pour éviter tout plagiat ou contenu sensible, puis adaptées avant utilisation.
- Exemple hypothétique : Un employé souhaite résumer un rapport interne. Il s’assure que le document ne contient aucune donnée confidentielle ou personnelle avant de le soumettre à l’outil d’IA.
- Exemple hypothétique : Un manager souhaite automatiser la sélection de candidats à partir de CV. Cet usage doit être classé comme sensible et faire l’objet d’une évaluation, d’un contrôle humain et de règles internes avant toute décision.
3. Données et usages interdits
Données à ne pas soumettre
Pour un service d’IA générative grand public ou non validé par l’organisation, la charte interdit la soumission de données confidentielles, stratégiques ou personnelles. Cette règle s’applique à toute information dont la divulgation pourrait porter atteinte à l’entreprise, à ses clients, à ses partenaires ou à ses collaborateurs. Les utilisateurs doivent s’assurer qu’ils sont autorisés à partager chaque donnée introduite dans l’outil.
- Ne pas transmettre d’informations permettant d’identifier une personne (nom, coordonnées, éléments de dossier, etc.).
- Ne pas soumettre de documents internes, contrats, comptes rendus, ou tout contenu classé confidentiel.
- Ne pas partager de secrets d’affaires, de codes sources, de stratégies commerciales ou de données financières internes.
Exemple hypothétique : un salarié souhaite utiliser un outil d’IA générative pour reformuler un compte rendu de réunion contenant des informations sur un projet en cours. Il ne doit pas copier-coller le texte intégral si celui-ci contient des données confidentielles ou des éléments non destinés à être diffusés hors de l’entreprise.
Usages à exclure
La politique d’usage de l’IA interdit certains usages afin de limiter les risques liés à la fiabilité des résultats et à la protection des données. Il est interdit d’utiliser un système d’IA générative pour :
- Prendre des décisions engageant l’entreprise sans validation humaine préalable.
- Produire ou diffuser des contenus générés sans vérification critique de leur exactitude, de leur originalité et de l’absence de biais.
- Automatiser la rédaction de documents officiels, de contrats ou de communications externes sans contrôle humain.
- Générer des contenus à caractère discriminatoire, diffamatoire ou contraire aux valeurs de l’entreprise.
Exemple hypothétique : un collaborateur utilise un outil d’IA générative pour rédiger une réponse à un appel d’offres. Il doit impérativement relire, corriger et valider le texte avant toute transmission, et ne jamais envoyer la version générée sans contrôle.
4. Validation humaine et procédure de signalement
Circuit de validation humaine
La charte peut définir un circuit de validation humaine proportionné au risque et à la destination de chaque usage. La CNIL recommande aux utilisateurs de porter un regard critique sur les résultats et cite comme bonne pratique le fait de ne pas les reproduire tels quels. Cette validation consiste à contrôler l’exactitude, la pertinence et la qualité des contenus générés, ainsi qu’à évaluer les risques de plagiat ou de biais pouvant conduire à des discriminations.
La politique d’usage de l’IA peut désigner des personnes référentes ou des responsables de validation selon la nature des usages et la sensibilité des données traitées. Par exemple, un manager, un référent métier ou un membre du service concerné peut être chargé de cette validation. Il n’est pas nécessaire de rendre cette fonction universelle ou obligatoire pour tous les usages, mais il est recommandé d’identifier les situations où une validation renforcée est requise, notamment en cas de traitement de données confidentielles ou de communication externe.
Exemple hypothétique : Un collaborateur utilise un outil d’IA générative pour rédiger une proposition commerciale. Avant envoi au client, le responsable commercial vérifie le contenu généré, s’assure qu’aucune donnée confidentielle n’a été divulguée et que le texte ne comporte pas d’erreurs ou de formulations inappropriées.
Procédure de signalement
La charte peut inclure une procédure permettant à tout utilisateur de signaler un problème lié à l’usage de l’IA générative. Cette procédure peut s’appuyer sur un point de contact identifié, tel qu’un référent interne, un DPO, un RSSI ou un comité, selon l’organisation de la PME. Le signalement peut concerner une sortie jugée inexacte, un risque de plagiat, la détection d’un biais, ou l’utilisation non conforme de données confidentielles.
Le document interne peut préciser comment effectuer un signalement (par exemple, via un formulaire interne ou un courriel dédié) et à qui l’adresser. Il est recommandé de prévoir un suivi des signalements et d’informer les utilisateurs des suites données. La fréquence de révision de cette procédure reste à la discrétion de l’organisation.
Exemple hypothétique : Un salarié constate qu’un texte généré par l’IA contient des informations potentiellement discriminatoires. Il utilise le formulaire interne pour signaler le problème au référent désigné, qui analyse la situation et propose des mesures correctives si nécessaire.
5. Déploiement, contrôle et révision de la charte
Formation et accompagnement
La mise en œuvre d’une charte IA générative en entreprise implique d’informer et de former les utilisateurs sur les règles pratiques définies. Chaque collaborateur autorisé à utiliser des outils d’IA générative devrait recevoir une présentation précise des usages permis et interdits, des précautions à prendre concernant les données confidentielles, et des principes de validation humaine. Cette formation peut être adaptée selon les profils et les usages identifiés dans la politique d’usage de l’IA.
Exemple hypothétique : un atelier interne présente les risques liés à la soumission d’informations sensibles à un service d’IA générative grand public et rappelle que seules les données explicitement autorisées peuvent être utilisées.
Contrôles et fréquence de révision
La charte prévoit la mise en place de contrôles réguliers pour vérifier le respect des règles établies. Ces contrôles peuvent prendre la forme de revues ponctuelles des usages, d’analyses de cas d’utilisation ou de vérifications ciblées sur la gestion des données confidentielles. L’objectif est de détecter d’éventuels écarts, d’identifier des besoins d’ajustement et de renforcer la vigilance sur la validation humaine des résultats produits par l’IA générative.
La fréquence de révision de la charte est laissée à la décision de l’organisation. Il est recommandé de réévaluer périodiquement la pertinence des règles, notamment en fonction de l’évolution des usages, des outils disponibles et des recommandations officielles telles que celles de la CNIL (FAQ du 18 juillet 2024). Un circuit de remontée des incidents ou difficultés peut être prévu, permettant à chaque utilisateur de signaler un problème à un référent identifié (DPO, RSSI, référent ou comité selon la structure).
Exemple hypothétique : un utilisateur constate qu’un texte généré par l’IA contient des informations erronées et le signale via un formulaire interne, déclenchant une vérification par le référent désigné.
Questions fréquentes
Pourquoi une validation humaine est-elle nécessaire pour les sorties d’IA générative ?
La CNIL indique que les modèles génératifs peuvent produire des résultats plausibles mais inexacts. Une validation humaine permet de vérifier l’exactitude, la qualité, les risques de plagiat et de biais, et d’éviter de reproduire les sorties telles quelles.
Peut-on soumettre des données personnelles ou confidentielles à un service d’IA générative ?
La CNIL recommande de ne pas fournir de données personnelles ou confidentielles, surtout via des services grand public. Seules les informations que l’utilisateur est autorisé à partager peuvent être soumises.
Comment définir les usages autorisés ou interdits dans la charte ?
La CNIL conseille de partir des besoins concrets de l’organisation, d’évaluer les risques selon l’usage et les données, puis de formaliser les usages autorisés et interdits dans une politique ou charte interne.
À quelle fréquence la charte doit-elle être révisée ?
La FAQ CNIL citée ne fixe pas une fréquence unique de révision. Elle peut être décidée par l’organisation, en fonction de l’évolution des usages, des risques identifiés et des retours des utilisateurs.
{
« @context »: « https://schema.org »,
« @type »: « FAQPage »,
« mainEntity »: [
{
« @type »: « Question »,
« name »: « Pourquoi une validation humaine est-elle nécessaire pour les sorties d’IA générative ? »,
« acceptedAnswer »: {
« @type »: « Answer »,
« text »: « La CNIL indique que les modèles génératifs peuvent produire des résultats plausibles mais inexacts. Une validation humaine permet de vérifier l’exactitude, la qualité, les risques de plagiat et de biais, et d’éviter de reproduire les sorties telles quelles. »
}
},
{
« @type »: « Question »,
« name »: « Peut-on soumettre des données personnelles ou confidentielles à un service d’IA générative ? »,
« acceptedAnswer »: {
« @type »: « Answer »,
« text »: « La CNIL recommande de ne pas fournir de données personnelles ou confidentielles, surtout via des services grand public. Seules les informations que l’utilisateur est autorisé à partager peuvent être soumises. »
}
},
{
« @type »: « Question »,
« name »: « Comment définir les usages autorisés ou interdits dans la charte ? »,
« acceptedAnswer »: {
« @type »: « Answer »,
« text »: « La CNIL conseille de partir des besoins concrets de l’organisation, d’évaluer les risques selon l’usage et les données, puis de formaliser les usages autorisés et interdits dans une politique ou charte interne. »
}
},
{
« @type »: « Question »,
« name »: « À quelle fréquence la charte doit-elle être révisée ? »,
« acceptedAnswer »: {
« @type »: « Answer »,
« text »: « La FAQ CNIL citée ne fixe pas une fréquence unique de révision. Elle peut être décidée par l’organisation, en fonction de l’évolution des usages, des risques identifiés et des retours des utilisateurs. »
}
}
]
}