Imaginez une personne qui vient d’arriver dans une entreprise. Ses collègues utilisent des outils d’IA, mais personne ne lui a présenté de politique sur les outils autorisés. Plus tard, le service informatique lui demande pourquoi des données clients ont été saisies dans un compte personnel. La situation est fictive, mais la faille de contrôle est réelle : ce que font les collègues ne constitue pas une autorisation.
De nombreuses erreurs ordinaires liées à l’IA au travail peuvent naître de l’écart entre « personne n’a interdit cet usage » et « cet usage est effectivement autorisé ». Les règles générales de sécurité ne sont pas le sujet de cet article ; Confidentialité et hygiène des données au travail les présente déjà. Nous nous concentrons ici sur l’étape plus précise et concrète que beaucoup omettent : trouver la politique de son employeur, lire les passages utiles et savoir quoi faire si aucun document n’existe.
Ce qu’est réellement une politique d’usage de l’IA au travail
Une politique utilisable est un document précis et versionné, ou une page d’intranet, dont le responsable est clairement identifié. Elle doit indiquer les outils et les configurations de compte autorisés, les données admises, les exigences de contrôle humain et de transparence, la procédure d’approbation d’un nouvel outil, le signalement des incidents et les conséquences d’un usage non autorisé. Le message ou l’habitude d’un collègue ne remplace pas cette politique.
Une organisation peut la publier dans un wiki de sécurité informatique, une charte d’utilisation, un manuel du personnel, un catalogue d’achats ou une liste nominative d’outils autorisés. Notez le titre, le responsable, la version ou la date et le lien, afin de pouvoir vérifier ultérieurement si la règle a changé.
Demander ce document est parfaitement légitime. Depuis sa modification adoptée en juillet, l’article 4 du règlement européen sur l’IA exige des fournisseurs et des déployeurs de systèmes d’IA qu’ils prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes qui utilisent ces systèmes pour leur compte. Ils doivent tenir compte des connaissances techniques, de l’expérience, de l’éducation et de la formation, du contexte d’utilisation et des personnes concernées, sans être tenus de garantir à chaque individu un niveau précis de maîtrise de l’IA (règlement sur l’IA, article 4). Déterminer si cette disposition s’applique à une organisation et de quelle manière est une question juridique. Elle n’autorise pas, à elle seule, un salarié à utiliser un outil ou une catégorie de données.
Où chercher concrètement
Avant de supposer qu’il n’y a pas de politique, vérifiez ces endroits, dans l’ordre :
- L’intranet ou le manuel du personnel. Recherchez « IA », « intelligence artificielle », « IA générative » et le nom d’outils précis comme ChatGPT, Copilot ou Gemini. Ces politiques figurent parfois dans les rubriques consacrées à la sécurité informatique ou à l’utilisation acceptable plutôt que dans une section autonome sur l’IA.
- La liste des logiciels autorisés par le service informatique ou de sécurité. Beaucoup d’entreprises tiennent une liste d’outils approuvés dans chaque catégorie. Les outils d’IA y apparaissent de plus en plus souvent avec un niveau d’accès ou une configuration précise.
- Les documents d’accueil ou l’enregistrement de la dernière réunion générale. Une politique sur l’IA est parfois annoncée une seule fois en réunion, sans être rappelée par la suite. Vérifiez que vous n’avez pas manqué cette annonce.
- Votre responsable hiérarchique. Une question directe et précise, par exemple « existe-t-il un outil d’IA autorisé pour notre équipe et y a-t-il des informations que je ne dois pas y saisir ? », permet souvent d’obtenir une réponse officielle plus rapidement qu’une recherche isolée.
- Le service informatique ou de sécurité. Si les quatre étapes précédentes ne donnent rien, adressez une demande écrite et nominative à l’équipe chargée d’autoriser les outils afin de conserver une trace de sa réponse.
Conservez la réponse dans un espace de travail autorisé, avec le titre du document, son responsable, sa version ou sa date d’entrée en vigueur et son lien. Ne copiez pas le contenu confidentiel d’une politique dans un compte de notes personnel. Vérifiez de nouveau les règles avant de traiter une nouvelle catégorie de données, d’utiliser un autre outil ou compte, ou de produire un livrable externe.
L’idée reçue qui cause le plus de problèmes
Une supposition dangereuse consiste à prendre le silence pour une autorisation : « personne ne m’a interdit d’utiliser ChatGPT pour cela, donc je peux le faire ». Si vous ne trouvez aucune autorisation, considérez que l’outil n’est pas approuvé pour les données sensibles et demandez au responsable compétent avant de l’utiliser avec des données clients, des projets non publiés, des informations financières ou les données personnelles d’un autre salarié. Le silence n’établit ni une autorisation ni une interdiction ; il laisse une question de contrôle sans réponse.
La deuxième erreur va dans le sens inverse : supposer qu’une politique prévue pour un contexte en couvre nécessairement tous les autres. Une entreprise qui autorise un outil d’IA professionnel pour rédiger des notes internes ne l’autorise pas forcément pour communiquer avec les clients, prendre des décisions de ressources humaines ou traiter les données d’un autre salarié. Lisez le périmètre de l’autorisation, pas seulement l’existence d’un « oui ».
Un exemple concret
Deux salariés de la même entreprise de taille moyenne souhaitent utiliser l’IA pour préparer une proposition commerciale. Le premier consulte l’intranet, trouve une page décrivant un outil configuré pour l’entreprise avec un identifiant précis et utilise celui-ci. Le second suppose que tous les outils d’IA se valent et copie les détails du contrat du client dans son compte ChatGPT personnel, parce qu’un collègue d’une autre équipe semble faire de même sans difficulté. Seul le premier a vérifié ce que son employeur autorise réellement. Le second se fie à une supposition qui n’a, pour l’instant, entraîné aucun problème visible. La différence reste invisible jusqu’au moment où un audit, une plainte du client ou un incident impliquant des données oblige à répondre précisément à la question.
Si vous ne trouvez pas de réponse claire pour l’outil et la catégorie de données concernés, n’y saisissez aucune donnée client, information personnelle concernant un autre salarié ou donnée confidentielle avant qu’un responsable habilité ne vous réponde par écrit. Dans l’Union européenne, tout traitement de données personnelles doit également respecter les rôles, la finalité, la base juridique, les mesures de sécurité et les accords avec les sous-traitants que l’organisation a documentés au titre du RGPD. Cet article ne permet pas de les déterminer pour un employeur donné (RGPD). Si vous avez déjà saisi des informations par erreur, utilisez la procédure de signalement des incidents au lieu de le dissimuler ou d’improviser une solution. Consultez Ne saisissez pas de secrets professionnels dans une IA grand public.
Ce qu’une vraie politique précise généralement
Lorsque vous trouvez le document, recherchez les règles suivantes au lieu de vous contenter d’un titre général indiquant que « l’IA est autorisée » :
| Ce qu’il faut chercher | Pourquoi cela compte |
|---|---|
| Outil ou outils autorisés, désignés précisément | La formule « l’IA est autorisée » ne fournit aucune consigne exploitable si elle ne nomme aucun outil |
| Compte, environnement ou configuration obligatoires | Le nom d’une marque n’indique pas si un compte personnel ou un environnement d’entreprise est autorisé |
| Catégories de données interdites ou restreintes | Les données clients, financières, le code source et les données RH ont souvent des règles différentes de la rédaction générale |
| Procédure d’approbation d’un nouvel outil | Indique quoi faire si l’outil souhaité ne figure pas encore sur la liste |
| Contrôle humain obligatoire et décisions interdites | Précise quels résultats doivent être vérifiés et dans quels cas l’IA est entièrement interdite |
| Obligations de transparence | Indique si vous devez informer votre responsable ou un client de l’usage de l’IA. Consultez Usage de l’IA au travail : quand faut-il le déclarer ? pour appliquer le cadre de décision une fois la règle précise de votre politique connue |
| Conservation des documents, traçabilité et signalement des incidents | Indique ce qui doit être consigné et comment réagir après une saisie accidentelle ou un résultat dangereux |
| Conséquences d’un usage non autorisé | Donne une idée concrète des enjeux réels, au-delà d’un risque abstrait |
Si le document omet une règle importante de ce tableau, considérez-le comme incomplet pour l’usage envisagé et demandez les précisions manquantes au responsable habilité de la politique.
S’il n’y a vraiment aucune politique
Certaines organisations n’ont encore rédigé aucune politique propre à l’IA. Cette absence n’annule pas les règles existantes en matière de sécurité, de confidentialité, de protection des données, d’utilisation acceptable, d’achats ou de relation client. Dans ce cas :
- Demandez au responsable habilité de la politique, souvent dans les services informatique, sécurité, protection des données, juridique ou achats, ou à un responsable délégataire, une décision écrite sur l’outil, le compte, la tâche et la catégorie de données concernés.
- Adoptez par défaut l’interprétation la plus prudente pour toute utilisation impliquant des données clients, les informations personnelles d’autrui ou des informations commerciales confidentielles, même si un raccourci paraît commode.
- Posez votre question par écrit, dans un courriel ou un message Slack adressé à une personne identifiée, afin de conserver la preuve de votre demande au lieu de vous fier à une réponse orale impossible à retrouver ensuite.
- Si votre fonction vous amène régulièrement à traiter des données réellement sensibles, envisagez de signaler l’absence de politique comme une lacune précise et concrète à corriger. Formulez une demande pratique plutôt qu’une plainte : « pouvons-nous obtenir une réponse d’une page précisant quel outil d’IA est autorisé pour ce type de travail ? »
Trouvez votre politique cette semaine
Utilisez la fiche de lecture d’une politique d’usage de l’IA au travail pour trouver la politique de votre employeur, consigner ce qu’elle prévoit pour les outils, les données et la procédure d’approbation, puis noter à qui vous adresser si un point reste flou. Si aucune politique n’existe, la fiche propose également les questions prudentes à poser directement à votre responsable. Dans les deux cas, vous disposerez d’une réponse plus utile que de simples suppositions.
Sources et limites de l’article
- La politique interne de l’ICO sur l’usage de l’IA est un exemple officiel et concret qui traite des usages autorisés, des données personnelles, du contrôle des résultats et de la gestion des incidents. Elle ne constitue pas un modèle qui primerait sur les règles d’un autre employeur.
- Les recommandations du National Cyber Security Centre irlandais sur l’IA générative dans les organismes publics illustrent les restrictions relatives aux outils autorisés et aux données professionnelles dans un contexte de gouvernance exigeante.
Cet article aide à repérer les règles d’une politique interne. Il n’interprète ni le droit du travail, ni les contrats, ni les rôles définis par le RGPD, ni le règlement européen sur l’IA pour une organisation donnée. Une relecture qualifiée en droit du travail, en protection des données et en droit reste à venir.
