Un designer engagé dans le cadre d’un contrat récurrent de trois mois ouvre ChatGPT pour « améliorer » un e-mail de suivi destiné à son client. Il colle ses notes de la semaine précédente, puis s’aperçoit seulement plus tard qu’elles contenaient le nom d’un produit inédit et une comparaison avec un concurrent que le client avait qualifiée de confidentielle. Aucun service informatique d’un employeur ne va repérer ce geste. C’est vous qui définissez la politique, utilisez l’outil et avez signé le NDA.
Ces conseils s’adressent aux indépendants et aux entrepreneurs individuels qui vendent des prestations à des clients. Ils ne concernent pas les salariés soumis à la politique de leur entreprise sur l’IA, dont la première étape est différente : lire la politique de leur employeur sur l’IA. Vos contraintes sont les contrats de vos clients, les NDA, votre réputation et les règles de protection des consommateurs qui continuent à s’appliquer lorsque vous faites la promotion de vos services. La stratégie d’IA d’une entreprise et de ses équipes est un autre sujet. Ici, c’est vous qui devez exercer votre discernement.
À quoi sert une fiche de règles personnelles
Cette fiche contient un petit nombre de règles écrites par défaut, que vous confrontez au contrat et aux instructions de chaque client. Elle répond aux questions suivantes avant même l’intervention d’un modèle :
- Qu’est-ce qui ne doit jamais être transmis à un outil d’IA grand public dans le cadre d’une mission client ?
- Qu’est-ce qui nécessite l’autorisation explicite du client ou une offre d’outil prévue par contrat avant tout usage de l’IA ?
- Quelles décisions doivent rester humaines même si l’IA en rédige la formulation, par exemple le prix, le périmètre, les promesses ou les conclusions juridiques ?
- Quand devez-vous arrêter et vous adresser à un avocat, à un comptable, à un collaborateur ou au client ?
- Quels outil, compte, catégorie de données, paramètre de conservation et autorisation du client s’appliquent précisément ?
- Quelle procédure d’incident devez-vous suivre si des données, des identifiants ou une sortie non approuvée franchissent la limite ?
Sans cette fiche, chaque prompt envoyé tard le soir devient une décision éthique ponctuelle. Ces décisions finissent par dériver.
Les secrets du client, le texte d’une proposition contenant des données de tiers et les clauses contractuelles ne sont pas du « contexte pour le prompt ». Traitez-les comme des informations confidentielles tant que vous ne disposez pas d’une règle écrite et, si nécessaire, d’un accord du client sur les outils utilisés. Consultez également Ne collez pas les secrets de vos clients dans une IA.
L’idée reçue la plus courante
L’idée reçue consiste à penser : « Je suis mon propre patron, donc je peux utiliser n’importe quel outil. » L’autonomie n’annule pas la confidentialité. Si vous avez signé un NDA ou une clause de confidentialité, votre obligation porte sur le client, pas sur le chatbot que vous préférez. Une deuxième idée reçue assimile la promesse commerciale d’une offre d’entreprise, affichée depuis un compte grand public, à un circuit de données adapté aux informations du client. Ce n’est pas le cas. Le jour où vous utilisez l’outil, vérifiez l’offre réelle et les conditions de traitement des données du compte auquel vous êtes connecté (FAQ d’OpenAI sur le contrôle des données ; politique de confidentialité d’Anthropic ; centre d’Anthropic sur la confidentialité des utilisateurs grand public).
Scénario fictif clairement indiqué
Scénario fictif, et non cas mesuré : un rédacteur indépendant demande à un modèle grand public de « reformuler cette proposition pour la rendre plus convaincante » et colle le brouillon complet, qui contient la grille tarifaire inédite du client et le nom d’une entreprise partenaire. Le modèle renvoie un texte plus fluide. La divulgation a déjà eu lieu au moment du collage, même si la conversation est supprimée par la suite. La fiche permet d’agir en amont : les propositions contenant des données commerciales sur des tiers ne doivent pas entrer dans un outil grand public, sauf si le client a approuvé un circuit précis.
Les cinq règles à consigner
1. Interdictions de collage absolues
Énumérez les catégories que vous ne transmettrez jamais à une IA grand public : identifiants, contrats complets, données financières non publiées, données personnelles des clients de votre client, informations de sécurité et tout élément qualifié de confidentiel dans le SOW ou le NDA. Reprenez le réflexe d’arrêt du guide destiné aux salariés sur les informations professionnelles confidentielles, tout en vous rappelant que votre obligation s’exerce envers le client et non envers un employeur.
2. Aides autorisées dans un cadre étroit
N’autorisez l’IA à intervenir sur la structure, la grammaire, les possibilités de plan ou des questions générales fondées sur des données synthétiques ou réduites au minimum que si le contrat et les instructions du client le permettent. Consignez pour chaque projet l’outil, le compte ou l’espace client, la catégorie de données, l’autorisation, la date et l’examen humain requis.
3. Le prix et le périmètre restent sous votre responsabilité
Un modèle peut vous aider à structurer une proposition. Il ne fixe pas votre tarif et n’invente pas de promesses de livraison. Les articles Brouillons de propositions dont vous fixez toujours le prix et Journaliser les changements de périmètre plutôt que laisser l’IA promettre présentent ces flux de travail. Votre fiche n’a besoin que de cette phrase : « Je n’accepte jamais les honoraires ou délais suggérés par l’IA sans les vérifier moi-même. »
4. Divulgation lorsqu’elle est nécessaire
Si un client, une plateforme ou une juridiction attend de vous que vous signaliez l’assistance de l’IA dans un livrable, faites-le. Conserver votre nom sur un travail assisté par l’IA et les pratiques de divulgation inspirées du monde du travail fournissent des modèles utiles. Adaptez-les aux contrats de vos clients plutôt qu’aux manuels destinés aux salariés. Les règles sur la loyauté de la publicité continuent à s’appliquer à la manière dont vous décrivez vos services (orientations de la FTC sur la publicité et le marketing ; action de la FTC contre les déclarations et dispositifs trompeurs liés à l’IA).
5. Critères de recours à un spécialiste
Consignez les situations dans lesquelles vous ne « demanderez pas au modèle » : traitement fiscal, force exécutoire d’un contrat, conseils réglementés, conclusions médicales ou juridiques, et tout cas où une mauvaise réponse créerait pour le client une responsabilité que vous ne pouvez pas assumer. Considérez-les comme des déclencheurs de gouvernance des risques, pas comme des échecs de prompting (NIST AI Risk Management Framework). L’article Lorsque l’IA utilisée en solo ne suffit pas approfondit ce point.
6. Gestion des incidents
Notez la première mesure à prendre après une divulgation accidentelle : cessez d’utiliser l’outil, consignez le compte, l’heure et la catégorie de données sans recopier les informations, renouvelez les identifiants exposés par la voie approuvée par le client et suivez la procédure de sécurité, de confidentialité et de notification prévue au contrat. N’improvisez pas une suppression et ne demandez pas à un chatbot de déterminer les obligations de notification.
Ne prenez pas la réponse fluide d’un modèle pour celle d’un professionnel agréé lorsque la question relève du droit, de la fiscalité, de la médecine ou d’un conseil financier réglementé. La fluidité ne constitue pas une qualification.
Un exercice à faire aujourd’hui
Ouvrez une note vide. Donnez-lui pour titre votre nom suivi de « Règles d’IA pour mes clients ». Remplissez les cinq sections ci-dessus en moins de 20 minutes, puis épinglez la note à côté de votre modèle de proposition. La fiche de règles personnelles d’IA pour les missions clients en fournit une version imprimable.
Les lecteurs de l’UE qui font de la publicité auprès des consommateurs devraient aussi parcourir le traitement des affirmations trompeuses par les règles sur les pratiques commerciales déloyales (directive 2005/29/CE). Pour un indépendant, le principe est plus simple que des apparences de conformité : ne laissez pas un texte commercial rédigé par l’IA exagérer ce que vous fournissez.
Les orientations de l’ICO sur la minimisation des données étayent le principe selon lequel les données personnelles doivent être limitées au strict nécessaire. Elles ne permettent pas de déterminer si un indépendant agit en qualité de responsable du traitement ou de sous-traitant, si le consentement du client constitue la bonne base juridique, ni si le contrat autorise un outil particulier. Ces questions juridiques et de protection des données nécessitent toujours une analyse qualifiée.
Le lien avec la culture de l’IA des salariés
Un salarié se demande : « Cet outil est-il approuvé ? » Un indépendant se demande : « Ai-je convenu avec le client de l’utilisation des outils et des données, et puis-je défendre ce choix en cas de fuite ? » La technologie est la même, mais la chaîne de responsabilité diffère. Gardez la fiche assez courte pour vraiment l’utiliser un jeudi soir.
