Trois règles écrites d'usage de l'IA en équipe

Dès qu'une équipe utilise un assistant d'intelligence artificielle (IA), même pour un seul usage, trois questions se posent : quelles informations peut-on y mettre, qui relit le résultat, et à qui poser une question. Trois règles écrites répondent à ces questions. Elles tiennent sur une page et suffisent pour commencer un test.

La CNIL écrit : « Établissez une charte interne définissant les usages autorisés et interdits, et formez vos équipes. » Les règles ci-dessous sont une version courte de cette charte. Elles ne remplacent pas un avis juridique.

Règle 1 : on ne saisit pas de données personnelles ni d'informations confidentielles

C'est la règle la plus importante, et la plus souvent transgressée par oubli. La CNIL définit une donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Le nom, l'adresse, le numéro de téléphone, l'adresse électronique ou un numéro de sécurité sociale en font partie. Un texte qui ne contient pas de nom peut quand même en contenir indirectement, par le croisement de plusieurs informations.

La règle doit donc dire précisément :

• aucune donnée personnelle de client, de salarié ou de candidat, sauf accord écrit du référent et outil validé pour cet usage ;
• aucune information confidentielle de l'entreprise, ni information couverte par le secret des affaires ;
• aucune donnée sensible au sens de la CNIL, comme les données de santé ;
• aucun mot de passe ni identifiant.

Le détail est dans le guide données à ne pas saisir.

Règle 2 : chaque résultat est relu par une personne avant usage

Le texte produit par un assistant peut être faux tout en paraissant juste. La CNIL le rappelle : ces systèmes peuvent générer des résultats inexacts qui semblent plausibles, et il ne faut jamais les reproduire tels quels. Elle met aussi en garde contre le « biais d'automatisation », c'est-à-dire la confiance excessive dans l'outil.

La règle doit préciser :

• qui relit (une personne nommée, selon la tâche) ;
• ce qui est vérifié : les chiffres, les noms, les dates, les engagements pris au nom de l'entreprise ;
• que la personne qui relit signe le résultat, comme si elle l'avait écrit.

Pour les tâches à faible enjeu, la relecture peut être rapide. Pour un courrier qui engage l'entreprise, elle doit être complète.

Règle 3 : un référent répond aux questions

Chaque équipe a besoin d'une personne à qui poser les questions du type : « puis-je utiliser l'IA pour cette tâche ? », « cet outil est-il autorisé ? », « que faire si une donnée a été saisie par erreur ? ». Ce référent tient la liste des outils autorisés, met à jour la règle et sert de point d'entrée.

Il n'a pas besoin d'être technicien. Il doit savoir à qui s'adresser pour les questions techniques ou juridiques, et il doit prévenir le dirigeant si une règle a été transgressée. Une règle est utile si l'équipe sait qui l'applique.

Le modèle d'une page

Copiez ce modèle, complétez-le et affichez-le là où l'équipe travaille. Datez-le au format JJ/MM/AAAA.

• Date de mise à jour : ……
• Outils autorisés, et offre utilisée : ……
• Données interdites : voir la liste ci-dessus, complétée par vos cas particuliers.
• Tâches autorisées : ……
• Qui relit, pour chaque tâche : ……
• Référent et adresse de contact : ……
• Que faire en cas d'erreur de saisie : prévenir le référent tout de suite, sans chercher à cacher l'erreur.

Comment faire adopter la règle

Présentez la règle à l'équipe avant de commencer le test, pas après. Demandez à chacun de dire ce qui lui semble flou. Une règle que l'équipe a discutée est mieux respectée qu'une règle imposée. Réécrivez ensuite la règle en tenant compte des questions reçues.

Ne laissez pas les salariés utiliser un compte personnel gratuit pour des tâches de l'entreprise. Créez un compte professionnel ou validez l'offre utilisée, comme le recommande la CNIL.

Les limites de ces règles

Trois règles ne couvrent pas tout. Elles ne disent pas si un usage précis relève d'une obligation légale particulière, ni si un outil est conforme à un texte donné. Pour ces points, consultez le calendrier des obligations européennes et un professionnel. Elles ne remplacent pas non plus une formation, qui reste la meilleure façon de rendre la règle concrète.

Le guide sur les erreurs fréquentes des débutants montre les situations où ces règles manquent le plus souvent.