Rédiger une charte d'usage de l'IA que les salariés liront

Beaucoup de chartes informatiques font une douzaine de pages, sont signées à l’embauche et ne sont plus jamais rouvertes. Une charte de l’IA écrite sur ce modèle ne servira à rien. La question qu’un salarié se pose est précise, et il se la pose au moment où l’outil est ouvert devant lui : est-ce que j’ai le droit d’utiliser ça, avec ce document ? La charte doit lui répondre en quelques secondes.

Partir de ce qui est utilisé

Une charte écrite sans savoir ce qui se passe sur le terrain se trompe de cible. Elle interdit l’outil dont tout le service commercial se sert chaque jour, sans rien proposer à la place, et oublie celui qui pose vraiment problème.

Commencez donc par l’inventaire : un questionnaire anonyme, les notes de frais, les applications autorisées dans la console d’administration. Nous décrivons ces sources dans d’où vient le Shadow IA. La charte devient alors une réponse à des besoins réels, plutôt qu’une liste de principes.

Trois listes : autorisé, toléré, interdit

Le cœur de la charte tient en trois listes.

Autorisé. L’outil s’utilise avec un compte de l’entreprise, sous un contrat qui encadre l’usage des données. On peut y confier des documents internes, dans le respect des règles sur les données. C’est là que figure l’assistant choisi pour tous, par exemple l’offre entreprise de ChatGPT ou du Chat de Mistral AI.

Toléré. L’outil est admis, mais seulement avec des informations publiques : reformuler un texte déjà publié, traduire une page du site, chercher des idées. C’est la bonne place pour un outil utile dont l’entreprise n’a pas d’offre sous contrat.

Interdit. L’outil ne sert pas pour le travail, quelle que soit la donnée. Dites pourquoi, en une ligne : éditeur hors des garanties européennes, conditions qui permettent d’utiliser les données envoyées, droits demandés trop larges. Une interdiction expliquée est mieux respectée.

Ajoutez une phrase qui évite bien des discussions : un outil qui n’apparaît pas dans la charte n’est pas autorisé, et il peut être demandé.

Attention enfin à la différence entre un outil et une offre. Le même assistant peut être autorisé avec le compte de l’entreprise et interdit avec un compte personnel gratuit, parce que les conditions ne sont pas les mêmes. Écrivez-le noir sur blanc. Pour fonder chaque décision, l’annuaire des outils d’IA indique, outil par outil, l’éditeur, le pays de son siège et l’existence d’une offre entreprise.

Les données à ne jamais confier

C’est la partie que les salariés retiendront, à condition qu’elle soit concrète. « Ne pas transmettre de données confidentielles » ne dit rien à personne. Donnez des exemples tirés de votre métier :

• les données personnelles de clients, de patients, de candidats ou de salariés ;
• les données de santé ;
• les contrats, les offres en cours, les prix négociés ;
• le code source qui n’est pas publié ;
• les résultats financiers avant leur publication ;
• les mots de passe, les clés d’API, les identifiants de toute sorte.

Précisez que la règle vaut pour tout outil qui n’est pas autorisé. C’est aussi la position de l’ANSSI, qui recommande de proscrire les outils d’IA générative sur Internet pour un usage professionnel impliquant des données sensibles (recommandation R34 de ses recommandations de sécurité pour un système d’IA générative).

Un contact, et une façon de demander

Une charte doit nommer quelqu’un : le service informatique, le DPO, une adresse dédiée. Le salarié qui hésite doit savoir à qui écrire, sans chercher.

Elle doit aussi ouvrir une porte : demander l’outil qui manque. Sans elle, le besoin non couvert repart vers un compte personnel. Avec elle, la demande arrive à ceux qui décident, et la réponse revient dans la charte. Si l’on peut demander sans donner son nom, les salariés diront plus volontiers ce qu’ils utilisent déjà.

Pensez aussi aux automatisations. Une phrase qui demande de déclarer tout programme branché sur une messagerie ou un outil de l’entreprise évite de les découvrir par hasard. Nous y revenons dans repérer les agents d’IA, leur donner un responsable, pouvoir les arrêter.

La tenir à jour sans la réécrire

Une charte de l’IA vieillit vite : de nouveaux outils, une offre qui change ses conditions, un usage qui gagne tout un service. Si chaque mise à jour suppose de reprendre le document, elle ne sera pas faite.

La solution consiste à séparer deux choses. Le texte (pourquoi la charte existe, les données à protéger, le contact) change rarement. Les listes d’outils, elles, suivent les décisions : chaque fois qu’un outil est autorisé, toléré ou interdit, la charte publiée change avec lui. C’est ainsi que fonctionne la charte dans Lanterne : les outils viennent des décisions prises un à un, la charte se publie par un lien, se lit sans compte, et les salariés y demandent un outil sans laisser leur nom. La page Conformité et AI Act décrit l’ensemble.

Deux points de droit pour finir. Si la charte est annexée au règlement intérieur, ou si elle fixe, comme une note de service, des obligations générales et permanentes dans les matières qu’il couvre, elle suit son régime (articles L1321-4 et L1321-5 du Code du travail) : avis du CSE, transmission à l’inspection du travail, entrée en vigueur un mois au moins après les formalités de publicité. Pour la cartographie elle-même, voir informer les salariés et consulter le CSE avant de cartographier l’IA.

La charte est aussi la meilleure base de la formation que demande l’article 4 de l’AI Act (voir ce que l’AI Act demande à l’entreprise qui utilise l’IA) : mieux vaut former aux outils et aux règles de l’entreprise qu’à l’IA en général.

Ces repères ne sont pas un avis juridique : votre DPO ou votre conseil dira ce qui s’applique à votre cas.