Comment rédiger une politique d'usage de l'IA

Pourquoi une politique IA, maintenant

Vos collaborateurs collent déjà des données de l'entreprise dans ChatGPT et d'autres outils, que vous l'autorisiez ou non. Une politique d'usage de l'IA fixe des règles claires pour capter la productivité de l'IA générative sans fuite de données confidentielles, sans violation du RGPD et sans diffuser des sorties d'IA non revues. C'est en passe de devenir la première question des auditeurs et des clients.

Quoi inclure

Périmètre — quels outils et cas d'usage (chatbots, assistants de code, fonctions IA intégrées).
Outils approuvés — une liste sanctionnée, et comment demander des ajouts ; refus par défaut pour le reste.
Règles de données — ce qui ne doit jamais être saisi dans des outils IA publics (données personnelles, secrets, code source, données clients), et ce qui est acceptable.
Confidentialité et PI — prudence sur la réutilisation pour l'entraînement et la propriété du contenu généré.
Supervision humaine — toute sortie d'IA doit être revue avant usage ; les collaborateurs restent responsables des décisions.
Biais, exactitude et transparence — vérifier les faits ; divulguer l'usage de l'IA quand c'est requis.
Alignement ISO 42001 — pour les organisations bâtissant un système de management de l'IA.

Erreurs fréquentes

Interdire l'IA purement et simplement, ce qui ne fait qu'alimenter le shadow IT.
Aucune règle de données, donc des informations confidentielles partent vers des modèles publics.
Considérer la sortie d'IA comme fiable sans revue humaine.

Alignement référentiels

Complète l'Annexe A 5.10 (utilisation acceptable) et 8.10–8.12 (manipulation des données) d'ISO 27001:2022, s'aligne sur ISO/IEC 42001 (management de l'IA), et soutient la redevabilité RGPD.

Sources de référence

Règlement (UE) 2024/1689 sur l'intelligence artificielle, texte complet sur EUR-Lex (eur-lex.europa.eu/eli/reg/2024/1689/oj).
ISO/IEC 42001:2023 — systèmes de management de l'intelligence artificielle (iso.org/standard/42001).
NIST — AI Risk Management Framework (AI RMF) (nist.gov/itl/ai-risk-management-framework).

Générez-la en quelques minutes

Voir un exemple de politique d'usage de l'IA ou générez la vôtre gratuitement.

Questions fréquentes

Que doit réellement couvrir une politique d’usage de l’IA ?

Elle fixe les outils d’IA autorisés, les données qui peuvent ou non y être saisies, la manière de vérifier les sorties avant de s’y fier, et qui répond des usages abusifs. L’objectif : permettre un usage productif de l’IA sans fuite de données confidentielles ni diffusion de résultats non vérifiés.

Les salariés peuvent-ils coller des données confidentielles dans les IA publiques ?

Par défaut, non. Les IA publiques peuvent conserver ou réutiliser le texte soumis pour l’entraînement ; les données confidentielles, personnelles ou réglementées ne doivent jamais y être saisies sauf si l’outil figure sur une liste approuvée avec protections contractuelles. La politique nomme les outils et les catégories de données autorisées.

Quel lien avec l’ISO 42001 ?

L’ISO/IEC 42001 est la norme de système de management de l’IA. La politique d’usage acceptable n’en est qu’une mesure opérationnelle : la 42001 attend aussi une analyse de risque IA, des rôles de gouvernance et un suivi du cycle de vie. La politique est le règlement quotidien ; la 42001 est le système qui l’encadre.