Politique IA en entreprise : encadrer ChatGPT, Copilot et Gemini dans une PME

Le shadow AI : le vrai risque, souvent invisible

Le danger principal n’est pas qu’un collaborateur utilise l’IA, mais qu’il le fasse sans savoir quelles données il peut ou ne peut pas partager. Coller un contrat, une liste de clients ou un dossier RH dans un outil grand public, c’est potentiellement confier ces informations à un tiers, hors de votre contrôle.

L’absence de règle claire crée aussi une inégalité : chacun improvise sa propre limite. Une politique met tout le monde au même niveau d’information et transforme un risque diffus en pratique maîtrisée.

Ce que contient une bonne politique d’usage de l’IA

Une politique efficace tient sur quelques pages et se lit en dix minutes. Elle répond à des questions concrètes que se posent réellement les collaborateurs, plutôt que d’aligner des principes généraux.

Quatre piliers structurent une politique solide et applicable au quotidien.

• Outils autorisés : quels services d’IA sont approuvés, et lesquels sont proscrits (ou réservés à certains usages).
• Données interdites : ce qui ne doit jamais être saisi dans un outil d’IA (données clients, RH, financières, secrets d’affaires).
• Validation humaine : toute production de l’IA doit être relue et validée par une personne avant usage externe ou décision.
• Confidentialité fournisseurs : privilégier des offres professionnelles n’utilisant pas vos données pour l’entraînement.

Un modèle de structure réutilisable

Vous n’avez pas besoin de partir d’une page blanche. Une politique IA peut suivre un plan simple et adaptable à toute PME.

L’essentiel est qu’elle soit courte, concrète et effectivement diffusée. Une politique parfaite que personne ne lit ne protège personne.

• Objet et champ d’application : à qui et à quoi s’applique la politique.
• Principes : gains attendus de l’IA et responsabilités de chacun.
• Outils autorisés et interdits, avec les cas d’usage recommandés.
• Règles sur les données : classification et interdits explicites.
• Validation, contrôle qualité et mention de l’usage de l’IA le cas échéant.
• Rôles, référent IA et procédure en cas de doute ou d’incident.

IA et protection des données : ce qu’il faut avoir en tête

Envoyer des données personnelles à un service d’IA revient à les transmettre à un tiers, souvent hébergé hors de Suisse. La loi fédérale sur la protection des données (LPD) encadre ce type de traitement et de transfert. Cet article est informatif et ne constitue pas un conseil juridique : pour les cas sensibles, faites valider votre démarche par un spécialiste.

En pratique, la prudence consiste à ne jamais saisir de données personnelles ou confidentielles dans un outil grand public, à privilégier des offres professionnelles avec des garanties contractuelles, et à documenter quels outils traitent quelles catégories de données.

• Distinguer les outils grand public des offres professionnelles avec engagements de confidentialité.
• Éviter de saisir des données personnelles ou couvertes par un secret sans base et cadre appropriés.
• Documenter les outils utilisés et les catégories de données concernées.
• Faire valider les usages sensibles par un conseil juridique compétent.

Mettre la politique en pratique

Une politique n’a de valeur que si elle est comprise et appliquée. Cela passe par une communication claire, une courte formation et un référent identifié à qui poser les questions.

Intégrer l’usage de l’IA dans votre démarche de sécurité globale, aux côtés de la messagerie et des accès, permet de traiter ce sujet nouveau avec la même rigueur que les autres. Un diagnostic est souvent le meilleur moyen d’objectiver les usages réels avant de rédiger la règle.