Charte d'usage et gouvernance

Tant que vous utilisez l'IA seul, vous êtes seul à décider de vos règles. Dès qu'une équipe s'y met, tout change : qui peut utiliser quoi, avec quelles données, qui vérifie, qui répond en cas de problème ? Sans règles partagées, chacun fait de son mieux, et les risques s'accumulent sans que personne ne les voie. Cette leçon vous apprend à construire une charte d'usage simple, à répartir les responsabilités, à former, à gérer les incidents et à traiter l'« IA fantôme ».

Sonia a remarqué que plusieurs collègues utilisent des assistants d'IA sans en parler : un commercial qui rédige ses offres, une assistante qui traduit des courriers, un manager qui prépare ses entretiens. Aucun n'a de mauvaise intention, mais personne ne sait quelles données ont été partagées. Sonia comprend qu'il faut poser un cadre. Rappelons que Sonia et son entreprise sont fictives.

Pourquoi une charte ?

Une charte d'usage de l'IA est un document court qui fixe les règles du jeu : ce qui est permis, ce qui est interdit, ce qui nécessite une validation. Elle sert à :

• protéger l'organisation (données, réputation, obligations légales) ;
• rassurer les équipes : savoir ce qui est permis libère les initiatives au lieu de les bloquer ;
• harmoniser les pratiques, pour que la qualité ne dépende pas de la bonne volonté de chacun ;
• fournir un point d'appui en cas de question ou d'incident.

Elle ne doit pas ressembler à un règlement de trente pages que personne ne lit. Une à deux pages claires valent mieux qu'un texte exhaustif. Et elle se construit avec les équipes, pas contre elles.

Le contenu d'une charte simple

1. Objet et périmètre : à qui s'applique-t-elle, pour quels usages ?
2. Outils autorisés : la liste des outils validés, et la procédure pour en demander un nouveau.
3. Données : une classification simple, avec ce qui est autorisé dans chaque catégorie.
4. Validation humaine : ce qui doit être relu, et par qui, avant diffusion ou décision.
5. Usages interdits ou soumis à validation : décisions sur des personnes, contenus juridiques ou médicaux, contrats.
6. Transparence : quand mentionner l'usage de l'IA (clients, public, collègues).
7. Traçabilité : ce qu'on conserve (prompts clés, versions, validations) et où.
8. Responsabilités et contacts : qui répond aux questions, qui gère les incidents.
9. Formation et mise à jour : comment on se forme, quand on révise la charte.

Classer les données : un feu tricolore

Pour que les règles soient applicables, une classification en trois niveaux suffit souvent :

Ces niveaux sont un exemple : adaptez-les à votre organisation, avec l'aide du délégué à la protection des données ou du juriste si vous en avez un.

Responsabilités

Une charte sans responsables est lettre morte. Prévoyez, à la mesure de votre organisation :

• un référent IA (une personne qui répond aux questions, tient la liste des outils et des usages) ;
• un lien avec la protection des données (délégué ou personne chargée du sujet) et avec le juridique ;
• des responsables d'usage : chaque manager veille à l'application dans son équipe ;
• le principe général : chaque utilisateur est responsable de ce qu'il publie ou transmet, même s'il s'est fait aider par l'outil.

Dans une très petite structure (comme celle de Karim), un seul document de deux pages, rédigé par le dirigeant et partagé avec le salarié ou l'apprenti, suffit.

La formation : une obligation morale, et plus

Donner un outil sans former, c'est donner une machine sans mode d'emploi. À titre informatif, le règlement européen sur l'IA évoque une obligation de maîtrise de l'IA (en anglais AI literacy) : les organisations qui utilisent ou fournissent des systèmes d'IA doivent veiller à ce que leur personnel dispose d'un niveau suffisant de compétences à ce sujet. Les modalités et le calendrier d'application relèvent de textes officiels, à vérifier sur EUR-Lex et auprès des autorités compétentes : cette leçon n'est pas un conseil juridique et les dates ou précisions peuvent évoluer.

Une formation utile comprend :

• les bases : ce que l'IA fait et ne fait pas, les hallucinations, les biais ;
• les règles de la charte : données, validation, usages interdits ;
• des exercices concrets sur les tâches de l'équipe (comme ceux de ce cours) ;
• des temps d'échange réguliers pour partager ce qui marche et les incidents.

Gérer les incidents

Un incident finira par arriver : un collègue a collé des données confidentielles, un texte généré contenait une erreur envoyée à un client, un contenu a été publié sans mention requise. Mieux vaut avoir prévu la réponse.

1. Signaler vite, sans crainte de sanction pour l'erreur de bonne foi : la rapidité vaut plus que la recherche d'un coupable.
2. Contenir : supprimer le contenu partagé si possible, modifier les accès, prévenir le référent.
3. Évaluer : quelles données, quelles personnes concernées, quel risque ? Selon la nature de l'incident (données personnelles notamment), des obligations de notification peuvent exister ; il faut alors consulter rapidement le délégué à la protection des données ou le juriste, et vous référer à la CNIL.
4. Corriger et informer les personnes concernées si nécessaire.
5. Apprendre : qu'est-ce qui a rendu l'erreur possible ? Adapter la charte, la formation ou les outils.

L'IA « fantôme » (shadow AI)

On parle d'IA fantôme pour désigner l'usage d'outils d'IA par des salariés sans que l'organisation le sache ni l'ait validé. Ce phénomène est répandu, pour une raison simple : les outils sont faciles d'accès et utiles. L'interdire sans proposer d'alternative l'envoie dans la clandestinité, ce qui est pire.

• Ne pas culpabiliser : demandez d'abord pourquoi les gens utilisent ces outils (quel besoin ?).
• Offrir une voie légitime : un outil validé, un process simple de demande d'outil.
• Expliquer les risques avec des exemples concrets plutôt que des interdictions abstraites.
• Dialoguer régulièrement : une amnistie suivie d'un inventaire des usages est souvent plus efficace qu'une chasse aux sorcières.

Un prompt pour préparer votre charte

Je dois préparer une charte d'usage de l'IA générative pour [type d'organisation : équipe de x personnes, secteur].
Voici nos contraintes : types de données manipulées [liste générique, sans détail confidentiel], outils actuellement utilisés ou envisagés [type d'outil, sans nom si possible], obligations connues [secteur réglementé ? obligations contractuelles ?].
Propose un modèle de charte de deux pages maximum avec les rubriques : objet et périmètre, outils autorisés, classification des données (vert / orange / rouge), validation humaine, usages interdits ou soumis à validation, transparence, traçabilité, responsabilités, incidents, formation.
Écris en langage simple, sans jargon juridique.
Termine par la liste des points à faire valider par notre juriste ou notre délégué à la protection des données.
Ne cite aucun article de loi précis.

Le document obtenu est un brouillon de travail : il doit être adapté, discuté avec les équipes et validé par les personnes compétentes.

Mauvaise et bonne utilisation

À vous de jouer

Exercice. Karim a un apprenti qui utilise l'IA pour rédiger ses messages aux clients depuis son téléphone personnel. Rédigez une mini-charte de cinq règles pour la petite entreprise de Karim, et dites comment Karim peut aborder la discussion avec l'apprenti sans le braquer.

Votre dossier fil rouge : la charte

Rédigez dans votre dossier la première version de votre charte d'usage (personnelle ou d'équipe) : outils autorisés, classification des données en trois niveaux, règles de validation humaine, usages interdits, traçabilité, contact en cas d'incident. Une page suffit. Vous la reprendrez dans le projet final.