Chapitre 1211 minDébutant
Rédiger une charte d'utilisation de l'IA
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- lister les rubriques d'une charte d'usage de l'IA ;
- classer les données selon ce qu'on peut confier à un outil d'IA ;
- rédiger une charte courte pour une équipe ;
- faire vivre la charte : formation, liste des outils, révision.
3 exercices corrigés
Une charte d'utilisation de l'IA générative est le document qui fixe, pour les salariés d'une organisation, quels outils d'IA ils peuvent utiliser, avec quelles données, pour quels usages, et sous quelles règles de vérification et de transparence. Elle complète la charte informatique et s'appuie sur le RGPD, l'AI Act et la politique de sécurité. Ce chapitre te donne ses rubriques, une méthode pour classer les données, un exemple complet pour le service informatique de Sorbier, et les moyens de la faire vivre.
Pourquoi une charte
Sans règle, les salariés utilisent les outils qu'ils connaissent, avec leurs comptes personnels, et collent ce dont ils ont besoin : c'est le shadow AI du chapitre 9. Une charte répond à trois besoins :
- Protéger les données : personnelles (RGPD), confidentielles (secrets d'affaires, code, configurations) et techniques (mots de passe, clés).
- Donner un cadre clair : ce qui est autorisé et encouragé, pas seulement ce qui est interdit. Une charte qui interdit tout pousse à contourner.
- Répondre aux obligations : la CNIL recommande de définir les usages autorisés et interdits, et l'AI Act demande de favoriser la maîtrise de l'IA par le personnel (chapitre 10).
Qui l'écrit, et quelle valeur elle a
La charte se construit à plusieurs : le service informatique (outils, sécurité), le délégué à la protection des données (RGPD), le responsable de la sécurité, la direction (usages, budget), et les représentants des salariés. Elle reste courte : deux à quatre pages qu'on lit vraiment valent mieux que vingt pages que personne n'ouvre.
Sa valeur juridique suit celle de la charte informatique. Simplement diffusée, elle informe. Annexée au règlement intérieur selon sa procédure (avis du CSE, communication à l'inspection du travail, dépôt et publicité), elle devient opposable et son non-respect peut être sanctionné. Dans une entreprise de moins de 50 salariés, le règlement intérieur n'est pas obligatoire : l'employeur peut en adopter un selon la même procédure, ou annexer la charte aux contrats de travail (charte informatique). Elle ne peut pas imposer de restrictions disproportionnées aux libertés des salariés.
Les rubriques d'une charte
| Rubrique | Ce qu'elle dit |
|---|---|
| Objet et champ d'application | Qui est concerné (salariés, stagiaires, alternants, prestataires) et quels outils : assistants, outils intégrés aux logiciels, assistants de code, modèles internes |
| Outils autorisés | La liste des outils validés, avec les comptes professionnels à utiliser ; l'interdiction des comptes personnels pour le travail |
| Données | Ce qu'on peut confier à chaque outil, selon une classification simple |
| Usages autorisés et interdits | Ce qui est encouragé (reformuler, résumer un document public, aider à coder), ce qui est interdit (décider seul d'un recrutement, produire un faux, contourner une règle de sécurité) |
| Vérification | Tout contenu généré est relu et vérifié par son utilisateur, qui en reste responsable |
| Transparence | Quand indiquer qu'un contenu a été produit avec une IA, en interne et vis-à-vis des clients |
| Propriété et droit d'auteur | Respect des licences, pas de reprise de contenus protégés, droits de l'entreprise sur les productions |
| Sécurité | Pas de secret dans les prompts, permissions des agents, signalement des incidents |
| Formation et accompagnement | La formation proposée, la personne à contacter en cas de doute |
| Gouvernance et révision | Qui valide un nouvel outil, la liste tenue à jour, la date de la prochaine révision |
Classer les données
Une classification en trois couleurs suffit pour la plupart des PME. Le salarié se pose une seule question avant de coller un texte : « De quelle couleur est-il ? »
| Couleur | Exemples | Règle |
|---|---|---|
| Vert : public ou sans enjeu | Documentation publique d'un éditeur, texte que tu as écrit sans donnée réelle, question générale, code d'exemple | Tout outil autorisé de la liste |
| Orange : interne | Procédure interne, code de l'entreprise, compte rendu de réunion sans donnée personnelle | Seulement les outils professionnels sous contrat, ou le modèle interne |
| Rouge : sensible | Données personnelles de salariés ou de clients, données de santé, mots de passe, clés, configurations et journaux réels, documents de la direction, données des clients couvertes par un contrat | Jamais dans un outil externe. Le modèle interne seulement si le traitement a été validé (DPO, AIPD si nécessaire) |
Exemple : la charte du service informatique de Sorbier
Voici la charte que Chloé a rédigée avec Antoine pour leur service. Elle tient sur une page.
Charte d'utilisation de l'IA générative au service informatique
1. Objet. Cette charte fixe les règles d'utilisation des outils d'IA générative par les membres du service informatique, stagiaires et alternants compris. Elle complète la charte informatique de Sorbier Logistique.
2. Outils autorisés. L'assistant professionnel fourni par Sorbier, avec son compte nominatif ; l'assistant de code intégré à l'éditeur, configuré par Antoine ; le modèle interne de
srv-ia. Tout autre outil, et tout compte personnel, est interdit pour le travail. Une demande d'ajout se fait auprès d'Antoine.3. Données. Avant de saisir un texte, classe-le : vert, orange ou rouge, selon le tableau annexé. Les données rouges ne sortent jamais vers un outil externe. Dans le doute, considère la donnée comme rouge.
4. Usages. Sont encouragés : expliquer une erreur, proposer un script ou une requête à tester, rédiger un brouillon de documentation, résumer une documentation publique. Sont interdits : exécuter en production un script généré non relu, laisser un agent agir sur un serveur de production, prendre une décision sur une personne à partir d'une réponse générée.
5. Vérification. Tu es responsable de ce que tu utilises. Tout code généré est relu, compris et testé hors production. Tout fait, version ou référence est vérifié dans une source primaire.
6. Transparence. Indique dans le message de commit ou dans le ticket quand une part importante du travail a été générée. Un document envoyé à un client et rédigé avec une IA est relu et validé par une personne qui le signe.
7. Sécurité. Aucun mot de passe, clé, jeton ni configuration réelle dans un prompt. Les agents de code travaillent sur une branche, sans accès aux fichiers de secrets. Toute donnée rouge saisie par erreur dans un outil externe est signalée le jour même à Antoine et au délégué à la protection des données.
8. Formation. Chaque nouvel arrivant suit la formation interne d'une heure sur les outils et cette charte.
9. Révision. La liste des outils est mise à jour à chaque changement ; la charte est relue tous les six mois.
Une donnée personnelle saisie par erreur dans un outil externe peut constituer une violation de données : le délégué à la protection des données évalue s'il faut la notifier à la CNIL dans les 72 heures (violation de données). D'où l'article 7 : signaler vite.
Appliquer la charte côté technique
Une charte que rien ne soutient techniquement reste un vœu. Le service informatique dispose de cinq leviers, à annoncer dans la charte, puisque les salariés doivent être informés des contrôles mis en place :
- Fournir l'outil validé, et le rendre simple. Comptes nominatifs avec authentification unique (SSO), créés à l'arrivée et désactivés au départ comme les autres comptes. Si l'outil officiel est plus pénible que le site gratuit, les salariés iront sur le site gratuit.
- Régler la console d'administration de l'offre professionnelle : durée de conservation des conversations, refus de l'utilisation des données pour l'entraînement, connecteurs autorisés vers la messagerie ou les partages de fichiers, fonctions désactivées.
- Filtrer les sites : le proxy ou le filtrage DNS peut bloquer les assistants non validés, ou afficher une page d'avertissement qui rappelle la charte et l'outil officiel (proxy et filtrage web).
- Centraliser la configuration des agents de code : permissions par défaut, accès interdit aux fichiers de secrets, liste des serveurs MCP autorisés, quand l'outil le permet.
- Journaliser l'usage des outils internes, comme
srv-ia, avec une durée de conservation définie et un accès réservé.
Ces mesures protègent sans surveiller les personnes au-delà du nécessaire : un contrôle doit rester justifié et proportionné au but recherché, comme pour la charte informatique.
Faire vivre la charte
- Une liste des outils autorisés, tenue à jour, avec pour chacun le contrat, l'hébergement des données, la conservation et la personne responsable.
- Une formation courte et concrète, avec des exemples tirés du quotidien du service plutôt qu'un rappel de la loi.
- Un interlocuteur à qui poser une question sans crainte d'être sanctionné.
- Une procédure de signalement des erreurs et des incidents.
- Une révision régulière : les outils et le droit bougent vite (calendrier de l'AI Act).
Exercices
Exercice 1 sur 3 Vert, orange ou rouge ? Réussi À revoir
Classe chaque donnée selon le tableau de Sorbier, et dis dans quel outil elle peut aller.
- La page de documentation officielle de pfSense sur les alias.
- Le fichier de configuration exporté du pare-feu
pf1. - Une procédure interne de création de compte, sans nom de salarié.
- La liste des salariés absents pour maladie ce mois-ci.
- Un script PowerShell écrit par Moussa, qui contient l'adresse du contrôleur de domaine et un mot de passe de compte de service.
- Une question générale : « Comment fonctionne le basculement DHCP sous Windows Server ? »
Voir la réponseMasquer la réponse de l'exercice 1
- Vert : document public. Tout outil autorisé.
- Rouge : configuration réelle, qui décrit le réseau et ses protections, et peut contenir des secrets (clés VPN, comptes). Jamais dans un outil externe.
- Orange : document interne sans donnée personnelle. Outil professionnel sous contrat ou modèle interne.
- Rouge : données personnelles, et données de santé de surcroît. Aucun outil d'IA n'a de raison de les traiter.
- Rouge tel quel, à cause du mot de passe et de l'adresse interne. Une fois le mot de passe retiré (il n'aurait jamais dû y être) et l'adresse remplacée par une valeur fictive, le script devient orange.
- Vert : question générale, sans donnée de l'entreprise.
Tu avais trouvé ?
Exercice 2 sur 3 Critiquer un projet de charte Réussi À revoir
Le premier projet de charte proposé à Antoine tient en trois lignes : « L'usage de l'IA est interdit sauf autorisation de la direction. Les contrevenants seront sanctionnés. Chacun est responsable de ses actes. » Cite quatre défauts de ce projet.
Voir la réponseMasquer la réponse de l'exercice 2
Parmi les défauts :
- Il interdit tout sans proposer d'outil : les salariés continueront avec leurs comptes personnels, en cachette, ce qui aggrave le risque.
- Aucune règle sur les données : rien ne dit ce qu'on peut saisir, alors que c'est le risque principal.
- Aucune règle de vérification ni de transparence : rien sur le code généré, les faits à vérifier, la mention de l'usage de l'IA.
- Pas de formation ni d'interlocuteur : l'AI Act demande de favoriser la maîtrise de l'IA par le personnel.
- La sanction suppose une charte opposable : annexée au règlement intérieur selon sa procédure, ou au contrat de travail dans une PME sans règlement intérieur ; une simple note ne suffit pas.
- Pas de révision prévue, dans un domaine qui change tous les six mois.
Tu avais trouvé ?
Exercice 3 sur 3 Écrire un article Réussi À revoir
Rédige l'article « Transparence » de la charte du service commercial de Sorbier, qui utilise un assistant pour rédiger des réponses aux clients et des devis.
Voir la réponseMasquer la réponse de l'exercice 3
Une proposition :
« Transparence. Un courriel ou un devis préparé avec un assistant d'IA est relu, corrigé si besoin et envoyé par son auteur, qui en reste responsable : il n'est jamais envoyé automatiquement. Les prix, délais et conditions sont vérifiés dans l'outil de gestion avant envoi. Si un client échange avec un agent conversationnel de Sorbier, il en est informé dès le début de l'échange. Les visuels générés par IA et diffusés à l'extérieur sont signalés comme tels. »
L'article reprend l'obligation de transparence de l'AI Act pour l'agent conversationnel, et rappelle que la responsabilité reste humaine.
Tu avais trouvé ?