Ressources · Gouvernance
IA en entreprise : le vrai risque n'est plus de l'utiliser, mais de l'utiliser sans règles
L'IA est déjà dans votre entreprise. La vraie question n'est plus de savoir s'il faut l'autoriser. C'est de savoir comment l'encadrer.
Dans les PME que nous accompagnons, près de la moitié des collaborateurs utilisent déjà une IA générative, depuis leur ordinateur ou leur téléphone, parfois sans que la direction en ait connaissance.
Interdire arrive donc souvent trop tard.
Et surtout, cela ne fait pas disparaître les usages. Cela les déplace.
Vers les téléphones personnels. Vers des comptes individuels. Vers des outils que l'entreprise ne maîtrise pas.
Le sujet n'est plus de contrôler l'IA.
Le sujet est de reprendre le contrôle des usages.
Et cela commence par une charte simple, concrète et applicable.
Voici les huit règles que toute PME devrait trancher.
1. Quels outils sont autorisés ?
« Autorisons-nous l'IA ? » est la mauvaise question.
La bonne question est : « Quels outils autorisons-nous, pour quels usages et pour quels collaborateurs ? »
Une entreprise doit identifier clairement les solutions retenues et préciser que les autres outils ne doivent pas être utilisés dans un cadre professionnel.
Pourquoi ? Parce que chaque solution possède ses propres règles en matière de données, de conservation et de sécurité.
Trois collaborateurs, trois IA différentes : trois niveaux de risque différents.
2. Quelles données ne doivent jamais entrer dans une IA ?
C'est probablement la règle numéro 1.
Pas de formule vague du type « données confidentielles ». Il faut une liste concrète.
Par exemple :
- données personnelles de clients, salariés, prospects ou candidats ;
- données de santé ;
- contrats et tarifs négociés ;
- appels d'offres en cours ;
- résultats financiers non publiés ;
- mots de passe, identifiants et clés d'accès ;
- documents couverts par un accord de confidentialité.
Et pour les collaborateurs, il faut une règle facile à retenir :
Si vous ne seriez pas prêt à lire le contenu à voix haute dans une salle d'attente, ne le copiez pas dans une IA.
3. Qui vérifie ce que produit l'IA ?
Une IA peut être convaincante. Sans être exacte.
Elle peut inventer une source, modifier un chiffre, créer une référence inexistante ou produire une information juridiquement fausse.
Et elle le fera avec beaucoup d'assurance.
La charte doit donc imposer un contrôle humain. La vérification doit notamment être obligatoire pour :
- les documents destinés aux clients ;
- les chiffres et données financières ;
- les contenus juridiques ou contractuels ;
- les contenus techniques ou réglementaires.
L'IA produit.
L'humain vérifie.
L'humain reste responsable.
4. Faut-il dire au client qu'on a utilisé l'IA ?
Il faut prendre une position claire.
Pas nécessairement besoin de préciser qu'une IA a aidé à rédiger un courrier ou une note interne. En revanche, un livrable vendu comme le résultat d'une expertise humaine ne peut pas être une simple sortie brute d'IA.
La question à se poser est simple : « Le client pourrait-il légitimement se sentir trompé s'il apprenait comment ce contenu a été produit ? »
Si oui, la transparence doit primer.
5. Et pour les images, les voix et les visages ?
L'IA ne produit plus seulement du texte.
Elle génère des images, des vidéos, des voix et peut reproduire l'apparence d'une personne.
La charte doit donc poser des règles spécifiques. Par exemple : pas de reproduction de l'image ou de la voix d'une personne identifiable sans son accord.
Et avant d'utiliser commercialement une image ou une vidéo générée : on vérifie ses droits et son origine.
6. Que faire si une donnée part par erreur ?
C'est le point que l'on retrouve le moins souvent dans les chartes.
Et pourtant, c'est celui qui compte le plus lorsqu'un incident survient.
Un salarié vient de copier par erreur un fichier client dans un outil non autorisé.
Que fait-il ?
La réponse doit être immédiate :
- qui prévenir ;
- dans quel délai ;
- comment qualifier l'incident ;
- quelles mesures prendre.
Et surtout : le salarié doit pouvoir signaler une erreur sans avoir peur de la sanction.
Une entreprise qui punit celui qui signale un incident apprend rapidement à ne plus être informée des incidents.
7. Quels usages sont strictement interdits ?
La liste doit être courte.
Mais elle doit être claire.
Par exemple :
- créer de faux avis ou faux témoignages ;
- fabriquer de faux documents ;
- imiter l'identité d'une personne ou d'une organisation ;
- surveiller ou évaluer des collaborateurs sans cadre défini ;
- utiliser l'IA pour sélectionner des candidats sans gouvernance adaptée ;
- contourner les règles de sécurité de l'entreprise.
Le sujet RH mérite une attention particulière.
Utiliser une IA pour recruter ou évaluer des personnes n'est pas un simple usage bureautique.
Cela nécessite un cadre, de la transparence et un véritable contrôle humain.
8. Qui est responsable de la charte ?
Une charte sans responsable est un document qui finit dans un dossier partagé.
Il faut donc :
- un référent clairement identifié ;
- un point de contact pour les collaborateurs ;
- une date de révision.
Car l'IA évolue vite.
Une règle pertinente aujourd'hui peut être obsolète demain.
Une bonne charte tient sur une page
Pas besoin d'un document de 40 pages.
Une bonne charte doit être courte. Compréhensible. Concrète. Applicable.
Et surtout, elle ne doit pas être rédigée uniquement par la direction. Nous recommandons un atelier de deux heures avec des représentants des différents métiers.
Pourquoi ? Parce qu'une règle que l'on a contribué à construire est beaucoup plus facilement acceptée.
On ne demande pas aux équipes d'appliquer une règle qu'elles découvrent.
On leur demande de construire le cadre dans lequel elles vont travailler.
L'erreur à éviter absolument
Faire de la charte IA un catalogue d'interdictions.
C'est tentant. Mais c'est contre-productif.
Si les collaborateurs utilisent l'IA pour gagner du temps, ils continueront à le faire.
La différence, c'est qu'ils le feront : soit ouvertement, avec les bons outils et les bonnes pratiques ; soit discrètement, avec leurs comptes personnels et leurs téléphones.
La charte doit donc commencer par dire ce que nous autorisons, ce que nous encourageons, avec quels outils.
Puis seulement : ce qui est interdit.
L'objectif n'est pas de supprimer l'IA.
L'objectif est de rendre son utilisation visible, maîtrisée et créatrice de valeur.
Car ce qui est déclaré peut être accompagné. Ce qui est caché ne peut pas l'être.
Combien de temps faut-il ?
Deux heures d'atelier peuvent suffire à produire une première version.
La difficulté n'est pas d'écrire. La difficulté est de prendre les décisions :
- Quels outils ?
- Quelles données ?
- Quels usages ?
- Quelles interdictions ?
- Qui valide ?
- Qui accompagne ?
- Que fait-on en cas d'erreur ?
Une fois ces décisions prises, la charte n'est que leur traduction opérationnelle.
Dans notre formation d'une journée, cet atelier occupe l'après-midi.
Les participants ne repartent pas avec une charte « descendante ».
Ils repartent avec un cadre qu'ils ont compris, discuté et contribué à construire.
Et c'est précisément ce qui fait la différence entre une charte que l'on affiche…
et une charte que l'on applique.
Rédiger votre charte avec vos équipes
La journée de formation Avens Conseil comprend l'atelier de rédaction de la charte d'usage, à partir de vos métiers et de vos données réelles. Vous repartez avec un texte prêt à diffuser. Financement OPCO possible.
Voir le programme de la formation