Une politique d'utilisation acceptable de l'IA fixe, par écrit, ce que les collaborateurs peuvent faire avec les outils d'intelligence artificielle et ce qui reste interdit. Elle repose sur cinq piliers non négociables : le champ d'application, la classification des données autorisées ou proscrites, la liste des usages permis et interdits, les rôles de gouvernance, et une procédure de sanction. Un modèle réutilisable, présenté plus loin, permet d'en rédiger une base opérationnelle en quelques heures.
En bref:
- La classification des données doit distinguer clairement les données publiques, internes et sensibles pour assurer une utilisation conforme à la politique d'IA.
- La politique d'utilisation acceptable doit définir des usages autorisés, tels que la rédaction interne ou la traduction, tout en interdisant les manipulations de données sensibles ou confidentielles.
- La gouvernance repose sur des rôles précis, avec un registre à jour, permettant de suivre et de contrôler l'utilisation de l'IA au sein de l'organisation.
- La conformité légale nécessite de vérifier l'hébergement des données, notamment leur localisation et leur traitement pour respecter la loi sur la protection des données et le RGPD.
- La politique doit évoluer régulièrement pour suivre l'évolution rapide des outils, des usages et des réglementations, afin de rester efficace et pertinente.
Table des matières
- Quels sont les composants essentiels d'une politique d'utilisation acceptable de l'IA ?
- Quels usages de l'IA sont permis, lesquels sont interdits ?
- Comment classer et héberger les données utilisées avec l'IA ?
- Qui gouverne la politique et comment en assurer le suivi ?
- Comment rédiger la politique : checklist et clauses prêtes à l'emploi
- Comment déployer la politique et réagir face à un incident ?
- Quel est l'impact éthique et le risque de biais dans l'utilisation de l'IA ?
- Que dit la réglementation sur l'IA et comment s'articule-t-elle avec la protection des données ?
- Pourquoi une politique d'utilisation de l'IA doit-elle évoluer régulièrement ?
- Ce que la souveraineté des données change concrètement pour appliquer une AUP IA
- Une instance IA privée pour appliquer votre politique sans zone d'ombre
- Sources
- Questions fréquentes
Quels sont les composants essentiels d'une politique d'utilisation acceptable de l'IA ?
Une AUP IA solide ne se limite pas à une liste d'interdictions. Elle définit d'abord son périmètre : quels systèmes sont concernés (chatbots, agents autonomes, outils de génération d'images), qui est visé (salariés, prestataires, stagiaires) et quels usages professionnels entrent dans son champ. Sans cette délimitation, la politique reste un texte flou que personne n'applique vraiment.
Elle doit ensuite poser des principes directeurs : sécurité des données, transparence sur l'usage de l'IA dans les livrables, et responsabilité humaine sur toute décision finale. L'Artificial Intelligence Acceptable Use Policy publiée par la Security Industry Association illustre bien cette architecture, avec une entrée en vigueur datée et des catégories d'usages listées de façon explicite.
Les clauses types couvrent généralement :
- Champ d'application : systèmes couverts, exclusions, périmètre géographique.
- Définitions : agent IA, donnée personnelle, donnée sensible, incident.
- Principes : sécurité par conception, supervision humaine obligatoire, non-discrimination.
- Responsabilités : qui valide un nouvel outil, qui répond en cas d'incident.
- Sanctions : gradation disciplinaire en cas de manquement avéré.
Une politique efficace tient sur quelques pages, complétées par des annexes techniques détaillées plutôt qu'un document unique interminable.
Quels usages de l'IA sont permis, lesquels sont interdits ?
Les équipes retiennent mieux une politique quand elle s'appuie sur des cas concrets plutôt que sur des principes abstraits. Voici comment structurer cette distinction.
- Usages généralement permis : rédaction de brouillons internes, résumés de documents non confidentiels, recherche documentaire, traduction de textes publics, génération d'idées pour une présentation.
- Usages généralement interdits : saisie de données clients, de dossiers médicaux ou de secrets d'affaires dans un outil grand public ; décisions RH ou de crédit automatisées sans validation humaine ; reconnaissance biométrique sans base légale ; création de contenus trompeurs (deepfakes, faux avis).
- Cas limites à faire remonter : un collaborateur hésite ? Il signale l'usage envisagé au responsable IA désigné avant d'agir, plutôt que d'improviser une interprétation personnelle de la règle.
Ce triage rappelle les recommandations d'Educause pour les établissements d'enseignement : expliciter ce qui est autorisé et quels types de données peuvent circuler évite bien des zones grises. L'affaire Samsung, où l'entreprise a restreint l'usage d'outils d'IA générative après une fuite de données internes, montre concrètement le coût d'une politique absente ou trop vague sur ce point précis.
Comment classer et héberger les données utilisées avec l'IA ?
La classification des données est le pivot technique de toute AUP IA. Sans elle, impossible de dire à un collaborateur si un document peut être collé dans un assistant conversationnel.
Le schéma le plus courant, décrit par les guides de gouvernance de l'université du Wisconsin, retient trois niveaux :
- Donnée publique : communication déjà diffusée, contenu marketing, informations sans risque de divulgation.
- Donnée interne : documents de travail, notes de réunion, indicateurs internes non sensibles.
- Donnée sensible ou réglementée : données personnelles, dossiers clients, informations couvertes par le secret professionnel ou des obligations contractuelles.
Seules les deux premières catégories devraient pouvoir transiter par un outil d'IA, et encore sous conditions strictes d'hébergement et de chiffrement. Toute ingestion de données sensibles suppose un hébergement localisé, une absence d'entraînement des modèles sur ces données, et un journal d'audit consultable en cas de contrôle.
Conseil de pro : avant d'autoriser un nouvel outil, demandez systématiquement où sont hébergés les serveurs et si les données saisies servent à entraîner le modèle. Si la réponse est floue ou situe l'hébergement hors de Suisse, la réponse par défaut doit être non.
Qui gouverne la politique et comment en assurer le suivi ?
La gouvernance d'une AUP IA repose sur des rôles clairement répartis, pas sur un vague « service informatique » invoqué en cas de problème. Les guides de gouvernance IA pour PME insistent sur cette répartition explicite des responsabilités.
- Sponsor exécutif : porte la politique au niveau de la direction et débloque les ressources.
- Responsable IA : valide les nouveaux outils et arbitre les cas limites signalés par les équipes.
- RSSI : évalue les risques de sécurité de chaque connexion à un service tiers.
- Délégué à la protection des données : vérifie la conformité au regard de la loi sur la protection des données.
- Référents métiers : relaient la politique auprès de leurs équipes et signalent les usages non couverts.
Un registre léger, listant l'outil, sa finalité, les données traitées, le propriétaire et la date de dernière revue, suffit généralement pour une PME et facilite grandement les audits, comme le souligne la checklist de gouvernance IA suisse. Ce registre se revoit au minimum une fois par an.
Comment rédiger la politique : checklist et clauses prêtes à l'emploi
Rédiger une AUP IA de zéro prend du temps. Partir d'une checklist accélère le processus et évite d'oublier une clause critique.
- Cadrer le projet : désigner un responsable IA, lister les outils déjà utilisés en interne (y compris les usages non déclarés).
- Classer les données : appliquer la grille à trois niveaux décrite plus haut à vos propres documents types.
- Rédiger les clauses cœur : champ d'application, définitions, principes, usages permis/interdits, sanctions.
- Faire valider : direction, juridique, RSSI, DPO, avant diffusion.
- Diffuser et former : session collective, support écrit, point de contact identifié.
- Planifier la revue : date fixe, au moins annuelle.
Un exemple de clause type pour le champ d'application : « La présente politique s'applique à tout système d'intelligence artificielle, générative ou non, utilisé dans le cadre des activités professionnelles, y compris les outils accessibles via extension navigateur ou intégration tierce. » Les fournisseurs de modèles comme FRSecure proposent des trames comparables, avec objectif, audience, application et procédure de dérogation clairement séparés. Le format recommandé reste un document principal court, complété par des annexes techniques : registre des outils, journal d'audit, procédure d'incident détaillée.
Comment déployer la politique et réagir face à un incident ?
Une politique non déployée n'a aucune valeur. Le déploiement demande une méthode, pas seulement un mail groupé.
- Former par métier : un module RH n'a pas les mêmes cas d'usage qu'un module finance ou marketing. Adaptez les exemples.
- Surveiller sans excès : revue périodique des journaux d'accès aux outils validés, détection des usages non déclarés (« shadow AI ») via des points d'équipe réguliers plutôt qu'une surveillance intrusive.
- Traiter l'incident : signalement immédiat, analyse de l'ampleur (données concernées, exposition), correction, puis mise à jour de la politique si une faille de processus est identifiée.
Le guide cantonal genevois pour l'adoption d'une charte IA recommande d'ailleurs des sessions collectives régulières pour faire remonter les usages cachés avant qu'ils ne deviennent un problème de sécurité.
Quel est l'impact éthique et le risque de biais dans l'utilisation de l'IA ?
Un modèle d'IA reflète les données sur lesquelles il a été entraîné, avec leurs déséquilibres. Un outil utilisé pour trier des candidatures ou évaluer des dossiers de crédit peut reproduire des discriminations historiques si personne ne contrôle ses résultats. C'est exactement pour cette raison qu'une AUP IA sérieuse interdit toute décision automatisée sans supervision humaine sur les sujets à fort impact (recrutement, crédit, évaluation de performance).
L'enjeu éthique dépasse la seule question technique. Il touche à la transparence : un collaborateur ou un client doit pouvoir savoir qu'un contenu a été généré ou assisté par l'IA quand cela affecte une décision qui le concerne. Les principes de sécurité par conception et de non-discrimination, mentionnés plus haut dans les clauses types, ne sont pas des formules creuses. Ils obligent concrètement à documenter pourquoi un outil a été choisi et à prévoir un mécanisme de contestation.
Les ressources sur les bonnes pratiques d'utilisation responsable de l'IA insistent sur ce point : la responsabilité éthique ne se délègue pas à l'algorithme, elle reste portée par l'organisation qui déploie l'outil. Une politique qui ignore ce volet éthique reste incomplète, même si elle couvre parfaitement les aspects techniques et sécuritaires.
Que dit la réglementation sur l'IA et comment s'articule-t-elle avec la protection des données ?
Aucune AUP IA ne peut ignorer le cadre légal applicable. En Suisse, la loi sur la protection des données (nLPD) impose des règles strictes sur le traitement de données personnelles, y compris lorsqu'un outil d'IA sert d'intermédiaire. Toute organisation suisse qui connecte un service d'IA à des données personnelles doit vérifier où ces données sont hébergées et si un transfert transfrontalier a lieu, ce transfert nécessitant alors des garanties supplémentaires.
Pour les organisations qui traitent aussi des données de résidents européens, le RGPD s'applique en parallèle, avec ses propres exigences en matière d'analyse d'impact et de base légale du traitement. La notion d'« IA responsable » qui traverse les discussions réglementaires actuelles recoupe largement ce que couvre déjà une AUP IA bien construite : traçabilité des traitements, minimisation des données, droit à l'explication d'une décision automatisée.
Concrètement, une politique conforme documente le fondement légal de chaque usage d'IA touchant des données personnelles, prévoit une procédure de signalement en cas de violation, et conserve les journaux nécessaires pour répondre à une demande d'une autorité de contrôle. C'est un chantier juridique à part entière, qui gagne à être mené avec un service juridique ou un conseil spécialisé plutôt qu'improvisé en interne.
Pourquoi une politique d'utilisation de l'IA doit-elle évoluer régulièrement ?
Une AUP IA rédigée en 2024 et jamais révisée depuis est déjà probablement dépassée. Les outils évoluent vite, les agents autonomes remplacent progressivement les simples chatbots, et de nouveaux usages émergent plus rapidement que les politiques ne se mettent à jour.
La revue annuelle mentionnée plus haut pour le registre des outils doit s'étendre à la politique elle-même : reformulation des clauses devenues obsolètes, ajout de nouveaux cas d'usage identifiés depuis la dernière version, ajustement des sanctions si le régime disciplinaire s'est révélé trop souple ou trop rigide en pratique. Cette révision profite d'un déclencheur simple : chaque incident significatif, chaque nouvel outil massivement adopté par les équipes, chaque évolution réglementaire notable devrait automatiquement ouvrir une fenêtre de révision, sans attendre l'échéance annuelle fixe.
Les organisations qui traitent leur AUP IA comme un document vivant, plutôt qu'un texte figé signé une fois pour toutes, sont aussi celles qui limitent le mieux le recours aux outils non validés. Une politique perçue comme à jour inspire davantage confiance qu'un document poussiéreux que personne ne consulte plus.
Ce que la souveraineté des données change concrètement pour appliquer une AUP IA
Une politique n'a de valeur que si son application peut être vérifiée. Un hébergement local en Suisse, des journaux d'audit consultables et un contrôle d'accès par rôle transforment des clauses écrites en contrôles réellement opérables. Sans ces garanties techniques, la revue annuelle et le registre des usages restent des exercices de papier : personne ne peut prouver qu'une règle a été respectée, seulement l'espérer.
— Adopt
Une instance IA privée pour appliquer votre politique sans zone d'ombre
Rédiger une AUP IA solide ne suffit pas si les outils réellement utilisés par vos équipes échappent à tout contrôle. Une solution d'espace de travail IA hébergée en Suisse, conforme à la nLPD, sans partage de données avec des géants technologiques étrangers.
Concrètement, chaque échange, chaque document analysé et chaque résumé de réunion généré dans Nectos reste traçable via des journaux d'audit exportables, avec une gestion des rôles qui limite l'accès aux données sensibles selon la fonction de chaque collaborateur. Pour une organisation qui vient de rédiger sa politique d'utilisation acceptable de l'IA, cela signifie pouvoir démontrer sa conformité lors d'un contrôle, plutôt que de simplement l'affirmer sur papier. La plateforme ne fait pas travailler ses modèles sur vos données internes, un principe déjà couvert par la responsabilité écologique et les engagements structurels de Nectos en matière de gouvernance des données.
Si votre organisation cherche une alternative privée pour appliquer sa charte IA au quotidien, consultez la page sécurité et conformité de Nectos pour voir concrètement comment fonctionnent le contrôle d'accès et les journaux d'audit.
Sources
- Artificial Intelligence Acceptable Use Policy
- How to craft an AI acceptable use policy to protect your campus today
- Data classification (University of Wisconsin)
Questions fréquentes
Qu'est-ce qu'une politique d'utilisation acceptable de l'IA ?
C'est un document interne qui définit les usages permis et interdits de l'intelligence artificielle dans une organisation, avec les règles de classification des données, les rôles de gouvernance et les sanctions applicables en cas de manquement.
Quels sont des exemples d'usages acceptables de l'IA ?
La rédaction de brouillons internes, les résumés de documents non confidentiels, la recherche documentaire et la traduction de textes publics figurent parmi les usages généralement autorisés dans une AUP IA bien construite.
Qu'est-ce qu'un usage inacceptable de l'IA ?
Saisir des données clients ou des dossiers médicaux dans un outil grand public, automatiser une décision de recrutement ou de crédit sans supervision humaine, ou utiliser la reconnaissance biométrique sans base légale comptent parmi les usages typiquement interdits.
Quels sont les cinq éléments courants d'une politique d'utilisation acceptable ?
Les politiques les plus répandues couvrent le champ d'application, la classification des données, la liste des usages permis et interdits, les rôles de gouvernance, et le régime de sanctions en cas de non-respect.
Une organisation suisse peut-elle utiliser n'importe quel outil d'IA dans sa politique ?
Non : la nLPD impose de vérifier où les données sont hébergées avant d'autoriser un outil, ce qui pousse de nombreuses organisations à privilégier des solutions hébergées uniquement sur des serveurs suisses, comme Nectos.