Rédiger une charte IA : ce qu’elle doit contenir et comment la faire appliquer

Pourquoi une charte IA est nécessaire maintenant

Les collaborateurs utilisent l’IA, que l’organisation l’encadre ou non. Les autorités de protection des données reçoivent de plus en plus de notifications de violations liées à des données personnelles saisies dans des chatbots. Voir Shadow AI. Le règlement européen sur l’IA vous demande en outre de favoriser la maîtrise de l’IA de votre personnel, ce qui commence par des règles claires. Un modèle complet d’une page se trouve dans Charte IA : modèle et exemple.

Une charte IA n’est pas une liste d’interdits. C’est l’accord sur la façon dont votre organisation utilise l’IA de manière responsable : ce qui est permis, ce qui ne l’est pas, et pourquoi. Elle protège l’organisation, mais aussi le collaborateur qui veut savoir où est la limite.

Que doit contenir une charte IA ? Dix points

1. Objet et périmètre. À qui s’applique-t-elle (prestataires et stagiaires compris ?) et à quelle IA (chatbots, IA intégrée aux logiciels, automatisations internes) ?
2. Outils autorisés. Une liste des environnements d’IA validés et de leur usage. Ce qui n’y figure pas n’est pas autorisé pour le travail.
3. Classes de données. Quelles données dans quel outil ? Par exemple : informations publiques partout ; informations internes uniquement dans l’environnement validé ; données personnelles, dossiers clients et secrets d’affaires uniquement dans un environnement qui ne quitte pas l’organisation.
4. Usages interdits. Par exemple : aucune décision sur une personne fondée sur la seule sortie d’une IA, aucune reconnaissance des émotions, aucun envoi vers des comptes personnels.
5. Contrôle humain. Qui vérifie une production de l’IA avant qu’elle parte vers un client, un juge ou un patient ? L’IA propose ; un humain répond.
6. Transparence. Quand signalez-vous qu’un contenu a été produit avec l’IA, et quand un client échange-t-il avec un chatbot ?
7. Maîtrise de l’IA. Quelle formation les collaborateurs reçoivent-ils, et comment la maintenez-vous à jour ?
8. Incidents. Que fait quelqu’un qui a saisi par erreur des données sensibles ? Il le signale, sans recherche de coupable : vous pouvez alors évaluer sous 72 heures s’il s’agit d’une violation à notifier.
9. Rôles. Qui tient la liste des outils, qui évalue les nouveaux, qui est l’interlocuteur ?
10. Révision. L’IA évolue vite. Prévoyez une révision régulière, par exemple tous les six mois.

Comment rédiger la charte

• Partir des usages, pas des règles. Demandez aux équipes à quoi elles utilisent ou voudraient utiliser l’IA. La charte doit rendre ces tâches possibles, sinon elle sera contournée.
• Associer tôt le DPO et le CSE. Le DPO évalue le traitement ; le CSE doit être informé et consulté sur les moyens permettant de contrôler l’activité des salariés, et sur toute modification du règlement intérieur si la charte y est annexée. Voir Peut-on consulter les prompts des salariés ?
• Rester court. Deux pages lues valent mieux que vingt oubliées dans un classeur. Renvoyez les détails à des annexes par service.
• Être concret. « Pas de données confidentielles » est vague. « Pas de noms de clients, de numéros de sécurité sociale, de numéros de dossier ni de clauses de contrat dans ChatGPT » est clair. Pourquoi cette règle est nécessaire : ChatGPT et le RGPD en entreprise.

Une charte seule ne suffit pas : rendez-la applicable

Le problème le plus fréquent : la charte interdit sans proposer d’alternative. Si un collaborateur ne peut pas saisir de données clients dans ChatGPT mais n’a aucun autre moyen de résumer un dossier client, la charge de travail l’emporte sur la règle.

Une charte fonctionne quand la technique la soutient :

• un environnement d’IA validé qui permet les tâches les plus demandées, y compris sur des données sensibles ;
• des garde-fous qui bloquent des motifs comme le numéro de sécurité sociale ou l’IBAN, pour qu’une erreur ne devienne pas aussitôt une violation ;
• le blocage des services d’IA publics, une fois l’alternative en place ;
• une journalisation, pour démontrer que la charte est appliquée.

Avec werqly, cet environnement validé tourne sur votre propre nœud, dans votre salle serveur. Dans werqly AI Control, votre DSI définit par rôle quels modèles et sources sont disponibles et quelles données sont bloquées. La charte sur papier et les réglages de l’environnement disent alors la même chose. Pour choisir un tel environnement : Qu’est-ce que l’IA privée ?