Que doit contenir une politique d’utilisation de l’IA?

Une politique d’utilisation de l’IA doit préciser quels outils d’IA sont approuvés, ce que les employés peuvent faire et ne doivent jamais faire avec eux, comment les renseignements personnels et confidentiels sont protégés, comment les résultats de l’IA doivent être vérifiés et qui joindre en cas de question ou de problème. Elle doit aussi traiter de la divulgation, de la propriété intellectuelle, du signalement des incidents et de la fréquence de révision, et se terminer par une attestation que chaque employé signe.

Voici un guide section par section pour rédiger ou vérifier votre propre politique. Il s’agit d’information générale, et non d’un avis juridique. Faites réviser votre version finale par votre responsable juridique ou de la protection des renseignements personnels.

Pourquoi une entreprise a-t-elle besoin d’une politique d’utilisation de l’IA?

Vos employés utilisent probablement déjà des outils d’IA comme ChatGPT, Microsoft Copilot, Claude ou Gemini, avec ou sans permission. Sans règles claires, trois choses ont tendance à se produire :

• Des gens collent des données de clients ou d’employés dans des comptes personnels.
• D’autres évitent complètement l’IA, de peur de faire une erreur.
• Personne ne vérifie les résultats, et des erreurs se rendent jusqu’aux clients.

Une politique règle ces trois problèmes. Elle protège l’entreprise et donne aux gens la confiance nécessaire pour bien utiliser l’IA.

Quelles sont les sections essentielles d’une politique d’utilisation de l’IA?

Voici les sections que comprennent la plupart des bonnes politiques, avec ce qu’il faut mettre dans chacune.

1. Objectif

Deux ou trois phrases sur la raison d’être de la politique : aider les gens à utiliser l’IA de façon sûre et utile. Gardez un ton positif. Vous voulez que les gens utilisent l’IA, simplement avec prudence.

2. Portée

À qui elle s’applique (employés, consultants, stagiaires) et ce qu’elle couvre. Incluez les outils autonomes et les fonctions d’IA intégrées aux logiciels que vous utilisez déjà, comme le courriel, les documents et les outils de réunion. On oublie facilement ces fonctions intégrées.

3. Outils approuvés

Énumérez les outils que les gens peuvent utiliser et, au besoin, l’usage pour lequel chacun est approuvé. Expliquez comment demander un nouvel outil. Indiquez clairement qu’il faut utiliser les comptes d’entreprise plutôt que les comptes personnels.

4. Ce que vous pouvez faire

Donnez des exemples concrets de bons usages : rédiger des courriels, résumer des documents publics, trouver des idées, reformuler un texte, expliquer une formule. Les exemples aident beaucoup plus que les énoncés généraux.

5. Ce que vous ne devez jamais faire

C’est la liste la plus importante. Règles typiques :

• Ne jamais entrer de renseignements personnels dans un outil qui n’est pas approuvé pour cela.
• Ne jamais entrer de renseignements d’affaires confidentiels, de mots de passe ou de code source dans des outils non approuvés.
• Ne jamais laisser l’IA prendre des décisions finales au sujet de personnes, comme l’embauche ou les mesures disciplinaires, sans révision humaine.
• Ne jamais présenter un résultat de l’IA comme un fait vérifié sans l’avoir vérifié.
• Ne jamais enregistrer ni transcrire une réunion avec l’IA sans en informer les participants.

6. Données et protection des renseignements personnels

Expliquez comment les lois sur la protection des renseignements personnels s’appliquent. Pour les entreprises canadiennes, il s’agit habituellement de la LPRPDE (PIPEDA) et, au Québec, de la Loi 25. Une politique qui tient compte de la Loi 25 devrait mentionner :

• La personne responsable de la protection des renseignements personnels, et comment la joindre.
• Qu’une évaluation des facteurs relatifs à la vie privée est réalisée avant d’introduire une nouvelle technologie qui traite des renseignements personnels.
• L’utilisation du minimum de données nécessaire, en retirant les noms et les identifiants lorsque c’est possible.
• L’utilisation des renseignements personnels uniquement aux fins pour lesquelles ils ont été recueillis, ou avec un consentement valable.
• L’obligation d’informer les personnes lorsqu’une décision à leur sujet est prise uniquement par un système automatisé.

7. Exactitude et révision

Les outils d’IA peuvent sembler sûrs d’eux et se tromper quand même. Indiquez que l’employé est responsable de tout ce qu’il produit avec l’IA, que les faits et les chiffres doivent être vérifiés et que tout ce qui est destiné aux clients ou au public doit être révisé par une personne.

8. Transparence et divulgation

Quand faut-il dire qu’on a utilisé l’IA? Règles courantes : informer son gestionnaire quand l’IA a fait une grande partie du travail, respecter les règles des clients sur l’utilisation de l’IA et s’assurer que les clients savent qu’ils parlent à un agent conversationnel.

9. Propriété intellectuelle

Couvrez deux aspects : ne pas fournir à des outils d’IA du contenu protégé appartenant à d’autres sans en avoir le droit, et faire attention aux résultats de l’IA qui pourraient copier des œuvres existantes. Précisez que le droit entourant la propriété du contenu généré par l’IA est encore en évolution au Canada.

10. Obtenir de l’aide

Nommez une vraie personne-ressource, avec son rôle et son courriel. Le message doit être : « Demandez avant d’agir. »

11. Atteintes et incidents

Dites aux gens exactement quoi faire s’ils collent quelque chose qu’ils n’auraient pas dû : le signaler immédiatement à une personne-ressource nommée. En vertu de la Loi 25, les entreprises doivent consigner les incidents de confidentialité et aviser la Commission d’accès à l’information ainsi que les personnes concernées lorsqu’il existe un risque de préjudice sérieux. Un signalement rapide rend cela possible.

12. Révision de la politique

Engagez-vous à la réviser au moins une fois par année, et lorsque les outils ou les lois changent.

13. Attestation

Terminez par une courte déclaration que chaque employé signe ou confirme, indiquant qu’il a lu la politique et qu’il la respectera. Conservez un registre des personnes qui ont signé.

La politique devrait-elle être différente pour les secteurs réglementés ou les agences?

Oui. La même structure fonctionne, mais les règles changent.

• Les secteurs de la santé, de la finance et de l’assurance ont besoin de règles plus strictes : des outils approuvés uniquement pour certains types de données, un professionnel qualifié qui révise tout conseil ou toute décision appuyés par l’IA, et des dossiers conservés pour les audits. Si votre organisme de réglementation ou votre ordre professionnel a des règles plus strictes, ce sont elles qui l’emportent.
• Les agences de marketing et les firmes de services-conseils ont besoin de règles supplémentaires sur les données et la propriété intellectuelle des clients : vérifier chaque contrat client, ne jamais mélanger le matériel d’un client avec celui d’un autre et vérifier les conditions d’utilisation commerciale avant de livrer des images ou des vidéos générées par l’IA.

Quelles erreurs éviter en rédigeant une politique d’IA?

• Interdire complètement l’IA. Les gens l’utiliseront quand même, avec des comptes personnels que vous ne pouvez pas contrôler.
• La rédiger comme un contrat. Si les employés ne la comprennent pas, ils ne la suivront pas. Utilisez des mots simples.
• Énumérer des règles sans exemples. « Ne partagez pas de données sensibles » est vague. « Ne collez pas une liste de clients dans ChatGPT » est clair.
• Oublier le français. Au Québec, une politique que les employés doivent respecter devrait être offerte en français.
• La publier puis l’oublier. Associez la politique à une formation et faites le suivi des signatures.

Comment déployer la politique?

Présentez-la lors d’une courte réunion d’équipe, expliquez pourquoi elle existe et reliez-la à la formation pour que les gens voient à quoi ressemble une bonne utilisation. Recueillez les attestations de tout le monde et faites un suivi auprès de ceux qui n’ont pas signé.

Pour partir du bon pied, Team Tutor AI offre un modèle gratuit de politique d’utilisation de l’IA pour les entreprises canadiennes, qui intègre les bases de la Loi 25. Dans la plateforme Team Tutor AI, vous pouvez aussi choisir une version générale, pour secteurs réglementés ou pour agences, en français et en anglais, l’envoyer au personnel et suivre qui l’a signée, juste à côté de sa formation en IA.