Comment créer une politique d’utilisation de l’IA générative

Ce que vous allez apprendre

• L’IA générative expose les associations et les organisations à but non lucratif à des risques liés à la sécurité des données, à l’exactitude des informations, aux biais et à d’autres enjeux.
• Une politique d’utilisation de l’IA est essentielle pour définir clairement ce que les salariés et les bénévoles peuvent ou ne peuvent pas faire avec ces outils.
• Les meilleures politiques sont claires, concrètes et adaptées à la réalité du travail quotidien des équipes.

Les outils d’IA générative comme ChatGPT, Gemini ou Claude créent du contenu en réponse aux demandes des utilisateurs. Ils peuvent être très utiles pour rédiger des textes, résumer des informations, générer des idées ou soutenir des travaux de recherche et d’analyse. Un nombre croissant d’applications et de services d’IA peuvent également accomplir certaines tâches à votre place au moyen de ce que l’on appelle des « agents IA ».

Utilisée de manière responsable, l’IA peut apporter une réelle valeur ajoutée. Cependant, ces outils introduisent également des risques importants en matière de sécurité des données, de fiabilité des informations et de biais, tandis que leur présence dans la vie professionnelle continue de s’intensifier.

Les petites associations gèrent souvent des données sensibles avec des ressources et des mécanismes de contrôle limités. C’est pourquoi disposer d’une politique claire sur l’usage de l’IA est essentiel. Cette politique n’a pas besoin d’être complexe, mais elle doit être claire, pratique et fondée sur les méthodes de travail réelles de votre organisation.

1. Définissez les objectifs et le périmètre

Indiquez clairement l’objectif de la politique et les personnes auxquelles elle s’applique. Déterminez notamment si elle concerne les salariés, les prestataires, les bénévoles ou les bénéficiaires.

Une politique efficace doit permettre à tous les utilisateurs de comprendre :

• Les règles : ce qui est autorisé et ce qui est interdit.
• Les raisons : pourquoi ces garde-fous existent.
• La conformité : comment confirmer leur compréhension et leur respect de la politique.

Concentrez-vous davantage sur les données que sur les outils. L’IA est avant tout un enjeu de gestion des risques liés aux données, et non un simple enjeu technologique.

Votre politique devrait principalement porter sur les niveaux de risque associés aux données saisies dans les outils d’IA, plutôt que sur des applications spécifiques. Si vos règles de sécurité interdisent déjà de transmettre certaines informations à des services externes, ces mêmes restrictions doivent également s’appliquer aux outils d’IA générative.

2. Commencez par vos principes directeurs

Votre politique devrait s’appuyer sur des principes reflétant la mission, les valeurs et la tolérance au risque de votre organisation.

Pour les définir, identifiez clairement ce que vous souhaitez encourager et ce que vous souhaitez éviter.

• Favoriser : quelles pratiques souhaitez-vous développer ? (Par exemple : expérimentation responsable, efficacité, partage des connaissances.)
• Protéger : quels risques devez-vous éviter ? (Par exemple : divulgation de données, préjudices pour les communautés accompagnées, atteinte à la réputation.)

Exemples de principes

• Utiliser les outils d’IA d’une manière conforme à notre mission et respectueuse des personnes que nous accompagnons.
• Ne jamais partager de données confidentielles, personnelles ou sensibles avec des outils d’IA publics.
• Faire preuve de transparence sur les situations dans lesquelles l’IA a été utilisée et sur la manière dont elle a contribué à un livrable.

3. Établissez des règles d’utilisation claires et applicables

Les principes seuls ne suffisent pas. Les équipes ont besoin de règles concrètes pour transformer ces valeurs en décisions quotidiennes.

Votre politique devrait couvrir les aspects suivants :

Gestion des données

Définissez clairement quelles données ne doivent jamais être saisies dans des outils d’IA.

Fournissez des exemples simples de bonnes et mauvaises pratiques :

« Si vous ne l’enverriez pas par e-mail, ne le copiez-collez pas dans un outil d’IA. »

Classification des outils

Faites la distinction entre :

• Les outils d’IA d’entreprise approuvés par l’organisation
• Les outils publics ou grand public

Leurs niveaux de risque sont souvent très différents.

Exigences opérationnelles

Précisez les attentes concernant :

• La vérification de l’exactitude des informations produites.
• L’identification et la correction de biais potentiels.
• Le respect des règles relatives au plagiat, au droit d’auteur et à l’attribution des sources.
• La validation humaine obligatoire : tout contenu généré par l’IA doit être examiné par un membre de l’équipe avant sa diffusion externe ou avant toute prise de décision importante.

Assistance et accompagnement

Indiquez clairement qui contacter en cas de doute sur un usage envisagé.

Une procédure simple favorise la transparence et contribue à une meilleure gestion des risques.

4. Encouragez l’apprentissage

Une bonne politique ne se limite pas à définir des limites ; elle encourage également le partage de connaissances et l’apprentissage collectif.

Vous pouvez notamment :

• Mettre en place des moyens de partager des prompts efficaces entre collègues, par exemple via un canal de discussion dédié ou une bibliothèque de prompts.
• Diffuser les bonnes pratiques concernant l’utilisation de l’IA, comme la création de données de test ou l’anonymisation des données sensibles avant leur utilisation dans un outil d’IA.

Ces approches permettent d’améliorer progressivement les compétences de l’ensemble de l’organisation.

5. Alignez-la avec les autres politiques de l’organisation

Lorsque vous rédigez votre politique, assurez-vous qu’elle s’intègre à vos autres politiques numériques et informatiques existantes :

• Politique d’utilisation acceptable des équipements informatiques
• Politique de sécurité des données
• Politique de confidentialité
• Accords de confidentialité
• Politique de conservation des documents et des données

Dans la pratique, les outils d’IA générative introduisent souvent les mêmes risques que d’autres services externes, mais de manière plus accessible et plus informelle.

Présenter l’IA comme une extension de vos règles existantes facilite la compréhension et l’application de la politique.

6. Inclure une déclaration d’engagement

Pour vous assurer que votre équipe a lu et compris les règles établies, prévoyez un espace permettant aux collaborateurs de signer ou d’attester qu’ils ont pris connaissance de la politique. Cela renforce leur responsabilité individuelle dans l’utilisation quotidienne de l’IA et apporte davantage de clarté à l’organisation en cas de problème ultérieur.

N’oubliez pas : il est raisonnable de partir du principe que l’utilisation informelle d’outils d’IA existe déjà au sein de votre organisation ! C’est pourquoi vos efforts devraient se concentrer sur l’élaboration de politiques qui reconnaissent cette réalité. Misez sur la clarté, la sensibilisation, la formation et la réduction des risques, plutôt que de vous appuyer uniquement sur des interdictions ou des mesures de contrôle.

7. Réexaminez régulièrement vos politiques

L’IA évolue rapidement : le paysage technologique est aujourd’hui très différent de ce qu’il était il y a un an, et il sera probablement tout aussi différent dans un an. Il est donc recommandé de revoir régulièrement vos politiques afin de vous assurer qu’elles couvrent les nouveaux risques et les sujets émergents liés à l’utilisation de l’IA.

Cela dit, une politique bien conçue constitue une base solide et durable. Vous n’aurez pas besoin de la remanier entièrement chaque fois qu’un nouveau risque apparaît. Il vous suffira généralement de l’actualiser et de l’adapter pour tenir compte de l’évolution des technologies et des enjeux associés.