IA en entreprise : 5 clauses indispensables pour votre chartre informatique

Les 5 piliers de votre gouvernance IA

1. Classification et Étanchéité des Données

Le principe : Définir une frontière hermétique entre l'espace public (IA externes) et le patrimoine informationnel de l'entreprise.

• Données Publiques (Niveau 1) : Autorisation de traitement pour synthèse ou reformulation (ex: articles de presse, documentation technique publique).
• Données Internes Non-Sensibles (Niveau 2) : Autorisation sous condition d'anonymisation stricte. Aucun nom de collaborateur, de projet interne ou de lieu ne doit apparaître.
• Données Critiques et Confidentielles (Niveau 3) : Interdiction absolue. Cela inclut les fichiers clients (RGPD), les données financières non publiées, les secrets industriels et les orientations stratégiques.

2. Sanctuarisation des Modèles (Non-Entraînement)

Le principe : Garantir que les données saisies ne deviennent pas la propriété de l'IA pour son futur apprentissage.

• Compte Professionnel Obligatoire : Interdiction d'utiliser des comptes personnels (type ChatGPT Free) dont les CGU prévoient l'utilisation des données pour l'entraînement du modèle.
• Configuration de la Confidentialité : L'utilisateur doit vérifier que les options de "Common Training" ou "Historisation" sont désactivées si l'outil le permet.
• Privilégier l'API : Rappeler que les données envoyées via une API sont généralement protégées contre l'entraînement, contrairement aux interfaces web gratuites.

3. Primauté de l'Arbitrage Humain (Human-in-the-loop)

Le principe : L'IA est un assistant, jamais un décisionnaire. L'utilisateur assume l'entière responsabilité du résultat final.

• Vérification de Véracité : Obligation de "fact-checking". L'IA peut générer des erreurs factuelles ou des sources imaginaires (hallucinations).
• Responsabilité Juridique : L'utilisateur est responsable des biais, des propos discriminatoires ou des violations de propriété intellectuelle contenus dans la réponse générée.
• Alerte de Qualité : Tout dysfonctionnement ou réponse aberrante doit être signalé en interne pour ajuster les consignes d'utilisation.

4. Transparence et Marque d'Origine

Le principe : Maintenir un lien de confiance avec les tiers en signalant l'usage de l'IA.

• Seuil de Déclaration : Toute production reposant majoritairement sur l'IA doit être identifiée par la mention : "Ce document a été élaboré avec l'assistance d'une intelligence artificielle et révisé par un expert humain."

5. Gouvernance et Lutte contre le "Shadow AI"

Le principe : Seuls les outils audités et validés par la DSI sont autorisés sur le réseau de l'entreprise.

• Processus d'Approbation : Toute nouvelle extension ou site d'IA doit faire l'objet d'une demande préalable à la DSI.
• Sanction du contournement : Comme précisé dans notre article sur le Shadow IT, l'usage d'outils "fantômes" est considéré comme une faille de sécurité majeure.

Rendre la charte IA encore plus efficace

Pour que cette charte d'autant plus efficace et plus utile, je vous suggère de l'accompagner d'un guide de "Prompt Engineering" sécurisé (des exemples de ce qu'il faut écrire et ce qu'il ne faut pas écrire) pour illustrer ces points de manière concrète.