Politique d’usage de l’IA en entreprise : ce qu’elle doit contenir

La plupart des entreprises françaises n’ont pas décidé de laisser leurs salariés utiliser des assistants génératifs : elles ont simplement omis de trancher. Entre les deux, il y a une différence de nature. Sans règle écrite, chaque personne répond seule à la question « puis-je coller ceci ? », et elle y répond selon son tempérament : les plus prudents renoncent à l’outil, les plus confiants y versent tout. Les deux résultats sont mauvais, et le second est celui qui finit devant un délégué à la protection des données.

Une politique d’usage ne sert donc pas à interdire. Elle sert à retirer la décision de l’épaule de chacun et à la poser une fois, par écrit, pour tout le monde. C’est aussi ce qui fait remonter l’usage : quand la limite est claire, les gens utilisent l’outil davantage, pas moins, parce que le risque personnel disparaît de l’équation.

Qu’est-ce qu’une politique d’usage de l’IA ?

C’est un document interne, contraignant pour les salariés au même titre qu’une charte informatique, qui délimite l’usage des systèmes d’IA dans le travail. Il ne décrit pas la technologie et n’explique pas ce qu’est un modèle de langage : il répond à des questions opérationnelles, dans l’ordre où elles se posent devant un écran. Quel outil ai-je le droit d’ouvrir ? Que puis-je y mettre ? Que dois-je vérifier avant d’envoyer le résultat ? À qui je demande si mon cas n’est pas prévu ?

Il faut le distinguer de trois documents voisins avec lesquels il est souvent confondu. La charte informatique couvre le matériel et les accès, pas le contenu saisi dans un service tiers. Le registre des traitements du RGPD documente des traitements de données personnelles, ce qui est une autre question et une autre obligation. Une analyse d’impact porte sur un traitement précis. La politique d’usage de l’IA est le document du quotidien, celui qu’un nouvel arrivant lit en dix minutes.

Que doit contenir la politique ?

Cinq blocs, dans cet ordre. Tout ce qui déborde de ces cinq blocs appartient à un autre document.

• Les outils approuvés, nommés, avec le type de compte. Pas « les outils d’IA générative » mais la liste réelle, et pour chacun la version qui est autorisée : compte professionnel de l’entreprise ou compte personnel. C’est la distinction la plus importante du document, parce que les paliers d’un même produit diffèrent sur la réutilisation des saisies, la durée de conservation et le lieu d’hébergement. Un salarié qui ignore sur quel palier il travaille ne peut pas décider correctement du sort d’un document.
• Les classes de données et ce que chacune autorise. Voir le tableau ci-dessous. C’est le cœur opérationnel.
• L’obligation de vérification avant usage. Qui vérifie quoi, et à quel moment, selon que la sortie part vers un client, vers un document contractuel ou vers une note interne.
• La procédure d’exception. Une personne nommée, un délai de réponse, et la trace écrite de la décision. Sans cela, la règle est contournée en silence dès la première urgence.
• La revue et le responsable. Une date de revue, un nom. Un document sans propriétaire devient faux en un trimestre et personne ne le remarque.

Quelles données avec quel outil

C’est la section que les équipes consultent réellement, et c’est donc la seule qui doit tenir sur un écran. Le principe est de classer les données, pas les outils : un salarié se demande d’abord « qu’est-ce que j’ai entre les mains », et ensuite seulement « où puis-je le mettre ».

Deux remarques sur ce tableau. D’abord, la colonne « outil public grand public » n’est pas une colonne de honte : elle existe parce que ces outils sont réellement utiles pour la classe publique et qu’une politique qui l’ignore sera contournée. Ensuite, la dernière ligne n’a pas de nuance : un identifiant collé dans une fenêtre de discussion est un identifiant à changer, quel que soit le palier du service.

Ce qui ne doit jamais être saisi

Une politique gagne en autorité quand elle comporte une liste courte de choses absolues, sans exception ni procédure de dérogation. Trois ou quatre lignes suffisent, et elles doivent tenir dans la mémoire d’une personne qui ne relira pas le document.

• Les identifiants, mots de passe, clés d’interface et jetons d’accès, sous quelque forme que ce soit, y compris à l’intérieur d’un extrait de code collé pour être corrigé.
• Les données de paiement complètes.
• Les documents couverts par un accord de confidentialité, tant que la clause n’a pas été relue par la personne désignée dans la politique.
• Les catégories particulières de données au sens de l’article 9 du RGPD, en dehors d’un système explicitement prévu et documenté pour les traiter.

L’obligation de vérifier avant d’agir

Un système d’IA générative produit une réponse fausse avec exactement la même assurance qu’une réponse juste. Le lecteur ne dispose d’aucun signal interne pour les distinguer, ce qui rend la vérification structurellement nécessaire plutôt que recommandée. La politique doit donc dire qui vérifie, et à quel moment, en graduant selon la destination de la sortie.

• Sortie interne informelle (résumé de réunion, brouillon personnel) : la personne qui l’a produite relit, sans formalisme.
• Sortie vers un client ou un partenaire : relecture par une personne qui connaît le dossier, avant envoi. Les chiffres, les noms, les dates et les engagements sont revérifiés à la source.
• Sortie à effet juridique ou financier (clause, devis, réponse à un appel d’offres, courrier de mise en demeure) : validation par la fonction compétente, et mention dans le dossier que l’IA a été utilisée dans la production du document.
• Toute citation d’une source : la source est ouverte et lue. Une référence produite par un assistant et non ouverte est une référence non vérifiée, indépendamment de sa vraisemblance.

Cette gradation fait deux choses en même temps. Elle protège l’entreprise sur les sorties à risque, et elle évite d’imposer une procédure lourde là où elle ne sert à rien, ce qui est la cause habituelle de l’abandon des politiques internes.

Qui approuve une exception

Toute politique rencontre un cas non prévu dans le mois qui suit sa publication. Ce qui décide de sa survie n’est pas sa rigueur, c’est l’existence d’une porte de sortie rapide. Trois éléments suffisent : un nom, un délai, une trace.

Le nom est une personne, pas une fonction abstraite, et de préférence quelqu’un qui connaît à la fois le métier et les contraintes de données. Le délai doit être court, deux jours ouvrés typiquement, sans quoi la personne contournera la règle plutôt que d’attendre. La trace est une ligne écrite quelque part : quel cas, quelle décision, quelle date. Cette trace est également ce qui alimente la revue périodique, parce qu’une exception demandée trois fois indique que la politique est mal écrite, pas que les salariés sont indisciplinés.

En quoi la politique répond à l’article 4

L’article 4 du règlement sur l’intelligence artificielle demande aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui s’occupent du fonctionnement et de l’utilisation de ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte d’utilisation prévu. Depuis la rédaction issue du règlement (UE) 2026/1744, entrée en vigueur le 27 juillet 2026, le texte ajoute expressément que cette obligation ne contraint pas à garantir un niveau spécifique de maîtrise de l’IA par un individu (EUR-Lex, règlement (UE) 2026/1744).

Une politique écrite est précisément une mesure de ce type, et c’est la plus économique. Elle est proportionnée par construction, puisqu’elle est écrite à partir des usages réels de l’entreprise. Elle est traçable, puisqu’elle est datée et versionnée. Et elle est utile indépendamment de toute considération réglementaire, ce qui est le meilleur test qu’une mesure de conformité puisse passer.

Un point de précision, parce qu’il est régulièrement présenté à l’envers dans les argumentaires commerciaux. L’article 4 ne figure pas dans la liste de l’article 99, paragraphe 4, du règlement, celle qui ouvre droit aux amendes pouvant atteindre 15 000 000 EUR ou 3 % du chiffre d’affaires. Il n’y figurait pas dans la rédaction d’origine et n’y figure pas davantage après l’insertion du point d bis) par l’omnibus. Cela ne veut pas dire qu’aucune conséquence n’est possible : l’article 99, paragraphe 1, oblige les États membres à prévoir des sanctions et d’autres mesures d’exécution, et l’omnibus a renforcé ce paragraphe. La formulation exacte est donc : aucun plafond d’amende européen ne se rattache à l’article 4, et toute conséquence relèverait du droit national.

Comment rédiger la politique en une demi-journée

Une politique écrite en chambre par une direction juridique décrit un usage imaginaire. Une politique écrite pendant que les gens travaillent décrit l’usage réel, et c’est la seule qui survit. Voici la séquence que nous utilisons lorsque la rédaction se fait à l’intérieur d’un déploiement.

Nous procédons ainsi parce que nous ne sommes pas un organisme de formation : nous construisons et exploitons les systèmes, et la politique se rédige au moment où l’équipe apprend à s’en servir. Le détail de cette approche est sur la page formation IA pour entreprises. Lorsque l’entreprise déploie en parallèle un assistant IA interne connecté à ses propres documents, la politique gagne une sixième section : ce que l’assistant a le droit de consulter, selon quelles habilitations, et comment on signale une réponse devenue obsolète.

Questions fréquentes