Une politique d'usage de l'IA
qui tient sur une page.

La plupart des politiques d'usage de l'intelligence artificielle partagent un même défaut : elles sont écrites pour résister à un audit, pas pour être suivies. Elles font dix ou douze pages, énumèrent des principes, et personne dans l'organisation ne saurait en citer une règle.

Une politique que personne ne retient ne change aucun comportement. Et une politique qui ne change aucun comportement n'a pas réduit le risque : elle l'a documenté.

Pourquoi trois listes, et pas des principes

Un employé devant un outil d'IA se pose une seule question : est-ce que j'ai le droit de faire ça, maintenant ? Un principe ne répond pas à cette question. Une liste, oui.

Les trois listes correspondent aux trois zones du modèle, et leur ordre compte. Commencer par ce qui est permis n'est pas une concession : c'est ce qui rend les deux autres listes crédibles.

Le gabarit

Ce qui suit se recopie, s'adapte en une heure, et tient sur une page imprimée. Les exemples entre parenthèses sont à remplacer par les vôtres.

1. Ce que vous pouvez faire sans rien demander

Ces usages sont approuvés. Vous n'avez ni autorisation à demander, ni justification à fournir.

• Reformuler, résumer ou traduire un texte qui ne contient aucune information confidentielle.
• Produire une première version d'un document interne, que vous relirez et dont vous restez l'auteur.
• Expliquer un concept, un document technique, une erreur de logiciel.
• Écrire du code jetable : script d'analyse, transformation de fichier, prototype.
• Préparer des questions, un plan, une trame d'entretien.

Règle unique qui s'applique à cette liste : vous restez l'auteur de ce que vous remettez. L'outil n'a pas d'opinion, il n'a pas vérifié, et il ne signera pas à votre place.

2. Ce qui passe par une validation

Ces usages ne sont pas interdits. Ils demandent un accord préalable, et vous l'obtenez en écrivant à (adresse) — réponse sous (deux jours ouvrables).

• Tout usage portant sur des renseignements personnels : dossiers clients, candidatures, données d'employés, information de santé.
• Tout usage portant sur un document contractuel ou sur de l'information stratégique non publiée.
• Tout outil nouveau que vous souhaitez utiliser pour votre travail et qui ne figure pas dans la liste des outils approuvés.
• Toute intégration qui donne à un outil d'IA l'accès à un de nos systèmes, ou le droit d'y écrire.

Ce que vous obtenez en retour : une réponse, dans le délai annoncé. Un chemin qui ne répond pas est un chemin qu'on cesse d'emprunter — et c'est à ce moment que la politique devient inutile.

3. Ce qui ne se délègue pas

Ces décisions restent humaines. Un outil peut préparer de l'information ; il ne rédige pas la décision et il ne la formule pas.

• Évaluer une personne : embauche, promotion, appréciation de performance, fin d'emploi.
• Arbitrer un différend entre des personnes, ou statuer sur une plainte.
• Annoncer une mauvaise nouvelle à quelqu'un que la décision concerne.
• Décider d'un refus qui touche durablement une personne, sans qu'elle puisse en parler à quelqu'un.
• Engager l'organisation : signature, position publique, promesse contractuelle.

La raison n'est pas technique. Elle tient à ce que ces décisions engagent la relation entre l'organisation et une personne, et que leur légitimité vient de qui les prend. Une décision juste annoncée par une machine reste une décision qui n'a été portée par personne.

Les trois lignes qui manquent toujours

Trois précisions font la différence entre un gabarit et une politique applicable. Elles s'ajoutent en bas de page.

Ce que cette page remplace

Une organisation qui adopte ce format abandonne trois documents, et c'est un gain net. Le premier est la charte de principes, qui énonce des valeurs sans jamais dire ce qu'on peut faire lundi. Le deuxième est la note d'interdiction, qui a produit l'usage clandestin qu'elle prétendait supprimer. Le troisième est la matrice de classification à cinq niveaux, que seul son auteur sait appliquer.

Les trois avaient le même défaut : ils décrivaient une intention de l'organisation plutôt qu'une règle utilisable par la personne qui se pose la question. Une page qui répond à « ai-je le droit de faire ça, maintenant » vaut mieux que trente qui expliquent pourquoi la question est complexe.

Comment la faire vivre

Une politique n'est pas un fichier, c'est une habitude. Quatre gestes suffisent à la maintenir vivante, et aucun ne demande de budget.

1. La lire à voix haute une fois, en réunion d'équipe, à la publication. Une page se lit en trois minutes ; c'est le seul moment où tout le monde l'aura entendue.
2. Répondre vite aux demandes de la liste 2. Le délai annoncé est la promesse la plus importante du document. Deux retards suffisent à le vider de son autorité.
3. Ajouter les outils au fil de l'eau. Chaque ajout prouve que le chemin fonctionne, et chaque preuve réduit d'autant le contournement.
4. Relire la page tous les six mois. Datez-la. Une politique sans date est une politique dont personne ne sait si elle vaut encore.

Les quatre erreurs les plus fréquentes

Ces quatre erreurs ont un point commun : elles optimisent le document plutôt que le comportement. C'est le piège central, et il se reconnaît à un signe — quand la politique est plus longue que ce que quiconque peut retenir.

Ce que ce gabarit ne résout pas

• Il ne vaut pas contrôle technique. Une politique indique ce que le contrôle doit appliquer ; elle n'empêche aucune sortie de données par elle-même.
• Il ne dispense pas d'évaluer les fournisseurs. Autoriser un outil, c'est accepter le traitement qu'il fait de ce qu'on lui confie, y compris ce qu'il en conserve et pour combien de temps.
• Il ne survit pas à une direction qui s'en exempte. Une règle que l'équipe dirigeante contourne cesse d'être une règle, et tout le monde le voit avant les auditeurs.