eleanor Pour encadrer l’IA générative au travail, l’entreprise doit définir les usages autorisés, protéger ses données et former les salariés. Une charte claire, élaborée avec les représentants du personnel et adaptée aux risques réels, permet de concilier innovation, sécurité et conformité réglementaire.
Définir les usages autorisés de l’IA générative par les salariés
Les salariés utilisent parfois des outils comme ChatGPT ou Gemini pour reformuler un courriel, résumer un document ou préparer une présentation. Lorsque ces pratiques échappent aux règles de l’entreprise, elles relèvent du « Shadow AI » : une utilisation non approuvée qui expose potentiellement des informations confidentielles à des services externes.
Une société fictive, Novalys, découvre que plusieurs équipes copient des échanges clients dans un assistant en ligne afin de gagner du temps. L’intention est productive, mais les données transmises peuvent inclure des coordonnées, des informations commerciales ou des éléments couverts par le secret des affaires. Le premier réflexe consiste donc à inventorier les tâches concernées, les outils employés et les catégories de données manipulées.
L’entreprise peut autoriser certains usages, en restreindre d’autres ou interdire un outil précis si cette mesure répond à un objectif légitime et reste proportionnée. Une règle efficace distingue, par exemple, la génération d’idées à partir d’informations publiques du traitement d’un dossier client ou d’un document stratégique.
Créer une charte d’utilisation claire et applicable
La charte d’utilisation traduit les principes de l’entreprise en consignes concrètes. Elle précise les outils autorisés, les usages acceptables, les données interdites dans les requêtes et les vérifications attendues avant toute diffusion d’un résultat. Une formulation comme « ne pas partager de données sensibles » gagne à être accompagnée d’exemples : fiches de paie, contrats non publiés, données de santé ou documents confidentiels du CSE.
Une charte ne remplace ni le droit du travail ni les obligations liées au RGPD. Si elle comprend des règles disciplinaires et s’inscrit dans le règlement intérieur, l’employeur doit suivre le formalisme applicable, notamment consulter le CSE, transmettre le document à l’inspection du travail et informer les salariés. Les clauses du contrat de travail peuvent également être examinées, par exemple celles portant sur la discrétion, sans faire reposer tout l’encadrement sur un contrat difficile à modifier.
| Usage envisagé | Règle pratique |
|---|---|
| Reformuler un texte public | Autoriser, puis relire et corriger le résultat. |
| Résumer un dossier client | Utiliser uniquement un outil approuvé et sécurisé. |
| Copier un document confidentiel | Interdire le transfert vers un service non validé. |
| Produire une décision RH | Prévoir une vérification humaine et prévenir les biais. |
La règle doit rester compréhensible pour les équipes et évoluer avec les outils. Cette souplesse évite qu’une politique rapidement dépassée pousse les salariés à contourner les consignes.
Protéger les données et renforcer la cybersécurité
La protection des données ne dépend pas uniquement du caractère payant d’un service. Les conditions de conservation, de réutilisation des requêtes et d’accès aux données varient selon les fournisseurs et les configurations. Avant tout déploiement, les équipes informatiques et juridiques doivent examiner les garanties contractuelles, les paramètres de confidentialité et les accès accordés aux utilisateurs.
Dans le cas de Novalys, le service informatique met à disposition un assistant approuvé, avec des droits d’accès contrôlés et des consignes sur les informations à exclure des prompts. Un salarié qui souhaite résumer un rapport peut remplacer les noms des clients par des références anonymisées. Il doit aussi vérifier que l’outil convient à la sensibilité du document.
La cybersécurité suppose également de limiter les extensions non autorisées, de contrôler les connexions et de prévoir une procédure de signalement en cas d’envoi accidentel. Les contenus générés ne sont pas automatiquement exacts : une réponse plausible peut contenir une erreur, une référence inventée ou une formulation reproduisant des éléments existants. La relecture humaine reste donc indispensable, notamment avant une communication externe.
- Ne pas saisir de données personnelles ou stratégiques dans un outil non validé.
- Vérifier les sources, les chiffres et les références produits.
- Signaler rapidement toute divulgation ou anomalie au service compétent.
Former les salariés aux limites et aux bons réflexes
Une charte n’a d’effet que si les équipes comprennent comment l’appliquer. La formation doit présenter les règles internes, les risques de divulgation et les limites des modèles génératifs. Elle peut s’appuyer sur des situations proches du quotidien : rédiger une réponse client, analyser une offre ou préparer un compte rendu de réunion.
Chez Novalys, un atelier montre comment une requête trop détaillée peut révéler des informations sur un projet en cours. Les participants apprennent à généraliser la demande, à supprimer les éléments identifiants et à contrôler les résultats. Les managers reçoivent aussi des repères pour distinguer l’assistance rédactionnelle d’une délégation excessive de jugement.
La sensibilisation doit couvrir les biais et les erreurs. Dans le recrutement, par exemple, une recommandation automatisée ne doit pas remplacer l’examen humain ni conduire à une discrimination. Le règlement européen sur l’intelligence artificielle, adopté en 2024, déploie progressivement ses obligations selon les catégories de systèmes et les usages ; les entreprises doivent donc vérifier les règles applicables à leurs cas concrets.
Pour approfondir les bonnes pratiques, une ressource vidéo peut compléter les ateliers internes, sans se substituer aux consignes propres à l’organisation.
Associer le CSE et organiser la responsabilité humaine
Les représentants du personnel doivent être associés à la réflexion, en particulier lorsque l’IA transforme l’organisation du travail, les outils ou les décisions concernant les salariés. L’information-consultation du CSE contribue à clarifier les objectifs, les effets attendus et les garanties prévues. Elle permet aussi de repérer les difficultés pratiques avant le déploiement général.
Cette démarche concerne également les représentants du personnel eux-mêmes. Une IA peut aider à préparer une synthèse ou un projet de communication, mais les documents transmis lors d’une consultation ou d’une négociation peuvent être confidentiels. Les règles de prudence s’appliquent donc à tous les utilisateurs, y compris lorsqu’ils se servent d’un compte personnel ou d’un abonnement payant.
La responsabilité reste portée par les personnes et l’organisation qui utilisent le résultat. Pour chaque application, l’entreprise doit identifier un responsable métier, définir qui valide les productions et prévoir un recours humain lorsqu’une décision affecte un salarié. Un suivi régulier des incidents, des usages et des retours de terrain permet ensuite d’ajuster la politique sans attendre qu’un problème majeur survienne.
Une gouvernance utile relie ainsi dialogue social, contrôle technique et règles opérationnelles ; une seconde ressource vidéo peut aider les équipes à comprendre les enjeux de l’IA au travail.
