eleanor L’employeur encadre l’intelligence artificielle générative au moyen d’une politique d’utilisation claire, de règles de sécurité et d’une formation adaptée des salariés. Il doit aussi vérifier que chaque outil respecte le RGPD, le droit du travail et, selon son usage, le règlement européen sur l’intelligence artificielle.
Définir une politique d’utilisation de l’IA générative au travail
Dans une entreprise, les outils d’IA peuvent aider à rédiger, traduire, analyser des documents ou automatiser des tâches répétitives. Leur accès facile ne signifie toutefois pas que les salariés peuvent les employer sans règles : un prompt contenant un contrat ou des données clients peut entraîner une divulgation hors de l’organisation.
Une politique efficace distingue les usages autorisés, ceux qui nécessitent une validation et ceux qui sont interdits. Elle précise également quels outils sont approuvés, comment vérifier les réponses générées et à qui signaler un incident. Une PME fictive, Atelier Nord, peut ainsi autoriser la rédaction de brouillons avec un outil sécurisé, tout en interdisant l’envoi de dossiers de paie vers une plateforme publique.
Cette démarche d’encadrement des usages de l’IA par les salariés gagne à être élaborée avec les équipes et les représentants du personnel lorsque les règles modifient l’organisation ou les conditions de travail. Une règle comprise et discutée est plus facilement appliquée qu’une interdiction générale, souvent contournée par des outils non déclarés, parfois désignés comme « shadow AI ».
- Autoriser les tâches à faible risque, comme reformuler un texte sans données confidentielles.
- Soumettre à validation les contenus destinés aux clients ou les analyses qui influencent une décision professionnelle.
- Interdire le dépôt de données personnelles, stratégiques ou protégées dans des services non approuvés.
Protéger les données et la confidentialité des informations
Avant de déployer un service, l’employeur doit déterminer les finalités du traitement, sa base légale et les données réellement nécessaires. Il reste en principe responsable du traitement, même si le système est fourni par un prestataire. La protection des données exige donc une vérification des conditions contractuelles, des mesures de sécurité et des éventuels transferts hors de l’Union européenne.
Atelier Nord pourrait, par exemple, demander à un assistant de synthétiser des retours clients. Pour limiter les risques, les salariés remplacent les noms et coordonnées par des identifiants, utilisent un compte professionnel approuvé et contrôlent les paramètres de conservation des prompts. Ils ne considèrent jamais la sortie comme fiable sans vérification, car un modèle peut inventer une référence ou mélanger des informations.
| Usage envisagé | Risque principal | Mesure de contrôle |
|---|---|---|
| Réécriture d’un texte public | Erreur ou contenu inexact | Relecture humaine avant diffusion |
| Analyse de dossiers RH | Données personnelles et biais | Évaluation juridique et contrôle humain |
| Envoi d’un contrat à un outil public | Atteinte à la confidentialité | Interdiction ou recours à une solution approuvée |
Ces vérifications s’inscrivent aussi dans une démarche de cybersécurité : gestion des accès, authentification renforcée, journalisation et procédure de signalement. La confidentialité ne repose pas uniquement sur la bonne volonté des équipes ; elle dépend de choix techniques et contractuels documentés.
Appliquer le RGPD, le droit du travail et l’AI Act
Le règlement européen sur l’intelligence artificielle complète les règles existantes sans les remplacer. Le RGPD continue de s’appliquer aux données personnelles, tandis que le droit du travail et les conventions collectives encadrent notamment l’introduction de technologies susceptibles d’affecter les tâches, la surveillance ou l’évaluation des salariés.
Les outils utilisés pour le recrutement, la notation ou la gestion des performances peuvent relever de catégories à haut risque au sens de l’AI Act. Une entreprise doit examiner le rôle concret du système, son niveau de risque et les obligations associées. Une décision importante, comme écarter une candidature ou sanctionner un salarié, ne doit pas être abandonnée à une recommandation algorithmique : l’intervention humaine doit être réelle, informée et traçable.
La frontière entre utilisateur et fournisseur mérite aussi une attention particulière. Une organisation qui adapte un modèle, l’entraîne sur ses données ou l’intègre à son propre dispositif décisionnel peut assumer des obligations plus importantes qu’un simple déployeur. L’évaluation en amont évite de découvrir trop tard que le projet nécessite une gouvernance renforcée.
Pour chaque cas d’usage, documenter la finalité, les données, les personnes concernées et les contrôles permet de démontrer la conformité réglementaire. Une analyse de risques est particulièrement pertinente lorsqu’un traitement peut avoir un effet significatif sur les droits des personnes.
Former les salariés et organiser une gouvernance durable
Une charte ne suffit pas si les équipes ignorent comment reconnaître un risque ou vérifier une réponse. La formation des employés doit expliquer les limites des modèles, la protection des données, la confidentialité et les règles de propriété intellectuelle. Elle peut s’appuyer sur des exercices concrets : repérer une donnée sensible dans un prompt, vérifier une information générée ou signaler un résultat discriminatoire.
Atelier Nord prévoit une courte formation à l’arrivée, puis des rappels lors de l’ajout d’un nouvel outil. Un référent recueille les incidents et les besoins métiers ; le service informatique valide les solutions, tandis que les fonctions juridique et RH examinent les usages sensibles. Cette gouvernance partagée rend les règles applicables sans bloquer les expérimentations utiles.
La propriété intellectuelle doit également figurer dans les consignes. Les salariés vérifient qu’ils disposent des droits nécessaires sur les documents transmis et ne présentent pas automatiquement un contenu généré comme une œuvre protégeable. La contribution humaine, les conditions du service et les contrats applicables peuvent modifier l’analyse.
Enfin, l’entreprise réévalue régulièrement les outils, leurs paramètres et les usages observés. Un dispositif de signalement simple aide à corriger rapidement une erreur ou une fuite potentielle. Des repères pratiques pour formaliser l’usage de l’IA générative en entreprise peuvent compléter la charte interne, à condition de l’adapter aux activités et aux risques propres à chaque organisation.
