Liste de contrôle des règles d’utilisation de l’IA : les questions à se poser avant de publier
Une politique d’utilisation de l’IA exploitable répond à des questions concrètes sur les personnes, les données et les décisions. Passez cette liste en revue avec les services juridique et sécurité, ainsi qu’avec les équipes qui utiliseront réellement l’IA.
Dernière mise à jour
Une politique qui se contente de dire « utilisez l’IA de manière responsable » ne donne aucun cadre applicable aux salariés. Une bonne politique précise les usages autorisés, les données interdites, les exigences de vérification, les responsabilités et la marche à suivre en cas de problème.
Cette liste de vérification est une aide à la rédaction, pas un conseil juridique. Les exigences varient selon la juridiction, le secteur, les contrats clients et le type de décisions sur lesquelles votre système influe. Indiquez un responsable et une date de révision à côté de chaque réponse.
Guide étape par étape
Définissez le périmètre, les responsables et les niveaux de risque
Quels employés, prestataires, produits et systèmes d’IA sont concernés ? Qui approuve les outils, les exceptions et les modifications de la politique ? Classez les usages selon leur impact : la rédaction à faible risque, l’analyse interne, les contenus destinés aux clients et les décisions à fort impact ne devraient pas relever d’une seule règle.
- Qui est responsable de chaque système déployé ?
- Quels usages sont totalement interdits ?
- Quand un projet pilote devient-il un système en production ?
Fixez des règles pour les données et les outils autorisés
Répertoriez les outils et configurations approuvés. Précisez si les prompts ou les fichiers importés peuvent contenir des données personnelles, des identifiants, du code source, des dossiers clients, des données de santé ou des documents confidentiels. Définissez les règles de conservation et de suppression, les paramètres d’entraînement du fournisseur, la localisation géographique du stockage et les contrôles d’accès.
Demandez : quelles données peuvent quitter notre environnement, dans le cadre de quel contrat, et comment vérifierons-nous leur suppression ?
Exiger une vérification humaine lorsque les erreurs ont des conséquences
Identifiez les résultats qui nécessitent l’approbation d’une personne qualifiée avant utilisation. Fixez des exigences plus élevées pour le recrutement, le crédit, l’assurance, l’éducation, la santé, le conseil juridique, la sécurité et les autres décisions lourdes de conséquences.
- Quels éléments de preuve la personne chargée de la révision doit-elle vérifier ?
- Une personne peut-elle contester une décision prise avec l'aide de l'IA ?
- Qui peut passer outre les décisions du système ?
Traiter les questions de précision, de biais et de sécurité
Définissez les tests avant publication, des données d’évaluation représentatives et les performances minimales. Incluez hallucinations, des résultats inégaux selon les groupes, l'injection de prompts, les fuites de données, le code généré non sécurisé et les contenus préjudiciables.
Documentez les limites connues et les conditions dans lesquelles le système doit se bloquer par sécurité ou être mis hors ligne.
Clarifiez la transparence, les droits d’auteur et la conservation des documents
Quand faut-il informer les clients ou les collègues de l’utilisation de l’IA ? Qui vérifie les licences, les marques, les mentions d’attribution et les droits sur les contenus d’entraînement ou de référence ? Déterminez quels prompts, résultats, validations, versions de modèles et résultats d’évaluation doivent être conservés pour un audit, et pendant combien de temps.
Planifier la surveillance, la gestion des incidents et le bilan
Prévoyez un canal de signalement clair. Définissez la gravité des incidents, les mesures de confinement, les notifications, la conservation des preuves et les personnes habilitées à suspendre un outil. Suivez les changements de modèles et de fournisseurs, car un système peut évoluer sans que votre processus de travail change.
Terminez en désignant un responsable de la politique, une date d’approbation, une date de prochaine révision, un plan de formation des employés et un registre des exceptions.
Avant de publier : vérifiez que la politique prévoit un responsable, une liste d'outils approuvés, des règles de classification des données, des usages interdits, des seuils de vérification humaine, des règles de transparence, des exigences de test, une procédure de gestion des incidents et une date de révision.
Testez le projet de politique sur trois processus de travail réels avec les personnes qui les exécutent. Si elles ne peuvent pas déterminer si une action est autorisée, la politique n'est pas terminée.
Outils et guides connexes
Essayez les techniques ci-dessus sur AskAI.free - Votre première question est gratuite.
Demander à l’IAFAQ
Qui devrait rédiger une politique d’utilisation de l’IA ?
Un groupe transversal : utilisateurs opérationnels, équipes de sécurité, de protection des données, juridiques, RH ou de conformité selon les besoins, et un responsable de direction capable d’arbitrer les compromis. Un examen juridique seul ne suffit pas à définir un processus applicable.
Faut-il autoriser les employés à utiliser des outils d’IA publics ?
Uniquement dans un cadre explicite. Définissez les outils et configurations autorisés, les informations pouvant être saisies, si l’entraînement du fournisseur est désactivé et les résultats nécessitant une vérification. Les données confidentielles ou réglementées nécessitent généralement un environnement contrôlé et un contrat adapté.
À quelle fréquence faut-il réexaminer une politique d’utilisation de l’IA ?
Prévoyez une révision régulière au moins annuelle, ainsi que des révisions après un changement majeur de modèle ou de fournisseur, une nouvelle loi, un incident de sécurité, un nouvel usage à fort impact ou une modification importante des données traitées.
Que faut-il inclure dans la liste des usages interdits ?
Usages contraires à la loi, aux contrats ou aux valeurs de l'organisation ; décisions à fort impact sans supervision ; usurpation d'identité ou tromperie ; contournement des mesures de sécurité ; saisie de données interdites ; et publication de résultats non vérifiés lorsque des erreurs pourraient causer un préjudice.
Cette liste de vérification constitue-t-elle un conseil juridique ?
Non. Il s’agit d’un cadre pratique pour la rédaction. Faites évaluer par un juriste qualifié les lois, réglementations, règles du travail et obligations contractuelles qui s’appliquent à votre organisation et à vos cas d’utilisation.