Vos employés utilisent l’IA dès maintenant. Certains ont l’autorisation. La plupart, probablement pas.

La recherche raconte la même histoire, encore et encore : les employés adoptent les outils d’IA plus vite que les entreprises ne peuvent écrire des politiques à leur sujet, et 68 % des employés qui utilisent ChatGPT au travail le font sans en parler à leur responsable. Résultat : les organisations portent une vraie responsabilité juridique tout en faisant comme si le problème n’existait pas.

Le réflexe, c’est de tout interdire. De verrouiller. Problème réglé.

Sauf que cette approche n’a jamais marché avec aucune technologie, et elle ne marchera pas ici non plus. Les gens trouvent des contournements parce que ces outils sont trop utiles pour être ignorés, et l’informatique de l’ombre devient une IA de l’ombre qui opère entièrement hors de votre champ de vision.

Donc, il vous faut une politique. Mais voici la vérité inconfortable que la plupart des guides ne vous diront pas : la politique elle-même compte bien moins que le fait que les gens la suivent réellement. Un document parfait, ignoré dans SharePoint, ne protège rien.

Les deux extrêmes de politique qui échouent

Les organisations oscillent souvent entre deux pôles. Aucun des deux ne fonctionne.

L’interdiction totale

Samsung a tristement rendu la chose célèbre en interdisant tous les outils d’IA générative à l’échelle de l’entreprise après que des employés ont accidentellement divulgué du code source confidentiel en demandant à ChatGPT de le relire. L’incident a fait la une et a déclenché une panique dans les entreprises, tous secteurs confondus.

Les interdictions rassurent. Elles créent des règles nettes et éliminent les zones grises qui rendent les juristes nerveux. Elles poussent aussi l’usage de l’IA dans la clandestinité, ou il devient invisible et ingérable.

Un commentateur sur Hacker News a résumé cette tension sans détour : “We are forcing non-use because of compliance. There is a fear that the models will scan and steal our proprietary code.”

Cette peur est réelle. Mais l’interdiction générale crée ses propres risques quand les employés utilisent des appareils personnels et des outils grand public pour contourner les restrictions, provoquant une exposition des données que votre équipe informatique ne peut même pas voir.

Le laisser-faire

L’extrême inverse, c’est l’absence totale de politique. Laisser chacun se débrouiller, faire confiance au jugement de chacun, aller vite et s’adapter plus tard.

Cette approche traite l’IA comme un choix personnel de productivité plutôt que comme un risque organisationnel. Elle ignore le fait que les employés prennent des décisions de traitement des données à chaque fois qu’ils collent des informations dans un prompt, et que la plupart n’ont jamais réfléchi aux politiques d’entraînement des modèles ni à l’endroit où leurs entrées peuvent finir.

Certaines entreprises sont allées plus loin que le laisser-faire. Un autre utilisateur de Hacker News a rapporté la consigne de son employeur : “At least 20 % of code must be AI generated with the goal of at least 80 % by the end of the year.”

Des objectifs d’adoption agressifs sans garde-fous correspondants créent une pression pour utiliser l’IA partout, quelle que soit la pertinence. Quand l’indicateur, c’est l’usage de l’IA plutôt que la qualité du résultat, les gens trouvent des moyens d’atteindre le chiffre, que cela ait du sens ou non pour leur travail spécifique.

Ce que les politiques devraient vraiment couvrir

Les politiques d’IA efficaces partagent des éléments communs, mais l’accent varie selon votre secteur, votre tolérance au risque et votre culture. Commencez par ces cinq domaines, puis adaptez.

Outils approuvés et accès

Soyez précis sur les outils d’IA autorisés dans l’entreprise. Les versions entreprise des outils d’IA ont souvent des conditions de traitement des données différentes des versions grand public, et cette distinction compte.

La version gratuite de ChatGPT et la version entreprise offrent des garanties de confidentialité fondamentalement différentes. La version gratuite peut utiliser vos entrées pour entraîner de futurs modèles. La version entreprise, en général, ne le fait pas. Votre politique doit refléter quelles versions sont acceptables et lesquelles sont interdites.

Incluez un processus pour demander de nouveaux outils. Les capacités de l’IA évoluent rapidement, et votre liste d’outils approuvés devra être mise à jour. Mettez en place un processus d’évaluation léger plutôt que de forcer les gens à utiliser des outils dépassés ou à contourner les restrictions.

Classification des données

C’est là que la plupart des politiques réussissent ou échouent. Il vous faut des règles claires et spécifiques sur les informations qui peuvent être partagées avec des outils d’IA, et celles qui ne le peuvent pas.

Des consignes vagues comme “faites preuve de bon sens avec les données sensibles” n’apportent aucune aide concrète. Les gens ont besoin de catégories précises qu’ils peuvent appliquer sans appeler le service juridique à chaque fois qu’ils veulent rédiger un e-mail.

Envisagez une approche par niveaux : des données qui ne doivent jamais être partagées avec l’IA, quel que soit l’outil (PII clients, identifiants, données financières non publiées), des données qui ne peuvent être partagées qu’avec des outils entreprise approuvés (documents internes, informations métier générales), et des données qui peuvent être partagées librement (informations publiques, questions de culture générale).

L’objectif n’est pas d’éliminer tout risque. L’objectif est de rendre le calcul du risque suffisamment simple pour que les gens puissent suivre les règles sans friction excessive.

Cas d’usage acceptables

Quelles tâches l’IA peut-elle aider, et qu’est-ce qui est interdit ?

L’IA excelle pour rédiger, résumer, brainstormer et gérer les manipulations de texte routinières. Elle a du mal avec l’exactitude factuelle, le jugement nuancé et tout ce qui exige une vraie compréhension du contexte spécifique de votre entreprise.

La plupart des politiques devraient interdire à l’IA de prendre des décisions qui affectent des personnes : recruter, licencier, évaluations de performance, décisions de crédit. La combinaison de la tendance de l’IA à des erreurs affirmées et des enjeux de ces décisions crée un risque inacceptable.

De même, les documents juridiques, les dépôts réglementaires et toute communication où vous devez garantir l’exactitude devraient exiger une création humaine plutôt qu’une assistance par IA. L’IA peut aider à rechercher et à ébaucher, mais des humains doivent assumer le produit final.

Normes de qualité

Toute politique doit aborder le fait que l’IA se trompe. Les hallucinations ne sont pas des bugs que les fournisseurs finiront par corriger. Elles sont inhérentes à la façon dont fonctionnent les grands modèles de langage.

Définissez des exigences de relecture selon les enjeux du contenu. Des notes internes de brainstorming peuvent n’exiger qu’une auto-relecture. Les communications destinées aux clients devraient exiger une relecture par un pair ou un manager. Tout ce qui a des implications juridiques ou de conformité doit être vérifié par un expert du domaine.

Soyez explicite : les statistiques, citations et références générées par l’IA doivent être vérifiées de manière indépendante. L’IA invente avec assurance des sources qui n’existent pas et des statistiques qui n’ont jamais été publiées. Quiconque a déjà vérifié des sorties d’IA sait que cela arrive en permanence.

Exigences de divulgation

Quand l’usage de l’IA doit-il être mentionné ? Il n’y a pas de réponse universelle, mais votre politique doit en fournir une pour votre organisation.

Dans certains contextes, la divulgation est clairement nécessaire : toute situation où l’on s’attend raisonnablement à interagir avec un humain, tout contenu où l’attribution compte, toute communication réglementée où la divulgation peut être légalement requise.

Dans d’autres contextes, elle n’est pas forcément nécessaire : l’IA utilisée comme outil de rédaction avec une forte édition humaine, l’IA utilisée pour la recherche ou la préparation qui nourrit un travail humain, l’usage de productivité routinier où le résultat final reflète un jugement humain.

La frontière entre ces catégories implique des arbitrages, et votre politique doit aider les gens à les faire.

Les erreurs qui tuent les politiques

Les bonnes intentions produisent des mauvaises politiques tout le temps. Surveillez ces schémas d’échec.

Écrire pour les juristes plutôt que pour les utilisateurs

Les politiques rédigées par les équipes juridiques ressemblent souvent à des documents juridiques. Elles couvrent tous les cas limites, utilisent une terminologie précise et offrent une protection complète contre la responsabilité.

Elles restent aussi non lues, parce que les employés ordinaires n’arrivent pas à en extraire des consignes actionnables à partir d’un jargon dense. Si votre politique nécessite l’interprétation de quelqu’un avec un diplôme de droit, elle sera ignorée par tous ceux qui n’en ont pas.

Écrivez pour la personne qui doit prendre une décision rapide : peut-elle coller quelque chose dans ChatGPT, ou non ? Facilitez cette décision. Gardez le cadre juridique complet pour la documentation interne que votre équipe juridique maintient.

Faire comme si la technologie ne bougeait pas

Les capacités de l’IA changent tous les mois. Claude, GPT, Gemini et des dizaines d’autres outils publient des mises à jour en permanence. Des fonctions expérimentales deviennent standard. De nouveaux risques émergent pendant que d’anciens sont traités.

Des politiques écrites pour ChatGPT en 2023 peuvent ne pas correspondre au paysage de l’IA en 2026. Intégrez des cycles de révision dans votre politique et confiez-en la responsabilité à quelqu’un qui les effectuera vraiment. Une fois par an, c’est probablement trop lent. Trimestriel peut être approprié pour les organisations qui bougent vite.

Zapper complètement la formation

Une politique qui n’existe que dans de la documentation est une politique qui n’existe pas. Les gens ont besoin de formation pour comprendre les règles, de contexte pour comprendre pourquoi, et de pratique pour appliquer les lignes directrices dans des situations réelles.

SHRM research a constaté que 75 % des salariés s’attendent à ce que leur rôle évolue à cause de l’IA au cours des cinq prochaines années, mais que seuls 45 % ont récemment bénéficié d’une montée en compétences. Cet écart entre attentes et préparation crée confusion, peur et violations de politique nées de l’ignorance plutôt que de la malveillance.

Prévoyez du temps pour la formation. Rendez-la interactive plutôt que de simplement distribuer un document. Incluez des scénarios réels que les gens rencontreront vraiment.

Créer des règles que personne n’applique

Des politiques sans conséquences ne sont que des suggestions. Décidez avant de publier comment les violations seront traitées, et communiquez-le clairement.

Cela ne veut pas dire traiter chaque erreur comme un motif de licenciement. Les réponses proportionnées fonctionnent mieux : correction informelle pour des violations mineures, documentation formelle pour des problèmes répétés, conséquences sérieuses pour une exposition intentionnelle de données.

Ce qui tue la crédibilité d’une politique, c’est l’incohérence. Si les dirigeants ignorent des règles qui s’appliquent à tout le monde, ou si les violations sont traitées différemment selon la personne qui les commet, votre politique perd toute autorité.

Ignorer la réalité de l’IA de l’ombre

Faire comme si les employés n’utilisaient pas d’outils d’IA personnels ne rend pas cela vrai. Toute politique honnête reconnaît cette réalité et propose des voies pour y répondre.

Si vos outils approuvés sont nettement moins bons que les alternatives grand public, les gens utiliseront les alternatives grand public. Si votre processus d’approbation prend des mois, les gens le contourneront. Si vos restrictions créent trop de friction pour des tâches routinières, les gens trouveront des moyens de réduire cette friction.

La politique dont vous avez besoin est celle qui fait du comportement conforme le chemin le plus simple, pas celle qui dépend du fait que les gens choisissent la voie la plus difficile parce qu’un document le leur a dit.

Garder les politiques pratiques

Les meilleures politiques d’IA partagent une qualité difficile à définir mais facile à reconnaître : elles paraissent raisonnables. Elles reconnaissent des préoccupations légitimes sans créer d’obstacles bureaucratiques qui ne servent à rien.

Commencer par des principes, puis ajouter des règles

Avant d’écrire des règles spécifiques, formulez les principes qui les sous-tendent. Les gens peuvent appliquer des principes à des situations nouvelles que les règles ne peuvent pas anticiper.

Le principe peut être : nous voulons que nos équipes bénéficient de l’IA tout en protégeant des données qui pourraient nuire aux clients ou à l’entreprise si elles étaient exposées. Ce principe guide la prise de décision quand le règlement n’a pas de réponse.

Les règles deviennent alors des exemples de ces principes en action plutôt qu’une liste exhaustive qui implique que tout ce qui n’est pas interdit est permis.

Faciliter la conformité

Chaque point de friction dans votre politique est une occasion de violation. Chaque fois que quelqu’un doit s’arrêter, réfléchir, naviguer dans un processus d’approbation ou utiliser un outil moins bon, vous créez une incitation à contourner les règles.

Auditez votre politique du point de vue de l’utilisateur. Qu’est-ce qu’il faut réellement faire pour être conforme ? Si la conformité demande un effort important, demandez-vous si cet effort produit une réduction de risque proportionnée. Parfois, la réponse est oui. Souvent, non.

Créer des boucles de retour

Votre politique aura des trous et des erreurs. Les personnes qui vivent avec savent où sont les problèmes. Créez des moyens de les faire remonter sans peur.

Sondages réguliers, canaux de retour anonymes, permanences où les gens peuvent poser des questions sans jugement : ces mécanismes détectent les problèmes avant qu’ils ne provoquent des incidents et donnent aux gens le sentiment d’être écoutés plutôt que surveillés.

Accepter l’imperfection

Aucune politique n’élimine tout risque. Une conformité parfaite n’est pas atteignable, ni même forcément souhaitable si cela détruit la productivité.

L’objectif est de réduire le risque à des niveaux acceptables, pas de l’éliminer. Définissez ce que signifie “acceptable” pour votre organisation et concevez une politique qui y parvient sans exiger la perfection de tout le monde, tout le temps.

Démarrer sans tout recommencer

Si vous n’avez aucune politique, commencez petit. Couvrez d’abord les scénarios les plus risqués : quelles données ne doivent jamais être partagées, quelles décisions l’IA ne peut pas prendre, quelle relecture est requise pour les communications externes. Vous pourrez élargir ensuite.

Si vous avez une politique qui ne fonctionne pas, résistez à l’envie de tout reconstruire à partir de zéro. Parlez aux gens de ce qui ne va pas. Souvent, les problèmes se corrigent sans remplacement total.

Une politique n’est pas un document. C’est une conversation continue entre l’organisation et les personnes qui y travaillent sur la façon d’utiliser des outils puissants de manière responsable. Le document ne fait que capturer l’endroit où en est cette conversation, pour l’instant.

Les organisations qui réussissent leur politique d’IA la traitent comme quelque chose de vivant : révisée régulièrement, discutée ouvertement, ajustée en fonction de l’expérience. Celles qui échouent produisent un document et l’oublient jusqu’à ce qu’un incident force l’attention.

Votre équipe utilise déjà l’IA. La question est de savoir si elle l’utilise en sécurité, et si vous avez fait de la sécurité le choix le plus simple. C’est ce qu’accomplit une bonne politique. Pas une restriction pour la restriction, mais des garde-fous qui permettent d’aller vite sans foncer dans le ravin.

Quel type de politique avez-vous ?