Outils d'IA en entreprise : inventaire et politique en une page
Quels outils d'IA vos salariés utilisent-ils déjà ? Dressez un inventaire, classez les données et rédigez une politique d'une page qui soit suivie.
Équipe rabbitclipPublié: 6 min de lecture
En bref
Une politique d'usage de l'IA en entreprise est un court document écrit qui précise quels outils d'IA les salariés peuvent utiliser, pour quelles tâches et avec quels types de données. La première tâche avant de l'écrire est un inventaire : dresser la liste des outils que votre équipe utilise réellement, car dans la plupart des entreprises il existe, au-delà des outils officiellement approuvés, d'autres outils utilisés avec des comptes personnels. Une fois l'inventaire, les classes de données et une seule page de règles en place, la politique devient quelque chose que vous pouvez faire appliquer et expliquer aux salariés.
Le but de la politique n'est pas d'interdire l'IA mais de rendre le risque maîtrisable. Une interdiction ne fait généralement que rendre l'outil invisible, alors qu'une règle dit aux gens ce qui est permis et ce qui est restreint. Nous reprenons ci-dessous, tour à tour, la façon de construire l'inventaire, ce que les règles doivent contenir et comment garder la politique vivante.
Pourquoi commencer par un inventaire des outils ?
On ne peut pas gérer ce que l'on ne voit pas. Les salariés se mettent à utiliser un outil d'IA pour rédiger, traduire, résumer ou ranger un tableur, souvent avec leurs propres comptes et souvent sans le dire à personne. Cela vient rarement d'une mauvaise intention ; cela vient du désir de travailler plus vite. Mais la direction ne peut pas voir quelles données vont où.
Un inventaire rend visible cet usage caché. Le but n'est pas de faire des reproches mais de dresser un état des lieux, et il est donc plus honnête de poser la question comme une offre d'aide que comme un contrôle : quels outils facilitent votre travail, et mettons-les dans un cadre en bonne et due forme.
Que doit consigner l'inventaire ?
Un inventaire peut être aussi simple qu'un tableau. Chaque ligne est un outil et chaque colonne une question. Il doit être assez court pour être rempli facilement, et conçu pour que les responsables d'équipe puissent le compléter au nom de leurs équipes.
Les rubriques ci-dessous constituent un point de départ suffisant pour la plupart des entreprises.
- Nom de l'outil et fournisseur
- Quelle équipe l'utilise et pour quelle tâche
- À qui appartient le compte : un compte de l'entreprise ou un compte personnel
- Quel type de données y est saisi
- Comment l'outil utilise les données saisies et quels sont ses paramètres de conservation
- Le responsable de l'outil : la personne de l'entreprise qui en répond
Comment définit-on les classes de données ?
La partie la plus utile d'une politique est le classement des données en catégories. Tout mettre dans une seule catégorie revient soit à tout interdire, soit à ne rien protéger. Trois ou quatre classes suffisent généralement : informations publiques, informations internes, informations confidentielles et données personnelles.
Pour chaque classe, vous écrivez quels outils peuvent être utilisés. Un outil gratuit peut convenir pour le brouillon d'un texte public, alors qu'un document contenant des données clients ne va que dans des outils que l'entreprise a approuvés après avoir lu leurs conditions relatives aux données. Si chaque classe est illustrée par des exemples, les salariés n'hésitent pas : une grille tarifaire, un nom de client, un contrat, un dossier de salarié.
Les règles de traitement des données personnelles varient selon les pays et les secteurs, cette section doit donc être revue par un juriste ou par un délégué à la protection des données.
Que doit contenir une politique d'usage d'une page ?
Une longue politique est une politique que personne ne lit. Une page est assez courte pour qu'on la retienne. Elle doit séparer ce qui est permis de ce qui ne l'est pas, laisser la responsabilité au salarié et indiquer où trouver de l'aide.
Les rubriques ci-dessous forment le squelette d'une politique d'une page.
- La liste des outils approuvés et des tâches autorisées pour chacun
- Quelle classe de données peut aller dans quel outil
- Une personne relit le résultat avant qu'il ne soit publié ou envoyé à un client
- À qui s'adresser lorsque quelqu'un veut essayer un nouvel outil
- Qui prévenir, et comment, en cas de soupçon d'erreur ou de fuite de données
Comment garder la politique vivante ?
Une règle écrite qui n'est jamais expliquée reste dans un tiroir. Présenter la politique à l'équipe lors d'une courte réunion, avec des exemples réels, fonctionne mieux qu'un long e-mail. Les gens suivent une règle quand ils en comprennent la raison ; s'ils ne voient qu'une interdiction, ils trouvent un moyen de la contourner.
Comme les outils et les conditions des fournisseurs changent souvent, la politique et l'inventaire doivent être revus à intervalles fixes, les nouveaux outils ajoutés et les outils inutilisés retirés. Quelqu'un doit en être responsable. Une seule personne désignée dès le premier jour évite que cela ne devienne l'affaire de personne.
Quelles erreurs reviennent le plus souvent ?
Les politiques échouent généralement pour les mêmes quelques raisons.
- Écrire une politique sans avoir d'abord dressé un inventaire
- Interdire tout usage de l'IA et pousser les salariés vers un usage caché
- Rédiger la politique longue et en langage juridique
- Laisser les classes de données sans exemples
- Écrire la politique, la présenter une fois et ne plus jamais la revoir
Quand une politique détaillée est-elle inutile ?
Dans une très petite équipe où l'IA n'est utilisée que pour des brouillons de contenus publics, un long document est une charge inutile. Quelques phrases de règles communes et une seule liste d'outils approuvés peuvent suffire.
À l'inverse, dans les entreprises qui travaillent avec des données de clients, de santé, de finance ou de droit, une règle simple ne suffit pas. Les classes de données et l'approbation des outils doivent être écrites plus en détail, et un avis juridique doit être pris.
Le test est simple : quelle est la donnée la plus sensible qui pourrait entrer dans l'outil. Si la réponse est un texte public, une règle légère suffit ; si c'est une fiche client, il vous faut une politique plus complète. Les petites équipes devraient reposer la question lorsqu'elles grandissent ou accueillent un nouveau type de client ; une règle légère devient discrètement insuffisante dès que le travail devient plus sensible.
Une politique d'IA commence par un inventaire, classe les données et se termine sur une seule page. Une entreprise qui trace un cadre au lieu d'imposer une interdiction accélère le travail de ses équipes et sait aussi où vont ses données. Si vous souhaitez passer en revue avec nous l'usage déjà en cours dans votre entreprise, vous pouvez convenir d'un entretien de découverte avec rabbitclip.
Questions fréquentes
Quelle longueur doit avoir une politique d'usage de l'IA en entreprise ?
Une page suffit pour la plupart des entreprises. Elle doit couvrir clairement les outils approuvés, les classes de données, la relecture humaine des résultats et les personnes à qui s'adresser pour une question ou un problème.
Comment trouver les outils que les salariés utilisent avec des comptes personnels ?
Demandez, dans une enquête sans accusation, quels outils facilitent leur travail. Les réponses honnêtes viennent de la promesse d'un cadre en bonne et due forme, pas de la menace d'une interdiction.
Interdire totalement l'IA est-il une solution ?
En général non. Une interdiction ne supprime pas l'usage, elle le cache. Les salariés continuent d'utiliser l'outil discrètement et la direction ne peut pas savoir quelles données vont où.
Qui doit préparer la politique ?
Un responsable qui connaît le travail doit la préparer avec une personne qui s'occupe des données et des questions juridiques. Les sections sur les données personnelles doivent être revues par un juriste ou un délégué à la protection des données.
