Charte IA : passer des règles générales à une consigne de travail

La longueur du document ne tranche pas la question

Je préfère une règle que l’équipe peut appliquer à une formule impeccable dont chacun doit deviner le sens. Une charte de deux pages peut laisser une ambiguïté décisive ; un document plus long peut être facile à consulter si ses réponses sont bien organisées. Le bon critère est la décision que l’utilisateur arrive à prendre dans une situation précise.

La CNIL recommande des politiques ou chartes définissant les usages permis et interdits, des documents intelligibles, une formation adaptée et des contrôles réguliers. ^[1] Elle ne fournit pas le modèle de carte présenté ici. La proposition consiste à relier le cadre commun à la tâche, sans recopier toute la politique dans chaque fiche.

La charte énonce les règles communes et renvoie aux décisions de l’organisation. La carte décrit une tâche pour un public et un environnement déterminés. Les procédures spécialisées prennent le relais lorsqu’un sujet dépasse cette tâche. Aucun de ces documents ne doit se présenter comme une autorisation qu’aucune personne habilitée n’a donnée.

Réduire l’ambiguïté avant de raccourcir le texte

Prenons une règle générale : « Vous pouvez utiliser l’IA pour préparer des textes, en respectant la confidentialité et en vérifiant le résultat. » Elle donne une direction, mais laisse plusieurs décisions ouvertes. Quel texte ? À partir de quelles pièces ? Dans quel espace ? Qui contrôle quoi avant sa diffusion ? Que faire si la demande change ?

Ce tableau sert à repérer une décision manquante. Il ne la prend pas à la place de l’organisation. Si personne ne sait quelles données sont admises, la bonne suite est de faire préciser ce point avant leur envoi. Réécrire la même incertitude avec des mots plus simples ne suffit pas.

Pour cadrer l’activité en amont, le guide sur les usages IA par tâche, limites et contrôles reste la première étape. Ici, le besoin est déjà identifié : il s’agit de rendre sa règle utilisable par les personnes concernées.

Une autorisation porte sur des conditions, pas seulement sur une marque

Je propose de décrire le périmètre comme un ensemble : tâche, utilisateurs, environnement, entrées, sortie et destination. « Cet outil est accepté » ne dit pas si l’on peut lui confier un autre dossier, activer une connexion ou lui demander d’envoyer un message. La carte doit rendre ces frontières visibles sans demander à chaque utilisateur de refaire l’analyse technique.

Les droits réellement ouverts méritent leur propre vérification. L’ANSSI recommande une revue des accès des outils IA aux applications métier lors de leur activation, puis régulièrement. ^[2] Une consigne écrite ne remplace pas ce contrôle technique. Dans la carte, inscrivez simplement les fonctions retenues et le contact qui traite une différence constatée.

Une extension apparemment pratique peut donc appeler une nouvelle décision : un brouillon préparé manuellement devient un envoi automatique, une question générique devient un courriel nominatif, un document public est remplacé par un contrat non public. Le travail paraît proche ; les conditions ont changé. L’utilisateur doit pouvoir reconnaître ce changement sans avoir à lui donner lui-même une qualification juridique.

Distinguer ce qui est permis, ce qui reste à vérifier et ce qui doit être signalé

Ces trois repères ne sont pas trois cases exclusives. Une tâche autorisée demande encore des vérifications ; une anomalie peut survenir dans un usage autorisé. Utilisez des mots et des actions explicites, même si vous ajoutez des couleurs.

Autorisé dans ces conditions signifie qu’une décision interne identifiable couvre la tâche telle qu’elle est décrite. Une fiche encore en préparation reste un brouillon. Une case cochée ou un document téléchargé ne crée aucun droit d’usage.

À vérifier avant de poursuivre recouvre deux moments différents. Avant l’envoi, on confirme que les entrées et la fonction entrent dans le périmètre. Avant l’utilisation de la sortie, on contrôle le résultat. S’il manque une décision sur le premier point, vérifier le texte après génération arriverait trop tard.

À signaler selon la procédure interne concerne une situation à transmettre au bon interlocuteur : donnée envoyée hors périmètre, accès inattendu, résultat déjà diffusé qui appelle une correction, par exemple. Précisez ce qu’il faut suspendre et comment transmettre une référence utile sans multiplier les copies du contenu concerné. La carte n’invente ni procédure d’incident ni délai réglementaire.

Exemple fictif : préparer une réponse à une question sur une visite

Une équipe fictive organise des visites d’atelier. Pour l’exercice, on suppose qu’une décision interne autorise la préparation de brouillons à partir de sa propre fiche publique, dans un espace déterminé, sans connexion à la messagerie ni envoi automatique. Cette décision est inventée pour le scénario : elle ne concerne aucun outil ni organisme réel.

La fiche publique de référence indique : visites de 45 minutes, mardi et jeudi à 14 h, groupe de huit personnes maximum, réservation nécessaire et confirmation séparée. La tâche autorisée consiste à préparer une réponse à une question générale sur ces modalités. Les demandes nominatives et listes d’inscrits restent hors du périmètre de l’exercice.

La consigne devient concrète : « Utilisez uniquement la fiche publique en vigueur et une question générique. Préparez un brouillon. Comparez durée, créneaux, capacité et condition de confirmation à la fiche. Ne confirmez aucune réservation. Faites valider le texte par le responsable de l’accueil avant une transmission manuelle. »

Le brouillon fictif répond : « Votre groupe de neuf personnes est confirmé pour jeudi à 15 h. » Il faut le refuser dans cet exercice : la capacité et l’horaire contredisent la référence, et une confirmation a été inventée. Si le brouillon n’a pas été diffusé, il reste à préparer une réponse correcte. S’il a déjà été transmis, le responsable doit aussi organiser la suite prévue pour corriger l’information auprès du destinataire.

Aucune IA réelle n’a produit cette réponse pour l’article. Le scénario montre la différence entre contrôler un texte et traiter les conséquences de son utilisation. Il ne mesure ni la fréquence d’un défaut ni la fiabilité d’un produit.

Vérifier la compréhension avec quatre situations différentes

Ne demandez pas seulement : « La règle est-elle claire ? » Proposez une situation ordinaire, une entrée exclue, une sortie incorrecte et un changement de fonction. Demandez à la personne d’indiquer son action, la référence utilisée et le point qui justifierait une demande d’aide.

La bonne réponse dépend de la carte retenue, pas d’un réflexe universel de méfiance ou d’acceptation. Si plusieurs personnes hésitent au même endroit, examinez la formulation et les moyens disponibles. Si le contrôle demande une pièce qu’elles ne peuvent pas consulter, la consigne reste inexécutable.

Cet exercice n’est pas une certification de compétence et quatre cas ne couvrent pas tous les usages. Il sert à trouver les décisions ou explications manquantes avant la diffusion de la carte. Pour concevoir le contrôle lui-même, consultez la méthode sur les moyens nécessaires à une validation humaine.

Mettre la carte à l’endroit où le travail commence

La carte doit être accessible au moment de choisir les données et la fonction, pas seulement au moment de signer la charte. Reliez-la à la référence interne en vigueur. Affichez son statut, son responsable, sa version et la condition de revue. Un changement de fonction ou un retour utilisateur peut justifier une révision avant l’échéance prévue.

La CNIL évoque notamment un point de contact et le recueil des retours des utilisateurs. ^[1] Dans cette méthode, je propose de conserver les questions qui ont réellement empêché de décider. Elles permettent de corriger une phrase, de rendre une référence accessible ou de faire trancher une nouvelle demande. Accumuler les signatures ne répond pas à ces trois problèmes.

La carte d’usage IA à remplir comprend neuf rubriques, un exemple complété et l’exercice corrigé. Si votre équipe doit transformer des règles générales en consignes de travail, vous pouvez présenter les tâches concernées, sans transmettre les données utilisées dans vos dossiers.

Questions fréquentes

Faut-il une carte pour chaque demande ? Je propose une carte par tâche stable et périmètre cohérent. Plusieurs demandes peuvent relever de la même carte. Si leurs données, leurs destinataires ou leurs effets sont différents, vérifiez qu’une consigne unique reste compréhensible.

Une charte courte suffit-elle ? Elle peut suffire pour exposer le cadre commun. Sa brièveté ne prouve ni la compréhension des utilisateurs ni l’adéquation des contrôles. La carte complète ce cadre sur une tâche ; elle ne remplace pas les autres examens nécessaires.

Peut-on demander à l’IA si un usage est autorisé ? Une réponse générée ne constitue pas la décision de votre organisation. Utilisez les références internes applicables et les interlocuteurs habilités ; faites préciser une contradiction ou une absence de règle.

Ce modèle assure-t-il la conformité à l’AI Act ou au RGPD ? Non. Il organise une consigne de travail et sa compréhension. Il ne qualifie pas juridiquement un système, ne valide pas un traitement de données et ne fournit aucune certification.