Réponse courte
Une politique d’IA générative efficace autorise des usages identifiés dans un cadre contrôlé. Elle précise quels outils sont approuvés, quelles données peuvent être utilisées, quels résultats doivent être vérifiés, quelles décisions restent humaines et comment déclarer un nouvel usage ou un incident.
À retenir
- ✓L’interdiction générale ne supprime pas le besoin
- ✓Commencer par trois catégories
- ✓La vérification humaine doit être réelle
- ✓La politique doit être reliée aux outils et aux contrats
L’interdiction générale ne supprime pas le besoin
Les collaborateurs utilisent l’IA générative parce qu’elle répond à des tâches réelles : résumer, reformuler, rechercher des idées, préparer une trame ou analyser un document. Une interdiction sans solution ni explication déplace l’usage vers des comptes personnels et réduit la visibilité de l’entreprise.
À l’autre extrême, une autorisation vague expose à l’introduction de données personnelles ou confidentielles dans des services non évalués, à la reprise de contenus inexacts, à des problèmes de propriété intellectuelle et à des décisions non expliquées. La bonne réponse est une politique fondée sur les cas d’usage.
Commencer par trois catégories
Les usages peuvent être classés en trois familles. Les usages autorisés avec des données non sensibles et une vérification simple ; les usages soumis à validation ou à un outil approuvé ; les usages interdits en raison des données, de l’effet sur les personnes ou de l’absence de contrôle.
Cette classification doit donner des exemples proches du travail. « Ne pas saisir de données sensibles » est moins utile que « ne copiez pas un dossier médical, une liste de paie, un contrat non public ou une base clients dans un outil non approuvé ». Les équipes doivent savoir quoi faire à la place.
La vérification humaine doit être réelle
Demander aux utilisateurs de « vérifier les résultats » ne suffit pas si personne ne sait ce que cela implique. Pour un texte commercial, la vérification peut porter sur les faits, les promesses et le ton. Pour une analyse juridique, elle exige une expertise et l’accès aux sources. Pour une décision concernant une personne, le contrôle doit être significatif et permettre de contester la sortie du système.
La CNIL rappelle qu’une personne doit pouvoir garder la main lorsque cela est nécessaire pour empêcher les détournements et la systématisation des erreurs. Le contrôle doit être identifié, effectif et durable.
La politique doit être reliée aux outils et aux contrats
Un outil approuvé aujourd’hui peut changer de conditions, de sous-traitants ou de fonctionnalités. Les achats, la DSI, la sécurité et le DPO doivent donc partager l’information. L’évaluation du fournisseur, les paramètres de conservation, les mécanismes d’entraînement, les lieux de traitement et les options d’administration doivent être documentés selon le risque.
La politique doit aussi prévoir un canal de déclaration rapide. Un collaborateur qui a transmis par erreur une information ne doit pas hésiter à signaler l’incident par peur d’une sanction automatique. La vitesse de réaction protège mieux l’entreprise que le silence.
Transformer les règles en habitudes
Des rappels courts, des exemples par métier et un réseau de référents rendent la politique vivante. Le suivi des questions et incidents permet de l’améliorer. Une règle qui n’est jamais comprise ni contrôlée reste un document, pas une mesure de maîtrise.
Ce que Lyopi apporte
Lyopi aide à associer chaque usage IA à un propriétaire, un outil, des règles, des risques et des preuves de validation. Les actions d’acculturation et les révisions peuvent être suivies avec la cartographie, afin que la politique reflète les usages réellement autorisés.
Questions fréquentes
Les réponses essentielles
Peut-on saisir des données personnelles dans une IA générative ?
Cela dépend de la finalité, de la base légale, du fournisseur, des paramètres, du contrat, de la sécurité et des droits des personnes. L’usage doit être évalué avant d’être autorisé ; par défaut, il faut éviter les données personnelles dans un service non approuvé.
Une charte signée protège-t-elle l’entreprise ?
Elle contribue à l’encadrement, mais ne remplace ni l’évaluation des outils, ni les mesures techniques, ni la formation, ni la surveillance des pratiques.
Qui valide les nouveaux usages ?
Le propriétaire métier décrit le besoin. Selon le risque, DSI, sécurité, juridique, DPO, RH ou achats interviennent dans un circuit proportionné.
Sources
Textes et ressources de référence
Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.
- www.cnil.frCNIL - Comment déployer une IA générative
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- www.cnil.frCNIL - Utiliser un système d’IA en production
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- www.cnil.frCNIL - Profilage et décision entièrement automatisée
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.