Vos collaborateurs utilisent l’IA, comment protéger vos données ?

Un contrat à résumer, un compte rendu à reformuler, un fichier client à analyser… L’intelligence artificielle trouve facilement sa place dans les journées de travail. Mais derrière ces usages pratiques, une question se pose : quelles informations vos collaborateurs sont-ils autorisés à partager avec une IA ? Une charte d’usage permet de donner des repères. Encore faut-il qu’elle corresponde aux outils utilisés, aux données de l’entreprise et aux situations rencontrées sur le terrain.

Quand les usages de l’IA précèdent les règles internes

Des initiatives utiles, parfois peu visibles

Un salarié teste un assistant de rédaction. Un autre active une fonction de résumé dans son navigateur. Une équipe connecte un outil à ses documents pour retrouver plus vite une information. Ces initiatives répondent à des besoins réels. Cependant, sans cadre partagé, chacun peut interpréter différemment ce qu’il est possible de transmettre.

Identifier les pratiques avant de définir les règles

Commencez donc par demander aux équipes quels outils elles utilisent et pour quelles tâches. Incluez les extensions, les assistants de réunion et les fonctions IA des logiciels métiers. Vous pourrez ainsi distinguer les usages simples des projets qui nécessitent une analyse plus approfondie.

Quelles données faut-il protéger ?

La confidentialité dépasse les données personnelles

Un fichier peut contenir des coordonnées clients, mais aussi une stratégie commerciale, une marge ou une architecture informatique. Avant un partage, il faut donc examiner sa sensibilité et les autorisations existantes. L’ANSSI déconseille l’envoi de données sensibles dans les outils grand public sur Internet (recommandations de sécurité de l’ANSSI).

• Clients et partenaires : coordonnées, contrats, échanges et conditions commerciales.
• Ressources humaines : candidatures, rémunérations, évaluations et situations individuelles.
• Activité interne : budgets, projets non publics et documents stratégiques.
• Système d’information : code confidentiel, configurations, mots de passe et clés d’accès.
• Santé : données de patients et documents permettant de les identifier.

Partager uniquement ce qui est nécessaire

Pour préparer un modèle de courrier, un exemple fictif peut suffire. De même, une question technique peut parfois être expliquée sans joindre la configuration complète du serveur. Privilégiez donc le minimum d’informations utile à la tâche.

Un outil payant suffit-il à protéger vos informations ?

Vérifier l’offre et les conditions d’utilisation

Le prix d’un abonnement ne valide pas un usage. Il faut examiner le contrat, la conservation des échanges, leur éventuelle réutilisation, les accès et les transferts de données. La CNIL invite à adapter le déploiement et les garanties aux informations traitées (questions-réponses de la CNIL).

Par conséquent, évitez une liste limitée au nom des outils. Précisez l’offre autorisée, le type de compte, les réglages retenus et les données admises. Un service validé pour reformuler des textes publics ne l’est pas nécessairement pour analyser des dossiers RH.

Examiner les connexions à vos documents et applications

Connecter un assistant à la messagerie élargit son périmètre au-delà d’un texte copié dans une conversation. Vérifiez donc les dossiers accessibles, les permissions et les actions possibles. L’ANSSI recommande de limiter les interactions avec le SI au besoin opérationnel et de prévoir un contrôle humain des actions critiques (guide de sécurité de l’ANSSI).

Que prévoir dans une charte IA ?

Donner des réponses aux questions du quotidien

La CNIL recommande des politiques ou chartes internes qui définissent les usages autorisés et interdits. Elle souligne également l’importance de former les utilisateurs et de contrôler les pratiques (encadrer l’IA selon la CNIL).

Pour préparer votre document, faites répondre vos équipes à ces questions :

• Quels services et comptes professionnels peut-on utiliser ?
• Pour quelles tâches l’utilisation est-elle autorisée ?
• Quelles informations peut-on transmettre, et lesquelles sont exclues ?
• Qui valide un nouvel outil, un connecteur ou un usage plus sensible ?
• Quelles vérifications humaines sont attendues avant d’utiliser une réponse ?
• À qui signaler une erreur ou un partage de données inapproprié ?

Articuler la charte avec vos règles existantes

Un document séparé n’est pas toujours nécessaire : France Num propose aussi d’intégrer l’IA à la charte informatique existante. Les règles doivent rester compréhensibles et adaptées aux pratiques de l’entreprise (fiche pratique France Num).

Associez donc les métiers, la direction, le responsable informatique ou le RSSI et, pour les données personnelles, le DPO. Les fonctions RH et juridiques peuvent ensuite préciser les modalités d’application du document.

Des exemples concrets pour guider les équipes

Le tableau suivant propose des repères pour construire vos règles internes. Chaque situation reste à examiner selon vos contrats, vos données et les outils validés.

Comment faire vivre les règles dans la durée ?

Présenter les règles avec des exemples métiers

Une courte démonstration peut rendre la charte plus utile : montrez comment poser une question sans joindre un document confidentiel, ou comment reconnaître un compte autorisé. Proposez aussi un contact pour faire examiner les nouveaux besoins. France Num rappelle que la diffusion du document doit s’accompagner de sensibilisation et de mises à jour (faire vivre sa charte).

Prévoir un réflexe de signalement

Si un document est transmis par erreur, demandez au collaborateur de prévenir rapidement le référent désigné. Celui-ci pourra examiner les données, les destinataires et les mesures possibles. Évitez de promettre que supprimer la conversation efface nécessairement toutes les copies : les conditions du service doivent être vérifiées.

Réexaminer les usages quand les outils évoluent

Un assistant peut gagner de nouvelles capacités : lecture de fichiers, accès à une application ou envoi de messages. Lorsqu’une fonction change le périmètre des données ou des actions, réévaluez son autorisation. Cybermalveillance.gouv.fr recommande notamment de séparer les usages personnels et professionnels et de sensibiliser l’ensemble des collaborateurs (conseils pour les professionnels).