ChatGPT, Copilot, Gemini, Claude : vos salariés utilisent très probablement déjà l’un de ces outils au quotidien, avec ou sans votre feu vert. Ce n’est pas une hypothèse : c’est la réalité de la quasi-totalité des entreprises aujourd’hui, quelle que soit leur taille. Le sujet n’est donc plus de savoir si l’IA générative entre dans votre organisation, mais comment elle y entre, et avec quelles limites.
Le vrai risque, ce n’est pas l’IA : c’est le silence autour de son usage
Dans la plupart des entreprises que nous accompagnons, le constat est le même : les outils d’IA générative se sont installés au fil de l’eau, service par service, souvent à l’initiative des salariés eux-mêmes plutôt que dans le cadre d’un projet piloté par la direction. Résultat : presque personne ne documente précisément ce que chacun a le droit d’y saisir, ni dans quel cadre. Ce n’est pas de la négligence de la part des équipes — c’est simplement qu’on ne leur a jamais fixé de limite claire.
Or un usage non cadré de l’IA n’est pas un risque théorique. Une donnée client confidentielle collée dans un prompt, un contenu généré signé sans relecture, une hallucination publiée sous le nom de l’entreprise : ce sont des incidents concrets, qui touchent aussi bien la conformité RGPD que la réputation ou la responsabilité juridique de l’entreprise.
Les 5 règles minimales d’une politique d’usage de l’IA
Une politique d’usage de l’IA n’a pas besoin d’être un document juridique de cinquante pages. Elle doit surtout répondre clairement à cinq questions.
1. Ce qu’on ne met jamais dans un prompt
Données clients, données RH, informations financières confidentielles : rien de sensible ne doit être saisi dans un LLM externe, même « pour gagner du temps ». La règle doit être simple et sans exception, car c’est justement dans l’urgence que ce type d’erreur se produit.
2. Quels outils sont autorisés
ChatGPT, Copilot, Gemini, Claude… ces outils n’ont ni le même contrat, ni le même hébergement, ni le même niveau de risque pour vos données. Une liste blanche d’outils validés vaut toujours mieux qu’une interdiction générale et floue, qui pousse simplement les usages dans l’ombre.
3. Qui est responsable du résultat
L’IA propose, le salarié valide. Signer ou publier un document généré sans le relire, c’est engager la responsabilité de l’entreprise sur un contenu qu’elle n’a pas réellement produit ni vérifié. Cette responsabilité doit être explicite, et rappelée régulièrement.
4. Comment signaler un incident
Une hallucination publiée, une donnée confidentielle saisie par erreur : il faut un canal de signalement simple et un réflexe clair, pas un règlement intérieur que personne ne relit jamais.
5. Ce qui sera mis à jour, et quand
Une politique d’usage de l’IA vieille de 18 mois est déjà obsolète : les outils évoluent vite, et les risques avec eux. Une révision au moins annuelle s’impose, avec un responsable clairement identifié pour la porter.
Un document ne suffit pas : il faut aussi acculturer les équipes
La plupart des entreprises ont déjà le risque. Ce qui leur manque, ce n’est pas la volonté de bien faire, mais le document — et l’acculturation des équipes qui va avec. Une politique d’usage de l’IA n’a de valeur que si elle est connue, comprise et appliquée au quotidien, pas seulement archivée dans un dossier RH.
C’est la différence entre un usage de l’IA qui protège votre organisation, et un usage qui l’expose sans même que vous vous en rendiez compte.
Par où commencer concrètement ?
Mettre en place une politique d’usage de l’IA ne demande pas un grand projet transverse de plusieurs mois. Trois étapes suffisent pour poser un premier cadre solide.
Étape 1 : cartographier les usages réels
Avant d’écrire la moindre règle, il faut savoir ce qui se passe réellement dans l’entreprise : quels outils sont utilisés, par qui, pour quoi, et avec quelles données. Un simple tour des équipes, ou un questionnaire court, suffit souvent à faire remonter des usages insoupçonnés, parfois bien plus nombreux que ce que la direction imagine.
Étape 2 : rédiger un cadre court et lisible
Une politique d’usage tient sur deux ou trois pages, pas plus : les outils autorisés, les données interdites, la personne à contacter en cas de doute. Plus le document est long, moins il sera lu, et donc moins il sera appliqué.
Étape 3 : former et rappeler régulièrement
Une session de sensibilisation de trente minutes, quelques exemples concrets tirés du quotidien de l’entreprise, et un rappel périodique à chaque mise à jour du document permettent d’ancrer durablement les bons réflexes, sans alourdir le fonctionnement des équipes.
Les erreurs les plus fréquentes à éviter
Sur ce sujet, nous voyons revenir les mêmes écueils chez la plupart des entreprises que nous accompagnons.
- Interdire purement et simplement l’IA générative, ce qui pousse les usages vers des outils personnels non maîtrisés, hors de tout contrôle.
- Confondre politique d’usage et charte informatique générale, alors que les risques liés à l’IA (hallucinations, fuite de données dans un prompt, contenu généré non relu) sont spécifiques et méritent un traitement dédié.
- Rédiger un document une fois puis l’oublier : sans révision régulière, la politique devient obsolète à mesure que de nouveaux outils apparaissent.
- Ne pas désigner de responsable clair, ce qui laisse chaque salarié arbitrer seul en cas de doute.
Level2 SI vous accompagne sur ce sujet
Chez Level2 SI, nos clients sont accompagnés par Christophe Maillan pour cadrer l’usage de l’IA en entreprise avant qu’il ne devienne un point de fragilité : cartographie des usages existants, définition des règles adaptées à votre activité, et articulation avec vos obligations RGPD dans le cadre de notre mission de DPO externalisé. Ce cadrage s’inscrit naturellement dans une démarche globale de cybersécurité de votre système d’information.
