Le scénario est devenu assez banal.
Une personne utilise ChatGPT. Une autre Copilot. Une troisième a trouvé un outil formidable jeudi soir. Chacun a sa manière de faire, ses données, ses habitudes de vérification.
Tout le monde expérimente. Très bien.
Le problème commence quand personne ne sait ce que l’entreprise a appris de tout ça.
Une petite équipe n’a pas besoin d’une charte de cinquante pages
Elle a d’abord besoin de réponses à des questions très simples.
Quels outils sont autorisés ? Quelles données ne doivent pas être envoyées ? Quand faut-il réduire ou pseudonymiser ? Quelles sorties doivent être vérifiées ? Qui appelle-t-on quand on a un doute ?
Si ces cinq points sont clairs, on a déjà quelque chose d’utilisable lundi matin.
« Faites attention » n’est pas une règle
Une règle utile dit quoi faire.
Pour un document client, n’envoie que les données nécessaires. Pour une réponse factuelle importante, garde la source. Pour un mail externe, une personne relit avant l’envoi. Pour une donnée sensible, on s’arrête et on vérifie le cadre.
Ce n’est pas parfait. Mais c’est beaucoup plus actionnable qu’une page de principes que personne ne relit.
Si une IA produit un chiffre, une règle juridique ou une information utilisée pour décider, demande-toi comment on peut retrouver la source.
Ce petit réflexe évite une partie des contenus « vrais parce qu’ils sont bien écrits ».
La CNIL a justement publié avec France Num et la CPME des repères pratiques pour aider les TPE et PME à choisir et utiliser des solutions d’IA générative de façon plus responsable.
Ajoute aussi une porte de sortie
Que fait la personne quand elle n’est pas sûre ? Qui peut dire « non, là on ne l’utilise pas » ? Quelle est la méthode manuelle si l’outil tombe ?
Un cadre qui ne prévoit que le fonctionnement idéal finit souvent par être contourné au premier cas bizarre.
Dès qu’une personne peut être affectée, change de niveau
Recrutement, évaluation, accès à un avantage, décision importante sur un salarié ou un client : là, une règle interne de trois lignes ne suffit plus.
Il faut regarder le RGPD, le droit du travail, la non-discrimination et le rôle exact de l’IA. Pour certains usages classés à haut risque dans l’emploi, les obligations spécifiques de l’AI Act prévues pour l’annexe III s’appliqueront à partir du 2 décembre 2027. Le contrôle humain, lui, doit déjà être réel, pas une signature automatique à la fin.
Repères : CNIL, IA générative dans les TPE et PME, OCDE, IA et marché du travail, Commission européenne, AI Act et Code du travail, non-discrimination.
Le meilleur cadre n’est pas celui qui interdit tout. C’est celui qui permet d’expérimenter sans que chacun doive réinventer les limites tout seul.