Posez la question autour de vous : dans la plupart des entreprises, quelqu'un utilise déjà ChatGPT, Claude ou Gemini pour reformuler un e-mail, résumer un document ou traduire un message. Souvent avec un compte personnel, et sans que personne ne sache ce qui y est copié. Interdire ne marche pas, laisser faire non plus. La bonne réponse tient sur une page : une charte d'usage.
Pourquoi un cadre est devenu nécessaire
Le risque principal n'est pas technique, il est humain. Un commercial colle le tableau des prix d'un client pour « améliorer la présentation ». Une assistante transmet un contrat pour en obtenir un résumé. Un développeur copie un extrait de code qui contient un mot de passe. Aucun n'a de mauvaise intention, et pourtant des informations sortent de l'entreprise.
En Tunisie, la loi organique n° 2004-63 sur la protection des données personnelles s'applique aussi à ces usages : envoyer les données d'un client ou d'un salarié à un service étranger est un traitement de données, avec des obligations.
Règle 1 : classer les données en trois niveaux
Une règle compliquée ne sera pas appliquée. Le plus efficace est de répartir les informations en trois catégories que tout le monde comprend :
| Niveau | Exemples | Avec un assistant d'IA |
|---|---|---|
| Public | Texte du site web, fiche produit publiée, offre d'emploi | Autorisé |
| Interne | Procédures, comptes rendus de réunion, modèles de documents | Avec un compte professionnel uniquement |
| Confidentiel | Données clients, salaires, contrats, prix, données de santé, mots de passe | Interdit, sauf outil validé spécialement |
Règle 2 : des comptes professionnels, pas personnels
Les versions gratuites et personnelles des assistants n'offrent pas les mêmes garanties que les offres destinées aux entreprises. Ces dernières précisent généralement que vos échanges ne servent pas à entraîner les modèles, et permettent de gérer les accès des collaborateurs. Lisez les conditions de l'outil choisi : règles d'utilisation d'OpenAI, politique d'utilisation d'Anthropic ou règles de Google pour l'IA générative.
Choisissez un ou deux outils officiels plutôt que de laisser chacun utiliser le sien. C'est plus simple à expliquer, à sécuriser et à payer.
Règle 3 : toujours relire avant d'envoyer
Un assistant d'IA peut se tromper avec beaucoup d'assurance : un chiffre inventé, un article de loi qui n'existe pas, une traduction approximative d'un terme technique. La règle est simple : la personne qui envoie le texte en est responsable, quelle que soit la façon dont il a été produit.
Exigez une vérification renforcée pour tout ce qui engage l'entreprise : devis, réponse à une réclamation, document juridique, communication publique.
Règle 4 : dire quand l'IA a été utilisée
Pas besoin de le signaler pour reformuler un e-mail. En revanche, un rapport, une analyse ou un document remis à un client doit indiquer s'il a été produit avec l'aide d'un outil d'IA. C'est une question de confiance, en interne comme avec vos clients.
Règle 5 : nommer un référent
Quelqu'un doit pouvoir répondre aux questions : « ai-je le droit de copier ce document ? », « quel outil utiliser pour traduire ce contrat ? ». Ce référent valide aussi les nouveaux usages et met la charte à jour.
Le modèle d'une page
Votre charte peut tenir dans ce cadre :
- Outils autorisés : lesquels, avec quels comptes.
- Données : le tableau des trois niveaux, avec des exemples tirés de votre activité.
- Relecture : ce qui doit toujours être vérifié par une personne.
- Transparence : quand mentionner l'usage de l'IA.
- Référent : à qui poser les questions, et comment signaler un incident.
Et quand les données sont trop sensibles ?
Certaines tâches justifient l'IA, mais portent sur des données confidentielles : analyser des contrats, trier des dossiers de candidats, extraire des informations de factures. Dans ce cas, il existe des solutions installées sur vos propres serveurs, ou des services aux garanties contractuelles adaptées. Nous comparons les deux approches dans API d'IA ou modèle local : que choisir pour vos documents d'entreprise ?.
Chez Owlytek, nous aidons les entreprises à choisir les bons usages de l'IA, à rédiger leurs règles internes et à mettre en place des outils adaptés à leurs données.
Questions fréquentes
Peut-on interdire complètement l'IA dans l'entreprise ?
C'est possible, mais rarement efficace : les usages continuent sur des comptes personnels, sans aucun contrôle. Un cadre clair, avec des outils validés, réduit davantage les risques qu'une interdiction difficile à faire respecter.
Les offres professionnelles protègent-elles vraiment nos données ?
Elles offrent en général des engagements plus forts que les versions gratuites, notamment sur la non-réutilisation des échanges pour l'entraînement. Lisez les conditions de l'offre choisie et vérifiez où les données sont traitées.
Qui doit rédiger la charte ?
La direction, avec un référent qui connaît les usages réels des équipes. Une première version d'une page suffit ; elle s'enrichit avec les questions posées au fil des mois.
