La politique d'utilisation de l'IA en un seul document

La plupart des politiques sur l'IA échouent au cours de la première semaine

Le schéma habituel : des brouillons juridiques de quatorze pages, envoyés en PDF comme pièce jointe, les gens balaient simplement l'objet du courriel et rien ne change. Pendant ce temps, la moitié de l'entreprise colle du contenu client dans n'importe quel chatbot ouvert dans un nouvel onglet. La politique existe, donc le risque semble maîtrisé. Ce n'est pas le cas.

Une politique ne fonctionne que si un nouveau salarié peut la lire en deux minutes et s'en souvenir trois mois plus tard, au moment où il est sur le point de coller quelque chose. Cette contrainte — rappelable sous pression temporelle — doit guider la rédaction, pas sa complétude.

Commencez par ce que les gens sont autorisés à faire

Les politiques qui n'interdisent que produisent une utilisation parallèle. Les employés ont toujours les mêmes délais, les outils sont gratuits et à un clic de distance, et ils ont maintenant une raison de ne pas en parler. Vous perdez la visibilité que vous essayiez d'acquérir.

Alors, commencez par l'autorisation. Nommez les outils spécifiques approuvés par votre entreprise, par nom de produit, avec le type de compte — le niveau professionnel payant, pas le consommateur gratuit, car les conditions de données diffèrent. Ensuite, dites clairement que les gens peuvent les utiliser pour la rédaction, la synthèse, la recherche, l'analyse préliminaire, le codage, la traduction et la réflexion à voix haute. Si une tâche entre dans cette liste et que les règles de données ci-dessous le permettent, personne n'a besoin de demander.

Un seul paragraphe fait plus pour la gouvernance qu'un chapitre sur les principes responsables de l'IA. Il offre aux gens un chemin légitime, ce qui signifie que les alternatives illégitimes ne semblent plus nécessaires.

Interdisez une courte liste et soyez concret

Gardez les interdictions suffisamment limitées pour être mémorables. Cinq est un bon plafond. Chaque interdiction doit décrire une action, pas une valeur :

N'enregistrez pas de données personnelles des clients, de mots de passe, de résultats financiers non publiés ou de tout sujet sous NDA dans un outil non approuvé.
N'envoyez pas de travail généré par l'IA à un client, un régulateur ou le conseil d'administration sans qu'une personne nommée le lise en premier.
N'autorisez pas un modèle à prendre une décision finale sur une personne — embauche, licenciement, crédit, tarification, éligibilité.
N'achetez ni n'connectez aucun nouvel outil IA avec une carte ou un compte personnel.
N'affirmez pas qu'un matériel généré par l'IA est le travail original de quelqu'un — dépôts juridiques, chiffres vérifiés, recherches publiées.

Remarquez ce qui est absent : aucune interdiction sur "l'utilisation non éthique", aucune exigence d'"utiliser l'IA de manière responsable". Ces éléments semblent remplisseurs et n'offrent personne de règle décisionnelle. Si une phrase ne changerait pas ce que quelqu'un fait un mardi après-midi, coupez-la.

Classez les données, pas les tâches

L'erreur de rédaction la plus courante consiste à essayer d'énumérer les cas d'utilisation approuvés. Vous n'y arriverez jamais et la liste vieillit mal.

Classifiez plutôt vos informations. Trois niveaux suffisent : public, interne et restreint. Public va partout. Interne va dans les outils approuvés. Restreint ne va nulle part sans exception nommée. Ensuite, donnez deux ou trois exemples réels de chacun tirés de votre propre entreprise, car "confidentiel" n'a de sens que si le prix est interne et les dossiers médicaux du client sont restreints.

Les niveaux de données survivent à l'arrivée d'outils qui n'existent pas encore. Les listes de cas d'utilisation ne survivent pas.

Donnez un nom à la sortie

Chaque livrable assisté par l'IA a besoin d'un propriétaire humain : la personne qui l'envoie est propriétaire, exactement comme elle le serait d'un brouillon d'un collègue junior. Une seule phrase porte la plupart du poids de la responsabilité dans tout le document. Elle résout également la question de la divulgation — vous divulguez lorsque un lecteur le voudrait raisonnablement, et le propriétaire prend cette décision.

Donnez aux gens un endroit où aller si la politique ne couvre pas leur situation. Nommez une personne et un canal, et engagez-vous à un délai de traitement. Deux jours ouvrables sont réalistes. Sans cette option, les cas ambigus se résolvent silencieusement dans la direction la plus rapide.

Comment le limiter à une page

Supprimez tout ce qui est déjà couvert par votre accord de confidentialité, votre politique de sécurité ou la loi. Supprimez la section des définitions. Supprimez la philosophie. Donnez à la page un numéro de version, une date et un propriétaire, et attendez-vous à la réémettre deux ou trois fois par an au fur et à mesure que les outils et les termes évoluent — une politique facile à réviser sera révisée.

Ensuite, testez-la avant de la publier. Remettez le projet à quatre personnes de différentes équipes avec trois scénarios réels et demandez-leur ce que leur dit la politique. Si deux d'entre eux sont en désaccord, la page n'est pas assez claire. Cette demi-journée de test vaut plus qu'un autre examen juridique.

La partie la plus difficile de l'adoption de l'IA est rarement la technologie. C'est obtenir quelques centaines de personnes à prendre des décisions cohérentes sans avocat dans la pièce. Une page qu'ils se souviennent fait cela. Quatorze qu'ils ignorent ne le font pas.

Si vous souhaitez une deuxième paire d'yeux sur la vôtre, c'est le genre de service que nous offrons à nos clients.