Politique d’utilisation de l’IA en entreprise : un modèle d’une page

Un employé colle dans ChatGPT l’e-mail d’un client, parce qu’il veut rédiger rapidement une réponse. Un autre jour, il y met un tableau avec des prix et des marges pour le « remettre en ordre ». Il le fait de bonne foi, mais l’entreprise ne sait pas ce qui est parti vers un outil externe.

Dans ce conseil, vous trouvez des règles qui tiennent sur une page : ce qu’on peut coller, ce qu’on ne peut pas, comment en parler avec l’équipe, et un modèle de politique à copier. Ce n’est pas un conseil juridique, et je décris la situation au 28 octobre 2026. En cas de doute, consultez un juriste ou un délégué à la protection des données.

Pourquoi une petite entreprise a besoin d’une politique de l’IA

Sans règles, chaque employé décide seul. L’un utilise le compte professionnel payant, un autre un compte personnel gratuit, un troisième une extension dont personne n’a entendu parler. Il est alors difficile de dire où sont arrivées les données des clients.

Le document remplit trois fonctions :

• il protège les données des clients, des employés et de l’entreprise elle-même,
• il donne de la clarté aux équipes sur ce qu’elles peuvent faire sans demander,
• il montre aux clients et aux partenaires que vous maîtrisez le sujet, ce que certains peuvent exiger dans les contrats.

La politique n’a pas à être un règlement de 20 pages. Une page que quelqu’un lit vraiment fonctionne mieux qu’un gros dossier oublié au fond d’un tiroir.

Ce que dit la loi : AI Act et RGPD

L’article 4 de l’AI Act (règlement (UE) 2024/1689) porte sur les compétences en matière d’IA. Il s’applique depuis le 2 février 2025 et concerne non seulement les fournisseurs de systèmes d’IA, mais aussi les entités qui les utilisent au travail, donc aussi une petite entreprise dont l’équipe rédige ses offres dans ChatGPT. Le paquet Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026) a assoupli cette disposition : l’entreprise n’a plus à « garantir » un niveau de connaissances déterminé, mais doit prendre des mesures soutenant les compétences en matière d’IA de ses employés et des autres personnes qui utilisent l’IA en son nom. Il ne s’agit donc pas d’une obligation de « posséder une politique », mais une formation et des règles claires aident à la respecter. La Commission européenne explique dans ses questions-réponses sur les compétences en IA qu’un certificat n’est pas nécessaire et que l’entreprise peut tenir un registre interne des formations.

Le deuxième pilier est le RGPD. Les données personnelles, ce sont aussi un nom et un prénom avec une adresse, un numéro de téléphone, un e-mail ou le contenu d’un e-mail d’une personne précise. Les coller dans un outil externe constitue un traitement de données. Il vous faut donc une base légale, une finalité et, en général, un contrat de sous-traitance avec le fournisseur. Vous trouverez des indications sur le site de l’autorité polonaise de protection des données, uodo.gov.pl.

Le troisième élément est le secret des affaires : tarifs, marges, contrats, code, plans. La loi polonaise sur la lutte contre la concurrence déloyale (ustawa o zwalczaniu nieuczciwej konkurencji) ne protège le secret des affaires que si l’entreprise veille avec la diligence requise à sa confidentialité (article 11, paragraphe 2). Des règles écrites d’utilisation de l’IA font partie de ces mesures, et les données qui sont déjà sorties de l’entreprise ne peuvent généralement pas être récupérées.

Offre gratuite ou professionnelle : où est la différence

La question la plus importante est la suivante : le fournisseur utilise-t-il ce que vous collez pour entraîner ses modèles ? La réponse dépend de l’offre et des paramètres, et les fournisseurs les modifient. C’est pourquoi vérifiez les conditions actuelles à la date à laquelle vous introduisez la politique.

Le schéma général est le suivant :

C’est une généralisation, pas une garantie. Avant de décider, lisez les conditions de l’outil choisi. J’ai décrit la comparaison des abonnements dans le conseil ChatGPT ou Gemini pour l’entreprise.

Ce qui est permis et ce qui ne l’est pas : trois couleurs

Le plus simple est de répartir les données en trois groupes. Un employé retiendra les couleurs plus vite que les articles de loi.

Vert : on peut coller

• textes publics, par exemple descriptions tirées du site de l’entreprise,
• questions générales (« comment rédiger une offre pour la pose de fenêtres »),
• brouillons de textes personnels sans données de clients,
• données anonymisées, qui ne permettent de reconnaître ni une personne ni une entreprise.

Jaune : uniquement dans une offre professionnelle et après anonymisation

• procédures et consignes internes,
• extraits de contrats dont les noms des parties ont été supprimés,
• récapitulatifs de ventes anonymes,
• contenu d’e-mails après remplacement des données par des repères du type « Client A ».

Rouge : on ne colle jamais

• données personnelles des clients et des employés (nom et prénom, adresse, téléphone, PESEL (numéro d’identification national polonais), e-mail),
• données de santé et autres catégories particulières de données,
• mots de passe, clés API, accès aux systèmes,
• tarifs de gros, marges, contrats avec les partenaires couverts par la confidentialité,
• code et documentation dont la divulgation est interdite,
• données de cartes, numéros de comptes.

Test en une question : serait-ce acceptable pour moi que ce que je colle apparaisse sur l’écran d’un concurrent ou d’un client ? Si non, je ne le colle pas.

Comment anonymiser un texte en 2 minutes

La plupart des tâches peuvent se faire sans données réelles. Remplacez-les par des repères :

1. Les noms et prénoms par « Client A », « Client B ».
2. Les noms d’entreprises par « Entreprise X ».
3. Supprimez entièrement les adresses, les numéros de téléphone et les e-mails.
4. Arrondissez les montants ou remplacez-les par des exemples.
5. Relisez le texte en cherchant des détails permettant de reconnaître quelqu’un (un poste rare, une réalisation inhabituelle).

Ne collez dans l’outil qu’un texte ainsi préparé. Complétez la réponse avec les données réelles en dehors de l’outil.

Autres règles : vérifier, signaler, demander

Une politique de l’IA ne concerne pas seulement les données saisies. Ajoutez quelques règles sur ce qui en ressort :

• Une personne vérifie le résultat. L’IA se trompe sur un ton assuré : elle invente des chiffres, des dispositions légales et des noms d’entreprises. Rien ne part chez un client sans avoir été lu.
• On ne cite pas l’IA comme source de faits. Les prix, les délais et les exigences légales se vérifient dans les sources officielles.
• On signale là où c’est nécessaire. Depuis le 2 août 2026, l’article 50 de l’AI Act exige qu’un chatbot sur un site dise qu’il est une IA, et une partie des contenus générés par IA, par exemple les deepfakes, doit être signalée. Détails dans le conseil sur le chatbot IA et l’AI Act.
• Chacun sait à qui s’adresser. Désignez une personne qui tranche les doutes.
• Les faux pas se signalent sans sanction pour avoir été honnête. Si quelqu’un colle ce qu’il n’aurait pas dû, il doit le dire immédiatement.

Modèle de politique de l’IA en 1 page

Voici un brouillon à copier. Adaptez les noms des outils et la personne de contact.

Politique d’utilisation de l’IA dans l’entreprise [nom] En vigueur depuis le [date]. Responsable des règles : [nom et prénom, contact].

1. Outils autorisés : [par exemple ChatGPT Business sur des comptes professionnels]. Nous n’utilisons pas d’autres outils d’IA pour le travail sans autorisation.
2. Comptes : pour le travail, nous utilisons uniquement des comptes professionnels, pas des comptes personnels.
3. Les données vertes (publiques, questions générales) peuvent être collées.
4. Les données jaunes (procédures, textes anonymisés) sont collées après suppression des données personnelles et des noms.
5. Les données rouges ne sont jamais collées : données personnelles, données de santé, mots de passe, clés, contrats et tarifs couverts par la confidentialité.
6. Nous vérifions le résultat. Rien de ce qui vient de l’IA ne part chez un client sans avoir été lu par une personne.
7. Nous signalons les contenus et les chatbots avec IA là où la loi l’exige.
8. Les doutes et les faux pas sont signalés immédiatement à [personne]. Personne n’est sanctionné pour un signalement sincère.
9. Nous révisons les règles tous les 6 mois et après tout changement d’outil.

Comment mettre en place la politique en une semaine

1. Jour 1 : dressez la liste des outils d’IA que l’équipe utilise déjà. Demandez franchement, sans juger.
2. Jour 2 : vérifiez les paramètres de confidentialité et les conditions des outils retenus, y compris l’option d’entraînement sur les données.
3. Jour 3 : choisissez les outils autorisés et créez des comptes professionnels.
4. Jour 4 : adaptez le modèle ci-dessus à votre entreprise.
5. Jour 5 : animez une réunion de 30 minutes avec des exemples tirés de votre travail et notez qui y a participé. Une telle liste aide à démontrer le soin apporté aux compétences de l’équipe.

Si vous voulez aller plus loin, je vous aide pour le déploiement de l’IA en entreprise, et je peux transférer les données personnelles de vos clients vers une base distincte sur un serveur en Pologne ou dans l’UE.

En résumé

Une politique de l’IA n’a pas besoin d’être longue. Il suffit d’une liste d’outils autorisés, d’une répartition des données en vert, jaune et rouge, et d’une personne à qui poser ses questions. Vous pouvez mettre en place le modèle ci-dessus en une semaine.

Si vous voulez que j’analyse où l’IA aidera vraiment votre entreprise, ou que j’adapte le chat et les supports aux exigences de l’AI Act, écrivez-moi. Je réponds sous 24 heures, et les nouveaux clients bénéficient de 20 % de remise sur leur première commande.