Politique d'usage de l'IA en entreprise : ce qu'il faut écrire

Pourquoi écrire ces règles, concrètement

Trois situations reviennent régulièrement, et aucune ne suppose de mauvaise intention.

La première est la fuite d'information. Un document confidentiel déposé dans un outil grand public sort de l'entreprise. Selon le service et l'offre, il peut être conservé, relu en cas d'incident, ou servir à entraîner un modèle. Le salarié qui l'a fait n'en avait aucune idée.

La deuxième est l'erreur envoyée au client. Un texte produit par une IA est fluide et assuré, y compris quand il est faux. Un montant, un délai légal ou une référence inventés partent au client sans que personne les ait vérifiés, parce que la forme inspirait confiance.

La troisième est la dispersion. Chacun prend l'outil qu'il préfère, avec son compte personnel. Le jour où la personne part, son historique et ses paramétrages partent avec elle.

Une politique d'usage ne sert pas à interdire. Elle sert à ce que chacun sache où est la ligne, et à ce que l'entreprise garde la main sur ce qui circule.

Ce que dit la réglementation, sans en rajouter

Le règlement européen sur l'intelligence artificielle prévoit que les entreprises qui déploient des systèmes d'IA veillent à ce que leur personnel dispose d'un niveau suffisant de maîtrise de ces outils. Cette disposition a été assouplie en 2026 et n'est pas assortie d'une sanction qui lui soit propre.

Autrement dit : vous ne risquez pas une amende pour ne pas avoir formé vos équipes. En revanche, le droit commun continue de s'appliquer pleinement. La protection des données personnelles, le secret professionnel selon votre métier, la confidentialité contractuelle envers vos clients : rien de tout cela ne disparaît parce que l'information a transité par une IA. C'est là que se situe le risque réel, pas dans une sanction spécifique à l'IA.

Méfiez-vous donc des arguments commerciaux fondés sur l'urgence réglementaire. La bonne raison d'écrire une politique est opérationnelle.

Les six points que doit contenir votre politique

Une politique utile est courte et lisible par quelqu'un qui n'y connaît rien. Six rubriques suffisent.

1. Les outils autorisés. Nommez-les. Un outil qui n'est pas dans la liste n'est pas autorisé, et c'est beaucoup plus simple à tenir qu'une liste d'interdictions.
2. Les usages encouragés. Rédiger un brouillon, résumer un document interne, reformuler, traduire, préparer un plan. Dire ce qui est permis évite que la politique soit lue comme une défiance.
3. Les informations qui ne sortent jamais. Données personnelles de clients ou de salariés, pièces comptables nominatives, contrats en cours, mots de passe, documents couverts par un secret professionnel.
4. La règle de relecture. Tout contenu produit par une IA et destiné à sortir de l'entreprise est relu par une personne identifiée, qui en reste responsable.
5. La transparence. Dans quels cas vous indiquez à un client qu'une IA est intervenue. Pour un chatbot sur votre site, c'est attendu.
6. Qui décide. Une personne autorise l'ajout d'un nouvel outil. Sans ce point, la liste de la rubrique 1 est périmée en trois mois.

Comment la mettre en place, étape par étape

1. Commencez par regarder ce qui se passe déjà. Demandez simplement à votre équipe quels outils elle utilise, en annonçant qu'il n'y aura pas de sanction. Vous découvrirez des usages que vous ne soupçonniez pas, et c'est précisément ce qu'il faut encadrer.
2. Choisissez les outils retenus en versions professionnelles, avec des comptes au nom de l'entreprise et non des comptes personnels.
3. Rédigez les deux pages. Phrases courtes, exemples tirés de votre métier, aucun vocabulaire juridique inutile.
4. Présentez-les en réunion plutôt que par mail. Une politique envoyée en pièce jointe n'est pas lue ; une politique expliquée en vingt minutes, avec des exemples, l'est.
5. Formez l'équipe sur des cas réels, les vôtres. C'est ce qui fait la différence entre un document rangé dans un dossier et des pratiques qui changent.
6. Relisez-la tous les six mois. Les outils changent, les usages aussi.

Les pièges à éviter

Le premier est l'interdiction générale. Interdire l'IA ne la fait pas disparaître : elle passe sur les téléphones personnels, hors de toute visibilité. Vous perdez le contrôle au lieu de le prendre.

Le deuxième est le document copié ailleurs. Une politique récupérée telle quelle sur internet parle d'outils que vous n'utilisez pas et ignore votre métier. Un cabinet comptable, une agence immobilière et un artisan n'ont pas les mêmes informations sensibles.

Le troisième est l'absence de suivi. Une politique sans personne pour la faire vivre devient fausse dès qu'un nouvel outil arrive. Désignez un responsable, même à temps très partiel.

Le dernier est de confondre politique et formation. Le document dit ce qui est permis ; il n'apprend pas à écrire une bonne consigne, à repérer une réponse douteuse ou à vérifier une source. Sans le second volet, le premier reste théorique. À Poitiers comme ailleurs, les entreprises qui tirent vraiment quelque chose de l'IA sont celles qui ont fait les deux.