Comment rédiger une politique d’utilisation de l’IA pour une petite entreprise?

Si des gens dans votre entreprise utilisent ChatGPT ou des outils semblables, vous avez déjà une politique d’IA. Elle n’est simplement pas écrite, alors chacun l’invente au fur et à mesure. Un employé colle la plainte d’un client, nom et adresse compris, dans un robot conversationnel gratuit; une autre refuse de toucher à l’IA. Une courte politique écrite remplace les suppositions par une règle commune, protège les renseignements de vos clients et donne au personnel la permission de bien utiliser les outils.

Pour une petite entreprise, la politique n’a pas besoin de jargon juridique ni de vingt pages. Elle doit répondre clairement à quatre questions : quels outils, quelles données, quand divulguer, et qui vérifie.

Les quatre parties d’une politique d’une page

1. Outils approuvés. Nommez les outils que le personnel peut utiliser pour le travail, et avec quel compte. Un compte gratuit personnel et un forfait d’entreprise peuvent traiter les données différemment. Par exemple, OpenAI affirme ne pas entraîner ses modèles sur les données de ChatGPT Team, son forfait d’espace de travail lancé en janvier à 25 $ US à 30 $ US par utilisateur par mois. Quel que soit votre choix, lisez les conditions du fournisseur sur la façon dont les données saisies sont conservées et utilisées.

2. Règles sur les données. C’est le cœur de la politique. Les renseignements personnels sur les clients ou les employés, les mots de passe, les détails de comptes financiers et les renseignements d’affaires confidentiels restent hors des outils d’IA, à moins qu’un outil et une fin précis et approuvés ne le permettent. L’anonymisation (retirer les noms et les détails permettant d’identifier quelqu’un) devrait devenir un réflexe.

3. Divulgation. Décidez quand les clients devraient être informés que l’IA a aidé. Un point de départ raisonnable : informer les gens quand ils interagissent avec un système automatisé, comme un robot conversationnel sur votre site, et quand une décision qui les concerne repose sur un traitement automatisé.

4. Révision humaine. Les textes rédigés par l’IA peuvent contenir des erreurs affirmées avec assurance. Tout ce qui sort de l’entreprise, comme une soumission, un courriel, une publication sur les réseaux sociaux ou une description de produit, est lu et approuvé par une personne, qui en est responsable.

Notes pour les entreprises québécoises : la Loi 25

Au Québec, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) modernise par étapes, depuis septembre 2022, les règles de protection des renseignements personnels dans le secteur privé, et un ensemble important d’obligations est en vigueur depuis le 22 septembre 2023. La Commission d’accès à l’information (CAI), l’organisme québécois de surveillance en matière de vie privée, publie un aide-mémoire de ces obligations. Plusieurs touchent directement l’utilisation de l’IA :

• Chaque entreprise doit avoir un responsable de la protection des renseignements personnels, dont le titre et les coordonnées sont publiés. Par défaut, il s’agit de la personne ayant la plus haute autorité dans l’entreprise, qui peut déléguer cette fonction à quelqu’un d’autre.
• Les entreprises doivent se doter de politiques et de pratiques encadrant la gouvernance des renseignements personnels, et publier de l’information à leur sujet en termes clairs sur leur site Web. Une politique d’IA s’y ajoute naturellement.
• Une évaluation des facteurs relatifs à la vie privée (EFVP) est exigée dans certains cas, par exemple avant une communication de renseignements personnels à l’extérieur du Québec. Beaucoup de services d’IA traitent les données ailleurs, une raison de plus de garder les renseignements personnels hors de ces outils.
• La CAI suggère d’informer les personnes lorsqu’une décision les concernant est fondée exclusivement sur un traitement automatisé.
• Les incidents de confidentialité impliquant des renseignements personnels doivent être pris en charge, consignés dans un registre et, lorsqu’il y a un risque de préjudice sérieux, déclarés.

La CAI précise que son aide-mémoire est général et que la loi prévaut toujours, et elle suggère de consulter un avocat spécialisé en protection des renseignements personnels. Cet article n’est pas non plus un avis juridique; hors du Québec, vérifiez les règles de protection des renseignements personnels de votre propre province ou de votre pays.

Un gabarit commenté

Ce qui suit est un point de départ à adapter, pas un document juridique final. Remplacez les crochets et retirez ce qui ne s’applique pas.

POLITIQUE D’UTILISATION DE L’IA DE [NOM DE L’ENTREPRISE]            Version 1, [DATE]

Objectif : Nous utilisons des outils d’IA pour gagner du temps sur les brouillons, les idées et les résumés, tout en protégeant les renseignements de nos clients et de nos employés.

1. Outils approuvés : [OUTIL, FORFAIT/TYPE DE COMPTE]. Utilisez seulement ceux-ci pour le travail. Demandez à [NOM] avant d’essayer un nouvel outil pour le travail.

2. Ne jamais entrer : les noms, adresses, numéros de téléphone ou courriels des clients ou du personnel; les renseignements de santé ou financiers; les mots de passe; les prix ou contrats des fournisseurs; tout ce qui est marqué confidentiel.
   Permis : du texte anonymisé, de l’information publique, nos propres textes de marketing.

3. Divulgation : Le robot conversationnel de notre site Web indique qu’il est automatisé. Nous informons un client si une décision le concernant a été prise par un système automatisé.

4. Révision : Une personne lit, vérifie les faits et approuve tout texte que l’IA a aidé à rédiger avant qu’il soit envoyé ou publié. La personne qui l’envoie en est responsable.

5. Problèmes : Si des renseignements personnels sont entrés par erreur, avisez [NOM DU RESPONSABLE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS] le jour même.

Questions : [NOM, COURRIEL]      Prochaine révision : [DATE]

Vous pouvez aussi demander à un robot conversationnel de vous aider à adapter ce gabarit à votre métier, pourvu que vous décriviez votre entreprise en termes généraux et que vous n’y colliez pas de vraies données de clients.

Qui devrait l’approuver?

Le propriétaire ou la personne ayant la plus haute autorité dans l’entreprise devrait la signer, parce que la politique fixe des règles pour tout le monde et engage l’entreprise sur la façon dont elle traite les renseignements de ses clients. Au Québec, cette même personne est, par défaut, responsable de la protection des renseignements personnels en vertu de la Loi 25, à moins d’avoir délégué cette fonction; la politique relève donc naturellement d’elle ou de la personne déléguée.

L’approbation fonctionne mieux après une consultation. Demandez aux personnes qui utilisent l’IA tous les jours ce qu’elles en font réellement; leurs réponses révéleront des risques et de bons usages auxquels vous n’aviez pas pensé. Si vous avez un comptable, un fournisseur informatique ou un avocat qui s’occupe de vos obligations en matière de protection des renseignements personnels, une révision rapide de sa part en vaut la peine.

Ensuite, rendez l’approbation visible et répétable. Datez la politique, faites-la lire à chaque employé et fixez une date de révision. Les outils d’IA et leurs conditions changent souvent; une révision annuelle, ou plus tôt quand vous adoptez un nouvel outil, garde la page à jour.