Politique IA pour votre PME : que doit-elle contenir ?

Une politique IA est un accord court qui fixe quels outils d'IA votre équipe peut utiliser, quelles données peuvent y entrer et qui reste responsable du résultat. Votre PME a besoin de cet accord maintenant, parce que vos gens utilisent de toute façon déjà l'IA, avec ou sans votre autorisation. Une page suffit, et vous trouvez ci-dessous ce qui doit y figurer, plus un exemple que vous pouvez reprendre tel quel.

Pourquoi votre PME a-t-elle besoin d'une politique IA ?

Parce que l'alternative revient à tolérer en silence, et cela met des données clients dans des chatbots gratuits sans que personne ne le voie. Un accord court sort cet usage de l'ombre et donne à votre équipe de la clarté à la place d'une interdiction qui sera contournée de toute façon.

Le rapport du MIT sur l'IA en entreprise, très commenté (et critiqué sur sa méthode), constatait que dans plus de 90 % des entreprises étudiées, des travailleurs utilisent des outils d'IA personnels pour le travail, y compris là où rien n'est officiellement réglé. Ce schéma, tout le monde le reconnaît dès qu'on pose la question sur le terrain : des données clients dans des chatbots gratuits, sans contrat de sous-traitance, hors de tout regard. Une page claire résout davantage qu'une interdiction, car une interdiction déplace simplement l'usage vers le GSM privé.

Il y a aussi une raison légale. L'obligation de donner à votre personnel des connaissances de base sur l'IA s'applique depuis février 2025, comme nous l'expliquions dans notre article sur l'AI Act. Une politique est le point de départ naturel pour cela.

Que doit contenir au minimum une politique IA ?

Six accords suffisent pour la plupart des PME : quels outils sont permis, quelles données peuvent y entrer, qu'un humain contrôle chaque sortie, qui porte la responsabilité finale, quand vous signalez l'usage de l'IA et comment un nouvel outil arrive sur la liste. Ensemble, ils tiennent sur une page.

1. Quels outils sont autorisés, nommément. Une courte liste que vous complétez, à la place d'une catégorie vague.
2. Quelles données peuvent y entrer et lesquelles jamais : les données personnelles de clients et de personnel, les accords de prix et les documents confidentiels restent dehors, sauf si l'outil est couvert par un contrat de sous-traitance.
3. Qu'un humain contrôle chaque sortie qui quitte l'entreprise : devis, mails, rapports, code.
4. Qui porte la responsabilité finale : celui qui envoie ou utilise le résultat, jamais "l'IA".
5. Quand vous signalez l'usage de l'IA à des clients, des candidats ou des collègues.
6. Comment un nouveau programme arrive sur la liste : un point de contact unique, une vérification courte, une décision dans la semaine.

Quels outils autorisez-vous et quelles données peuvent y entrer ?

La ligne de partage, c'est le contrat de sous-traitance. Les outils gratuits, vous ne les utilisez que pour de l'information publique ou anonymisée ; les données de clients et de personnel ont uniquement leur place dans des outils couverts par un contrat de sous-traitance. Qui doute d'un programme particulier le demande à la place de deviner.

Les abonnements professionnels comme ChatGPT Business ou Copilot avec licence d'entreprise offrent des garanties contractuelles que vos données ne servent pas de données d'entraînement ; les versions grand public gratuites ne les offrent généralement pas. Quels outils vous rendez disponibles de façon centrale et comment vous les reliez entre eux en sécurité, c'est précisément ce que nous entendons par orchestration IA.

Qui est responsable quand l'IA commet une erreur ?

L'humain qui a utilisé la sortie, jamais le système. Ce principe mérite sa propre ligne dans votre politique, car celui qui sait qu'il signe lui-même le devis le relit aussi.

Cela rejoint la façon dont l'AI Act regarde les employeurs : votre entreprise reste responsable de ce que font vos systèmes, donc vous organisez le contrôle de votre côté. C'est pourquoi le contrôle final humain figure littéralement dans le texte, pour qu'il ne dépende pas de qui, ce jour-là, se trouve attentif.

Comment garder la politique vivante ?

En revoyant la liste d'outils chaque trimestre et en rendant le signalement facile. Une politique IA vieillit plus vite que n'importe quel autre document d'entreprise, car l'offre bouge d'un trimestre à l'autre. Planifiez donc un moment fixe et associez-y un peu de formation.

• Revoyez la liste d'outils chaque trimestre. Rayez ce que personne n'utilise, évaluez ce que l'équipe demande.
• Rendez le signalement facile. Un message à la personne qui gère la liste suffit pour faire évaluer une nouveauté. Plus ce seuil est bas, moins il se passe de choses hors de votre vue.
• Associez-y de la formation. Une demi-journée par an maintient les connaissances de base à niveau et est subsidiable via la kmo-portefeuille, le régime de subsides flamand pour les PME. Si vous voulez aller plus loin que des outils isolés, lisez comment implémenter l'IA structurellement dans votre entreprise.

À quoi ressemble une politique IA en sept phrases ?

À ceci, assez court pour tenir sur un écran. Copiez les phrases ci-dessous, adaptez les noms et l'emplacement et vous êtes parti.

1. Nous utilisons l'IA comme un outil ; la responsabilité finale revient toujours au collègue qui utilise le résultat.
2. Les outils autorisés figurent sur la liste dans [emplacement] ; ce qui n'y figure pas, vous ne l'utilisez pas pour le travail.
3. Les données personnelles, les accords de prix et les documents confidentiels ne s'encodent que dans les outils de la liste portant la mention "contrat de sous-traitance".
4. Tout ce qui quitte l'entreprise est relu par un humain.
5. Là où l'IA communique directement avec des clients ou des candidats, nous le mentionnons.
6. Les nouveaux outils se signalent auprès de [nom] ; vous recevez une réponse dans la semaine.
7. Chaque trimestre, nous parcourons la liste et les accords lors de la réunion d'équipe.

---

Vous voulez régler, à côté des accords, aussi le volet technique, des outils d'IA sécurisés jusqu'à une solution propre où vos données restent dans la maison ? Nous réfléchissons volontiers avec vous lors d'un entretien sans engagement.