Une petite entreprise n’a ni service informatique ni équipe chargée de la conformité. Elle a tout de même besoin de quelques règles écrites concernant les outils d’IA. Cette liste de contrôle tient sur une page de règles internes. Adaptez-la à votre profession, à vos clients et aux règles qui s’appliquent à vous.
Avant que quiconque utilise un outil d’IA
- Choisir les outils. Indiquez quels outils d’IA l’entreprise autorise. Tout autre outil est interdit pour le travail concernant les clients.
- Choisir les forfaits. Les comptes personnels et professionnels ne fonctionnent pas de la même façon. Décidez lesquels sont acceptables. Consultez la signification des paramètres de données.
- Définir les paramètres. Désactivez l’entraînement lorsque cette option existe et appliquez le même réglage à tout le monde.
- Repérer l’IA intégrée. Les courriels, les traitements de texte et les outils de réunion proposent désormais des fonctionnalités d’IA. Décidez si elles doivent être activées.
- Informer les clients. Expliquez dans la lettre de mission ou les conditions comment vous utilisez les outils d’IA. Lorsque vos règles exigent un consentement pour certains usages, obtenez-le.
- Désigner un responsable. Une personne répond aux questions et veille à ce que la politique reste à jour.
Pour chaque tâche
- La tâche nécessite-t-elle vraiment des informations sur le client ? Les modèles, les explications et la structure n’en nécessitent souvent pas.
- Envoyer l’extrait, pas le fichier. Ne transmettre que ce dont la tâche a besoin.
- Remplacer chaque élément permettant une identification. Personnes, entreprises, adresses, numéros de téléphone, adresses courriel, numéros de compte, numéros d’identité et dates de naissance. Utilisez le même espace réservé pour une même personne à chaque fois. La liste de contrôle des éléments à supprimer indique ce qu’il faut rechercher.
- Vérifier le nom du fichier et tout contenu caché : commentaires, modifications suivies, feuilles masquées, propriétés du document.
- Vérifier les images et les documents numérisés. Le texte présent dans les images reste du texte. Consultez les données personnelles dans les documents numérisés et les captures d’écran.
- Lire la version sécurisée. Pour les dossiers à haut risque, une autre personne la lit également.
- Un client par conversation. Ne mélangez jamais plusieurs clients dans une conversation.
- Ne collez pas la clé qui associe les espaces réservés aux vrais noms.
Après réception de la réponse
- Rétablir les noms sur votre propre ordinateur. Consultez le processus aller-retour.
- Vérifier le contenu. L’IA peut se tromper : références inventées, chiffres erronés, fait attribué à la mauvaise personne. Un professionnel lit le résultat et en assume la responsabilité.
- Ne cliquez pas sur « pouce vers le haut » ou « pouce vers le bas » pour une conversation ayant touché au travail d’un client.
- Enregistrer le travail effectué dans le dossier du client, pas dans l’historique de l’outil d’IA.
- Supprimer la conversation lorsqu’elle n’est plus nécessaire, si l’outil le permet.
- Supprimer la clé à la clôture du dossier, ainsi que toutes les copies de travail.
Les erreurs habituelles des petites entreprises
- Un membre du personnel utilise un compte d’IA personnel parce qu’il est déjà installé sur son téléphone.
- Une pièce jointe envoyée avec les meilleures intentions : le PDF entier est téléversé alors qu’un paragraphe suffisait.
- La réponse de l’IA est copiée dans un courriel au client sans avoir été lue.
- La clé se trouve dans un dossier partagé qui se synchronise avec un assistant infonuagique.
- Personne ne pense à supprimer les documents de travail à la clôture du dossier.
La plupart de ces problèmes relèvent des habitudes, pas de la technologie. Corrigez-les en appliquant la routine ci-dessus et en faisant un rappel au début de chaque dossier.
Tenir un registre simple
Un court registre suffit : date, dossier, outil, description générale de ce qui a été transmis (pas le contenu) et personne ayant effectué la vérification. Si un client ou une autorité de contrôle vous demande comment vous gérez l’IA, vous pouvez répondre à partir du registre. ClientSafe tient son propre journal d’activité, indiquant quand les documents ont été anonymisés et combien d’éléments de chaque type ont été remplacés, sans conserver les données personnelles elles-mêmes ; il peut être exporté sous forme de rapport CSV.
En cas de problème
- Notez précisément ce qui a été envoyé, à quel moment, à quel outil et depuis quel compte.
- Supprimez la conversation et vérifiez les paramètres de données du compte.
- Informez le responsable de l’entreprise le jour même.
- Vérifiez si vos règles ou vos contrats exigent d’informer le client ou une autorité de contrôle, et dans quel délai. Certains l’exigent dans des délais précis.
- Modifiez la routine pour que cela ne se reproduise pas.
N’attendez pas d’être certain que le problème est grave. Les délais peuvent commencer à courir dès que vous en avez connaissance.
Un paragraphe de politique pour commencer
Client work and AI tools. We use only the tools on the approved list, on business
accounts with training turned off. Before anything goes into an AI tool, identifying
details are replaced with placeholders and the result is read by the person doing the
work. The key that links placeholders to names stays on the firm's computers and is
never pasted into a chat. One client per conversation. A professional checks every
answer before it is used. Problems are reported to the owner the same day.
Insérez ce texte dans le manuel du personnel, modifiez les formulations qui ne vous conviennent pas et ajoutez vos propres règles sur le consentement et la conservation.
Personnel et habitudes
- Dix minutes lors d’une réunion d’équipe valent mieux qu’un document que personne ne lit. Montrez un exemple réel, avant et après.
- Faites en sorte que la méthode sûre soit aussi la plus simple. Si le personnel doit effectuer vingt minutes de remplacements manuels, il ne le fera pas.
- Réexaminez la politique deux fois par an. Les outils et les conditions évoluent.
Questions fréquentes
S’agit-il d’un programme de conformité ?
Non. Il s’agit d’un ensemble d’habitudes. Vos règles professionnelles, vos contrats et la loi déterminent ce qui est exigé de vous.
Avons-nous besoin de tout cela dans une entreprise de deux personnes ?
La liste « Pour chaque tâche » est importante quelle que soit la taille de l’entreprise. Le reste peut tenir en un paragraphe dans une note partagée.
Pouvons-nous simplement interdire l’IA ?
Vous le pouvez, mais le personnel risque d’utiliser quand même des comptes personnels. Une routine claire et applicable a plus de chances d’être suivie qu’une interdiction.
ClientSafe aide pour les étapes « remplacer » et « rétablir ». Il remplace les éléments permettant l’identification par des espaces réservés cohérents sur votre PC et vous montre ce qu’il a repéré afin que vous puissiez vérifier, puis remet les noms dans la réponse.
Informations générales, et non conseils juridiques. Adaptez-les aux règles qui s’appliquent à vous.