Une politique d’usage ne sert pas à punir

Premier jour d’un nouvel employé. On lui remet un ordinateur, un accès Microsoft 365 et une politique de douze pages à signer. Il la signe, sans la lire. Comme tout le monde.

Trois mois plus tard, il doit résumer un long courriel de client avant une rencontre. Il pense à ChatGPT. Est-ce permis? Il ne sait pas. Il a deux options : demander, au risque d’avoir l’air de ne pas savoir, ou le faire en se disant que personne ne le saura.

Dans ton entreprise, est-ce qu’un employé saurait quoi faire dans cette situation, sans avoir à te le demander?

Si la réponse est « ça dépend de l’employé », ta politique existe peut-être sur papier. Mais elle ne fait pas encore son travail.

Une politique floue ne protège personne

Quand les règles sont floues, les gens réagissent de deux façons. Certains se figent : dans le doute, ils n’utilisent rien, même pas les outils que l’entreprise paie déjà. D’autres improvisent : ils prennent l’outil qui leur semble le plus pratique, avec leur compte personnel, en espérant que ce soit correct.

Dans les deux cas, l’entreprise perd. D’un côté, de la productivité. De l’autre, le contrôle sur ses données. C’est comme ça que naît le shadow IT, ces logiciels et ces comptes utilisés sans que personne aux TI ne le sache. Et la plupart du temps, ce n’est pas de la mauvaise volonté. C’est de l’ambiguïté.

Une politique que personne ne comprend ne réduit pas ce risque. Elle donne seulement à l’entreprise un document à brandir après coup.

La règle Ékivo : une politique sert d’abord à dire oui clairement

Les deux politiques qu’on utilise chez Ékivo, celle des équipements informatiques et celle de l’IA, partent de la même phrase : elles n’ont pas pour but de ralentir les gens. Elles reposent sur trois principes.

Remarque l’ordre. La partie « interdit » n’arrive qu’à la fin, et elle est courte. Une bonne politique passe plus de temps à dire ce qu’on peut faire qu’à dire ce qu’on ne peut pas faire.

Ce que les gens peuvent faire, c’est la partie la plus importante

Notre politique d’IA commence ainsi : on veut que les gens utilisent ces outils pour faire le meilleur travail de leur carrière. Pas « on tolère ». On encourage. La politique informatique, elle, permet un usage personnel occasionnel et raisonnable des équipements de l’entreprise, tant qu’il ne nuit ni à la productivité ni à la sécurité.

L’inverse, utiliser ses appareils personnels pour le travail, est encadré tout aussi clairement. Un cellulaire personnel peut accéder aux ressources de l’entreprise s’il est conforme aux exigences de sécurité, et seulement par les applications approuvées. Un ordinateur personnel, jamais. On a expliqué pourquoi dans l’article sur la règle BYOD en PME.

Pour l’IA, la règle centrale tient dans un tableau de classification des données. Le voici, tel qu’on l’utilise dans notre politique :

Deux précisions complètent le tableau. Les données internes vont uniquement dans les outils approuvés par l’entreprise, pas dans un compte personnel. Et en cas de doute sur la classification d’un document, on demande avant de l’utiliser.

Et une image simple pour tout le reste : l’IA est un assistant junior. Rapide, enthousiaste, utile, mais elle ne connaît ni tes clients, ni ton contexte, ni tes standards. Ce qu’elle produit, tu le relis, et tu en restes responsable.

Trois situations à tester avec ton équipe

Voici le test le plus simple pour savoir si ta politique retire vraiment l’ambiguïté. Pose ces trois questions à trois employés différents, séparément.

• « Tu veux résumer un courriel de client dans ChatGPT avant une rencontre. Est-ce que tu peux? »
• « Tu trouves une extension de navigateur avec de l’IA qui corrige tes textes. Est-ce que tu l’installes? »
• « Tu veux que l’IA analyse un contrat de client et t’en résume les clauses principales. Est-ce que tu peux? »

Si les trois personnes donnent la même réponse, et la bonne, ta politique fonctionne. Si les réponses varient, ce n’est pas un problème d’employés. C’est un trou dans la clarté.

Pour référence, notre politique répond sans ambiguïté aux trois. Le courriel : seulement dans un outil approuvé, sans renseignements personnels. L’extension : non, pas sans déploiement par les TI. Le contrat : seulement dans un outil approuvé, une fois le nom du client et ses renseignements retirés, et à condition que l’entente avec ce client n’interdise pas l’usage de l’IA. C’est d’ailleurs la question que la plupart des gens oublient de se poser.

Des exemples qui évoluent sans tout refaire

Une politique écrite en principes généraux vieillit mal et se lit mal. C’est pour ça que nos deux politiques s’appuient sur une annexe d’exemples concrets : naviguer sur un site d’actualités pendant une pause, acceptable; désactiver l’antivirus, interdit; écouter Netflix sur le réseau de l’entreprise, à surveiller.

Le détail qui fait la différence : cette annexe est conservée à part. On peut ajouter un outil approuvé ou un nouvel exemple sans faire signer à nouveau toute la politique. Avec l’IA, qui change aux quelques mois, c’est ce qui permet à la politique de rester vivante plutôt que de devenir un document qu’on ressort une fois par année.

L’erreur déclarée n’est pas une faute

C’est probablement le principe le plus important, et le plus souvent oublié. Si un employé colle par erreur des données sensibles dans un outil d’IA, ou clique sur un courriel d’hameçonnage, la seule chose qui compte, c’est qu’il le dise vite.

Notre politique informatique le formule ainsi : un incident signalé rapidement se règle en heures; un incident découvert tardivement peut coûter des jours ou des semaines. Et notre politique d’IA encourage explicitement l’auto-déclaration, en traitant les erreurs accidentelles comme des occasions d’apprendre.

Une politique qui menace de sanctions à chaque paragraphe obtient l’effet inverse. Les gens cachent leurs erreurs, et l’entreprise les découvre trop tard.

Dire d’avance ce qui est surveillé

Retirer l’ambiguïté, c’est aussi être transparent sur la surveillance. Nos politiques le disent clairement : les comptes d’IA fournis par l’entreprise ne sont pas privés, et la navigation sur les équipements est journalisée.

Ce n’est pas une menace, c’est une information. Au Québec, la surveillance des activités des employés doit d’ailleurs rester proportionnelle aux objectifs poursuivis, et les employés doivent en être informés d’avance. Le dire clairement dès le départ évite les mauvaises surprises, des deux côtés.

Questions fréquentes

Sources

• Centre canadien pour la cybersécurité : L’intelligence artificielle générative (ITSAP.00.041)
• Ékivo : Cellulaire personnel au travail, la règle BYOD en PME