Politique d’utilisation acceptable de l’IA
1. Objet
La présente politique permet à toutes les personnes de [Organisation] d’utiliser des outils d’intelligence artificielle (IA) pour mieux travailler, tout en protégeant les renseignements de nos clients, de notre personnel et de nos partenaires, notre propriété intellectuelle et notre réputation. Elle précise quels outils d’IA peuvent être utilisés, quels renseignements peuvent y être saisis et comment leurs résultats sont vérifiés.
2. Portée
La présente politique s’applique à l’ensemble du personnel, aux contractuels, aux stagiaires et à toute autre personne qui travaille avec les renseignements ou les systèmes de [Organisation] (« vous »). Elle vise tout outil d’IA utilisé pour le travail de [Organisation] : assistants conversationnels, fonctions d’IA intégrées à d’autres logiciels, assistants de programmation, agents qui effectuent des actions et modèles d’IA appelés à partir de code. Elle s’applique aux appareils de [Organisation] et aux appareils personnels utilisés pour le travail.
3. Principes
- Outils approuvés seulement. N’utilisez l’IA qu’au moyen des outils et des comptes approuvés par [les TI].
- Protégez les renseignements. Ne communiquez des renseignements à un outil d’IA que si l’article 5 le permet pour cet outil.
- Vous demeurez responsable. Ce que produit l’IA est une ébauche. Vous répondez de ce que vous utilisez, envoyez ou décidez.
- Soyez transparent. Indiquez quand l’IA a fait une part importante d’un travail sur lequel d’autres se fient.
- En cas de doute, demandez. Avant de communiquer des renseignements ou d’essayer un nouvel outil, consultez [responsable de la gouvernance de l’IA].
4. Outils d’IA approuvés
[Les TI] tiennent la liste des outils d’IA approuvés, des modèles que chacun offre et des personnes qui peuvent les utiliser, à [emplacement de la liste des outils approuvés]. Les outils approuvés utilisent des comptes de travail, des modèles approuvés, des fournisseurs qui n’entraînent pas leurs modèles avec nos renseignements, ainsi que les mesures de protection décrites à l’article 5.
- N’utilisez pas de compte d’IA personnel (par exemple un compte ChatGPT, Claude ou Gemini personnel) pour le travail de [Organisation].
- N’installez pas d’extension de navigateur, de module d’extension ou d’application qui envoie du contenu de travail à un service d’IA, à moins qu’il ne figure sur la liste des outils approuvés.
- Pour demander un nouvel outil, un nouveau modèle ou un nouvel usage, communiquez avec [canal de demande aux TI]. [Les TI] répondent dans un délai de [5 jours ouvrables] et consignent leur décision.
5. Renseignements que vous pouvez utiliser
Classez les renseignements selon la politique de classification de l’information de [Organisation]. [Si vous n’en avez pas, utilisez les quatre niveaux ci-dessous.]
| Niveau | Exemples | Dans les outils d’IA approuvés |
|---|---|---|
| Public | Contenu publié sur le site Web, communiqués, documentation publique | Permis |
| Interne | Procédures internes, notes de réunion sans détails sur les clients, ébauches | Permis |
| Confidentiel | Renseignements sur les clients, contrats, résultats financiers non publiés, code source, renseignements personnels sur le personnel ou les clients | Seulement dans les outils approuvés pour les renseignements confidentiels, avec les mesures de protection qu’ils appliquent (par exemple, le retrait des renseignements personnels avant qu’ils n’atteignent le modèle) |
| Restreint | Mots de passe, clés et autres secrets; identifiants de santé, financiers ou gouvernementaux (comme le numéro d’assurance sociale ou d’assurance maladie); renseignements protégés par le secret professionnel; renseignements qu’un contrat nous interdit de communiquer | Jamais |
Un renseignement personnel est tout renseignement qui concerne une personne identifiable : traitez-le au moins comme confidentiel. Si vous n’avez pas le droit d’envoyer un renseignement par courriel au fournisseur de l’outil, ne le saisissez pas dans l’outil.
6. Utilisation de ce que produit l’IA
- Vérifiez. L’IA peut se tromper, être dépassée ou inventer. Vérifiez les faits, les chiffres, les références, le code et les énoncés juridiques, financiers ou médicaux avant de vous y fier.
- Révisez avant l’envoi. Une personne révise le contenu produit par l’IA avant qu’il ne soit transmis à un client, publié ou utilisé dans une décision concernant quelqu’un.
- Décisions concernant des personnes. L’IA ne doit pas prendre seule une décision concernant une personne (embauche, rendement, crédit, admissibilité). Lorsqu’une décision concernant une personne est fondée exclusivement sur un traitement automatisé, la loi québécoise sur la protection des renseignements personnels exige d’en informer la personne et de lui permettre de la faire réviser par quelqu’un. [À vérifier avec la personne responsable de la protection des renseignements personnels.]
- Propriété intellectuelle. Ne demandez pas à l’IA de reproduire des œuvres protégées, et vérifiez que ce que vous publiez ne copie pas le travail d’autrui. Les règles de [Organisation] sur la propriété des travaux s’appliquent aux travaux faits avec l’aide de l’IA.
- Mention. Indiquez que du contenu a été produit par l’IA lorsque les lignes directrices de communication de [Organisation] ou un client l’exigent.
7. Agents et automatisation
Les agents d’IA qui agissent (envoient des courriels, modifient des dossiers, exécutent du code, appellent d’autres systèmes) demandent plus de précautions :
- Seuls [les TI], ou les personnes qu’ils désignent, créent et publient des agents, et seulement avec des outils approuvés.
- Un agent reçoit uniquement les accès dont il a besoin. Les actions difficiles à annuler (paiements, suppressions, tout envoi à l’extérieur de [Organisation]) exigent l’approbation d’une personne.
- Les agents sont testés avant d’être utilisés, et chaque modification est versionnée et consignée.
8. Développement avec l’IA (développeurs)
- Les applications et les scripts n’accèdent aux modèles d’IA que par la passerelle ou les comptes approuvés de [Organisation], jamais avec des clés d’API personnelles.
- Les clés sont émises par [les TI], conservées dans [coffre de secrets], et ne sont jamais écrites dans le code ni partagées.
- Les nouveaux usages de l’IA dans les produits ou les systèmes internes font l’objet de l’examen de [Organisation] : une évaluation des facteurs relatifs à la vie privée lorsque des renseignements personnels sont en jeu (la loi québécoise l’exige pour tout nouveau système d’information qui traite des renseignements personnels) et un examen de sécurité.
9. Registres et surveillance
Pour protéger les renseignements et gérer les coûts, [Organisation] consigne l’utilisation des outils d’IA approuvés : qui a utilisé quel outil et quel modèle, à quel moment, à quel coût, et quand une mesure de protection a bloqué ou modifié une demande. [Organisation] [conserve / ne conserve pas] le contenu des requêtes. [Décrivez ce qui est consigné, la durée de conservation et qui peut y accéder, conformément à l’avis de confidentialité destiné au personnel.]
10. Rôles
- Tout le monde : respecte la présente politique et signale ses préoccupations.
- Gestionnaires : s’assurent que leurs équipes connaissent la politique et disposent des outils approuvés dont elles ont besoin.
- [Les TI] : approuvent et configurent les outils, tiennent la liste des outils approuvés, appliquent les mesures de protection et surveillent l’utilisation.
- [Responsable de la protection des renseignements personnels] : conseille sur les renseignements personnels, les évaluations et les incidents.
- [Responsable de la gouvernance de l’IA] : est responsable de la présente politique et décide des exceptions.
11. Exceptions
Demandez une exception par écrit à [responsable de la gouvernance de l’IA], en précisant la raison et les mesures de protection que vous proposez. Les exceptions approuvées sont consignées avec une date de fin.
12. Incidents
Si des renseignements ont été communiqués à un outil d’IA contrairement à la présente politique, ou si un outil d’IA a mis des renseignements en danger, avisez immédiatement [les TI] et [la personne responsable de la protection des renseignements personnels] à [coordonnées]. N’essayez pas de corriger la situation vous-même d’abord. Un incident de confidentialité touchant des renseignements personnels peut devoir être déclaré aux personnes concernées et aux autorités de protection des renseignements personnels.
13. Formation et attestation
Toutes les personnes visées par la présente politique suivent la formation sur l’IA de [Organisation] à leur arrivée et [chaque année], et confirment avoir lu la présente politique.
14. Manquements
Les manquements à la présente politique sont traités selon la politique disciplinaire de [Organisation], en proportion du préjudice et de l’intention.
15. Révision
[Responsable de la gouvernance de l’IA] révise la présente politique au moins [tous les six mois], parce que les outils d’IA évoluent rapidement, ainsi qu’après tout incident important.