Modèle de directive interne sur l'usage de l'IA (charte, .docx gratuit)

Directive interne sur l'usage des outils d'intelligence artificielle

[Nom de l'organisation] · Version [n°] du [date] · Adoptée par [la direction / le comité / le conseil de fondation]

Modèle à adapter. Ce document propose des règles d'organisation interne : c'est à votre organisation de les choisir, de les compléter ou de les retirer. Il ne constitue pas un avis juridique et ne dit pas ce qui s'applique à votre organisation. Avant de l'adopter, faites-le relire par votre conseiller·ère à la protection des données ou par votre juriste. Remplacez les passages entre crochets et supprimez les notes en italique.

Article 1. Objet et champ d'application

La présente directive fixe la manière dont les collaborateur·trice·s de [nom de l'organisation] utilisent les outils d'intelligence artificielle (IA) dans leur travail : assistants conversationnels, outils de rédaction, de résumé, de traduction ou de transcription.

Elle s'applique à toutes les personnes qui travaillent pour l'organisation, y compris les stagiaires, apprenti·e·s, remplaçant·e·s, bénévoles et mandataires, sur les appareils de l'organisation comme sur les appareils personnels utilisés pour le travail.

Dans cette directive, une « information sur une personne » est tout ce qui permet de savoir de qui il s'agit : directement (nom, adresse, numéro AVS) ou en recoupant plusieurs détails (âge, numéro de chambre, date d'entrée, commune, fonction rare).

À adapter : citez ici les autres règles internes qui continuent de s'appliquer (règlement informatique, règles sur le secret professionnel, charte de confidentialité, règlement du personnel).

Article 2. Outils autorisés et comptes

• Seuls les outils d'IA listés à l'annexe 1 peuvent être utilisés pour le travail, avec les comptes indiqués.
• Les comptes sont créés au nom de l'organisation par [service informatique / personne responsable]. On n'utilise pas un compte personnel (gratuit ou payant) pour des documents de travail.
• Lorsque l'outil le propose, l'option qui permet au fournisseur d'utiliser les conversations pour entraîner ses modèles est désactivée par [personne responsable].
• Toute demande d'ajout d'un outil (extension de navigateur, application mobile, outil intégré à un logiciel métier) est adressée à [personne responsable], qui l'examine avec [la direction / le ou la conseiller·ère à la protection des données] avant tout usage.

À adapter : pour chaque outil, notez dans l'annexe 1 le fournisseur, le pays où les données sont traitées selon ses conditions, la durée de conservation annoncée et la date à laquelle vous avez lu ces conditions.

Article 3. Ce qui n'est jamais saisi tel quel

L'organisation décide que les informations suivantes ne sont jamais collées, tapées, dictées ou déposées telles quelles dans un outil d'IA :

• noms, prénoms, initiales et surnoms des [résident·e·s / client·e·s / patient·e·s], de leurs proches et des collaborateur·trice·s ;
• numéros AVS, numéros de dossier, de chambre ou d'assuré, IBAN, adresses, téléphones, adresses e-mail, codes d'accès et codes de boîte à clés ;
• dates de naissance, d'entrée, d'hospitalisation ou de décès complètes ;
• informations de santé (diagnostics, traitements, médicaments, comptes rendus), appartenance religieuse, origine, opinions, mesures de protection de l'adulte ou de curatelle, procédures pénales ou administratives, aide sociale ;
• évaluations, salaires, absences et dossiers du personnel ;
• documents contractuels confidentiels et informations financières de l'organisation.

Ces informations peuvent être utilisées seulement après avoir été remplacées, retirées ou généralisées selon l'article 4. Les mots de passe et codes d'accès ne sont jamais saisis, même modifiés.

À adapter : cette liste est un point de départ. Ajoutez les informations propres à votre activité (numéro de lit, nom d'unité, code de tournée, nom de l'employeur d'un client) ou indiquez celles qui peuvent rester lisibles pour certaines tâches (par exemple des constantes sans aucun autre détail).

Article 4. Préparer un document avant de le confier à une IA

Avant tout envoi, la personne qui utilise l'outil prépare le texte ou le document :

• Ne garder que la partie utile à la tâche.
• Pseudonymiser : remplacer chaque nom et chaque identifiant par une étiquette neutre et constante, par exemple [PERSONNE_1], [DATE_1], [ADRESSE_1]. La même personne garde la même étiquette dans tout le document.
• Retirer ce qui n'est pas nécessaire : numéros de chambre, codes d'accès, noms d'unité, signatures.
• Généraliser ce qui permet de reconnaître la personne sans la nommer : « 97 ans » devient « plus de 90 ans », une date complète devient le mois ou l'année, une petite commune devient la région, une fonction rare devient une fonction générale.
• Vérifier aussi les en-têtes, pieds de page, commentaires, révisions, propriétés et nom du fichier, ainsi que les tableaux et zones de texte.
• Pour un PDF, vérifier que le texte est réellement supprimé et pas seulement recouvert d'un rectangle noir (recherche du nom dans le fichier).

La préparation se fait à la main ou avec l'outil de pseudonymisation choisi par l'organisation et listé à l'annexe 1. Dans les deux cas, la personne relit le résultat avant l'envoi.

À adapter : si vous utilisez un outil de pseudonymisation, indiquez son nom dans l'annexe 1, ce qu'il conserve et combien de temps, et qui règle les catégories masquées.

Article 5. Usages prévus et usages exclus

Les outils d'IA peuvent être utilisés pour : [mettre au propre un procès-verbal, résumer des transmissions, rédiger un brouillon de courrier, reformuler une procédure, traduire un texte préparé selon l'article 4].

Ils ne sont pas utilisés pour : [prendre une décision concernant une personne, poser ou suggérer un diagnostic, évaluer un·e collaborateur·trice, trier des candidatures, rédiger un document officiel sans relecture].

À adapter : listez les écrits réellement concernés dans votre organisation. Une liste courte et concrète est mieux suivie qu'une liste générale.

Article 6. Relecture et responsabilité humaine

• Tout texte produit par une IA est relu en entier par la personne qui l'a demandé avant d'être envoyé, classé ou utilisé.
• La personne vérifie les faits, les chiffres, les noms, les dates et le ton. Une IA peut inventer une information ou se tromper avec assurance.
• La personne qui signe ou envoie un document en reste responsable, quel que soit l'outil utilisé pour le rédiger.
• [Pour les documents destinés aux familles, aux autorités ou aux partenaires : relecture supplémentaire par [fonction].]

Article 7. Remettre les vraies valeurs

• La réponse de l'IA contient les mêmes étiquettes que le texte envoyé. Les vraies valeurs sont remises en place hors de l'outil d'IA : à la main, avec la liste de correspondance, ou avec l'outil de pseudonymisation de l'organisation.
• La liste de correspondance (étiquette et vraie valeur) n'est jamais envoyée à l'IA et n'est pas collée dans la même conversation.
• Elle est conservée [à l'endroit prévu par l'organisation] et supprimée dès qu'elle n'est plus utile, au plus tard [délai].
• Le document final est classé dans [le dossier informatisé / le classeur prévu], comme tout autre document. Les copies intermédiaires sont supprimées.

Article 8. Documents des résident·e·s, patient·e·s, client·e·s et collaborateur·trice·s

Les documents qui concernent une personne accompagnée ou un·e collaborateur·trice ne sont confiés à une IA qu'après la préparation de l'article 4, et seulement pour les usages prévus à l'article 5.

Variante EMS : citez les écrits concernés (procès-verbaux de colloque, transmissions, rapports de chute, courriers aux familles) et rappelez que le numéro de chambre, le nom de l'unité, la date d'entrée et un âge très élevé permettent de reconnaître un·e résident·e.

Variante soins à domicile : ajoutez l'adresse et la commune du domicile, les codes d'accès et l'emplacement des clés, les noms des proches aidants et le plan de tournée.

Variante PME : citez les dossiers du personnel, certificats de travail, évaluations, données salariales et dossiers clients ; précisez qui, aux ressources humaines, peut utiliser un outil d'IA pour ces documents.

À adapter : si votre organisation a déjà décidé de ne jamais confier certains documents à une IA, même préparés, indiquez-les ici.

Article 9. Formation

• Chaque personne reçoit, avant sa première utilisation, une présentation de la présente directive et une démonstration sur un document fictif.
• Une courte mise à jour est faite [chaque année / à chaque changement d'outil].
• La liste des personnes formées est tenue par [fonction].

À adapter : prévoyez qui forme les nouvelles personnes, y compris les remplaçant·e·s et stagiaires.

Article 10. Oubli, erreur et signalement

• Toute personne qui constate qu'une information de l'article 3 a été envoyée telle quelle à un outil d'IA le signale sans délai à [fonction / adresse e-mail interne], même en cas de doute.
• Le signalement indique : la date, l'outil et le compte utilisés, le type d'information envoyée (sans la recopier) et les personnes concernées (sans les nommer dans le message si possible).
• [Fonction] décide des suites à donner avec [la direction / le ou la conseiller·ère à la protection des données].
• Un signalement fait de bonne foi n'entraîne pas de reproche. Il sert à améliorer la directive et la formation.

À adapter : décrivez votre procédure interne en cas d'incident si elle existe déjà, et renvoyez-y ; précisez qui décide, avec le ou la conseiller·ère à la protection des données, des éventuelles démarches à entreprendre hors de l'organisation.

Article 11. Contact

Pour toute question sur la présente directive ou sur un cas particulier : [nom, fonction, téléphone, e-mail du ou de la conseiller·ère à la protection des données ou de la personne de référence].

Pour les questions juridiques, la personne de référence s'adresse à [juriste de l'organisation / association faîtière / autorité de protection des données compétente].

Article 12. Entrée en vigueur et révision

• La présente directive entre en vigueur le [date].
• Elle est revue au moins [une fois par an] et à chaque changement d'outil, par [fonction].
• Chaque collaborateur·trice en reçoit un exemplaire et en atteste la lecture [par signature / dans le logiciel du personnel].

Annexe 1. Outils autorisés

Pour chaque outil : nom de l'outil · fournisseur · usage prévu · type de compte · personnes autorisées · pays de traitement selon les conditions du fournisseur · conservation annoncée · option d'entraînement désactivée (oui / non) · date de lecture des conditions.

• [Outil d'IA 1] : [à compléter]
• [Outil de pseudonymisation, s'il y en a un] : [à compléter]

Annexe 2. Checklist avant d'envoyer un document à une IA

• ☐ L'outil et le compte sont ceux de l'annexe 1.
• ☐ Je n'envoie que la partie utile à la tâche.
• ☐ Noms, prénoms, initiales et surnoms remplacés : personnes accompagnées, proches, collègues.
• ☐ AVS, IBAN, adresse, téléphone, e-mail, numéros de dossier, d'assuré et de chambre remplacés ou retirés.
• ☐ Dates complètes remplacées ou réduites au mois ou à l'année.
• ☐ Âge très élevé, commune, fonction ou parcours rares généralisés ; codes d'accès retirés.
• ☐ Informations de santé et autres catégories de l'article 3 remplacées, ou laissées lisibles seulement si la directive le prévoit pour cette tâche.
• ☐ En-têtes, pieds de page, tableaux, zones de texte, commentaires, révisions, propriétés et nom du fichier vérifiés.
• ☐ PDF : texte réellement supprimé, pas seulement recouvert (recherche du nom dans le fichier).
• ☐ La liste de correspondance reste hors de l'outil d'IA.
• ☐ Réponse relue en entier (faits, chiffres, noms, dates) avant envoi ou classement.