Comment encadrer l'usage des outils d'IA par une charte interne ?

Introduction

La charte est l’instrument par lequel une organisation passe d’un usage subi à un usage maîtrisé. Sa rédaction est simple ; ses formalités d’adoption le sont moins.

Le contenu

Le champ d’application : personnes concernées, y compris prestataires et stagiaires, et activités visées.

Les outils autorisés, avec les offres à souscrire, et l’interdiction des autres.

L’interdiction des comptes personnels et des offres grand public pour tout travail professionnel.

Les interdictions de saisie : code appartenant à un client sans autorisation, code couvert par un engagement de confidentialité, données personnelles réelles, identifiants, clés et secrets, éléments constitutifs d’un secret d’affaires.

Les obligations de paramétrage : activation des fonctions de filtrage, désactivation de la réutilisation des saisies lorsque l’option existe.

Les obligations de vérification : contrôle des composants tiers introduits, revue humaine du code produit, exécution des outils de détection de similarité.

Les obligations de documentation : conservation des instructions, des notes de choix et des versions de conditions.

La procédure de validation avant l’adoption d’un nouvel outil.

Les conséquences d’un manquement.

Les formalités d’adoption

C’est le point le plus négligé.

Une charte purement informative, ne comportant ni obligation ni sanction, peut être diffusée par simple note.

Une charte comportant des règles générales et permanentes relatives à la discipline, et notamment des sanctions, relève du règlement intérieur.

Elle doit alors suivre la procédure applicable : consultation du comité social et économique, communication à l’inspection du travail, dépôt au greffe du conseil de prud’hommes, affichage, avec une date d’entrée en vigueur postérieure d’un délai à l’accomplissement de ces formalités.

Une charte comportant des sanctions et diffusée par courriel n’est pas opposable et ne peut fonder un licenciement.

L’annexion au règlement intérieur existant est la voie la plus simple.

Les prestataires

Ils ne sont pas soumis au règlement intérieur.

L’encadrement passe par le contrat de prestation : obligation de respecter la charte annexée, interdictions équivalentes, garantie et faculté de résiliation en cas de manquement.

Cette extension est essentielle : une part importante du développement est réalisée par des prestataires.

Le contrôle

La charte doit annoncer les modalités de contrôle du respect des règles.

Lorsqu’un dispositif de journalisation est mis en place, il constitue un traitement de données personnelles : information des salariés, consultation des représentants du personnel lorsqu’elle est requise, inscription au registre, durée de conservation proportionnée, accès restreint.

Un contrôle occulte fragilise la preuve et expose l’employeur.

La formation

Une charte non expliquée est une charte non appliquée.

Une session courte, exposant les règles et surtout leurs raisons, produit davantage d’effet qu’un document signé.

Les raisons sont concrètes et compréhensibles : engagements envers les clients, protection du secret des affaires, risque de contamination par une licence, exposition lors d’un audit.

L’articulation avec les engagements clients

Certains contrats clients interdisent ou encadrent le recours à des outils externes.

La charte doit prévoir une vérification préalable des engagements applicables au projet concerné, et un mécanisme de dérogation.

Un tableau des projets soumis à des restrictions particulières, accessible aux équipes, évite les manquements involontaires.

Le réexamen

Les outils, les offres et les conditions évoluent rapidement.

Un réexamen au moins annuel, et à chaque évolution significative, est nécessaire.

Un responsable identifié doit en avoir la charge.

L’usage comme élément de réponse

L’existence d’une charte, sa date d’adoption, sa diffusion et sa mise à jour constituent des éléments de réponse aux questionnaires clients et aux audits d’acquisition.

Leur absence suggère un usage non maîtrisé, ce qui aggrave l’appréciation du risque.

Adopter selon les formalités, pas seulement rédiger

Une charte non opposable ne protège personne. Notre expertise en droit du travail conduit ces adoptions.

En résumé

• Encadrer plutôt qu’interdire : l’interdiction produit le contournement le plus risqué.
• Une charte comportant des sanctions doit suivre la procédure du règlement intérieur.
• Étendre les règles aux prestataires par le contrat, le règlement intérieur ne les visant pas.
• Le contrôle suppose un dispositif de journalisation régulièrement déclaré.
• L’existence et la mise à jour de la charte sont des éléments de réponse aux audits.