Politiques d'usage et guidelines internes

Pourquoi des guidelines écrites sont indispensables

Sans guidelines claires, chaque collaborateur invente ses propres règles. L’un colle des contrats entiers dans ChatGPT parce que personne ne lui a dit de ne pas le faire, l’autre refuse d’y toucher par crainte de « fuiter des données », et entre les deux s’installe une zone floue où chacun arbitre seul. Des guidelines explicites ne brident pas l’usage : elles le rendent prévisible, condition pour l’encourager sans arrière-pensée.

Ce que la politique doit trancher

Commencez par énoncer ce que vos collaborateurs peuvent faire. Les usages autorisés couvrent en général la rédaction et l’amélioration d’emails, de présentations et de rapports, la synthèse de documents internes, l’analyse de données non sensibles, le brainstorming et la structuration d’idées, la traduction, la génération de code pour les équipes techniques, et l’utilisation des assistants internes approuvés, GPTs puis plugins et skills. Rien de bureaucratique là-dedans : cette liste donne à un chargé de communication la certitude qu’il peut faire relire son communiqué sans demander l’autorisation à trois personnes.

Énoncez ensuite les interdits avec précision, car une interdiction vague ne protège personne. Sont proscrits la saisie de données personnelles de clients, noms, emails ou numéros de téléphone ; l’import de contrats non caviardés contenant des informations confidentielles ; l’usage de ChatGPT pour des décisions automatisées impactant des personnes, en recrutement, notation ou licenciement ; le partage externe de conversations contenant des informations internes ; et l’utilisation d’un compte personnel pour des tâches professionnelles.

Reste une catégorie intermédiaire, souvent la plus utile : les usages autorisés sous conditions. Les données financières se traitent dans un projet réservé à la Finance, après anonymisation des noms de clients. Les documents RH restent dans les projets des RH et n’ont rien à faire dans des projets partagés plus largement. Le code source est admis s’il s’agit de code interne non critique, mais exclu dès qu’il touche à une propriété intellectuelle clé.

Ce troisième registre évite le piège du tout ou rien, qui pousse les équipes à contourner la règle. Une disposition traverse enfin toutes les autres : ChatGPT ne remplace pas le jugement humain. Tout contenu généré doit être relu avant diffusion, et la vigilance redouble sur les communications externes comme les emails clients et les publications, sur les analyses chiffrées puisque le modèle peut halluciner des statistiques, sur les contenus juridiques ou réglementaires, et sur le code destiné à la production.

Rédiger un document que les gens liront

Visez deux à trois pages : des guidelines de vingt pages ne sont pas lues, elles sont archivées. La structure qui fonctionne dans la plupart des organisations tient en six blocs. Vous ouvrez sur un objectif en deux phrases, vous enchaînez avec la liste de ce que vos collaborateurs peuvent faire, puis celle de ce qu’ils ne peuvent pas faire. Suivent cinq à dix bonnes pratiques, un « en cas de doute » qui indique qui contacter — le champion IA de l’équipe ou la DSI —, et pour finir les sanctions en cas de violation.

Le ton compte autant que le contenu, car un registre juridique anxiogène décourage l’adoption au lieu d’encourager un usage responsable. « Toute utilisation non autorisée de ChatGPT fera l’objet de sanctions disciplinaires » ferme la discussion, quand « ChatGPT est un outil puissant ; ces guidelines vous aident à l’utiliser au mieux tout en protégeant nos données » obtient le même respect des règles sans la crispation.

La diffusion, enfin, décide de l’efficacité réelle. Sur Enterprise, publiez-les dans la politique d’IA de l’espace : elle s’affiche aux membres tous les trente jours et à chaque mise à jour, si bien qu’un nouvel arrivant la rencontre avant sa première conversation. Ouvrez aussi un projet partagé « Guidelines IA » en accès conversation, avec la politique en fichier de référence : chacun peut y poser ses questions et obtenir des réponses cohérentes sans mobiliser la DSI. Présentez-les enfin à chaque formation.

Former au prompt responsable

Quelques réflexes de prompting méritent aussi d’être enseignés, à commencer par l’anonymisation. Pour faire analyser un cas client, on remplace les noms par des identifiants du type « Client A » ou « Entreprise X », on supprime les montants exacts inutiles à l’analyse, et on remplace les dates précises par des fourchettes quand celles-ci suffisent. L’analyse reste valable, l’exposition disparaît.

Le recours aux projets partagés relève de la même logique. Plutôt que de resaisir le contexte à chaque conversation, préchargez instructions et documents de référence dans un projet partagé : plus efficace pour l’utilisateur, plus sûr pour l’organisation puisque les informations sensibles cessent d’être copiées dans chaque prompt.

Prévoyez enfin une procédure de signalement, pour le jour où quelqu’un réalise qu’il a saisi ce qu’il n’aurait pas dû.

1. Signaler immédiatement à l’administrateur de l’espace et à la DSI.
2. Supprimer la conversation : elle disparaît aussitôt de l’historique, sa suppression définitive intervient sous 30 jours, et les journaux de conformité peuvent en garder trace.
3. Documenter l’incident dans votre registre d’incidents.
4. Évaluer l’impact : les données étaient-elles réellement sensibles, et quelles mesures correctives appliquer ?

L’essentiel se joue ici sur le climat plus que sur la procédure : une organisation où l’on sanctionne le signalement n’a plus de signalements, seulement des incidents découverts trop tard.

Faire vivre les guidelines

Des guidelines statiques vieillissent vite : une nouvelle fonctionnalité suffit à rendre caducs une partie des exemples. Tenez une revue trimestrielle pour intégrer les cas d’usage apparus, ouvrez un canal de feedback sur Slack ou Teams, et déclenchez une mise à jour à chaque évolution majeure de ChatGPT, nouveau modèle ou nouvelle fonctionnalité. Les meilleures guidelines ne sont pas les plus complètes : ce sont celles qui suivent l’usage réel.

À vous de jouer

Rédigez votre première version. En deux pages, posez l’objectif, les usages autorisés, interdits et encadrés, cinq bonnes pratiques, la personne à contacter en cas de doute et la procédure de signalement. Faites-la relire par un utilisateur non initié : s’il hésite sur un cas, la règle n’est pas assez claire.

Sources officielles : Managing workspace settings in ChatGPT Enterprise · Chat and file retention in ChatGPT · OpenAI Compliance Platform for Enterprise and Edu customers · Projects in ChatGPT (centre d’aide OpenAI)

Points clés à retenir

• Une politique d’usage se structure en trois registres : usages autorisés, usages interdits énoncés précisément, et usages encadrés sous conditions, par projet.
• La relecture humaine reste obligatoire, en particulier sur les communications externes, les analyses chiffrées, les contenus juridiques et le code de production.
• Deux à trois pages maximum, un ton qui encourage plutôt qu’il ne menace, et une structure en six blocs de l’objectif aux sanctions.
• Diffusez via la politique d’IA de l’espace, un projet partagé « Guidelines IA » et les sessions de formation.
• Formez à l’anonymisation et aux projets partagés, prévoyez une procédure de signalement en quatre étapes, et révisez la politique chaque trimestre.