Politiques d'usage et guidelines internes

Pourquoi des guidelines écrites sont indispensables

Sans guidelines claires, chaque collaborateur invente ses propres règles. L’un colle des contrats entiers dans ChatGPT parce que personne ne lui a dit de ne pas le faire, l’autre refuse d’y toucher par crainte de « fuiter des données », et entre les deux s’installe une zone floue où chacun arbitre seul. Des guidelines explicites ne brident pas l’usage : elles le rendent prévisible, condition pour l’encourager sans arrière-pensée.

Ce que la politique doit trancher

Commencez par énoncer ce que vos collaborateurs peuvent faire. Les usages autorisés couvrent en général la rédaction et l’amélioration d’emails, de présentations et de rapports, la synthèse de documents internes, l’analyse de données non sensibles, le brainstorming et la structuration d’idées, la traduction, la génération de code pour les équipes techniques, et l’utilisation des GPTs internes approuvés. Rien de bureaucratique là-dedans : cette liste donne à un chargé de communication la certitude qu’il peut faire relire son communiqué sans demander l’autorisation à trois personnes.

Énoncez ensuite les interdits avec précision, car une interdiction vague ne protège personne. Sont proscrits la saisie de données personnelles de clients, noms, emails ou numéros de téléphone ; l’upload de contrats non redactés contenant des informations confidentielles ; l’usage de ChatGPT pour des décisions automatisées impactant des personnes, en recrutement, notation ou licenciement ; le partage externe de conversations contenant des informations internes ; et l’utilisation d’un compte personnel pour des tâches professionnelles.

Reste une catégorie intermédiaire, souvent la plus utile : les usages autorisés sous conditions. Les données financières se traitent dans le seul workspace Finance, après anonymisation des noms de clients. Les documents RH restent cantonnés au workspace RH et n’ont rien à faire dans les espaces transverses. Le code source est admis s’il s’agit de code interne non critique, mais exclu dès qu’il touche à une propriété intellectuelle clé.

Ce troisième registre évite le piège du tout ou rien, qui pousse les équipes à contourner la règle. Une disposition traverse enfin toutes les autres : ChatGPT ne remplace pas le jugement humain. Tout contenu généré doit être relu avant diffusion, et la vigilance redouble sur les communications externes comme les emails clients et les publications, sur les analyses chiffrées puisque le modèle peut halluciner des statistiques, sur les contenus juridiques ou réglementaires, et sur le code destiné à la production.

Rédiger un document que les gens liront

Visez deux à trois pages : des guidelines de vingt pages ne sont pas lues, elles sont archivées. La structure qui fonctionne dans la plupart des organisations tient en six blocs. Vous ouvrez sur un objectif en deux phrases, vous enchaînez avec la liste de ce que vos collaborateurs peuvent faire, puis celle de ce qu’ils ne peuvent pas faire. Suivent cinq à dix bonnes pratiques, un « en cas de doute » qui indique qui contacter — le champion IA de l’équipe ou la DSI —, et pour finir les sanctions en cas de violation.

Le ton compte autant que le contenu, car un registre juridique anxiogène décourage l’adoption au lieu d’encourager un usage responsable. « Toute utilisation non autorisée de ChatGPT fera l’objet de sanctions disciplinaires » ferme la discussion, quand « ChatGPT est un outil puissant ; ces guidelines vous aident à l’utiliser au mieux tout en protégeant nos données » obtient le même respect des règles sans la crispation.

La diffusion, enfin, décide de l’efficacité réelle. Intégrez les guidelines au message d’accueil du workspace, pour qu’un nouvel arrivant les rencontre avant sa première conversation. Créez un GPT interne « Guidelines IA » qui répond aux questions sur la politique : c’est le moyen le plus sûr d’obtenir des réponses cohérentes sans mobiliser la DSI. Présentez-les à chaque formation et rendez-les accessibles en un clic depuis la console, via un Shared Project dédié.

Former au prompt responsable

Quelques réflexes de prompting méritent aussi d’être enseignés, à commencer par l’anonymisation. Pour faire analyser un cas client, on remplace les noms par des identifiants du type « Client A » ou « Entreprise X », on supprime les montants exacts inutiles à l’analyse, et on remplace les dates précises par des fourchettes quand celles-ci suffisent. L’analyse reste valable, l’exposition disparaît.

Le recours aux Shared Projects relève de la même logique. Plutôt que de resaisir le contexte à chaque conversation, préchargez instructions et documents de référence dans un projet partagé : plus efficace pour l’utilisateur, plus sûr pour l’organisation puisque les informations sensibles cessent d’être copiées dans chaque prompt.

Prévoyez enfin une procédure de signalement, pour le jour où quelqu’un réalise qu’il a saisi ce qu’il n’aurait pas dû.

1. Signaler immédiatement au manager de workspace et à la DSI.
2. Supprimer la conversation depuis l’interface ChatGPT.
3. Documenter l’incident dans votre registre d’incidents.
4. Évaluer l’impact : les données étaient-elles réellement sensibles, et quelles mesures correctives appliquer ?

L’essentiel se joue ici sur le climat plus que sur la procédure : une organisation où l’on sanctionne le signalement n’a plus de signalements, seulement des incidents découverts trop tard.

Faire vivre les guidelines

Des guidelines statiques deviennent obsolètes en trois mois, le temps qu’une nouvelle fonctionnalité rende caduque la moitié des exemples. Tenez une revue trimestrielle pour intégrer les cas d’usage apparus, ouvrez un canal de feedback sur Slack ou Teams, et déclenchez une mise à jour à chaque évolution majeure de ChatGPT, nouveau modèle ou nouvelle fonctionnalité. Les meilleures guidelines ne sont pas les plus complètes : ce sont celles qui suivent l’usage réel.

Points clés à retenir

• Une politique d’usage se structure en trois registres : usages autorisés, usages interdits énoncés précisément, et usages encadrés sous conditions par workspace.
• La relecture humaine reste obligatoire, en particulier sur les communications externes, les analyses chiffrées, les contenus juridiques et le code de production.
• Deux à trois pages maximum, un ton qui encourage plutôt qu’il ne menace, et une structure en six blocs de l’objectif aux sanctions.
• Diffusez via le message d’accueil du workspace, un GPT interne « Guidelines IA », les sessions de formation et un Shared Project dédié.
• Formez à l’anonymisation et aux Shared Projects, prévoyez une procédure de signalement en quatre étapes, et révisez la politique chaque trimestre.