Écrire la règle interne

Une charte de douze pages rédigée par un cabinet et rangée dans un intranet ne protège personne. Une page affichée, écrite dans la langue des gens qui l’appliquent, change les comportements.

Cette fiche donne la deuxième.

Ce qui fait qu’une règle est appliquée

Quatre conditions. Elles paraissent évidentes et elles sont presque toujours manquées.

Elle est courte. Une page. Au-delà, elle n’est pas lue, donc elle n’existe pas.

Elle autorise quelque chose. Une règle qui interdit sans rien permettre pousse les gens vers leur compte personnel, hors de toute vue. C’est le contraire du but recherché.

Elle donne des exemples concrets, pris dans le métier réel de ceux qui la lisent. Pas « les données à caractère personnel », mais « le CV d’un candidat, la lettre d’un client, le compte rendu d’entretien ».

Elle dit à qui demander. Une règle sans interlocuteur laisse chacun décider seul dès qu’un cas sort du cadre.

Le gabarit

À adapter, pas à recopier tel quel. Les crochets sont à remplir.

RÈGLE D'USAGE DES OUTILS D'IA
[Organisation] · version 1 · [date]

1. L'OUTIL AUTORISÉ
   Nous utilisons [outil], en offre [professionnelle], sur les comptes
   fournis par l'entreprise.
   Les comptes personnels ne sont pas utilisés pour le travail.

2. CE QUI PEUT ÊTRE UTILISÉ LIBREMENT
   - Rédiger, reformuler, résumer un texte qui ne concerne personne
     en particulier.
   - Travailler sur nos documents internes non confidentiels.
   - Préparer des modèles, des trames, des supports.

3. CE QUI DOIT ÊTRE PRÉPARÉ AVANT
   Courriers de clients, comptes rendus citant des personnes, CV,
   tableaux de suivi : remplacer noms, coordonnées, références et
   montants par des étiquettes avant de coller.

4. CE QUI NE SE FAIT JAMAIS
   - Données de santé, origine, religion, opinions, appartenance
     syndicale, orientation.
   - Mots de passe, coordonnées bancaires, pièces d'identité.
   - Données concernant des mineurs.
   - Tout document couvert par une clause de confidentialité client.

5. EN CAS DE DOUTE
   On demande à [nom, fonction, contact] avant, pas après.
   Une question n'est jamais reprochée.

6. SI QUELQUE CHOSE EST PARTI PAR ERREUR
   On prévient [nom] dans l'heure. Sans exception et sans reproche :
   c'est le délai qui compte, pas la faute.

Le point 6 mérite qu’on s’y arrête

C’est celui qu’on écrit le moins bien, et c’est celui qui détermine si la règle sert à quelque chose.

Une personne qui a fait une erreur ne la signale que si elle est certaine de ne pas être punie pour l’avoir signalée. Sinon elle se tait, et l’organisation découvre le problème trop tard, quand les délais utiles sont passés.

Écris-le noir sur blanc, et dis-le à voix haute. « Signaler une erreur ne sera jamais reproché » est une phrase qui doit venir de la direction, pas d’un document.

Ce qu’il ne faut pas écrire

Quelques formulations qui reviennent et qui ne servent à rien.

« Les collaborateurs sont invités à faire preuve de vigilance. » Ça ne dit pas quoi faire, donc ça ne fait rien faire.

« L’usage de l’IA est interdit. » Faux dans les faits, et contre-productif : ça déplace l’usage hors de ta vue.

« Se conformer au RGPD. » Personne ne sait ce que ça veut dire à son poste.

Une liste de trente cas particuliers. Personne ne la lit.

Faire vivre la règle

Une règle écrite une fois se périme.

Donne-lui un numéro de version et une date. Sans ça, personne ne sait laquelle fait foi.

Transmets-la à chaque nouvel arrivant, par écrit. C’est le moment où elle est le mieux reçue.

Relis-la une fois par an, ou quand l’outil change, ou après un incident.

Et surtout : rappelle-la avec un cas concret plutôt qu’avec un rappel général. « La semaine dernière, un CV a failli partir en clair, voilà comment on fait » a plus d’effet que « merci de respecter la charte ».

La règle qui saute quand elle sert

Si la direction s’exempte, la règle ne vaut rien. Le premier à devoir l’appliquer visiblement, c’est celui qui la signe.

C’est vrai pour les données comme pour la vérification des virements : une règle qui souffre une exception hiérarchique n’est pas une règle.

Le cas de l’association et de la très petite structure

Tu n’as ni juriste, ni service informatique, ni budget. Le gabarit ci-dessus tient quand même, en version encore plus courte.

Un outil désigné. Ce qui est libre, ce qui se prépare, ce qui ne se fait jamais. Une personne à qui demander, même si c’est toi. Et la phrase sur le signalement sans reproche.

Une demi-page, affichée là où les gens travaillent. C’est mieux que rien, et c’est très au-dessus de ce que font la plupart des structures de cette taille.

Vingt minutes de pratique

Écris la règle pour ton service ou ton organisation, en partant du gabarit. Une page, pas plus.

Remplace les exemples génériques par des documents que tes collègues manipulent réellement.

Fais-la relire par une personne qui n’a pas suivi cette formation. Si elle a une question, la règle n’est pas assez claire : corrige.

Puis identifie qui doit la valider, et envoie-la. Une règle non validée n’engage personne.

Vérifie ta compréhension

Question : pourquoi une règle qui interdit tout usage de l’IA protège-t-elle moins bien qu’une règle qui autorise un outil encadré ?

Réponse : parce qu’elle ne fait pas disparaître le besoin. Les salariés continuent d’utiliser ces outils, mais sur des comptes personnels, sans contrat, sans réglages vérifiés, et sans que l’organisation puisse le savoir. Autoriser un outil encadré ramène l’usage dans un cadre observable, ce qui est très supérieur à une interdiction inappliquée.

Dernière fiche : que faire si quelque chose est déjà parti.