Vos employés utilisent déjà l’IA. Votre politique dit-elle comment?
Vos employés collent déjà du texte dans des assistants conversationnels, souvent avec des comptes personnels. Sans règles claires, des données confidentielles se retrouvent dans des requêtes, du code généré par l’IA est déployé sans révision et personne ne sait quels outils sont utilisés.
Ce modèle vous offre un point de départ structuré et défendable, à adapter et à approuver en quelques jours plutôt qu’en quelques mois.
Harmonisé avec les référentiels qui comptent
Une politique qui couvre tout le cycle de vie de l’IA
- 1
Objet et portée
Employés, contractuels et fournisseurs; modèles internes, agents IA (MCP), outils SaaS et fonctions d’IA intégrées à vos logiciels.
- 2
Gouvernance et risques
Conformité légale, principes d’une IA digne de confiance, inventaire de l’IA, outils approuvés et interdits, mise hors service sécuritaire.
- 3
Rôles et matrice RACI
Des responsabilités claires, de la haute direction à chaque employé, avec une matrice RACI prête à modifier.
- 4
Supervision humaine
Quand un humain doit approuver (dans la boucle) ou superviser (sur la boucle), et défenses contre les résultats hallucinés.
- 5
Vie privée et protection des données
Consentement, minimisation des données, suppression et isolement des vecteurs, protection des populations sensibles.
- 6
Contrôle d’accès et utilisation acceptable
Surveillance, et ce que le personnel ne doit jamais saisir dans un outil d’IA, des mots de passe aux données clients.
- 7
IA locale ou externe
Exigences de sécurité pour les modèles hébergés à l’interne et pour les services et API d’IA commerciaux.
- 8
Risques et modèle de menaces OWASP
Les 10 risques LLM associés à des contrôles obligatoires, une liste de vérification et un processus d’exception.
- 9
Culture et intervention en cas d’incident
Une culture de signalement sans reproche et un guide d’intervention IA : confinement, évaluation de la contamination, avis de violation.
- 10
Formation, fournisseurs et application
Formation annuelle, exigences envers les fournisseurs (non-conservation des données, préavis de 60 jours, plans de sortie), droits d’audit et sanctions.
En plus : tableau d’approbation et de signatures, historique des révisions, annexe OWASP détaillée avec exemples, et glossaire.
Un court formulaire, demandé une seule fois. Au premier téléchargement, nous vous demandons quelques renseignements. Ensuite, tous les téléchargements du site (trousse de campagne, modèle de politique IA, série vidéo) s’ouvrent directement pendant 30 jours. Le visionnement des vidéos en ligne ne demande jamais le formulaire.
Du modèle à la politique approuvée en cinq étapes
- Remplissez l’essentiel : nom de l’organisation, responsable de la politique, approbateurs et dates. Les noms du tableau de signatures sont des exemples.
- Dressez votre liste d’outils d’IA approuvés. La section 2.5 en dépend : inscrivez les outils sous licence assortis d’une entente de non-conservation des données.
- Adaptez la matrice RACI à votre organigramme. Chaque activité doit avoir un seul « A ».
- Faites-la réviser par les affaires juridiques et la protection de la vie privée, puis approuvez-la et annoncez-la. Notre capsule sur l’IA fantôme aide à expliquer le « pourquoi » au personnel.
- Révisez-la chaque année, ou dès qu’une nouvelle réglementation ou un incident majeur l’exige.