politique d’usage

En profondeur

Un document utile tient en une page et répond à cinq questions. Quels outils sont approuvés, nommément, et par quel canal les demander. Quelles catégories de données peuvent y être versées, ce qui suppose un classement préalable, même sommaire, entre public, interne, confidentiel et personnel. Quelles tâches sont encouragées, et lesquelles exigent une relecture humaine avant diffusion. Ce qui est formellement exclu, en peu de lignes. Et qui répond aux questions, avec un nom, pas une boîte aux lettres générique.

Le principal défaut des politiques rédigées est de ne parler que de risques. Un texte qui énumère des interdits sans donner d’usages permis obtient l’inverse de ce qu’il cherche : les salariés continuent d’utiliser ces outils, mais sur leurs comptes personnels et sans en parler, ce qui déplace le risque hors de toute visibilité. Une politique efficace nomme donc explicitement ce qui est encouragé, et le plus tôt possible, car les pratiques s’installent en quelques semaines et se corrigent en plusieurs mois.

Reste la question de l’application, où la plupart des dispositifs échouent. Une politique qui ne s’appuie que sur la bonne volonté ne tient pas : il faut au minimum un chemin plus simple que le contournement, c’est-à-dire un outil approuvé, accessible sans procédure lourde, et au moins aussi bon que celui que les gens utiliseraient autrement. La règle vaut d’être retenue : on ne réduit pas le shadow AI en surveillant davantage, on le réduit en rendant la voie officielle plus commode que la voie parallèle.