Modèle de politique d’usage de l’IA en entreprise

Guide pratique · 21 oct. 2026

C’est un point de départ opérationnel, pas un conseil juridique ni une attestation de conformité. Vos équipes juridique et sécurité doivent évaluer vos usages.

Remplacez chaque champ entre crochets avant de partager cette politique. Faites valider les outils par votre responsable sécurité et expliquez les règles à l’équipe.

1. Objectif et responsabilité
[Organisation] autorise l’IA pour [tâches approuvées]. [Responsable de la politique] maintient la liste des outils, répond aux questions et révise la politique le [date]. Tout nouvel outil ou usage nécessite une approbation distincte.

2. Outils autorisés et accès individuel
Utilisez uniquement les outils et modèles de [liste approuvée], avec des comptes professionnels autorisés et des clés individuelles. Ne partagez pas vos clés et ne les intégrez pas au code source. Demandez accès, budget et expiration à [contact accès].

3. N1 Public
Transmettez uniquement des informations autorisées au partage externe. Une page publique peut contenir des données personnelles ou des contenus protégés. Vérifiez les droits avant toute réutilisation. L’accès public n’autorise pas automatiquement le traitement des données personnelles.

4. N2 Internal
Les procédures internes et documents de travail vont uniquement vers des environnements explicitement approuvés pour N2 Internal. Retirez les détails inutiles. Vérifiez modèle, fournisseur et niveau autorisé avant de joindre un fichier ou de connecter une source documentaire.

5. N3 Confidential
Les dossiers clients, contrats non publics et autres contenus confidentiels nécessitent une approbation spécifique et des garanties documentées. Ne les transmettez pas aux services grand public. L’hébergement européen ne suffit pas : examinez conservation, entraînement, accès, contrats et transferts internationaux.

6. Experimental
Utilisez des exemples fictifs ou des informations autorisées au partage public, sauf évaluation spécifique permettant davantage. Experimental n’est pas un niveau de confidentialité supérieur. Pour un document non classé, consultez [contact sécurité] avant transmission.

7. Données strictement nécessaires
Limitez les données aux besoins de la tâche. Retirez les identifiants si possible ; supprimer les noms ne garantit pas l’anonymat. Les données personnelles nécessitent une évaluation distincte, quelle que soit leur classification. Ne transmettez jamais mots de passe, jetons ou clés fournisseur comme instructions.

8. Vérification humaine et décisions importantes
La personne utilisant l’IA reste responsable du résultat final. Avant partage, publication ou déploiement, vérifiez faits, calculs, sources, droits et fonctionnement du code. Ne confiez pas à l’IA seule les décisions concernant des personnes. Le recrutement et usages similaires nécessitent une évaluation spécialisée préalable.

9. Signalement et révision
Signalez rapidement toute transmission accidentelle, tout accès incorrect ou résultat dangereux à [contact incident], sans recopier de contenu sensible. [Responsable sécurité] décide des mesures et du suivi. Formez les membres avant accès et réexaminez les autorisations lorsque fournisseur ou usage change.

Source et périmètre
Ce modèle s’appuie sur les recommandations de la CNIL publiées le 18 juillet 2024. Les quatre niveaux appartiennent au cadre opérationnel AI-GATEWAY, pas à une classification CNIL. Vie privée, droit du travail, règles sectorielles et obligations du règlement IA nécessitent une évaluation distincte.

https://www.cnil.fr/fr/les-questions-reponses-de-la-cnil-sur-lutilisation-dun-systeme-dia-generative

https://ai-gateway.nanocorp.app/guides/ai-usage-policy?lang=fr