Cadre d'IA responsable

L’IA est déjà entrée dans votre entreprise, et probablement pas par la porte que vous surveillez. Quelqu’un a collé une entente dans un outil gratuit pour la résumer. Quelqu’un d’autre a fait rédiger la réponse à un client mécontent. Ces gestes ne sont ni malveillants ni rares, et personne ne vous en a parlé parce que personne n’a eu l’impression de faire quelque chose d’inhabituel.

Une IA responsable ne commence donc pas par une déclaration de valeurs. Elle commence par savoir ce qui se passe déjà chez vous, écrire deux ou trois règles que tout le monde comprend du premier coup, et nommer une personne qui répond quand un résultat dérape. Le reste, les grands principes et les comités, ne sert à rien tant que ces trois choses ne sont pas faites.

Cette trousse suit cet ordre. Vous situez d’abord vos pratiques réelles, vous suivez ensuite un plan de 90 jours pour écrire vos règles et les mettre à l’épreuve, puis vous gardez une grille à repasser avant chaque nouvel usage.

Situez vos pratiques réelles

Répondez selon ce qui se passe dans les faits, pas selon ce qui est prévu ou souhaité. Une politique rédigée que personne ne connaît vaut zéro à ce questionnaire, et c’est volontaire : le but n’est pas de vous rassurer, il est de vous montrer où se trouve l’écart entre vos intentions et votre quotidien.

Deux questions font trébucher presque tout le monde. La première est l’inventaire : la plupart des dirigeants découvrent des usages qu’ils ignoraient, souvent dans les équipes les plus autonomes. La seconde est le responsable nommé. Tant qu’un usage appartient à tout le monde, il n’appartient à personne, et personne ne remarque sa dérive.

Un score faible n’est pas un jugement moral. Il indique simplement que votre entreprise a adopté l’IA plus vite qu’elle n’a écrit ses règles, ce qui est le cas normal. L’écart se referme en quelques semaines si vous le traitez comme un chantier concret plutôt que comme un débat de valeurs.

Le plan de 90 jours

Ce plan est volontairement pauvre en documents. Vous produisez un inventaire, une page de règles et un registre de signalements. Rien d’autre. Une politique de vingt pages rassure son auteur et ne change rien au comportement de l’équipe : personne ne la lit, et celui qui la lit ne s’en souvient pas au moment où il colle un document dans un outil.

L’ordre compte plus que la vitesse. Vous regardez d’abord, vous écrivez ensuite, vous mettez à l’épreuve, et vous rendez le tout visible. Inverser ces étapes produit des règles qui interdisent des usages inexistants et autorisent en silence ceux qui posent problème.

L’étape la plus utile du plan est celle des cinq cas réels, au deuxième mois. Prenez cinq dossiers déjà traités, dont vous connaissez la bonne réponse, et faites-les passer dans l’outil. Choisissez-en deux qui devraient poser problème : le client atypique, la demande mal formulée, la situation qui n’entre dans aucune case. Un outil qui réussit les trois cas faciles et échoue élégamment sur les deux autres, en ayant l’air sûr de lui, vient de vous apprendre exactement où placer la vérification humaine.

La phase trois existe pour une raison précise. Un cadre qui vit dans la tête du dirigeant disparaît le jour où il part en vacances. Former les équipes, publier ce que vous assumez publiquement et consigner les signalements transforme une intention personnelle en habitude d’entreprise. C’est aussi ce qui vous permettra de répondre calmement le jour où un client ou un partenaire vous demandera comment vous encadrez tout cela.

Les prompts qui font le travail

Ces prompts servent à structurer votre réflexion et à préparer vos documents. Ils ne décident rien à votre place, et il y a une ironie assumée à utiliser un outil d’IA pour encadrer l’usage de l’IA : relisez chaque sortie, corrigez ce qui ne correspond pas à votre réalité, et ne diffusez jamais un texte que vous ne pourriez pas défendre vous-même devant un employé.

Si vous n’en utilisez qu’un seul, prenez celui qui cherche à faire échouer un usage. C’est le plus inconfortable et de loin le plus rentable : il vous donne, en quelques minutes, la liste des scénarios auxquels vous n’aviez pas pensé, avant qu’un client vous la fournisse gratuitement à votre place.

Tu es responsable de la conformité dans une PME québécoise de [nombre] employés,
secteur [secteur].

Voici la liste des usages d'IA que j'ai recensés chez nous :
[coller la liste, un usage par ligne, avec qui l'utilise et sur quelles données]

Classe ces usages en trois groupes : ceux qui peuvent produire un dommage direct
à une personne, ceux qui peuvent produire un dommage à l'entreprise seulement,
et ceux dont l'échec est sans conséquence sérieuse.

Pour chacun des usages du premier groupe, décris en trois lignes le scénario
d'échec le plus probable, pas le plus spectaculaire, et la vérification humaine
qui l'empêcherait.

Ne me propose aucune référence réglementaire chiffrée ni aucun pourcentage :
je veux un raisonnement sur mes usages, pas des statistiques.

Rédige les règles d'usage de l'IA pour une PME de [nombre] employés,
secteur [secteur], destinées à des employés qui ne sont pas techniques.

Contraintes strictes :
- une seule page, phrases courtes, aucun terme anglais
- trois interdictions claires au maximum, formulées avec des exemples concrets
- ce qui est encouragé doit occuper autant de place que ce qui est interdit
- une phrase indiquant à qui signaler un résultat douteux
- aucune mention de sanction, sauf si je te la demande

Voici les informations que nous ne voulons jamais voir sortir de l'entreprise :
[coller votre liste].

Termine en me signalant les trois situations courantes que ce texte laisse
sans réponse, pour que je décide moi-même quoi en faire.

Nous voulons utiliser l'IA pour [décrire l'usage en quatre phrases : qui,
sur quelles données, pour quelle décision, avec quelle vérification].

Ton rôle est de démolir cet usage, pas de l'améliorer. Cherche activement :
1. Les personnes qui pourraient être traitées différemment sans raison légitime
2. Les cas particuliers de mon secteur où le résultat serait faux sans avoir l'air faux
3. Ce qui se passe quand l'outil est indisponible ou change de comportement
4. Ce qu'un client mécontent pourrait reprocher, et à qui il le reprocherait
5. Les données qui transitent sans que nous nous en soyons rendu compte

Termine par la seule modification qui réduirait le plus le risque, et dis-moi
ce qu'elle coûte en temps de travail humain par semaine.

Voici la description d'un processus où nous utilisons l'IA :
[décrire les étapes, les critères utilisés et la décision finale].

Identifie les critères qui pourraient servir de substitut à une caractéristique
personnelle sans la nommer : lieu de résidence, parcours scolaire, années
d'expérience continue, façon d'écrire, disponibilité horaire.

Pour chacun, explique le mécanisme par lequel il désavantagerait un groupe,
puis propose une vérification que je peux faire moi-même sur un échantillon
de dossiers passés, sans outil spécialisé et sans compétence statistique.

N'invente aucun chiffre : décris la méthode, je la ferai tourner sur mes dossiers.

Un client conteste un résultat produit avec l'aide de l'IA.
Contexte : [décrire la situation et ce qui a réellement été fait].

Rédige une réponse d'une quinzaine de lignes, ton posé, aucune formule
défensive, aucune promesse que je ne pourrais pas tenir.

Elle doit contenir : ce que l'outil a fait exactement, ce qu'une personne
a vérifié, ce que nous corrigeons dans ce dossier précis, ce que nous
changeons dans notre processus, et le nom de la personne qu'il peut joindre.

Si le contexte que je t'ai donné ne permet pas d'écrire une de ces cinq
parties honnêtement, dis-le-moi au lieu de la remplir.

La grille à repasser avant chaque nouvel usage

C’est la pièce qui survit aux 90 jours. Un cadre d’IA responsable ne se maintient pas par la vigilance générale, il se maintient parce que quelqu’un repasse les mêmes points chaque fois qu’un nouvel outil entre dans l’entreprise. Douze points, quelques minutes, et vous éliminez la catégorie d’incidents qui vient uniquement du fait que personne n’avait posé la question.

Confiez la grille à une personne précise, pas à une fonction. Dans une PME, le dossier de l’IA responsable atterrit souvent chez la direction générale par défaut, ce qui garantit qu’il passera toujours après quelque chose de plus urgent. La personne la mieux placée est généralement celle qui reçoit déjà les plaintes des clients : elle voit les conséquences avant tout le monde.

Ce que cette trousse ne fait pas

Elle ne constitue pas un avis juridique. Le Québec encadre déjà l’utilisation des renseignements personnels, y compris lorsqu’une décision repose sur un traitement automatisé, et l’encadrement de l’IA continue d’évoluer au Canada. Cette trousse vous aide à mettre de l’ordre dans vos pratiques ; elle ne vous dit pas si votre situation est conforme. Faites valider par un conseiller juridique tout usage qui touche des renseignements personnels, avant le déploiement et non après le premier incident.

Elle n’évalue pas non plus les modèles eux-mêmes. Vous n’avez ni les moyens ni l’accès nécessaires pour auditer le fonctionnement interne d’un outil commercial, et personne ne vous le demande. Ce que vous pouvez contrôler, c’est ce que vous y mettez, ce que vous en faites sortir, et qui vérifie entre les deux. La trousse s’arrête à cette frontière.

Enfin, elle ne remplace pas la conversation avec votre équipe. L’inventaire du premier mois ne donnera de résultats utiles que si personne ne craint d’avouer un usage non approuvé. Si vous menez cet exercice sur un ton de contrôle, vous obtiendrez un inventaire propre, faux, et parfaitement inutile.