Politique IA : le document d'une page que toute PME devrait avoir.

Commençons par le constat qui fâche : dans la plupart des PME, le « shadow AI » est déjà là. Des salariés utilisent leur compte personnel, sur leur téléphone, parfois avec des données clients dedans. Interdire ne change rien : cela déplace la pratique hors de votre vue. La seule réponse efficace est un cadre court, clair et signé.

Le sujet n'a plus rien de théorique. En 2025, la CNIL a prononcé 83 sanctions pour 486,8 M€ d'amendes, contre 55,2 M€ en 2024 : le montant a été multiplié par près de neuf, même si le nombre de décisions est resté stable (87 en 2024). Soyons précis pour ne pas verser dans la peur commerciale, l'essentiel de ce montant vient de deux décisions très lourdes sur les cookies, à 325 et 150 millions d'euros, chez de très grands acteurs. Mais les motifs les plus fréquents, eux, parlent directement à une PME : 16 sanctions pour vidéosurveillance des salariés, 14 pour sécurité insuffisante des données, 14 pour non-respect des droits des personnes. Ce sont exactement les défauts que produit un usage d'IA sans cadre écrit.

Pourquoi une page, et pas vingt

Une politique de vingt pages protège juridiquement sur le papier et ne change rien dans les faits : personne ne la lit, personne ne s'en souvient au moment de coller un fichier dans un chatbot. Une page affichée près de la machine à café, présentée en réunion d'équipe et signée par chacun modifie les comportements. C'est le seul critère qui compte, et il n'est pas juridique : il est comportemental.

Il y a une deuxième raison, plus subtile. Une politique longue est presque toujours une politique défensive, écrite pour couvrir l'entreprise et non pour aider le salarié. Elle produit l'effet inverse de celui qu'on cherche : face à un document qui multiplie les interdictions sans dire ce qui est permis, l'utilisateur ne demande pas l'autorisation, il ferme l'onglet et rouvre celui de son téléphone. Une bonne politique IA autorise autant qu'elle interdit ; c'est ce qui la rend applicable.

La troisième raison est économique. Ce que craignent les dirigeants n'est pas abstrait : selon l'enquête de Bpifrance Le Lab auprès de 1 209 dirigeants de PME et d'ETI, 33 % citent le risque d'exposition de données confidentielles comme frein à l'adoption de l'IA, 23 % la difficulté à identifier les cas d'usage et 22 % la réticence des salariés. Une page de règles répond au premier frein, lève une partie du troisième, et n'aggrave pas le deuxième. Autrement dit : ce document n'est pas un coût de conformité, c'est un déblocage.

Les six rubriques, avec le texte à recopier

Ce qui suit est utilisable tel quel. Chaque rubrique comporte le raisonnement, puis un texte type à copier dans votre document et à adapter à vos outils, vos métiers et votre vocabulaire. Ne recopiez pas sans lire : une politique qui parle d'un outil que vous n'utilisez pas est plus dangereuse que pas de politique du tout.

Rubrique 1 · Les outils autorisés

Liste nominative des outils validés par l'entreprise, en offre professionnelle. Le point est contractuel, pas technique : les offres professionnelles des grands éditeurs s'engagent à ne pas entraîner leurs modèles sur les contenus de leurs clients professionnels, et fournissent l'accord de sous-traitance dont le RGPD a besoin. Les comptes grand public gratuits, non. Tout le reste est hors cadre, y compris les comptes personnels et les extensions de navigateur installées par curiosité. Pour arbitrer entre les grandes offres du marché, notre comparatif ChatGPT, Claude ou Copilot, lequel pour quelle équipe détaille ce que chacune garantit. Une précision qui évite une déconvenue : nommer l'outil dans la politique ne suffit pas si personne n'a ouvert la console d'administration. Conservation des conversations, partages publics, connecteurs vers vos fichiers, mémoire entre sessions se règlent une fois et se verrouillent pour tout le monde, le tour complet des réglages à faire avant d'ouvrir l'IA aux équipes prend une heure et se cale naturellement entre la rédaction et la présentation.

1. OUTILS AUTORISÉS

Seuls les outils suivants, souscrits et administrés par l'entreprise, sont
autorisés pour un usage professionnel :
  - [Outil 1], offre [nom de l'offre professionnelle], compte fourni par l'entreprise
  - [Outil 2], offre [nom de l'offre professionnelle], compte fourni par l'entreprise

Tout autre outil d'intelligence artificielle est hors cadre, y compris les
comptes personnels, les versions gratuites et les extensions de navigateur.
Pour demander l'ajout d'un outil à cette liste : [référent, rubrique 5].

Rubrique 2 · Les données qui n'entrent jamais

La liste rouge, explicite et courte. Données de santé, coordonnées bancaires, données personnelles sensibles au sens du RGPD, éléments couverts par le secret des affaires que vous désignez nommément. Puis, immédiatement après, la porte de sortie : le réflexe de pseudonymisation qui rend la plupart des autres cas possibles. C'est ce couple interdiction / autorisation qui fait tenir la règle, et c'est exactement la logique de liste que la CNIL recommande pour déployer l'IA générative : partir d'un besoin concret, lister les usages autorisés et interdits, informer les équipes des limites des outils, former les utilisateurs. Le détail de la méthode et ses limites honnêtes sont dans notre guide de l'IA et du RGPD.

2. DONNÉES QUI N'ENTRENT JAMAIS DANS UN OUTIL D'IA

Ne sont jamais saisis, collés ni déposés dans un outil d'IA :
  - les données de santé, quelles qu'elles soient
  - les coordonnées bancaires (RIB, numéros de carte) et les identifiants de connexion
  - les données personnelles sensibles : origine, opinions, appartenance syndicale, vie privée
  - les documents suivants, couverts par le secret des affaires : [liste courte et nommée]

Pour tout le reste, la règle est la pseudonymisation : retirer le nom, l'adresse,
la date exacte, le montant exact et la référence contractuelle, et généraliser le
contexte. « Mme Martin, 12 rue des Lilas à Colmar » devient « une cliente ».
En cas de doute, la question se pose au référent AVANT de coller le texte.

Rubrique 3 · La règle de relecture

Une phrase, et c'est probablement la ligne la plus rentable du document : « Tout contenu généré qui sort de l'entreprise est relu par son expéditeur, qui en assume le contenu. » L'IA rédige, l'humain signe. Cette règle seule évite l'essentiel des incidents réels, le chiffre inventé, la date de livraison imaginaire, la référence juridique qui n'existe pas, le ton à côté. Elle a aussi une vertu de gouvernance : elle place la responsabilité là où elle se trouve déjà juridiquement, chez la personne qui envoie. Sur ce point, il vaut mieux savoir ce que dit le droit avant l'incident plutôt qu'après : nous avons démonté les quatre fondements en jeu, le rôle de votre assurance et la marge de manœuvre réelle vis-à-vis d'un salarié dans qui est responsable quand l'IA se trompe et qu'un client en subit le dommage.

Une ligne mérite d'être ajoutée à cette rubrique dans les entreprises qui publient : ce qui sort n'est pas seulement relu, il est aussi retravaillé. En droit français, une sortie d'IA n'est protégée par le droit d'auteur que si elle porte la trace de choix humains, un texte ou un visuel publié brut ne vous appartient donc pas, et vous ne pourrez pas vous opposer à sa reprise. Ce qu'une entreprise peut publier, vendre et signer à partir d'un contenu généré se résume à trois conditions, dont deux tiennent en une phrase dans une politique : on retravaille avant de publier, et on ne dépose comme marque aucun nom sorti d'un modèle.

3. RELECTURE AVANT ENVOI

Tout contenu produit avec l'aide d'un outil d'IA et destiné à sortir de
l'entreprise (e-mail, devis, courrier, publication, document contractuel) est
relu par son expéditeur, qui en assume le contenu.

La relecture porte en priorité sur : les chiffres, les dates, les noms, les
engagements pris et les références citées (articles de loi, normes, sources).
Aucun envoi automatique de contenu généré n'est autorisé.

Rubrique 4 · Les usages sensibles et interdits

Recrutement, évaluation des salariés, décisions ayant un effet juridique sur une personne : supervision humaine obligatoire et critères explicites. Ce n'est pas une précaution de style, c'est le régime des systèmes à haut risque du règlement européen sur l'IA, qui exige que la surveillance humaine soit confiée à des personnes ayant la compétence, la formation et l'autorité nécessaires, et que les salariés concernés soient informés avant la mise en service. Autant l'écrire noir sur blanc. Si le tri de candidatures est envisagé chez vous, lisez d'abord ce que l'IA peut et ne peut pas faire dans un recrutement, et regardez comment le parcours Ressources humaines traite la question. Avant d'écrire cette rubrique, il vaut mieux savoir lesquels de vos usages relèvent réellement de ce régime : l'annexe III du règlement liste huit domaines, l'emploi n'en est qu'un, et la frontière passe entre ce qui prépare une décision et ce qui la prend, rédiger une offre d'emploi n'y tombe pas, trier des candidatures oui. L'autodiagnostic « votre PME utilise-t-elle une IA à haut risque ? » fait ce tri, et rappelle qu'une PME qui utilise un outil du marché est déployeur, avec six obligations, et non responsable de la conformité du fournisseur.

4. USAGES SENSIBLES ET USAGES INTERDITS

Usages soumis à supervision humaine explicite (une personne nommée décide,
l'outil ne fait que préparer) :
  - tri, classement ou notation de candidatures
  - évaluation, notation ou suivi de la performance d'un salarié
  - toute décision produisant un effet juridique sur une personne

Ces usages ne sont ouverts qu'après information des salariés concernés et de
leurs représentants, et avec des critères de décision écrits.

Usages interdits sans exception :
  - toute forme de surveillance individuelle des salariés
  - la production de contenus faisant passer une IA pour une personne réelle
  - l'usage d'une voix ou d'une image de collaborateur sans son accord écrit

Rubrique 5 · Le référent IA

Un nom, pas un comité. La personne à qui poser la question (« j'ai le droit de mettre ça ? »), qui collecte les bonnes pratiques et propose les mises à jour. Dans une PME, c'est souvent le premier salarié formé qui a compris l'outil et qui a envie de le faire circuler. Attention au piège classique : nommer le dirigeant. Il ne sera pas disponible, la question ne lui sera pas posée, et la rubrique deviendra décorative. Le profil qui fonctionne et la charge réelle du référent IA méritent d'être posés avant de choisir. Une précision utile sur la ligne « remonter les incidents » du texte type ci-dessous : elle ne vaut que si quelqu'un sait quoi faire de l'incident remonté. Dans une PME sans informaticien, ce réflexe se prépare à l'avance, et le protocole de réaction à l'incident en une page tient sur le même format que cette politique.

5. RÉFÉRENT IA

Référent IA : [prénom NOM], [fonction], [e-mail interne], [poste téléphonique].

Son rôle : répondre aux questions d'usage, arbitrer les cas douteux, tenir à jour
la liste des outils autorisés, remonter les incidents, proposer les mises à jour
de ce document. Il consacre [X] heures par mois à ce rôle, reconnues dans sa charge.

Il n'est ni le service informatique, ni le responsable de la conformité : il est
le point d'entrée le plus rapide pour une question concrète.

Rubrique 6 · La date de révision et la signature

Tous les six mois, la page est relue et ajustée. Les outils bougent vite, et leurs conditions d'utilisation encore plus : une politique datée de dix-huit mois décrédibilise tout le dispositif, y compris ses bonnes règles. Inscrivez la date de la prochaine relecture sur le document, avec un numéro de version. Et faites signer : la signature n'est pas une obligation légale, mais c'est la preuve que l'information a été donnée, et c'est précisément ce qu'on vous demandera de démontrer.

Ce réflexe de numéro de version, de date d'entrée en vigueur et d'approbation nommée n'a rien de nouveau pour une entreprise certifiée : c'est sa maîtrise documentaire ordinaire. Elle a donc une longueur d'avance sur cette page, et une raison supplémentaire de l'écrire, puisque l'IA touche désormais à des documents que son référentiel encadre, nous avons détaillé ce que l'IA rédige et qui l'approuve dans une démarche qualité ISO 9001 outillée par l'IA.

6. VERSION, RÉVISION ET ENGAGEMENT

Version [n°], en vigueur depuis le [date].
Prochaine relecture prévue le [date + 6 mois], et à chaque changement d'outil.

« J'ai lu ce document, il m'a été présenté, et je m'engage à l'appliquer. Je sais
à qui poser une question en cas de doute. »

Nom, date, signature : ______________________________

Structure 8 Academy, construite sur les recommandations de la CNIL relatives au déploiement de l'IA générative et sur les obligations des déployeurs prévues par le règlement (UE) 2024/1689.

Les trois pièges qui vident le document de son sens

Piège n°1 : la politique qui n'interdit rien de précis. « Faire preuve de discernement », « respecter la confidentialité », « utiliser l'IA de manière responsable » : ces formules ne guident aucune décision. Le test est simple : donnez votre page à un salarié avec un cas concret (« un client m'écrit une réclamation nominative, j'aimerais faire préparer la réponse ») et regardez s'il trouve la réponse dans le document. Si non, la page est décorative.

Piège n°2 : la politique écrite sans inventaire. Rédiger les règles avant de savoir qui utilise quoi conduit à interdire des usages inoffensifs et à ignorer les usages risqués. L'ordre correct est : inventorier d'abord, sous amnistie explicite, puis écrire. C'est le point développé dans notre article sur le shadow AI et la méthode pour le faire sortir de l'ombre sans chasse aux sorcières.

Piège n°3 : la politique sans formation. Une règle non comprise n'est pas appliquée, elle est contournée. Un salarié à qui l'on demande de pseudonymiser sans lui avoir montré comment, et sans lui avoir expliqué pourquoi le contexte compte autant que le nom, produira des pseudonymisations de façade. C'est aussi la raison pour laquelle une session unique ne suffit pas : sans reprise à quelques semaines, l'essentiel s'efface, un mécanisme que nous détaillons dans notre analyse des formations IA qui retombent en trois semaines.

Un quatrième piège, plus rare mais coûteux : la politique rédigée par un prestataire qui ne connaît pas votre entreprise, vendue au prix d'un audit et copiée d'un modèle générique. Le résultat cite des outils que vous n'avez pas et ignore les usages que vous avez. La « mise en conformité IA garantie » facturée très cher est devenue un classique du démarchage, nous l'avons rangée avec les autres dans notre guide des arnaques qui prospèrent sur l'engouement pour l'IA.

La faire signer, la faire vivre

Le document ne vaut que par sa mise en circulation. Voici la séquence qui fonctionne, et elle tient en un mois.

• Inventoriez avant d'écrire, en annonçant l'amnistie. Personne ne sera sanctionné pour un usage passé : sans cette phrase, vous n'obtiendrez que des déclarations de façade.
• Rédigez en une seule séance, à deux. Le dirigeant et le futur référent. Deux heures, six rubriques, une page. Au-delà, vous êtes en train d'écrire un document défensif.
• Présentez-la, ne l'envoyez pas. Quinze minutes en réunion d'équipe, avec deux cas concrets déroulés à voix haute. C'est là que les règles deviennent des réflexes.
• Faites-la signer et conservez les émargements. Ce n'est pas une obligation légale, c'est la preuve que l'information a été donnée. Le même classeur servira pour votre financeur de formation.
• Affichez-la là où on la lira. Salle de pause, intranet, et en pièce jointe du kit d'arrivée des nouveaux, aux côtés de ce que vous prévoyez déjà dans l'intégration des nouveaux arrivants.
• Inscrivez la date de la prochaine relecture. Sur le document, pas dans un agenda. Et tenez-la : une révision manquée est le début de l'obsolescence.
• Traitez les objections plutôt que de les ignorer. « On va me surveiller », « on va me remplacer » : ces craintes se lèvent en formation, pas dans une note de service. La méthode pour une équipe réticente vaut d'être lue avant la réunion, pas après.

Ce que cette page coche, côté RGPD et côté AI Act

Une seule page, trois attentes réglementaires satisfaites en même temps. Détaillons, parce que c'est l'argument qui débloque le budget.

Côté RGPD. La rubrique 2 documente les catégories de données exclues des traitements par IA ; la rubrique 1 identifie vos sous-traitants et leurs offres, ce qui vous permet de récupérer les accords requis par l'article 28 ; la rubrique 4 traite les traitements les plus sensibles. Ce n'est pas une conformité complète (il faut toujours mettre à jour le registre des traitements et l'information des personnes), mais c'est le socle sur lequel le reste s'écrit vite.

Côté AI Act. Depuis le 2 février 2025, l'article 4 du règlement (UE) 2024/1689 demande aux entreprises utilisatrices de prendre des mesures en faveur d'un niveau suffisant de maîtrise de l'IA chez leur personnel, et la Commission européenne précise que tous les employeurs utilisant l'IA sont concernés, PME incluses, sans seuil de taille. Elle indique aussi qu'aucun certificat n'est exigé et recommande de conserver une trace interne des actions menées : votre page signée, avec ses émargements, est cette trace. Une politique d'une page plus une formation par métier constituent précisément la réponse proportionnée qu'on attend d'une PME. Pour le détail des définitions, du calendrier et de ce qui est réellement sanctionnable, lisez notre article sur ce que l'AI Act exige vraiment en matière de formation.

Une nuance à connaître. Le règlement (UE) 2026/1744, publié en juillet 2026, a allégé la formulation de l'article 4 : l'obligation porte désormais sur le fait de soutenir le développement de la maîtrise de l'IA, et le texte précise qu'elle ne contraint pas à garantir un niveau individuel. L'obligation reste due, depuis février 2025, et la page écrite reste le moyen le plus simple d'y répondre. Ce qui a été reporté dans ce même paquet, ce sont les échéances applicables aux systèmes à haut risque, pas l'article 4. La confusion est si répandue cet été que nous avons repris le calendrier de l'AI Act échéance par échéance après le Digital Omnibus : l'annexe III bascule au 2 décembre 2027, mais les interdictions, la littératie et la transparence, elles, ne bougent pas d'un jour.

Ce que la page ne coche pas, et il faut le dire. Elle ne remplace ni le registre des traitements, ni une analyse d'impact quand elle est requise, ni l'avis de votre juriste sur votre secteur. Elle ne vaut pas non plus consultation des instances représentatives du personnel quand celle-ci est due, et ce point est le plus sous-estimé de la liste, parce qu'il ne se rattrape pas. Dans une entreprise dotée d'un CSE, ouvrir un outil d'IA aux équipes relève de l'introduction de nouvelles technologies, donc d'une information-consultation préalable, avec un délai d'un mois à prévoir après la remise des informations écrites. Faute de consultation, des juridictions françaises ordonnent la suspension du déploiement sous astreinte : à lire avant de fixer la date de la réunion de présentation, pas après. Faites relire la page finie par votre conseil : c'est une relecture d'une page, pas un chantier, et c'est lui qui a le dernier mot sur votre situation.

À quoi ressemble la page finie

Prenons un cas de figure explicitement générique : une PME de 40 salariés dans le bâtiment, deux commerciaux, une assistante de direction, trois personnes en comptabilité, six au bureau d'études, le reste sur les chantiers. Une dizaine de personnes utilisent un assistant IA, dont trois sur des comptes personnels découverts lors de l'inventaire.

Sa page finie tient en six blocs d'une dizaine de lignes. Elle nomme deux outils, en offre professionnelle, souscrits par l'entreprise. Elle interdit quatre familles de données et donne la règle de pseudonymisation en trois exemples tirés du quotidien de l'entreprise : une réclamation client, un dossier de personnel, un devis chiffré. Elle pose la relecture avant envoi, en visant explicitement les chiffres et les dates, parce que c'est là que les erreurs coûtent sur un chantier. Elle ouvre le tri de candidatures sous supervision d'une personne nommée, et interdit toute surveillance individuelle. Elle désigne la responsable comptable comme référente, avec deux heures par mois reconnues dans sa charge. Elle porte un numéro de version, une date, et un espace pour signer.

Le tout a demandé une semaine d'inventaire, deux heures de rédaction et trois réunions de quinze minutes. C'est cette page, et non un dossier de conformité, qui a fait basculer les trois comptes personnels vers des comptes d'entreprise. Le reste (les gestes qui font gagner du temps métier par métier) relève de la formation, et se construit ensuite à partir de notre guide complet de l'IA en PME. Le budget associé, lui, se chiffre avec notre estimation du coût réel de l'IA dans une PME : la politique ne coûte que du temps, les comptes professionnels quelques dizaines d'euros par personne et par mois.

Une dernière remarque de gouvernance, pour la direction : ce document est aussi un outil de pilotage. Les questions que le référent reçoit dans les trois mois qui suivent dessinent la carte des usages réels et des besoins de formation, bien mieux qu'un questionnaire. Et les incidents remontés (un fichier collé au mauvais endroit, un chiffre inventé qui a failli partir) sont exactement les cas d'usage qu'il faut travailler ensuite, comme le montre notre panorama des erreurs de déploiement les plus fréquentes.

Pour situer votre point de départ, le test de maturité IA en dix questions prend cinq minutes. Et si le sujet du financement se pose avant celui du contenu, notre guide des dispositifs de prise en charge en 2026 donne les circuits et les pièces à fournir. Le détail de nos parcours est sur la page de la formation IA pour PME.

Questions fréquentes