À quoi ça sert ?
À prendre du recul ! D’abord, sortons du débat binaire concernant l’usage de l’intelligence artificielle en entreprise.
Après trois ans de : “Pour ou contre l’IA”, “on n’a pas le choix”, “ça ne sert à rien d’aller contre le progrès”, “l’utiliser c’est signer la fin de l’humanité”, “si on n’y va pas on perd la course”… Un peu de mesure et d’analyse nous fera le plus grand bien.
Je l’avoue bien volontiers, je n’ai pas fait partie des premières à adopter l’IA dans mon métier de développeuse, de consultante ou de dirigeante. Engagée dans l’éco-conception, j’étais inquiète des impacts de l’adoption massive de l’IA dans tous les domaines. Je voulais donc prendre le temps de trouver des cas d’usage pertinents et de réfléchir à la balance bénéfice / impact de chaque usage pour Code Filao.
Après une première phase d’acculturation, de tests et de choix d’outils, écrire cette charte m’a permis de poser les bases éthiques et stratégiques :
- quelles limites je fixe pour mon organisation afin de maîtriser les impacts négatifs ?
- quels usages sont pertinents et utiles dans mon contexte ?
Que l’on soit une micro-entreprise, une PME ou une entreprise du CAC 40, réfléchir et écrire le cadre permet de maîtriser nos outils et de les mettre au service de notre business et de notre raison d’être (et non l’inverse). Au-delà de l’éthique, c’est donc aussi une question de stratégie ! Sans ce cadre, la tentation est parfois grande de sauter sur chaque nouveauté, d’y consacrer du temps et du budget pour constater finalement qu’on a déployé un énième gadget. Et généralement, plus l’entreprise est grande, plus on a tendance à multiplier les gadgets.
De plus, une charte bien pensée, c’est aussi ce qui permet de dire oui plus vite aux bons usages. On gagne du temps et de la clarté sur les décisions.
Par ailleurs, d'un point de vue juridique, la charte IA fait partie des documents prouvant les moyens que l'on se donne pour respecter l'AI Act. C'est donc aussi une démarche de mise en conformité.
Lexique
Pour faciliter la lecture de cet article et nous mettre toutes et tous sur la même longueur d’onde, je vous propose quelques définitions rapides :
Système d’IA : un système automatisé et capable de s’adapter après son déploiement. Il déduit des réponses (prédiction, contenu, recommandations, décisions) à partir de ce qu’on lui transmet en entrée (prompt, contexte…).
Cette définition est une paraphrase simplifiée de celle de l’AI Act.
Organisation : Association, collectivité ou entreprise.
AI Act : règlement européen sur l’intelligence artificielle (Règlement UE 2024/1689). Il est entré en vigueur le 1er août 2024 (certaines applications s’étalent toutefois jusqu’en 2028).
Si vous ne connaissez pas l'AI Act, cliquez ici pour lire une synthèse rapide
Le règlement européen sur l'intelligence artificielle (Règlement UE 2024/1689) offre un cadre juridique européen à l'utilisation de l'IA. Il s'ajoute au cadre juridique existant (RGPD, droit des contrats, propriété intellectuelle, secret des affaires...).
En résumé, il distingue quatre niveaux de risque différents pour les systèmes d'IA et définit les obligations qui incombent aux fournisseurs et déployeurs de systèmes d'IA :
- Risque minimal : peu d'obligation (développer le niveau de maîtrise de l'IA de ses équipes car c'est obligatoire quel que soit le niveau de risque)
- Risque limité : obligation de transparence
- Risque élevé : obligation renforcée (transparence + supervision humaine + documentation spécifique)
- Risque inacceptable : utilisation interdite
Pour plus d'information, vous pouvez par exemple consulter cet article sur le site de la CNIL.
Que contient une charte IA ?
Nous avons vu que ce document répond à la fois à des besoins stratégiques, éthiques et juridiques. Il doit permettre de cadrer les usages, on y écrit donc quelles limites l’organisation se fixe et dans quel cadre elle utilise l’IA.
Voici un exemple de plan :
1. Définitions et champs d’application
Comme dans toute charte, on commence par préciser de quoi on parle et pour qui. Qu’entend-on par IA ou système d’IA ? Qui est concerné ?… Ainsi, on facilite la compréhension.
2. Outils autorisés et/ou interdits
Selon des principes éthiques (impact environnemental, respect des données, souveraineté), les contraintes du secteur ou ses intérêts économiques, l’organisation choisit d’utiliser ou non certains systèmes d’IA.
Dresser la liste des outils autorisés et interdits permet de s’assurer que chaque personne dans l’organisation respecte la même cohérence dans le choix des outils. Les outils personnels sont alors généralement interdits.
3. Cas d’usage
Dans cette partie, on définit dans quel cas l’organisation utilise un système IA et comment cette utilisation est encadrée. C’est aussi une formidable opportunité pour faire le point sur son système d’information et harmoniser les outils !
4. Supervision humaine
Préciser quelle est la part de supervision humaine dans les process permet, par exemple, de démontrer qu’on respecte l’article 22 du RGPD (cet article donne le droit à toute personne de choisir de ne pas faire l’objet d’une décision automatisée).
5. Transparence
Comment est-ce que l’organisation communique qu’elle utilise l’IA et dans quels cas ? Pour certains cas d’usage (risques limité et plus), la transparence est une obligation de l’AI Act.
Ici, c’est aussi un bel argument commercial : on donne à nos clients une vision claire de la valeur réellement ajoutée par l’organisation.
Par où commencer ?
Évidemment, il y a une multitude de possibilités. Si on veut se concentrer sur la dimension éthique, on peut commencer par lister les impacts négatifs que l’on souhaite éviter ou réduire et établir des règles d’utilisation à partir de cette liste. Cette démarche a l’avantage de mettre l’éthique au centre, mais elle pourrait sembler réductrice. Si certains usages existent déjà et n’entrent pas dans ce cadre, la charte ne sera probablement pas respectée.
Certains pourraient être tentés de partir de l’axe technique : je liste les outils qui mettent des paillettes dans mes yeux, je définis des cas d’usage en partant de cette liste, puis je les déplois dans l’entreprise. L’organisation risque alors de déployer des usages complètement inutiles et non pertinents pour ses besoins.
Le plus simple est de partir des usages actuels. Il est donc indispensable d’établir la liste exhaustive des systèmes IA actuellement utilisés par l’organisation. Et pour connaître des cas d’usage, le mieux est de demander aux utilisateurs.
Établir la liste des cas d’usage
Dans une association, une collectivité ou une entreprise, même une petite, chaque personne de l’organisation a une utilisation différente de l’IA. Donc, le meilleur moyen d’obtenir une liste exhaustive est de demander à chaque utilisateur ou utilisatrice dans quels cas il ou elle utilise l’IA (dans un cadre professionnel) et pour quoi faire.
Pour chaque usage, on demandera :
- le domaine (formation, rédaction, développement, prospection…)
- la description du cas d’usage (pour rédiger les mails adressés à tel type de destinataire, pour filtrer ma boîte mail, pour établir une liste de prospects à partir de telle information…)
- le type d’IA utilisée (agent, généraliste / conversationnelle…)
- les outils utilisés
- les données utilisées
Ensuite, on déduit, pour chaque ligne, les éléments suivants :
- le niveau de risque associé au sens de l’AI Act (minimal, limité, élevé, interdit)
- les impacts et risques identifiés (risque de sécurité, utilisation de données interdites par le RGPD, impact environnemental élevé, perte de connaissance…)
Une fois cette liste établie, l’organisation peut faire le choix d’ajouter, de conserver ou de supprimer certains usages au regard des risques et avantages identifiés.
Pour une organisation composée de plusieurs personnes (association, PME / grande entreprise), faire ce travail de manière collective permet à chaque personne de partager des utilisations qui lui ont semblé pertinentes et d’apprendre de ses collègues (sur la technique et sur les impacts). C’est donc aussi un excellent moyen de faire monter en compétence l’ensemble des équipes. Par ailleurs, il est plus facile d’accepter de me plier à un cadre que j’ai participé à écrire.
Attention, pour que la charte IA soit opposable aux salariés et adjointe au règlement intérieur, le CSE devra être consulté pour avis et elle devra être transmise à l’inspection du travail.
Pour les organisations individuelles (micro-entreprises/TPE), certes, il y a une seule utilisatrice. Cependant, ce travail reste important car il permet aussi de questionner ses propres choix : L’outil pour lequel j’ai opté il y a un an parce que tout le monde en parlait est-il toujours pertinent pour mes besoins ? Quelles sont les données que j’insère dans un système d’IA et quels sont les risques associés ?
Rédiger la charte
Avec cette liste, on a tous les éléments pour rédiger la charte.
Cas d’usage : En effet, j’ai déjà défini les cas d’usage en établissant ma liste donc le paragraphe 3 est prêt.
Outils autorisés : Les outils autorisés sont ceux qui sont ressortis lors de l’étude des différents cas d’usage.
Outils interdits : Étudier les impacts et faire le tri des différents cas d’usage m’a également permis de me poser la question de ce que je suis prête à accepter ou non comme impact. Donc, je peux en déduire une liste d’outils interdits.
Transparence : Comme je me suis également interrogée sur le niveau de risque associé à chaque cas d’usage, je sais lesquels sont soumis à l’obligation de transparence au sens de l’AI Act. Bien sûr, rien n’empêche d’être encore plus transparent si on le souhaite, l’essentiel est de l’écrire dans la charte.
Supervision humaine : La réflexion concernant les impacts et risques identifiés m’aura également permis de m’interroger sur la pertinence de la supervision humaine pour les différents cas d’usage.
Et ensuite ?
Communication de la charte
Selon la taille de l’organisation, cette charte pourra être communiquée aux salariés, aux prestataires et aux clients. Par exemple, chez Code Filao, pas question d’utiliser de l’IA en cachette ! On est transparents et clairs (et très fiers aussi) sur ce que nous apportons vraiment à nos clients. Donc, nous avons choisi d’afficher directement notre charte sur notre site web. Lire notre charte IA.
Encore une fois, pour les entreprises disposant d’un CSE, attention à l’obligation de consultation pour avis.
Mises à jour
Les outils numériques évoluent régulièrement dans une organisation, en particulier dans un secteur comme l’intelligence artificielle qui est en pleine mutation. Les cas d’utilisation et besoins évolueront rapidement. Pour que cette charte soit vraiment utile, elle devra donc être mise à jour très régulièrement et à chaque nouveau projet intégrant un système d’IA.
D’ailleurs, les conditions de mise à jour de la charte (quand et par qui) peuvent faire l’objet d’un paragraphe spécifique dans le document.
Alors ? Prêt•e à rédiger votre charte IA et à encadrer vos usages ?