Révisé le
Rédiger une politique d’utilisation acceptable de l’IA
Une politique d’utilisation acceptable de l’IA indique au personnel quels outils utiliser au travail et quels renseignements y saisir. Commencez par recenser les outils utilisés et les types de données que votre équipe traite. Si le portrait est incomplet, commencez par un inventaire des usages existants. Appuyez la politique sur les tâches réelles, plutôt que sur une consigne générale comme « utiliser l’IA de façon responsable ».
La politique devrait répondre à cinq questions courantes : quel outil et quel compte puis-je utiliser? Quels renseignements puis-je y saisir? Que dois-je vérifier? Qui approuve une exception? Que faire si un problème survient? Gardez les consignes destinées au personnel assez courtes pour être consultées pendant le travail. Conservez les décisions détaillées sur les outils dans un registre distinct.
Déterminer ce qui ne doit jamais y être saisi
Énumérez les renseignements que le personnel ne doit pas saisir dans les outils d’IA, notamment les secrets et les identifiants. Précisez les renseignements personnels, le code source protégé et les autres renseignements confidentiels dont l’utilisation nécessite une approbation. Définissez qui peut l’autoriser ainsi que les outils et les paramètres de compte permis. Vérifiez les restrictions contractuelles et les exigences de protection des renseignements personnels avant d’autoriser l’utilisation de données confidentielles.
Donnez des exemples concrets sans reproduire de renseignements sensibles dans la politique. Une description publique de produit peut être permise dans un outil de rédaction approuvé. Une transcription d’échange avec un client peut exiger un processus examiné au préalable et le retrait de renseignements identifiants. Les mots de passe, les clés d’API et les jetons d’authentification ne doivent figurer ni dans les requêtes ni dans les fichiers téléversés. Ne présumez pas que retirer un nom rend un document anonyme ou qu’un compte payant convient à toutes les catégories de données.
Les conseils du Commissariat aux entreprises sur l’IA et les principes canadiens de protection de la vie privée pour l’IA générative aident à examiner les fins acceptables, l’autorité légale ou le consentement, la transparence et les mesures de sécurité. L’approbation d’un gestionnaire ne remplace pas le consentement, l’autorité ou l’autorisation contractuelle que l’usage peut exiger.
Nommer les outils approuvés
Indiquez les outils approuvés, le type de compte requis pour chacun et la personne à contacter pour poser une question ou demander un nouvel outil.
Pour chaque approbation, précisez la tâche permise, les catégories de données, les paramètres requis, le responsable et la date de révision. Distinguez le compte professionnel géré du compte personnel. Incluez les assistants de réunion, les extensions de programmation et les fonctions d’IA intégrées aux logiciels existants, pas seulement les robots conversationnels. Un outil approuvé pour rédiger du contenu public n’est pas automatiquement autorisé à enregistrer des réunions ou à rechercher des dossiers clients.
Examinez séparément les connecteurs et les agents lorsqu’ils ajoutent des accès ou des capacités d’action. Pour Microsoft 365 Copilot, la documentation de Microsoft sur la confidentialité décrit les protections et les limites d’autorisation propres au produit. Ses engagements concernant l’entraînement des modèles de fondation ne signifient pas que « rien n’est conservé » et ne s’appliquent pas aux services sans lien. Vérifiez la conservation, le traitement, les accès et les conditions du fournisseur pour le produit réellement utilisé.
Vérifier les résultats
Précisez quels résultats doivent être révisés avant leur utilisation ou leur communication. Pour les réponses factuelles, consultez la source citée et confirmez qu’elle appuie la réponse. Désignez une personne pour réviser le travail qui pourrait avoir une incidence sur un client, un employé ou une décision d’affaires.
Adaptez la vérification à la tâche. Recalculez les résultats à partir des données d’entrée, soumettez le code aux examens habituels de qualité et de sécurité, et comparez les résumés aux documents d’origine. Ne publiez pas de références inventées et ne traitez pas l’assurance de l’assistant comme une preuve. Précisez quelles décisions restent sous la responsabilité d’une personne autorisée, surtout celles qui peuvent avoir des conséquences importantes pour des individus.
Si un agent peut envoyer un message, modifier un dossier ou appeler un service externe, indiquez quelles actions exigent une approbation humaine et qui peut la donner. L’approbation doit préciser le destinataire ou la cible ainsi que l’action réelle; elle ne doit pas autoriser d’avance tout ce que l’agent décidera de faire. Les permissions techniques doivent faire respecter cette limite. Un paragraphe dans la politique ne suffit pas.
Faciliter les questions et les signalements
Nommez une personne ou un canal pour les demandes de nouveaux outils, les questions sur les données et les divulgations possibles. Si un employé saisit des renseignements interdits ou constate un accès inattendu, demandez-lui de cesser l’usage concerné et de le signaler rapidement selon la procédure de gestion des incidents. Recueillez le nom de l’outil, le compte, le moment et la catégorie de données par un canal approprié, sans recopier le contenu sensible dans un autre message courant.
Le responsable de l’incident doit évaluer les mesures de limitation, la préservation des éléments utiles à l’enquête, la révocation des accès et les éventuelles obligations de notification. N’affirmez pas qu’effacer une conversation supprime nécessairement toutes les copies chez le fournisseur. Une bonne politique facilite le signalement rapide plutôt que d’inciter les personnes à cacher leurs doutes.
Expliquer et réviser la politique
Gardez les consignes concises et passez-les en revue avec votre équipe. Désignez une personne responsable de la révision de la politique. Revoyez-la lorsque les outils, leurs conditions d’utilisation ou vos exigences de traitement des données changent.
Présentez un exemple d’usage permis, un usage qui nécessite une approbation et une erreur à signaler. Proposez une solution approuvée lorsqu’un outil ou un usage est interdit. Pour toute exception, consignez la fin visée, les données, la personne qui approuve, les mesures de protection et la date d’expiration. Évitez de laisser une permission informelle se prolonger indéfiniment.
Regroupez la politique datée, le registre des outils, les décisions d’approbation et la trace de la présentation au personnel. Vérifiez si les consignes sont applicables au travail réel. Une politique signée témoigne de sa communication; elle ne démontre pas que tous les usages sont maîtrisés ou que toutes les obligations légales sont remplies.
Il s’agit de conseils généraux de préparation, et non de conseils juridiques. Confirmez les obligations propres à votre secteur auprès d’une personne qualifiée.
Source: https://www.priv.gc.ca/en/privacy-topics/technology/artificial-intelligence/ai_business/. Conseils généraux de préparation; il ne s’agit pas de conseils juridiques.