Un salarié peut-il utiliser son compte personnel pour un travail ?

La CNIL indique que, pour un service grand public, il faut éviter les comptes créés avec des adresses personnelles. La règle interne doit donc interdire les comptes personnels pour le travail, et imposer les comptes de l'entreprise.

Qui répond si un salarié se trompe dans l'usage de l'IA ?

Selon la CNIL, c'est l'organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel.

Faut-il une charte écrite pour l'équipe ?

La CNIL recommande une charte interne définissant les usages autorisés et interdits, accompagnée de formation et de contrôles réguliers.

Salariés et IA : outils autorisés et erreurs de saisie

Un salarié qui ouvre un assistant d'IA pour rédiger un message fait un traitement de données au nom de l'entreprise. C'est l'entreprise qui répond de cet usage. La CNIL le formule clairement : l'organisme utilisateur engage sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel. La règle doit donc être écrite, connue de chacun, et contrôlée. Une règle orale ne suffit pas, car personne ne sait ce qu'il est permis de faire.

La règle tient en peu de points. Elle doit être courte, pour être lue : une page, signée par le dirigeant, et révisée au moins une fois par an.

Les règles à écrire

Outils autorisés. Une liste écrite des outils d'IA que l'entreprise a validés, avec la date de validation. Tout autre outil est interdit pour le travail.
Comptes de l'entreprise. Le travail se fait avec un compte de l'entreprise. La CNIL recommande, pour un service grand public, d'éviter les comptes créés avec des adresses personnelles.
Données. Aucune donnée sensible au sens de la CNIL, aucune donnée de client ou de salarié hors des outils validés. Le niveau de chaque document se trouve dans la page classer ses données.
Relecture. Toute sortie est relue avant d'être utilisée. La CNIL rappelle que les résultats peuvent être inexacts tout en paraissant plausibles.
Signalement. Toute erreur de saisie est signalée sans délai, selon la procédure ci-dessous.

La procédure en cas d'erreur de saisie

Une erreur arrive : un salarié colle un contrat client dans un outil non validé, ou un dossier avec une donnée de santé. La réaction doit être rapide, mais elle ne doit pas aggraver la situation.

Ne pas recopier la donnée dans le signalement. Décrire l'endroit, pas le contenu.
Prévenir le dirigeant dès qu'on s'en aperçoit, par écrit, avec la date et l'outil concerné.
Supprimer la saisie dans l'outil si celui-ci le permet, sans attendre la réponse.
Noter ce qui a été saisi, à quelle date, dans quel outil.
Attendre la décision du dirigeant avant de refaire la même tâche.

Le dirigeant décide ensuite si une demande au fournisseur, une information des personnes concernées ou une autre action est nécessaire.

Tableau de situations

Situation	Ce que fait le salarié	Qui prévenir
Besoin d'un outil non validé	Ne l'utilise pas, demande la validation	Dirigeant
Document client à rédiger	Utilise l'outil validé, sans nom ni coordonnées	Personne référente
Donnée sensible saisie par erreur	Signale sans recopier, supprime si possible	Dirigeant, immédiatement
Demande d'une personne sur ses données	Transmet sans répondre seul	Dirigeant
Réponse de l'IA douteuse	Vérifie avant usage	Personne référente si doute

Formation et contrôles

La CNIL recommande, avec la charte, de la formation et des contrôles réguliers. Pour une petite équipe, cela peut prendre la forme d'un point de vingt minutes par trimestre : relire la liste des outils validés, revoir deux ou trois cas réels, et noter les erreurs sans chercher de coupable. Une erreur signalée est une information utile pour la règle.

Liste de vérification

La liste des outils validés est écrite et datée.
Chaque salarié dispose d'un compte de l'entreprise pour le travail.
La règle sur les données sensibles et clients est connue de tous.
La procédure de signalement est affichée ou envoyée à chacun.
Un contrôle et une formation sont prévus dans l'année.

Les documents de clients soumis à une clause de confidentialité ont leur propre règle, dans la page documents clients. Les demandes d'une personne sur ses données suivent la procédure de la page droits des personnes. Les limites de la règle écrite, qu'aucun outil ne remplace, sont dans la page limites.