Vers ISO 42001
Toggle sidebar

Votre modèle à compléter

Version vierge à remplir dans Word ou LibreOffice. Les exemples du guide ne sont pas inclus.

Télécharger le modèle Word

Modèle 2 : politique IA et outils autorisés

Couvre : clause 5.2 (politique IA), A.2.2 à A.2.4, A.3.3 (signalement), A.9.2 à A.9.4 (usage). Document obligatoire : 5.2. À diffuser à tout le personnel. Les règles de discipline qu'elle contient en font une adjonction au règlement intérieur : avis du CSE, communication à l'inspection du travail, dépôt, publicité et délai d’entrée en vigueur (Code du travail, L1321-4 et L1321-5). Une simple annexion ne suffit pas. L’absence d’annexion ne signifie pas non plus qu’aucune sanction ne peut être envisagée : faire examiner la règle et la situation par un juriste.

Ce que 5.2 exige dans le texte de la politique :

adaptée à la finalité de l'organisation
cadre pour fixer les objectifs IA (6.2)
engagement à satisfaire les exigences applicables
engagement à l'amélioration continue de l'AIMS
disponible, communiquée en interne, disponible pour les parties intéressées si pertinent

Deux pages maximum pour le corps. La liste des outils vit en annexe : elle change souvent, la politique rarement.

Modèle vide

Titre               Politique d'utilisation de l'intelligence artificielle
Version             n°, date, validée par (direction générale), prochaine revue
Destinataires       salariés, intérimaires, prestataires ayant un accès au SI

1. Objet et engagements

Pourquoi l'organisation utilise l'IA. Engagements : respect des exigences légales et contractuelles, amélioration continue, objectifs IA fixés et revus chaque année.

2. Champ

Systèmes et usages couverts (renvoi au périmètre, modèle 1).

3. Principes

4 à 6 principes, chacun traduit en règle vérifiable. Exemple : « supervision humaine » devient « aucune décision défavorable à un client n'est prise par un système IA sans validation humaine ».

4. Rôles

Direction générale      valide la politique, arbitre les exceptions
Référent IA             tient l'inventaire et la liste des outils, instruit les demandes
RSSI, DPO               avis sécurité et données personnelles sur chaque demande
Managers                font appliquer la politique dans leur équipe
Chaque utilisateur      respecte la liste, signale tout problème

5. Outils autorisés

Renvoi à l'annexe 1. Règle : un outil absent de la liste est interdit. Le critère est le couple outil x niveau de données.

6. Interdits

Liste courte et explicite.

7. Demander un nouvel outil

Formulaire, évaluation (référent IA, RSSI, DPO), délai de réponse, inscription dans la liste.

8. Signaler un problème

Canal, confidentialité, absence de représailles pour un signalement de bonne foi.

9. Non-respect

Mesures adaptées à la gravité et au contexte, dans le respect de la procédure disciplinaire et du règlement intérieur applicable. Éviter une progression automatique qui empêcherait de traiter un premier manquement grave. Validation des clauses par un juriste en droit du travail.

10. Revue

Fréquence, déclencheurs, responsable.

11. Dérogations

Demande écrite et motivée, appréciation du risque, décision par une instance nommée, mesures compensatoires, date de fin, suivi ; registre des dérogations revu à chaque revue de politique (annexe B, A.2.2).

Annexe 1 : liste des outils autorisés

Outil, offre       usages permis        niveau de données max      conditions

Niveaux de données (reprendre la classification existante de l'organisation) :

public        publié ou publiable
interne       diffusion interne sans dommage notable
confidentiel  contrats, finances, stratégie, code source
personnel     toute donnée sur une personne identifiable, quelle que soit sa confidentialité
sensible      catégories particulières de l’art. 9 RGPD, dont les données de santé

Les mentions « personnel » et « sensible » sont des catégories juridiques, pas des niveaux successifs de confidentialité. Les croiser avec public / interne / confidentiel pour chaque outil.

Exemple rempli : mutuelle fictive

Titre               Politique d'utilisation de l'intelligence artificielle
Version             1.0, octobre 2026, validée par le directeur général, revue octobre 2027
Destinataires       tout le personnel, intérimaires et prestataires avec un compte

  1. Objet et engagements. La mutuelle utilise l'IA pour traiter plus vite les dossiers et mieux répondre aux adhérents. Elle s'engage à respecter le RGPD, l'AI Act et ses obligations envers l'ACPR, à fixer chaque année des objectifs IA mesurables et à améliorer ce dispositif à partir des incidents, des audits et des retours des adhérents.

  2. Champ. Les trois systèmes IA de la mutuelle (tri des sinistres, chatbot adhérents, détection de fraude) et tout usage d'un outil d'IA par le personnel, sur un poste de la mutuelle ou pour traiter des données de la mutuelle.

  3. Principes.

    Décision humaine aucun refus, aucune réduction de prise en charge sans validation par un gestionnaire Transparence l'adhérent sait quand il échange avec une IA (chatbot) et peut demander un interlocuteur humain Équité chaque système est testé contre les biais avant mise en production, puis une fois par an Données de santé jamais dans un outil qui n'est pas classé « sensible » en annexe 1 Traçabilité journaux utiles conservés 12 mois dans cet exemple, durée à justifier par finalité et système ; limiter les données personnelles enregistrées

  4. Rôles : selon le tableau du modèle ; référent IA = responsable de l'équipe data.

  5. Outils autorisés : annexe 1. Un outil absent de la liste est interdit.

  6. Interdits.

    copier des données d'adhérents, même anonymisées à la main, dans un outil grand public utiliser un compte personnel pour un usage professionnel laisser une IA envoyer un courrier ou un mail à un adhérent sans relecture utiliser une IA pour évaluer un collègue ou un candidat

  7. Demander un nouvel outil : formulaire « Demande d'outil IA » sur l'intranet ; avis du RSSI et du DPO ; réponse sous 15 jours ouvrés ; refus motivé par écrit.

  8. Signaler un problème : ia-signalement@ (adresse dédiée, lue par le référent IA et le DPO) ou dispositif d'alerte existant. Aucune sanction pour un signalement de bonne foi, y compris sur son propre usage.

  9. Non-respect : réponse proportionnée à la gravité et au contexte, avec les RH. Toute sanction respecte le droit applicable et le règlement intérieur. Dans cet exemple fictif, les formalités de consultation, communication, dépôt, publicité et entrée en vigueur ont été accomplies. Une fuite de données de santé est traitée comme un incident de sécurité (procédure PSSI).

  10. Revue : une fois par an par le comité IA ; aussi après un incident grave, un changement de loi ou l'arrivée d'un nouveau système.

  11. Dérogations : demande au référent IA, avis RSSI et DPO, décision du comité IA, durée maximale 3 mois renouvelable une fois. Exemple : D-2026-01, assistant de code sur un extrait pseudonymisé de données réelles pour tester une migration, 30 jours, environnement isolé, purge vérifiée par le RSSI en fin de test.

Annexe 1, liste des outils autorisés au 1er octobre 2026 :

Assistant IA de la suite bureautique, offre entreprise
    rédaction, synthèse, traduction          max confidentiel     compte mutuelle uniquement
LLM du chatbot, API entreprise, sans entraînement sur nos données
    réservé à l'équipe data et au chatbot    max sensible         contrat et AIPD en place
Assistant de code, offre entreprise
    équipe data et DSI                       max confidentiel     pas de données réelles
Outil de transcription de réunion, hébergé en interne
    comptes rendus internes                  max personnel        jamais en réunion adhérent
Tout outil gratuit ou grand public
    interdit

Repères juridiques

Voir les corrections sur la discipline et le RGPD, avec les sources officielles. Les valeurs de l’exemple fictif ne constituent pas des durées ou des autorisations légales générales.