Commençons par le constat qui fâche : dans la plupart des PME, le « shadow AI » est déjà là. Des salariés utilisent leur compte ChatGPT personnel, sur leur téléphone, parfois avec des données clients dedans. Interdire ne change rien, ça déplace juste la pratique hors de votre vue. La seule réponse efficace est un cadre court, clair et signé. Et le sujet des données n'a plus rien de théorique : la CNIL a prononcé 486,8 M€ d'amendes en 2025, sur 83 sanctions, neuf fois plus qu'en 2024. Pas de quoi céder à la panique (l'essentiel de ces sanctions ne concerne pas l'IA), mais de quoi acter que la protection des données se contrôle réellement.
Pourquoi une page, pas vingt
Une politique de vingt pages protège juridiquement sur le papier et ne change rien dans les faits : personne ne la lit, personne ne s'en souvient au moment de coller un fichier dans un chatbot. Une page affichée près de la machine à café, présentée en réunion d'équipe et signée par chacun, modifie les comportements. C'est le seul critère qui compte.
Les six rubriques
1 · Les outils autorisés
Liste nominative des outils validés par l'entreprise, en version professionnelle (les offres pro s'engagent contractuellement à ne pas entraîner leurs modèles sur vos données, les versions gratuites, non). Tout le reste est hors cadre, y compris les comptes personnels.
2 · Les données qui n'entrent jamais
La liste rouge, explicite : données de santé, coordonnées bancaires, données personnelles sensibles, éléments couverts par le secret des affaires nommément désignés. Pour le reste : le réflexe de pseudonymisation (« Client A », « le fournisseur B ») couvre l'immense majorité des usages quotidiens. Cette logique de liste, usages autorisés d'un côté, interdits de l'autre, est exactement celle que recommande la CNIL pour déployer l'IA générative : partir d'un besoin concret, informer les équipes sur les limites des outils, et former les utilisateurs.
3 · La règle de relecture
Une phrase : « Tout contenu généré qui sort de l'entreprise est relu par son expéditeur, qui en assume le contenu. » L'IA rédige, l'humain signe. Cette règle seule évite 90 % des incidents réels.
4 · Les usages sensibles
Recrutement, évaluation des salariés, décisions ayant un effet juridique sur une personne : supervision humaine obligatoire et critères explicites. C'est l'exigence du règlement européen pour les usages à haut risque, autant l'écrire noir sur blanc.
5 · Le référent IA
Un nom, pas un comité. La personne à qui poser les questions (« j'ai le droit de mettre ça ? »), qui collecte les bonnes pratiques et propose les mises à jour. Dans une PME, c'est souvent le premier « champion » formé.
6 · La date de révision
Tous les six mois, la page est relue et ajustée. Les outils bougent vite ; une politique datée de dix-huit mois décrédibilise tout le dispositif.
Le lien avec l'AI Act
Depuis le 2 février 2025, l'article 4 du règlement européen demande aux entreprises de veiller à un niveau suffisant de maîtrise de l'IA chez les salariés qui l'utilisent, et la Commission européenne précise que tous les employeurs utilisant l'IA sont concernés, PME incluses, sans seuil de taille. Une politique d'une page + une formation par métier : c'est précisément la réponse proportionnée qu'on attend d'une PME, et elle se met en place en une semaine. Pour le détail des obligations et du calendrier, lisez notre article AI Act : la formation IA est-elle obligatoire pour votre PME ?
La politique IA est incluse dans chaque parcours 8 Academy.
On la rédige avec vous, adaptée à vos outils et vos métiers, et on la présente aux équipes en formation.