Charte 01 · Pratiques responsables
Usage responsable de l’intelligence artificielle
L’IA doit renforcer la capacité des personnes à comprendre et agir. Elle ne doit pas réduire leurs droits, leur maîtrise des données ni leur liberté de changer de technologie.
Cette charte s’applique aux usages de l’IA par les personnes qui travaillent pour adnap et guide les systèmes d’IA que nous concevons, intégrons ou opérons pour nos clients. Elle complète le droit applicable et les politiques propres à chaque client.
Partir du besoin, pas du modèle
Avant d’ajouter de l’IA, nous formulons le problème, le bénéfice attendu et la façon de le mesurer. Nous comparons cette option à des solutions plus simples : meilleure documentation, logiciel classique, recherche ou évolution du processus. Si l’IA n’apporte pas de valeur claire, nous ne l’ajoutons pas.
Garder une personne responsable
Une sortie d’IA est une proposition, pas une autorité. Une personne identifiée relit tout contenu généré ou recommandé avant livraison, intégration, publication ou utilisation dans une décision importante. Nous ne déléguons pas à un système automatisé les décisions concernant l’emploi, l’accès aux droits ou d’autres enjeux majeurs sans cadre légal, documenté et supervisé de manière adaptée.
Protéger les données et la confidentialité
Nous ne transmettons pas de secrets client, identifiants, données personnelles, code source ou documents non publics à un service d’IA public sans accord explicite du client et évaluation préalable du service pour cet usage. Nous réduisons les données au nécessaire et, lorsque c’est possible, les expurgeons ou les pseudonymisons. Avant de déployer un système d’IA qui traite des données personnelles, nous clarifions avec le client les rôles, la finalité, la base légale, la durée de conservation, les transferts et les mesures de sécurité ; nous évaluons la nécessité d’une AIPD.
Choisir la souveraineté et la réversibilité
Nous examinons où les données sont hébergées et consultées, les juridictions applicables, le contrôle du fournisseur et les dépendances, la portabilité des modèles et des données, les journaux, la conservation, la réutilisation pour l’entraînement et les conditions de sortie. Un hébergement européen ne suffit pas à établir la souveraineté. Nous documentons les compromis et privilégions standards ouverts, hébergement maîtrisé ou fournisseurs européens lorsqu’ils répondent aux exigences de sécurité, de performance et de support. Nous préservons une solution de repli et évitons qu’une capacité essentielle du client dépende d’un modèle ou d’une API unique.
Sécuriser toute la chaîne
Nous examinons le fournisseur, le modèle, les intégrations, les contrôles d’accès et les flux de données avant usage. Nous appliquons le moindre privilège, séparons les environnements, gardons les secrets hors des prompts et traitons les documents récupérés comme les sorties du modèle comme des entrées non fiables. Nous testons les risques d’injection de prompt, de fuite de données, d’appel d’outils non sûr et les modes de défaillance selon l’exposition du système. Les constats et incidents sont consignés et remontés.
Vérifier la qualité, l’équité et les droits
Nous testons des cas représentatifs et des cas limites connus, puis vérifions l’exactitude, les biais, l’accessibilité et la sécurité. Nous informons les personnes lorsque l’IA contribue de façon substantielle à une interaction ou à un livrable. Nous respectons la propriété intellectuelle et les licences, ne présentons pas un contenu généré comme un fait vérifié et prévoyons un moyen de contester ou corriger les sorties qui ont des conséquences.
Utiliser les ressources avec discernement
Nous vérifions que l’IA est proportionnée à la tâche, choisissons le modèle le plus léger qui répond au besoin, évitons les inférences répétées sans nécessité et tenons compte des impacts de calcul, d’énergie et d’eau lorsque les informations sont disponibles.
Garde-fous opérationnels
- Les outils et cas d’usage autorisés sont consignés avec leur finalité, les catégories de données, leur responsable et une date de revue.
- Les équipes reçoivent des consignes pratiques sur les limites, la confidentialité, la vérification et le signalement des incidents.
- L’accord du client, les clauses contractuelles et la revue de sécurité précèdent tout envoi de données client à un service d’IA.
- Le code et les contenus assistés par IA restent soumis aux revues habituelles, aux tests, aux vérifications de licence et aux critères d’acceptation.
- Chaque système déployé a un responsable humain, un suivi, une procédure d’incident et un moyen documenté de le désactiver ou de le remplacer.
Ces garde-fous sont appliqués selon le niveau de risque et précisés au cadrage de chaque mission. La charte est revue au moins une fois par an et lors d’une évolution importante du droit, des risques ou de nos pratiques.
Référentiels de référence
Cette charte s’appuie sur les recommandations de la CNIL relatives à l’IA et aux données personnelles, le règlement européen sur l’IA, la Recommandation de l’UNESCO sur l’éthique de l’IA et les travaux de l’ENISA sur la cybersécurité de l’IA.