Limites de l'IA dans une PME : ce qu'elle ne doit pas faire

L'IA est un outil de rédaction, de tri et de synthèse. Elle n'est pas une personne qui assume une décision. Cette différence est le point de départ de toute limite utile dans une PME : ce qui engage l'entreprise, ce qui touche une personne, et ce qui concerne des données confidentielles doit rester sous la responsabilité d'un humain. Ce guide liste ces limites, et dit comment les écrire.

Ce qu'elle ne doit pas décider

• Une décision sur une personne : embauche, refus, sanction, évaluation, promotion. La CNIL indique que les personnes doivent pouvoir obtenir une intervention humaine pour réexaminer une décision automatisée, exprimer leur point de vue et la contester.
• Un engagement commercial : prix, remise, délai, garantie, exception. Ces éléments sont fixés par une personne habilitée.
• Une réclamation ou un litige : la réponse est rédigée, relue et envoyée par un humain.
• Un avis juridique, fiscal, médical ou financier présenté comme celui d'un professionnel. Un texte généré n'a pas de signature professionnelle.

Ce qu'elle ne doit pas recevoir

La CNIL rappelle que les données collectées illégalement ne doivent pas servir, et que les données sensibles exigent une minimisation rigoureuse. Pour une PME, cela signifie concrètement :

• pas de données de santé, de pièces d'identité, de numéros de sécurité sociale ;
• pas de données bancaires ;
• pas de données personnelles qui ne servent pas à la tâche ;
• pas de secrets d'affaires sans contrat précis avec le fournisseur.

Le détail est dans la page données à ne pas saisir, et les règles de conservation dans la page RGPD et registre.

Ce qu'elle ne doit pas cacher

Quand une personne parle à un système d'IA, comme un chatbot, elle doit en être informée au plus tard à la première interaction. Le règlement européen, dans son article 50, le demande. Une PME qui met un assistant sur son site ou dans sa messagerie doit prévoir cette mention. Voir la page service client.

Dans le recrutement, l'information des candidats doit mentionner l'existence d'une décision automatisée, comme un tri algorithmique. La page recrutement et RH détaille ce point.

Qui est responsable

Le responsable est la personne qui utilise l'outil et la personne qui valide le résultat. Un document envoyé sous le nom de l'entreprise engage l'entreprise, quelle que soit son origine. Le partage avec un fournisseur se règle par contrat. Le contenu exact de ces clauses n'a pas été lu pour ce guide : voir la source officielle et un professionnel du droit avant de signer.

Pour cette raison, la règle écrite de chaque service doit dire qui relit, qui valide, et qui répond en cas d'erreur. Les modèles de règle sont dans la page règles pour les salariés.

Les signaux d'alerte

• Un outil qui classe des personnes sans qu'un humain relise la liste complète.
• Une réponse envoyée à un client sans relecture, sur un sujet qui engage l'entreprise.
• Un fournisseur qui ne répond pas par écrit à la question des données.
• Un salarié qui utilise un outil personnel avec des données de l'entreprise, sans que le référent le sache.
• Un document généré jamais relu, classé dans un dossier partagé.

Ce qu'il faut écrire, dès maintenant

1. Une liste de ce que l'IA ne décide pas, par service.
2. Une liste de données interdites, avec le motif.
3. Le nom de la personne qui relit chaque type de document.
4. Une procédure à suivre quand un résultat est faux ou quand une donnée a été saisie par erreur.

Ces quatre éléments tiennent dans une page. Ils sont à relire à chaque revue du registre des usages, et à rappeler lors de la formation des équipes.