Une politique d'IA devrait répondre à une question opérationnelle simple : que peuvent faire les gens avec les outils d'IA, avec quels renseignements, sous quelle approbation et avec quelle révision?
Définissez les outils et comptes approuvés
Tenez à jour une liste des services d'IA approuvés et des fins d'affaires permises. Exigez des comptes d'entreprise lorsqu'ils sont offerts, et interdisez aux employés de connecter des outils d'IA non approuvés au courriel, aux fichiers, au CRM, aux finances ou à d'autres systèmes de l'entreprise.
Classifiez les renseignements avant leur utilisation
N'entrez pas de renseignements confidentiels des clients, de renseignements personnels, d'identifiants, de détails financiers, d'avis juridiques, de renseignements de santé, de code source propriétaire ou d'autres éléments restreints dans un service d'IA, à moins que l'usage précis, les modalités du fournisseur, la conservation, le comportement d'entraînement et les contrôles de sécurité n'aient été révisés et approuvés.
Exigez une révision humaine
Les résultats de l'IA peuvent être inexacts, incomplets, biaisés ou inappropriés. Une personne qualifiée demeure responsable de valider les faits, les calculs, les citations, les implications juridiques et les décisions destinées aux clients. L'IA ne doit pas être la décideuse finale pour l'embauche, le congédiement, le crédit, le paiement, les questions juridiques, la protection de la vie privée, la sécurité ou d'autres décisions à fort impact, sans un cadre de contrôle approuvé.
Protégez la propriété intellectuelle
Les employés devraient vérifier s'ils ont le droit de téléverser le matériel source et si le contenu généré peut être utilisé aux fins prévues. Ne présumez pas qu'un contenu est sécuritaire à publier simplement parce qu'un système d'IA l'a produit.
Soyez transparent là où cela compte
Définissez à quel moment les clients, employés ou partenaires devraient être informés que l'IA a contribué de façon importante à une interaction, une recommandation ou un livrable. Prévoyez un mécanisme de révision humaine pour les résultats à conséquences importantes.
Contrôlez l'automatisation et les intégrations
Un assistant d'IA qui rédige du texte crée un risque différent de celui d'un agent qui peut envoyer des courriels, modifier des dossiers, émettre des remboursements ou accéder aux données clients. Exigez une approbation formelle, un accès au moindre privilège, une journalisation, des tests, un mécanisme de retour en arrière et des points de contrôle humains avant de connecter l'IA à des systèmes opérationnels.
Signalez les problèmes
Les employés devraient savoir comment signaler une divulgation accidentelle, un résultat nuisible, une invite suspecte, une action inattendue d'un agent ou l'utilisation d'un outil non approuvé. Le processus de réponse devrait relier la gouvernance de l'IA à la protection de la vie privée, à la cybersécurité et à la gestion des incidents.