Qui décide de la liste des outils d'IA autorisés ?

Le dirigeant du client. L'infogérant prépare la liste, vérifie les réglages et la tient à jour, mais la décision revient à l'entreprise.

Quelles données ne jamais mettre dans un outil d'IA en ligne ?

Selon l'ANSSI : les données personnelles, les données contractuelles, juridiques ou financières, et les secrets informatiques comme les mots de passe et les clés d'API, sauf si l'outil est maîtrisé par l'entreprise.

Faut-il un compte professionnel pour chaque outil autorisé ?

Oui. cybermalveillance.gouv.fr conseille de séparer strictement usages personnels et professionnels, et de protéger le compte professionnel par la double authentification.

Liste des outils d'IA autorisés : la construire et la tenir

La liste des outils d'IA autorisés est un document court, tenu par l'entreprise, qui dit pour chaque outil : à quoi il sert, avec quel compte, pour quelles données, et qui le surveille. L'infogérant la prépare et la tient à jour ; le dirigeant la valide. Elle vit à côté du règlement intérieur ou de la charte informatique, qui posent les principes ; la liste, elle, nomme les outils et leurs réglages.

Pourquoi une liste plutôt qu'une interdiction

Le site cybermalveillance.gouv.fr (page publiée le 08/09/2026, mise à jour le 05/10/2026) donne aux salariés deux conseils qui supposent une liste : prendre connaissance du cadre d'usage de l'IA fixé par l'entreprise, et utiliser « exclusivement le service d'IA souscrit par votre employeur ». Aux dirigeants, il conseille de s'assurer qu'une charte d'usage de l'IA existe et que les salariés y sont formés.

Sans liste, le salarié ne sait pas ce qui est permis. Avec une liste qui ne contient rien, il utilise un outil personnel. La liste doit donc contenir au moins un outil utile : souvent, l'assistant IA que vous gérez pour le client.

Le modèle de liste

Outil	Usage autorisé	Compte	Données permises	Données interdites	Responsable du réglage	Dernière revue
Assistant IA de l'entreprise	Questions sur les procédures internes	Compte professionnel nominatif, double authentification	Documents internes chargés dans l'assistant	Mots de passe	Infogérant	JJ/MM/AAAA
Outil de traduction X	Traduire des textes publics	Compte professionnel	Textes déjà publiés	Contrats, données clients	Infogérant	JJ/MM/AAAA
Tout autre outil d'IA	Non autorisé sans validation	—	—	—	Dirigeant	—

La dernière ligne compte autant que les autres : elle dit comment demander l'ajout d'un outil.

Les critères pour inscrire un outil

Un besoin réel, exprimé par une équipe (l'inventaire décrit dans détecter les outils non autorisés le fait remonter).
Des réponses de l'éditeur sur l'hébergement, les journaux, l'usage des données pour l'entraînement et la réversibilité (voir le questionnaire de sécurité).
Des comptes professionnels, nominatifs, protégés par une authentification multifacteur. cybermalveillance.gouv.fr conseille un mot de passe unique d'au moins 12 caractères mêlant différents types de caractères, et la double authentification.
Une conservation limitée : là où l'outil le permet, réduire la durée de conservation des conversations et vider l'historique régulièrement, comme le conseille la même page.
Des droits limités sur la messagerie et les documents, revus régulièrement.

Les données interdites, écrites noir sur blanc

La recommandation R34 du guide de l'ANSSI, l'autorité nationale chargée de la sécurité des systèmes d'information, pour les systèmes d'IA générative (29/04/2024) proscrit l'utilisation d'outils d'IA générative sur Internet pour un usage professionnel impliquant des données sensibles. Le guide cite :

les données personnelles (vie privée, coordonnées…) ;
les données contractuelles, juridiques ou financières de l'entreprise ;
les secrets informatiques, comme les mots de passe ou les jetons d'authentification (clés d'API).

Recopiez cette liste, adaptée au métier du client, dans la colonne « données interdites ».

La revue des droits, chaque mois

La recommandation R35 du même guide demande de revoir les droits des outils d'IA sur les applications métier dès l'activation, puis régulièrement, en donnant l'exemple « tous les mois ». La raison : les mises à jour d'un produit peuvent élargir ses droits sans que personne ne l'ait décidé. Cette revue est une tâche d'infogérant, à inscrire dans la fiche de service.

Faire vivre la liste

Arrivée d'un salarié : il reçoit la liste avec ses accès. Le guide d'hygiène informatique de l'ANSSI demande de sensibiliser chaque utilisateur dès son arrivée aux règles à respecter (règle 2).
Départ d'un salarié : ses comptes sur chaque outil de la liste sont fermés (voir départ d'un salarié).
Nouvel outil demandé : il passe par les critères ci-dessus avant d'être inscrit.
Revue mensuelle : droits, comptes actifs, outils toujours utilisés.

La liste n'est pas un texte juridique. Si le client veut l'annexer au règlement intérieur ou en faire une obligation pour les salariés, il doit faire relire la démarche par un juriste ou un avocat.