Politique d'usage acceptable de l'IA
Modèle pour l’Australie
Téléchargez la base de politique modifiable, puis utilisez les clauses australiennes ci-dessous pour l’adapter à votre organisation. Passez en revue le projet final avec vos responsables sécurité, confidentialité et juridique.
Commencez par le fichier. Adaptez les clauses.
Le téléchargement DOCX est la base de politique globale modifiable. Lisez ou copiez les clauses australiennes ci-dessous, remplacez les espaces réservés entre crochets, et confirmez les obligations applicables à votre organisation avant approbation.
- 01Choisissez vos outils approuvés
- 02Localisez les règles de données
- 03Nommez la politique et vérifiez les responsables
Le modèle de politique, localisé pour l’Australie
Six sections prêtes à personnaliser. Développez chacune pour lire les clauses de l’édition australienne. Les [espaces réservés] entre crochets sont à remplir.
Le DOCX est un point de départ en anglais. Vous pouvez aussi copier le texte de la politique depuis cette page.
1. Objet et champ d’application
Cette politique définit comment [Nom de l'organisation] autorise et restreint l’utilisation des outils d’intelligence artificielle au travail. Elle s’applique à tous les employés, contractuels et tiers ayant accès aux systèmes de l’entreprise ou manipulant des informations de l’entreprise, et couvre les outils IA autonomes (comme les chatbots et assistants de codage) ainsi que les fonctionnalités IA intégrées dans les logiciels approuvés. Elle vise à garantir que notre usage de l’IA est conforme à la loi sur la protection de la vie privée de 1988 (Cth), aux principes australiens de confidentialité, aux directives de l’Office of the Australian Information Commissioner, et, le cas échéant, aux attentes des régulateurs sectoriels tels que l’APRA.
2. Outils IA approuvés et usages permis
Seuls les outils IA figurant sur la liste approuvée tenue par [Responsable, ex. Sécurité informatique] peuvent être utilisés pour le travail en entreprise. Les outils approuvés sont évalués avant inscription selon :
- Le lieu de stockage et de traitement des données par le fournisseur, et la disponibilité d’une option de résidence des données en Australie (région de Sydney) lorsque nos engagements de gestion des données l’exigent
- L’utilisation des requêtes et des téléchargements pour entraîner les modèles du fournisseur, et la disponibilité d’un niveau entreprise avec engagement de non-entraînement
- La posture de sécurité et les certifications du fournisseur, ainsi que ses conditions de notification des violations
- La compatibilité avec nos obligations au titre de la loi sur la protection de la vie privée de 1988 et nos contrats
Les demandes d’approbation d’un nouvel outil IA doivent être adressées à [contact ou canal]. Les niveaux gratuits grand public des outils IA génératifs ne sont pas approuvés pour tout travail impliquant des informations personnelles ou confidentielles de l’entreprise.
3. Règles sur les données : ce qui peut ou ne peut pas être saisi dans les outils IA
Sans autorisation écrite, ne jamais saisir ces données dans un outil d'IA
- Informations personnelles telles que définies par la loi sur la protection de la vie privée de 1988, y compris noms, coordonnées et toute information sur une personne identifiable
- Informations sensibles au sens de la loi sur la protection de la vie privée, notamment santé, données biométriques, origine raciale ou ethnique, et casier judiciaire
- Numéros fiscaux, numéros Medicare et autres identifiants émis par le gouvernement
- Dossiers clients, informations liées au crédit et détails de comptes financiers
- Informations commerciales confidentielles, résultats financiers non publiés et informations soumises à confidentialité contractuelle
- Identifiants, clés API, configurations de sécurité et code source non publié contenant des secrets
Peuvent être utilisés dans les outils IA approuvés
- Informations publiquement disponibles et documents d’entreprise publiés
- Rédaction générale, recherche et brainstorming ne contenant aucune information personnelle ou confidentielle
- Code ne contenant pas de secrets, identifiants ou algorithmes propriétaires, dans les conditions d’utilisation de l’outil approuvé
- Données dé-identifiées, uniquement lorsque la ré-identification n’est pas raisonnablement possible et que l’usage a été approuvé
Cette règle applique les directives OAIC d’octobre 2024, qui recommandent de ne pas saisir d’informations personnelles dans les outils IA génératifs publics, ainsi que nos obligations sous les APP 6, 8 et 11.
4. Usages interdits
Les usages suivants de l’IA sont interdits quel que soit l’outil :
- Générer du contenu discriminatoire, harcelant ou illégal, y compris du contenu enfreignant la loi australienne anti-discrimination
- Créer des deepfakes ou usurper l’identité de personnes réelles, à l’intérieur ou à l’extérieur de l’organisation
- Prendre des décisions affectant significativement un individu (embauche, crédit, réclamations, discipline) de manière entièrement ou principalement automatisée sans examen humain documenté
- Présenter du contenu généré par l’IA comme un travail humain lorsque la divulgation est requise par cette politique, un client ou un régulateur
- Saisir les informations personnelles d’une autre personne dans un outil d’IA sans autorisation
- Utiliser l’IA pour contourner les contrôles de sécurité, les restrictions d’accès ou cette politique
Les règles d’examen humain et de divulgation suivent les garde-fous 5 et 6 de la Norme volontaire de sécurité IA, et nous préparent à l’exigence de transparence sur la prise de décision automatisée de la loi sur la protection de la vie privée, applicable à partir du 10 décembre 2026.
5. Responsabilité et déclaration des incidents
Chaque employé est responsable de son utilisation des outils d’IA. Si vous saisissez, ou suspectez avoir saisi, des informations personnelles ou confidentielles dans un outil d’IA non approuvé, signalez-le immédiatement à [Responsable de la confidentialité / contact sécurité]. Unauthorised disclosure of personal information to an AI tool may be an eligible data breach under the Notifiable Data Breaches scheme in Part IIIC of the Privacy Act. Where a breach is likely to result in serious harm, we are required to notify the OAIC and affected individuals, so speed of internal reporting matters. Breaches of this policy may result in disciplinary action.
6. Revue et maintenance
Cette politique est revue au moins une fois par an par [Propriétaire], et plus tôt en cas de changement important : nouvelle tranche de réforme de la loi sur la vie privée, entrée en vigueur de l’exigence de transparence sur la prise de décision automatisée en décembre 2026, publication de nouvelles directives IA par l’OAIC, mise à jour des attentes par l’APRA ou un autre régulateur sectoriel, ou modification des conditions de traitement des données d’un outil approuvé. La liste des outils approuvés figure en annexe pour être mise à jour sans rééditer la politique. Enregistrez la version, la date de revue et le propriétaire.
Le téléchargement est la même base modifiable que notre modèle global. Utilisez les clauses australiennes sur cette page pour localiser chaque section lors de votre personnalisation.
Ce à quoi une politique IA australienne doit répondre
Quatre moteurs réglementaires façonnent l’usage de l’IA dans les organisations australiennes. Chacun se situe à un endroit précis dans le modèle ci-dessous.
La loi sur la protection de la vie privée de 1988 et son programme de réforme
La loi sur la protection de la vie privée de 1988 (Cth) et ses 13 principes australiens de confidentialité régissent la gestion des informations personnelles par les organisations, y compris les données saisies ou générées par des outils IA. Depuis les amendements de décembre 2022, une atteinte grave ou répétée à la vie privée peut entraîner une sanction civile allant jusqu’au plus élevé de 50 millions AUD, trois fois le bénéfice obtenu, ou 30 % du chiffre d’affaires ajusté. La loi de 2024 modifiant la protection de la vie privée et autres législations, première tranche du programme de réforme, a introduit un délit statutaire pour les atteintes graves à la vie privée (à compter du 10 juin 2025), de nouvelles sanctions civiles de niveau moyen et inférieur, ainsi qu’une obligation de divulguer les décisions largement automatisées affectant significativement les individus dans les politiques de confidentialité, effective à partir du 10 décembre 2026.
Ce que cela signifie pour votre politique : Vos règles de données doivent considérer les informations personnelles, telles que définies par la loi sur la protection de la vie privée, comme une catégorie interdite nommée pour les outils IA non approuvés, et votre calendrier de révision doit suivre les tranches de réforme.
Les 10 garde-fous de la norme volontaire de sécurité IA
Publiée par le gouvernement australien en septembre 2024, la norme volontaire de sécurité IA définit 10 garde-fous pour les organisations déployant l’IA. Elle est volontaire et sans obligation légale, mais constitue la déclaration la plus claire de ce à quoi ressemble une bonne gouvernance IA pour les régulateurs et acheteurs australiens. Les garde-fous les plus pertinents pour une politique d’usage acceptable sont le garde-fou 1 (processus de responsabilité, propriété et formation), le garde-fou 3 (gouvernance et protection des données), le garde-fou 5 (supervision humaine significative), le garde-fou 6 (information des personnes sur les décisions assistées par IA, interactions IA et contenu généré par IA) et le garde-fou 9 (tenue de registres permettant d’évaluer vos pratiques).
Ce que cela signifie pour votre politique : Nommez un responsable de la politique, exigez une revue humaine des travaux assistés par IA ayant des conséquences, imposez la divulgation du contenu généré par IA lorsque cela est important, et tenez un inventaire des outils IA utilisés.
Directives de l’OAIC sur l’IA et la vie privée
En octobre 2024, l’Office of the Australian Information Commissioner a publié des directives sur la vie privée et l’utilisation des produits IA commerciaux. La position de l’OAIC est que les obligations de la loi sur la protection de la vie privée s’appliquent aux informations personnelles saisies dans les systèmes IA et aux informations personnelles dans les résultats IA, et que, par bonne pratique, les organisations ne devraient pas saisir d’informations personnelles, en particulier sensibles, dans des outils IA génératifs publics. Les directives attendent également que les organisations mettent à jour leurs politiques de confidentialité pour refléter l’usage de l’IA (APP 1) et s’assurent que tout usage ou divulgation d’informations personnelles via l’IA est permis par l’APP 6.
Ce que cela signifie pour votre politique : L’OAIC a en fait rédigé pour vous la règle principale sur les données : pas d’informations personnelles dans les outils IA génératifs publics. Votre politique doit l’indiquer en ces termes exacts.
Attentes de l’APRA pour les entités régulées
Dans sa lettre du 30 avril 2026 à l’industrie, l’APRA a indiqué aux banques, assureurs et fiduciaires de superannuation que les normes prudentielles existantes s’appliquent déjà aux risques liés à l’IA, et a critiqué les entités qui considèrent l’IA comme une simple technologie sans mettre en œuvre une gouvernance opérationnelle. La lettre cite les fuites de données et la mauvaise utilisation des agents IA parmi les menaces cybernétiques évolutives, et l’APRA a annoncé un programme de supervision actif avec des actions renforcées lorsque les risques IA ne sont pas correctement gérés. Les analyses des cabinets juridiques relient ces attentes aux normes CPS 234, CPS 230, CPS 220 et CPS 510.
Ce que cela signifie pour votre politique : Si vous êtes régulé par l’APRA, une politique d’usage acceptable de l’IA appliquée avec preuves est indispensable. Ajoutez une annexe sectorielle et suivez la liste de contrôle dédiée ci-dessous.
Réglementé par l’APRA ? La lettre mérite son propre programme de travail. Notre checklist de gouvernance IA APRA pour les RSSI traduit chacune des quatre observations de l’APRA en contrôles concrets, avec cette politique comme ancre d’application.
Chaque clause, reliée à son moteur australien
Auditeurs, conseils d’administration et clients demandent pourquoi chaque règle existe. Cette cartographie vous donne la réponse, clause par clause.
Comment la personnaliser pour votre organisation
Passez ces vérifications avec les responsables de la politique avant approbation et publication.
D’une règle à un contrôle
Testez une règle avant un déploiement plus large.
Une règle écrite et un contrôle observé sont des preuves différentes. Choisissez une application IA et un client pris en charge, puis vérifiez l’action requise par votre politique.
À vérifier
- Nommez l’application, le compte, le client et le chemin d’entrée.
- Choisissez l’action attendue pour cette règle.
- Répétez avec un texte inoffensif pour comparaison.
- Enregistrez la réponse, l’événement et tout écart non résolu.
- Règle de politique illustrative
- Ne soumettez pas d’informations personnelles client à un outil IA sauf si votre organisation a approuvé cet usage.
- Entrée de test synthétique
- Résumez les notes de renouvellement pour Morgan Hale. Contact : morgan.hale@example.com.
FAQ
Politique d’utilisation acceptable de l’IA australienne : questions fréquentes
La loi sur la vie privée de 1988 couvre-t-elle l’utilisation des outils IA comme ChatGPT par les employés ?
La Norme volontaire de sécurité IA est-elle obligatoire en Australie ?
Qu’attend l’APRA des banques, assureurs et fonds de pension concernant l’utilisation de l’IA par les employés ?
Notre politique IA doit-elle exiger la résidence des données en Australie ?
Apportez une règle. Passez en revue le contrôle.
Apportez l’application IA, le type de données et l’action employé à évaluer. Nous examinerons le client pris en charge et les preuves à collecter.