Une politique d'usage acceptable de l'IA pour les équipes de mode : une check-list

Une politique d'usage acceptable de l'IA pour une entreprise de mode doit répondre à six questions en quelques pages : quels outils sont approuvés, quelles données peuvent y être saisies, ce qu'il faut vérifier avant d'utiliser un résultat, quand l'usage de l'IA doit être signalé, ce qui est interdit, et qui prévenir en cas de problème. La check-list ci-dessous transforme ces questions en points qu'une équipe peut cocher, avec des références à l'AI Act européen et au cadre volontaire du NIST lorsqu'elles sont utiles.

Pourquoi une équipe de mode a-t-elle besoin d'une politique d'usage acceptable de l'IA ?

Les outils d'IA atteignent les équipes de mode de plusieurs côtés à la fois : outils génératifs pour les textes et les visuels, fonctions intégrées aux plateformes PLM, merchandising et e-commerce, et comptes personnels que les collaborateurs ouvrent de leur propre initiative. Sans politique, chaque équipe décide séparément de ce qu'elle colle dans un prompt, ce qui peut inclure des collections non dévoilées, des prix fournisseurs, des conditions de distributeurs ou des données clients.

Il y a aussi une raison juridique. L'article 4 de l'AI Act demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel et des autres personnes qui s'occupent du fonctionnement et de l'utilisation de systèmes d'IA en leur nom, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation, de leur formation et du contexte. L'article précise qu'il n'impose pas de niveau de maîtrise garanti pour chaque individu. Une politique écrite, des registres de formation et des responsables désignés sont un moyen raisonnable de démontrer que de telles mesures existent.

Que doit couvrir la politique ? La check-list

Utilisez la liste suivante comme structure de départ. Chaque point doit aboutir à une phrase ou deux dans la politique, avec un responsable.

1. Objet et périmètre : indiquez qui est concerné (salariés, freelances, agences) et quels outils (assistants génératifs, fonctions intégrées, agents).
2. Liste des outils approuvés : nommez les outils autorisés pour le travail, les versions ou comptes, et qui approuve les ajouts.
3. Comptes personnels : précisez si des contenus professionnels peuvent être saisis dans des comptes grand public.
4. Classes de données : définissez ce qui ne doit jamais être saisi (par exemple données personnelles de clients ou de collaborateurs, modèles non dévoilés, conditions contractuelles, données de coûts fournisseurs) et ce qui est autorisé.
5. Relecture humaine : fixez quels résultats exigent la vérification d'une personne désignée avant usage, comme les allégations produit, les informations de taille et de matière, les textes juridiques et les messages aux clients.
6. Information : indiquez quand l'usage de l'IA doit être signalé aux clients, aux partenaires de distribution ou aux collègues.
7. Propriété intellectuelle : posez des règles pour les modèles générés, les prompts qui font référence à des créateurs ou marques nommés et l'usage d'images de tiers comme données d'entrée.
8. Usages interdits : énumérez les usages exclus.
9. Incidents : expliquez comment signaler un résultat erroné, nuisible ou divulgué, et à qui.
10. Formation : exigez une intégration et des remises à niveau, avec un registre.
11. Responsabilité et révision : nommez le responsable de la politique et un cycle de révision.

Lire aussi

Que doivent demander les conseils d’administration sur l’IA ? Une note pour les administrateurs de la mode

Quelles données le personnel ne doit-il jamais saisir dans un outil d'IA ?

Les règles sur les données sont la partie de la politique sur laquelle le personnel a le plus besoin de concret. Un court tableau aide.

Les contrats avec les distributeurs et les fournisseurs peuvent restreindre la manière dont leurs données sont traitées ; la politique doit donc demander au personnel de vérifier avant de saisir de tels éléments. Lorsque des données personnelles sont en jeu, le droit européen de la protection des données s'applique en parallèle de l'AI Act, qui précise à l'article 2 qu'il laisse ce droit intact.

Quand un humain doit-il vérifier les résultats de l'IA ?

Fixez les règles de relecture en fonction des conséquences, pas de l'outil. Les résultats qui sont publiés, envoyés à un client ou à un partenaire, utilisés dans une déclaration juridique ou réglementaire, ou employés pour prendre des décisions concernant des personnes méritent un relecteur désigné. Les éléments typiques dans la mode comprennent les allégations de durabilité et de matière, les informations de taille et d'entretien, les mentions de prix ou de disponibilité, et tout texte présenté comme émanant de l'entreprise. Les brouillons internes et le brainstorming peuvent faire l'objet d'une relecture plus légère. La politique doit aussi préciser que la personne qui publie le résultat en reste responsable, un principe que des tribunaux ont appliqué aux réponses de chatbots sur des sites d'entreprise.

Que doit interdire la politique ?

Une liste d'interdictions est courte mais précise. Parmi les candidats tirés de l'AI Act figure l'usage de l'IA pour inférer les émotions des salariés, que l'article 5 interdit sur le lieu de travail et dans l'enseignement, sauf pour des raisons médicales ou de sécurité. Au-delà de la loi, de nombreuses entreprises ajoutent : saisir des données restreintes dans des outils non approuvés, présenter un résultat d'IA comme réalisé par un humain lorsque l'information est attendue, générer des images de personnes réelles sans leur consentement, et recourir à l'IA pour prendre ou étayer des décisions en matière d'emploi sans relecture documentée. Les outils de recrutement et de gestion des travailleurs sont désignés comme usages à haut risque à l'annexe III de l'Acte, avec des obligations applicables à partir de décembre 2027 à la suite de l'omnibus numérique.

Lire aussi

La gouvernance de l'IA dans les entreprises de mode : un point de départ pragmatique

Comment la politique doit-elle traiter l'information ?

Deux niveaux s'appliquent. Sur le plan juridique, l'article 50 de l'AI Act, applicable depuis le 2 août 2026, exige que les personnes soient informées lorsqu'elles interagissent avec un système d'IA, que les contenus synthétiques soient marqués par les fournisseurs et que les deepfakes soient signalés par les déployeurs. Sur le plan commercial, des partenaires de distribution peuvent demander aux fournisseurs d'indiquer comment l'IA est utilisée dans les contenus produit. La politique doit désigner qui décide de la formulation de l'information pour les clients et pour les partenaires, afin que les équipes n'improvisent pas chacune de leur côté.

Le cadre de gestion des risques de l'IA du NIST, publié en janvier 2023, est destiné à un usage volontaire et s'articule autour de quatre fonctions : Govern, Map, Measure et Manage. Le NIST a également publié un profil pour l'IA générative en juillet 2024. Une entreprise de mode peut en emprunter la structure sans adopter le cadre dans son ensemble. Govern correspond au responsable, aux validations et à la formation. Map correspond au registre des outils et des cas d'usage. Measure correspond à l'échantillonnage des relectures et au suivi des erreurs. Manage correspond au traitement des incidents et au retrait des outils.

Désignez un responsable unique, souvent issu du juridique, de l'IT ou d'un groupe IA transversal, ainsi qu'un représentant du design, du merchandising, de l'e-commerce, du wholesale et des RH. Déployez par de courtes sessions qui s'appuient sur des exemples issus de la mode plutôt que sur des règles abstraites, consignez les présences et fixez une date pour la première révision. Suivez les questions qui arrivent dans les premiers mois, car elles montrent où la politique manque de clarté.