Permis de prompt

Dans l'industrie, on ne lance pas un travail par point chaud sans permis de feu. Même logique avant de confier une tâche à une IA : deux questions, une matrice de criticité, des barrières de protection — et un verdict. Rien n'est envoyé ni enregistré : tout se passe dans votre navigateur.

N° PP-— Portée cette tâche uniquement

Étape 1 — Sensibilité de l'information

Quelle est l'information la plus sensible que vous devriez transmettre à l'IA pour qu'elle fasse le travail ? C'est toujours la pièce la plus sensible qui classe l'ensemble.

S1 — PUBLIQUE Déjà publiée ou publiable telle quelle Documentation fournisseur, norme, texte de votre site web, question générale de métier. S2 — INTERNE Interne mais banale Compte rendu de réunion sans enjeu, trame de document, procédure générique sans données chiffrées. S3 — CONFIDENTIELLE Confidentielle client ou commerciale Offre chiffrée, planning projet, schéma d'installation client, données de production non publiques. S4 — CRITIQUE Secret, personnel ou réglementé Savoir-faire propriétaire, données personnelles non anonymisées, informations sous export control ou NDA strict.

Étape 2 — Impact d'une erreur non détectée

Si l'IA se trompe et que personne ne s'en aperçoit, quelle est la pire conséquence plausible ? On raisonne comme en HAZOP : sur la dérive, pas sur le cas nominal.

I1 — NÉGLIGEABLE Cosmétique, sans conséquence Tournure maladroite dans un brouillon, idée de brainstorming inutilisable. I2 — GÊNANT Retouche interne, temps perdu Document interne à refaire, calcul intermédiaire faux rattrapé en relecture d'équipe. I3 — SÉRIEUX Impact client ou contractuel Erreur dans une offre envoyée, spécification fausse transmise au client, engagement mal formulé. I4 — GRAVE Sécurité, légal ou réputation Dimensionnement de sécurité, réglage d'une boucle de protection, avis juridique suivi sans contrôle.

Matrice de criticité

Position brute d'après les étapes 1 et 2 ; position résiduelle après déduction des barrières cochées à l'étape 3.

Déléguer Avec conditions Restreint Refusé

Étape 3 — Barrières de protection

Comme en LOPA : chaque couche de protection indépendante fait gagner un cran sur l'axe qu'elle protège. Une barrière ne compte que si elle est réellement en place, pas si elle est prévue.

Anonymisation avant envoi Noms, clients, chiffres et références remplacés par des variables neutres : l'IA travaille sur la structure, pas sur les données. SENSIBILITÉ −1 Outil approuvé par l'entreprise Compte entreprise avec garanties contractuelles : pas d'entraînement sur vos données, hébergement maîtrisé, validé par la SSI. SENSIBILITÉ −1 Relecture par un sachant Le résultat sera relu avant usage par quelqu'un capable de détecter une erreur de fond — pas juste une relecture de forme. IMPACT −1 Résultat vérifiable objectivement La sortie peut être testée : calcul recontrôlable, code exécutable, traduction comparée à la source. L'erreur ne peut pas passer inaperçue. IMPACT −1

Verdict — Permis de délégation IA

Complétez les étapes 1 et 2 pour obtenir le verdict.

VALIDITÉ : cette tâche, ce périmètre, ces barrières. Tout changement de données ou d'enjeu exige un nouveau permis.

Pour aller plus loin

Comparatif des IA : souveraineté, RGPD et prix → pour choisir un « outil approuvé » en connaissance de cause.
Guide : choisir son assistant IA → les critères qui comptent vraiment.
Checklist RGPD → si vos prompts touchent des données personnelles.

Outil pédagogique inspiré des matrices de criticité et de la méthode LOPA. Il ne remplace ni la politique de sécurité de l'information de votre entreprise, ni l'avis de votre RSSI ou DPO — en cas de doute entre deux niveaux, prenez le plus élevé.