Intégrer l'IA dans votre association

1. Le cadre réglementaire européen

L'AI Act : ce qu'il faut retenir en août 2026

L'Europe est la première zone au monde à s'être dotée d'une loi dédiée à l'intelligence artificielle. Mais cette loi ne s'est pas appliquée d'un bloc : elle se déploie par étapes, et il est facile de se perdre entre ce qui est déjà en vigueur et ce qui arrive plus tard. Voici l'état des lieux, à jour :

• Depuis février 2025 : certaines pratiques sont interdites (notation sociale, manipulation, etc.), et les employeurs doivent veiller à ce que leurs équipes soient formées à l'IA.
• Depuis août 2025 : les fournisseurs de grands modèles (ChatGPT, Claude, Gemini…) ont leurs propres obligations, et le régime de sanctions est actif.
• Depuis le 2 août 2026 : les obligations de transparence s'appliquent : un robot conversationnel doit dire qu'il est une IA, et un contenu généré ou retouché par IA doit être identifié comme tel. En France, la CNIL, l'Arcom et la DGCCRF peuvent contrôler et sanctionner.
• À partir de décembre 2027 : les obligations les plus lourdes, réservées aux systèmes dits « à haut risque » (recrutement, scoring, biométrie…), entreront en vigueur. Ce calendrier a été récemment repoussé (il était initialement prévu pour août 2026).

La bonne nouvelle pour la plupart des associations : les outils que vous utilisez au quotidien (rédaction, traduction, brainstorming) relèvent du risque minimal ou limité. Vous n'êtes pas concernés par les obligations « haut risque ». 

Les 4 niveaux de risque :

1. Risque inacceptable : Systèmes interdits (manipulation comportementale, notation sociale, etc.)
2. Risque élevé : Systèmes dans des domaines critiques (emploi, éducation, services essentiels) - réglementation stricte
3. Risque limité : Obligations de transparence (ex: indiquer qu'un chatbot est une IA)
4. Risque minimal : Libre utilisation (la majorité des outils que vous utiliserez)

Point crucial pour les associations. La plupart d'entre vous n'êtes pas concernées par les obligations « haut risque », qui visent des usages bien précis (recrutement automatisé, scoring, biométrie…). En revanche, et c'est nouveau, deux obligations vous concernent bel et bien dès aujourd'hui : informer quand vous utilisez l'IA (transparence) et former vos équipes (littératie IA). Ce ne sont pas des « bonnes pratiques optionnelles » : ce sont désormais des attentes de la loi, même pour une petite structure.

Le RGPD reste votre référence principale

Le RGPD (Règlement Général sur la Protection des Données) s'applique pleinement à l'usage de l'IA. C'est votre vrai garde-fou légal.

Principes fondamentaux à respecter :

• Minimisation des données : Ne collectez et ne partagez que les données strictement nécessaires
• Finalité : Les données doivent être utilisées uniquement pour l'objectif déclaré
• Transparence : Les personnes doivent savoir comment leurs données sont utilisées
• Sécurité : Les données doivent être protégées contre les accès non autorisés
• Droits des personnes : Droit d'accès, de rectification, d'opposition, etc.

LA RÈGLE D'OR : ne JAMAIS donner de données personnelles à une IA générative publique (ChatGPT, Claude, Gemini, etc.)

Pourquoi cette règle est absolue

Lorsque vous utilisez une IA générative grand public :

• Vos données peuvent être utilisées pour entraîner le modèle (selon les CGU)
• Elles peuvent potentiellement réapparaître dans les réponses données à d'autres utilisateurs
• Vous perdez le contrôle sur leur stockage et leur utilisation
• En cas de fuite de données, votre responsabilité juridique est engagée

L'exception, précisée par la CNIL en 2026. Certaines offres professionnelles (ChatGPT Enterprise, Claude for Work, Gemini pour les organisations…) changent la donne mais à des conditions strictes. Pour qu'un usage avec des données personnelles soit envisageable, il faut réunir quatre garanties :

1. un contrat de sous-traitance (DPA) en bonne et due forme avec le fournisseur ;
2. l'engagement contractuel que vos données ne serviront pas à entraîner le modèle ;
3. pas de transfert des données hors de l'Union européenne sans garanties adéquates ;
4. une base légale identifiée, et une analyse d'impact (AIPD) si le traitement présente un risque élevé.

Dit autrement : ce n'est pas parce qu'un outil coche « version entreprise » que tout est permis. Et pour une association qui n'a ni juriste ni DPO à demeure, le plus sûr reste la règle d'or : pas de données personnelles dans l'IA, point. La version « entreprise » est une option à étudier avec nous quand un besoin précis le justifie, pas un feu vert général.

2. Éthique et responsabilité sociale

Au-delà du cadre légal, les associations ont une responsabilité particulière en matière d'éthique.

Vos valeurs doivent guider votre usage de l'IA

Les associations portent souvent des missions d'intérêt général, de solidarité, de défense de droits. Votre usage de l'IA doit être cohérent avec vos valeurs :

• Transparence : Informez vos bénéficiaires, partenaires et financeurs de votre usage de l'IA
• Non-discrimination : Attention aux biais algorithmiques qui peuvent reproduire ou amplifier des discriminations
• Respect de la dignité : Particulièrement crucial si vous travaillez avec des publics vulnérables
• Soutenabilité : L'IA a un coût énergétique important, à intégrer dans votre démarche RSO

Les questions à vous poser avant d'adopter un outil IA

1. Transparence : Le fournisseur est-il clair sur le fonctionnement de son IA ?
2. Données : Où sont stockées les données ? Qui y a accès ?
3. Biais : L'outil a-t-il été testé pour éviter les discriminations ?
4. Impact social : Cet outil va-t-il dans le sens de votre mission ?

Dépendance : Que se passe-t-il si le fournisseur disparaît ou change ses conditions ?

3. Responsabilité et documentation

Transparence : dire quand c'est de l'IA

C'est la nouveauté la plus concrète pour vous. Depuis le 2 août 2026, l'AI Act impose d'être transparent sur l'usage de l'IA. Deux situations vous concernent directement :

• Vous avez un chatbot sur votre site ou vos réseaux ? Il doit indiquer clairement à la personne qu'elle échange avec une machine, et non avec un membre de votre équipe.
• Vous publiez un visuel, une vidéo ou un son générés ou retouchés par IA ? Ces contenus doivent être identifiés comme tels. Un marquage technique (lisible par les machines) est également attendu ; pour les contenus déjà en ligne, une période d'adaptation est prévue.

Au-delà de la loi, c'est cohérent avec vos valeurs. Une association qui assume « ce texte a été rédigé avec l'aide de l'IA, puis relu par un humain » ne perd rien en crédibilité, au contraire. Si vous voulez vous inspirer, jetez un œil à notre charte d'engagement.

Former vos équipes n'est plus optionnel

L'AI Act contient une obligation discrète mais qui vous concerne pleinement : dès lors que vos salarié·es ou bénévoles utilisent l'IA, vous devez veiller à ce qu'ils et elles en comprennent les possibilités, les limites et les risques. On appelle ça la « littératie IA », et depuis août 2026, une autorité peut vous demander de démontrer que cette sensibilisation a bien eu lieu.

Rassurez-vous : on ne vous demande pas de devenir experts. Une formation initiale, une trace écrite (qui a été formé, quand, sur quoi) et une charte signée suffisent à poser un cadre sérieux. C'est précisément ce que couvre la Partie 3 de ce guide, sauf qu'au lieu d'être une bonne idée, c'est maintenant ce que la loi attend de vous. Si vous voulez en discuter, vous pouvez nous écrire sur alix@rouge-le-fil.com.

Qui est responsable en cas de problème ?

Principe clé : C'est toujours l'utilisateur humain qui est responsable, jamais l'IA.

Si une IA produit une information erronée que vous diffusez, c'est votre responsabilité. Si vous partagez des données personnelles avec une IA et qu'il y a une fuite, c'est votre responsabilité.

Conséquences pratiques :

• Toujours vérifier les informations produites par l'IA
• Ne jamais utiliser l'IA comme excuse ("c'est l'IA qui a fait l'erreur")
• Documenter vos processus et décisions
• Former vos équipes à l'usage responsable

L'importance de la documentation

Gardez une trace de :

• Quels outils IA vous utilisez et pourquoi
• Quelles données sont (et ne sont pas) partagées avec ces outils
• Qui dans l'équipe est autorisé à utiliser l'IA et pour quelles tâches
• Les incidents éventuels et les mesures correctives prises

Cette documentation vous protège juridiquement et facilite l'amélioration continue de vos pratiques.

1. Présentation de la méthode

C'est LE cœur de la méthodologie. Une fois que vous maîtrisez cette classification, vous évitez 99% des risques liés à l'usage de l'IA.

Le principe est simple : avant de partager TOUTE information avec une IA, vous devez la classer dans l'une de ces 4 catégories. Chaque catégorie a ses propres règles d'utilisation.

2. Catégorie 1 : Données publiées sur Internet

Définition

Ce sont les informations que votre association a elle-même publiées sur le web : site internet, réseaux sociaux, rapports d'activité publics, communiqués de presse, etc.

Peut-on les partager avec l'IA ? OUI, MAIS...

Risque principal : L'IA peut mélanger vos informations avec d'autres sources et créer des incohérences.

Exemple concret : Votre association s'appelle "Les Jardins Solidaires" et propose des ateliers de jardinage urbain. Il existe peut-être une autre association au nom similaire qui fait de l'insertion par le maraîchage. Si vous demandez à l'IA "Rédige une présentation des Jardins Solidaires", elle pourrait mélanger les deux et produire une description inexacte.

Bonnes pratiques :

• Fournir à l'IA votre propre définition dans le prompt
• Créer des prompts de référence dans votre bibliothèque partagée
• Vérifier systématiquement les informations factuelles produites
• Ne pas supposer que l'IA "sait" qui vous êtes
• Ne pas utiliser des informations générées par l'IA sans vérification

Cas d'usage appropriés

• Demander à reformuler un texte de votre site en version courte
• Générer des variations de vos messages de communication
• Créer des FAQ à partir de votre contenu public
• Traduire vos publications

3. Catégorie 2 : Données publiques (non sensibles)

Définition et test décisif

Ce sont des informations qui, si elles étaient connues par n'importe qui, n'auraient aucun impact négatif pour quiconque.

Le test de la porte : Imaginez que cette information soit écrite sur une affiche sur la porte de votre local. Est-ce qu'un passant lambda qui la lit pourrait causer un préjudice ? Si non, c'est une donnée publique.

Exemple de la masterclass : "Cours de FLE pour Refugee Food le mardi de 14h à 16h" écrit sur une porte → Information publique. Aucune conséquence si un passant la voit.

Peut-on les partager avec l'IA ? OUI

Ce sont les données que vous pouvez utiliser librement avec l'IA.

Exemples de données publiques :

• Horaires de vos activités ouvertes au public
• Dates de vos événements publics
• Description générale de vos programmes
• Thèmes de vos ateliers/formations
• Adresse de votre local
• Missions et valeurs de votre association
• Budget global (si vous êtes transparent sur ce point)

Cas d'usage appropriés

• "Génère un planning de nos ateliers publics pour le mois prochain"
• "Crée un post LinkedIn annonçant notre événement sur l'économie circulaire"
• "Rédige une description de notre programme de mentorat pour notre plaquette"
• "Aide-moi à structurer un module de formation sur la gestion de projet"

Attention aux détails : Même pour des données publiques, évitez de donner des éléments qui, combinés, pourraient devenir sensibles.

4. Catégorie 3 : Données personnelles

Définition RGPD

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable.

Données personnelles directes :

• Nom et prénom
• Adresse email personnelle
• Numéro de téléphone
• Adresse postale
• Photo où la personne est identifiable
• Numéro de sécurité sociale

Données personnelles indirectes (identification possible par recoupement) :

• "La bénéficiaire qui vient aux cours le lundi" (si une seule personne correspond)
• Combinaison âge + ville + situation (si cela permet d'identifier)
• Parcours professionnel détaillé

Peut-on les partager avec l'IA ? JAMAIS

Règle absolue : "Jamais jamais jamais jamais"

Aucune exception. Aucune circonstance. Jamais.

Erreurs courantes à éviter

❌ "Rédige un email à Jean Dupont pour lui confirmer son inscription"
✅ "Rédige un email de confirmation d'inscription à envoyer à un nouveau bénéficiaire"

❌ "Voici la liste de nos 30 adhérents avec leurs emails : [liste]. Crée des groupes."
✅ "Donne-moi des critères pertinents pour constituer des groupes de travail de 5-6 personnes"

❌ "Analyse ce fichier Excel avec les coordonnées de nos bénéficiaires"
✅ Anonymiser d'abord, ou travailler sur un échantillon sans données identifiantes

Que faire quand vous avez besoin de travailler sur des données personnelles ?

Options possibles :

1. Anonymisation vraie : Remplacer tous les éléments identifiants par des codes

    

• "Jean Dupont" devient "Bénéficiaire_001"
• "jean.dupont@email.com" devient "contact_001@anonyme.fr" 

1. Données fictives similaires : Créer des profils inventés mais réalistes

    

• Utile pour tester des formats, des processus
• L'IA peut même vous aider à générer ces données fictives ! 

1. Travailler sur des modèles/templates vides :

    

• "Crée un modèle de suivi de bénéficiaires avec les champs : prénom, date dernière visite, niveau de satisfaction"
• Vous remplissez ensuite manuellement avec les vraies données 

1. Utiliser une IA locale ou privée :

    

• Pour les grosses structures, envisager une solution d'IA en interne
• Plus complexe et coûteux mais données entièrement contrôlées

5. Catégorie 4 : Données sensibles

Définition

Au-delà des données personnelles, certaines informations sont sensibles pour d'autres raisons :

Données sensibles RGPD (catégorie spéciale) :

• Origine raciale ou ethnique
• Opinions politiques
• Convictions religieuses ou philosophiques
• Appartenance syndicale
• Données génétiques ou biométriques
• Données de santé
• Vie sexuelle ou orientation sexuelle
• Données relatives à des condamnations pénales

Données stratégiquement sensibles pour l'association :

• Stratégie confidentielle (ex: projet de fusion)
• Informations financières détaillées non publiques
• Négociations en cours avec des partenaires
• Dossiers de subventions non encore déposés
• Conflits internes ou RH
• Données sur des contentieux

Peut-on les partager avec l'IA ? JAMAIS

Même règle absolue que pour les données personnelles.

Cas particuliers du secteur associatif

De nombreuses associations travaillent avec des publics vulnérables et manipulent donc des données sensibles au quotidien :

• Associations d'aide aux migrants → origine, statut administratif
• Associations santé mentale → données de santé
• Associations LGBT+ → orientation sexuelle
• Associations d'aide aux victimes → données judiciaires
• Associations d'insertion → parfois données de santé, judiciaires, etc.

Vigilance maximale requise : Former TOUS les salariés et bénévoles. Un seul incident peut détruire la confiance de vos bénéficiaires.

6. Zones grises et comment trancher

Qu'est-ce qu'une "zone grise" ?

Des informations qui ne sont ni totalement publiques, ni clairement personnelles ou sensibles.

Exemple : "Informations générales sur les bénéficiaires" - pas sensibles mais pas totalement publiques non plus.

Autres exemples courants :

• "Nos bénéficiaires sont majoritairement des femmes de 30-45 ans" → Stat agrégée, mais révèle des infos sur votre public
• "Notre partenaire principal est en difficulté financière" → Info stratégique qui pourrait vous nuire si elle fuite
• "Nous avons perdu 20% de nos adhérents cette année" → Info négative mais pas confidentielle en soi

Méthode pour trancher

1. Posez-vous ces questions :

• Si cette info était rendue publique, qui pourrait être lésé ? (bénéficiaire, l'association, un partenaire ?)
• Quelle serait la gravité du préjudice ? (faible, moyen, grave)
• Ai-je le consentement explicite des personnes concernées pour partager cette info ?
• Cette info pourrait-elle être utilisée contre nous ou nos bénéficiaires ?

2. En cas de doute → principe de précaution

Si vous hésitez, considérez l'information comme sensible et ne la partagez pas.

3. Solution pour les zones grises : la bibliothèque de prompts

Plutôt que de laisser l'IA utiliser ses propres informations (potentiellement fausses ou non alignées), créez une description contrôlée de ce dont vous voulez parler.

Exemple : Au lieu de demander "Rédige une présentation de nos bénéficiaires" (et laisser l'IA inventer), créez un prompt :

"Contexte des bénéficiaires : Nous accompagnons des personnes en reconversion professionnelle, de tous âges et tous horizons. Notre approche est personnalisée et bienveillante. 

[Utilisez cette description dans tous les contenus.]"

Ainsi, vous contrôlez le message, tout en restant dans des généralités appropriées. 

7. Arbre de décision

1. La charte d'utilisation de l'IA

Pourquoi ? Votre constitution interne pour l'usage de l'IA.

Une charte c'est votre constitution interne pour l'usage de l'IA. Elle pose le cadre, définit les règles, clarifie les responsabilités.

Avantages :

• Sécurise juridiquement l'association
• Rassure les salariés, bénévoles et bénéficiaires
• Clarifie ce qui est autorisé ou non
• Responsabilise chacun
• Facilite l'intégration de nouveaux membres
• Démontre votre sérieux face aux financeurs et partenaires

2. Configurer l'IA une fois pour toutes (Projets, Gems, Skills)

La vraie bascule de ces deux dernières années, c'est qu'on ne « recopie » plus ses instructions à chaque conversation. On les installe dans l'outil, une bonne fois. Fini le temps perdu à réexpliquer qui vous êtes.

Niveau 1 : L'espace réutilisable

 Tous les grands outils proposent aujourd'hui un espace où vous définissez, une fois pour toutes, le contexte, le ton et les règles de votre association. Chaque nouvelle conversation en hérite automatiquement :

• chez Claude et ChatGPT, cela s'appelle les Projets ;
• chez Gemini, les Gems ;

Vous y déposez votre « contexte association » (mission, public, valeurs, vocabulaire à employer ou à éviter) et vos documents de référence publics. Résultat : toute l'équipe travaille sur la même base, avec la même voix, sans repartir de zéro à chaque fois. C'est votre bibliothèque de prompts si vous en aviez une, mais qui s'applique toute seule.

Niveau 2 : Les Skills, pour aller plus loin. Un cran au-dessus, les Skills sont des « fiches de savoir-faire » que l'outil déclenche tout seul quand la tâche s'y prête, sans même que vous ayez à dire « utilise telle fiche ». Exemple : une Skill « rédiger un post pour nos réseaux » qui connaît votre ligne éditoriale et s'active dès que vous demandez un post. C'est plus puissant, mais ça demande un peu plus de mise en place — et c'est généralement réservé aux formules payantes.

Pourquoi ça nous parle particulièrement : l'autonomie. Les Skills reposent sur un format ouvert et portable : vos fiches ne sont pas prisonnières d'un seul outil, vous pouvez les emporter si vous changez d'assistant demain. Les Gems et les GPT, eux, restent enfermés dans leur plateforme. Pour une démarche qui vise votre autonomie et refuse la dépendance, la nuance compte.

Ce qui NE change pas : la règle des données. Un Projet, une Gem ou une Skill ne sont que des instructions déposées dans l'outil. La règle d'or reste identique : on n'y met que des données publiques ou non sensibles (votre mission, votre ton, vos textes déjà en ligne) — jamais les données de vos bénéficiaires. Configurer une fois ne veut pas dire baisser la garde.

Et si vous êtes une toute petite structure sur des outils gratuits ? Les Projets sont souvent accessibles même en version gratuite ; les Skills, non. Si vous n'avez pas d'abonnement payant, un simple document partagé de prompts pour indiquer à l'IA comment se comporter, à quel niveau de détail aller, reste une excellente première marche, l'important est d'avoir un endroit unique où vit votre contexte validé. On avance à votre rythme, avec ce que vous avez.

Le concept : Un document partagé (Google Doc, Notion) contenant tous les prompts pré-rédigés et validés.

Pourquoi c'est révolutionnaire ?

• Cohérence : tous utilisent les mêmes définitions
• Gain de temps : pas de réinvention de la roue
• Sécurité : prompts validés et conformes
• Formation : les nouveaux apprennent des exemples

Structure recommandée :

BIBLIOTHÈQUE DE PROMPTS

Comment l'utiliser :

1. Cherchez le prompt correspondant
2. Copiez contexte + prompt
3. Personnalisez avec VOS infos
4. Collez dans l'IA
5. Vérifiez avant utilisation

Créer vos prompts :

1. Identifiez une tâche récurrente
2. Séparez constantes (contexte) et variables
3. Rédigez le contexte (données publiques uniquement)
4. Rédigez le prompt (clair et spécifique)
5. Testez et affinez

3. Formation de l'équipe

Programme minimum (3h) :

Module 1 : Comprendre l'IA (30 min)

• C'est quoi ? Comment ça marche ?
• Ce qu'elle peut/ne peut pas faire
• Limites et risques

Module 2 : Cadre légal (45 min)

• RGPD et IA
• Méthode des 4 catégories ⭐
• Exercices pratiques de classification
• La charte de l'association

Module 3 : Utilisation pratique (1h30)

• Tour des outils (ChatGPT, Claude, Gemini)
• Anatomie d'un bon prompt
• Bibliothèque de prompts
• Atelier : créer un contenu

Module 4 : Responsabilité (15 min)

• Vous êtes toujours responsable
• Toujours vérifier
• Impact environnemental

Après la formation :

• Référent IA accessible
• Canal de communication dédié
• Sessions de perfectionnement trimestrielles
• Feedback continu

Indicateurs clés à suivre

Adoption

• % équipe formée
• % utilisateurs réguliers (objectif an 1 : 60%)
• Fréquence d'usage

Performance

• Temps gagné/semaine (sondage)
• Satisfaction (échelle 1-10)
• Qualité des productions

Sécurité

• Incidents (objectif : 0)
• % ayant signé la charte (objectif : 100%)

Méthode de collecte

Sondage trimestriel (5 min)

• Fréquence d'usage
• Types de tâches
• Temps gagné
• Satisfaction
• Difficultés rencontrées
• Besoins de formation

Amélioration continue

Cycle trimestriel :

• Mois 1 : Collecte données
• Mois 2 : Analyse + améliorations
• Mois 3 : Déploiement

Révision annuelle :

• Bilan quantitatif et qualitatif
• Décisions stratégiques
• Mise à jour documents