Lignes directrices sur l’utilisation acceptable de Microsoft 365 Copilot et de Copilot Chat

Les présentes lignes directrices sont établies conjointement par le Bureau de l’accès à l’information et de la protection de la vie privée (BAIPVP), les Technologies de l’information (TI), le Service de la gestion de l’information et des archives (GIA) et le Bureau de la dirigeante principale de la gestion des risques (BDPGR), ce qui rend compte de l’approche coordonnée adoptée à l’échelle de l’Université en ce qui concerne l’utilisation responsable et favorable à la protection de la vie privée et des droits de la personne de Microsoft Copilot dans l’environnement Microsoft 365 (version pour les entreprises) de l’Université. 

Ces lignes directrices s’appliquent à toute personne utilisant l’information de l’Université en accédant à Copilot. Le terme « information de l’Université » désigne un vaste éventail d’éléments d’information (de tous formats et supports) qui soutiennent les activités d’enseignement, de recherche, d’administration et d’autre nature de l’Université et qui sont créés, reçus ou détenus par l’Université ou en son nom.

Compte tenu de l’évolution rapide de Copilot, des utilisations qu’en fait l’Université et de ses besoins, les présentes lignes directrices pourraient être mises à jour au besoin.

Les autres outils d’intelligence artificielle (IA) générative ne sont pas couverts par ces lignes directrices, et ne doivent pas être utilisés avec l’information de l’Université, à moins d’une autorisation expresse de cette dernière.

Copilot protège l’information de l’Université grâce à ses mesures de protection des données d’entreprise. Cela signifie que les requêtes, les réponses et le contenu que consulte Copilot sont gérés conformément aux contrôles de protection des données d’entreprise de Microsoft.

Copilot respecte les autorisations des personnes utilisatrices et n’utilise pas l’information de l’Université pour entraîner ses modèles.

Ses activités se limitent à l’environnement Microsoft 365 de l’Université, si bien qu’il se fonde seulement sur l’information à laquelle la personne utilisatrice a accès par l’intermédiaire du compte Microsoft 365 de l’Université.

Toute utilisation de Copilot doit être conforme aux règlements de l’Université et aux lois applicables sur la protection des renseignements personnels, notamment à ce qui suit :

• Règlement 23 – Règlement sur la gestion de l’information
• Règlement 90 – Accès à l’information et la protection des renseignements personnels
• Règlement 116 – Utilisation et sécurité des biens de technologies de l’information​
• Règlement 117 – Classification et traitement de l’information
• Méthode 20-4 – Disposition de l’information
• Méthode 20-8 – Protocole d’intervention en cas d’atteinte à la vie privée
• Méthode 20-12 – Traitement de l’information confidentielle et interne
• Calendrier de disposition de l’information

Toute utilisation de Copilot liée à l’élaboration et à l’évaluation de projets de recherche présentés dans le cadre d’une demande de subvention doit être conforme aux lignes directrices sur l’utilisation de l’intelligence artificielle du gouvernement fédéral.

L’Université a à cœur de favoriser une utilisation durable et responsable des technologies d’IA, y compris Copilot.

Les personnes utilisatrices doivent :

• utiliser Copilot dans le cadre de tâches organisationnelles ou universitaires autorisées;
• utiliser Copilot de manière intentionnelle et efficace, en évitant les requêtes inutiles ou répétitives qui n’apportent aucune valeur ajoutée;
• privilégier les requêtes concises et les utilisations ciblées pour éviter tout traitement excessif;
• utiliser Copilot lorsque l’outil améliore considérablement la productivité, la qualité et l’accessibilité, plutôt que pour remplacer le jugement humain.

L’utilisation responsable de l’IA suppose de tenir compte des répercussions environnementales, des coûts opérationnels et de l’incidence globale du recours aux technologies de l’IA à l’Université, tout en mettant l’accent sur l’exactitude, l’équité et la responsabilisation.

Vous pouvez utiliser Copilot aux fins suivantes :

• Rédiger, résumer ou transformer du contenu interne de l’Université (p. ex., résumer des notes de réunion, rédiger la première ébauche d’une communication, peaufiner le ton d’un texte ou dégager des mesures à prendre).
• Traduire des documents qui comportent peu de risque, voire aucun, comme des communications routinières individuelles avec des collègues ou la clientèle sur des sujets à faible risque et non délicats. Dans certaines circonstances, comme un processus de plainte, on peut avoir recours à Copilot pour des renseignements de nature délicate si :
  • l’objectif est clair et légitime;
  • le consentement éclairé de la partie plaignante a été obtenu;
  • les exigences applicables de protection de la vie privée et de sécurité sont respectées (p. ex., traduction de la plainte avec le consentement de la partie plaignante).
• Accélérer les tâches routinières (p. ex., créer des ordres du jour, convertir des notes en tâches, produire des comptes rendus) sous la supervision d’une personne humaine.
• Analyser les données dont l’accès est autorisé, tout en respectant la classification de l’information prévue par le Règlement 117 – Classification et traitement de l’information.
• Préparer des outils d’enseignement ou d’apprentissage avec du matériel non assujetti à des restrictions, en s’assurant de ne révéler sans autorisation aucun renseignement personnel sur des membres de la population étudiante ou du personnel.

Vous ne pouvez pas utiliser Copilot aux fins suivantes :

• Recueillir, utiliser, communiquer ou saisir des renseignements personnels sans autorisation légale et sans objectif légitime pour l’Université. On doit suivre le principe de minimisation des données, ne transmettre que les renseignements personnels strictement nécessaires pour réaliser la tâche autorisée et éviter d’utiliser les renseignements personnels de nature délicate (p. ex., information sur la santé, documents des RH ou juridiques, ou tout autre renseignement dont la communication pourrait causer un préjudice considérable à une personne ou à l’Université).

Toute utilisation de renseignements personnels doit être conforme à la Loi sur l’accès à l’information et la protection de la vie privée (LAIPVP) de l’Ontario, aux autres lois et règlements sur la protection de la vie privée applicables à l’Université, et aux règlements et méthodes applicables de l’Universitéprésentés ci-dessus.

• Prendre des décisions qui auront une incidence sur les droits ou les intérêts de personnes sans la réalisation d’une analyse par une personne humaine, sans pièces justificatives et sans suivre le processus établi. Le « biais d’automatisation » (soit la tendance à se fier aux systèmes automatisés) doit être atténué.
• Traduire les types de contenu suivants :
  • documents qui pourraient poser un risque pour la santé ou la sécurité des personnes (AlertUO, protocoles de sécurité, ressources en santé mentale, etc.);
  • contenu qui pourrait nuire à la réputation de l’Université d’Ottawa (promotion pour les futures étudiantes et futurs étudiants, recrutement de membres du personnel, relations avec les médias, pages du site Web);
  • textes portant sur des sujets qui pourraient donner lieu à un litige (relations de travail, gouvernance);
  • contenu qui pourrait être perçu comme discriminatoire (p. ex., présentant du langage non inclusif ou donnant lieu à un traitement inégal des anglophones et des francophones).

Vous devez continuer de faire appel aux Services linguistiques pour la traduction des communications officielles de l’Université.

• Contourner les exigences de confidentialité ou les contrôles de sécurité (p. ex., téléverser du contenu provenant des conseillères et conseillers juridiques de l’Université ou d’autre contenu protégé par le secret professionnel de l’avocate ou de l’avocat, ce qui pourrait donner lieu à une communication non autorisée).

Il faut toujours valider les résultats produits par Copilot, car l’outil peut faire des erreurs. Vérifiez toujours les faits, les références, les nombres et le raisonnement que propose Copilot. Évitez le biais d’automatisation et souvenez-vous que les personnes utilisatrices sont responsables du contenu sur lequel elles s’appuient ou qu’elles diffusent.

Vous devriez également vérifier et citer toutes les sources, vous assurer que les références données par Copilot sont authentiques et complètes, et conserver la preuve de vos vérifications pour les documents importants.

Évitez de mentionner des renseignements de nature délicate dans vos requêtes à moins que leur utilisation soit autorisée et absolument nécessaire. Par exemple, n’entrez pas de renseignements permettant d’identifier une personne si la situation peut être décrite de manière générale ou sans nommer personne. Vous diminuez ainsi les risques d’entrave à la vie privée et vous vous conformez aux exigences de traitement responsable de l’information.

Rédigez vos requêtes en employant un langage neutre et impartial. Évitez les tournures qui pourraient pousser Copilot à renvoyer des résultats perpétuant des stéréotypes ou des présomptions discriminatoires. Si l’outil vous renvoie une réponse biaisée ou inappropriée, faites une autre requête en utilisant un langage plus neutre, et consignez les corrections apportées si le résultat doit être intégré à un document important ou à forte incidence.

Respectez le droit d’auteur et les restrictions relatives au contenu de tiers. Cela comprend notamment, sans s’y limiter, les évaluations par les pairs, les travaux étudiants et les ressources de bibliothèque (imprimées, numériques, électroniques, audiovisuelles ou autres, qu’elles soient sous licence ou non).

La licence de certaines ressources de bibliothèque limite ou interdit leur saisie dans un système d’IA. Avant de soumettre à Copilot des ressources de bibliothèque, des requêtes ou tout autre contenu protégé par le droit d’auteur, assurez-vous d’avoir le droit d’accéder à ces contenus et de les reproduire.

Ne demandez pas à Copilot de reproduire mot pour mot du matériel protégé par le droit d’auteur ou un accès payant, sauf dans la mesure où la loi le permet (p. ex., produire une version accessible d’un document pour les personnes ayant une déficience de lecture des imprimés, sur demande). Bien que Microsoft ait intégré à Copilot des mesures de protection du droit d’auteur, vous devez néanmoins faire preuve de prudence et vous assurer de respecter les règles relatives aux licences et au droit d’auteur.

8.1 Utilisation de Copilot lors des réunions

Utilisez Copilot avec prudence lors des réunions, et réduisez au minimum le recours aux fonctions d’enregistrement et de transcription. N’enregistrez pas les réunions sur Microsoft Teams lorsqu’il est question de renseignements personnels, de renseignements sur la santé, de sujets délicats liés aux RH ou à des étudiantes et étudiants, de tout sujet protégé par le secret professionnel de l’avocate ou de l’avocat, ou d’un litige éventuel mettant en cause l’Université.

Ne demandez jamais à Copilot d’enregistrer ou de transcrire des communications sous le sceau du secret professionnel, sauf si une exception a été approuvée (p. ex., une mesure d’adaptation en raison d’un handicap) ou si une conseillère ou un conseiller juridique l’a autorisé à la suite d’une évaluation des risques.

L’enregistrement et la transcription peuvent être appropriés dans certaines situations, par exemple une séance de formation lors de laquelle aucun renseignement personnel ne sera donné. Dans ce cas, avisez-en clairement chaque personne participante au préalable. Par ailleurs, assurez-vous que la collecte de tout renseignement personnel est dûment autorisée et justifiée, et que vos pratiques de conservation sont conformes aux exigences de l’Université.

Si vous conservez des transcriptions ou sommaires générés par l’IA, ils deviennent des documents de l’Université, qui doivent être gérés conformément aux règles applicables de classification, de conservation et d’accès. Supprimez-les quand vous n’en avez plus besoin, conformément à la Méthode 20-4 – Disposition de l’information.

8.2 Utilisation des fonctionnalités de production de médias (images, vidéos et contenu visuel)

8.2.1 Images et contenu visuel

Vous pouvez utiliser les fonctionnalités de Copilot permettant de générer des images, des diagrammes, des graphiques et d’autres éléments visuels seulement à des fins légitimes pour l’Université, et y intégrant de l’information que vous avez le droit d’utiliser.

Quand vous utilisez Copilot pour générer des images ou du contenu visuel :

• Assurez-vous qu’aucun renseignement personnel, contenu de nature délicate ou renseignement confidentiel de l’Université n’estutilisé dans les requêtes à moins d’une autorisation explicite.
• Utilisez les images générées principalement à titre de schémas conceptuels, d’illustrations ou d’ébauches, par exemple dans des présentations, du matériel d’apprentissage dont le contenu n’est pas assujetti à des restrictions ou des communications internes.
• Validez l’exactitude, le caractère approprié et l’impartialité de tout contenu visuel généré, ainsi que son adéquation avec les valeurs de l’Universitéavant de le diffuser ou de le publier.
• Évitez d’utiliser des images produites par Copilot d’une manière trompeuse quant à leur authenticité, leur provenance ou leur représentation factuelle.
• Évitez de présenter les images générées par Copilot comme des preuves factuelles, des documents officiels ou des représentations faisant autorité sans qu’elles aient été validées par un être humain et sans fournir d’explications contextuelles.

8.2.2 Vidéos et contenu multimédia

Veuillez respecter les lignes directrices suivantes quant à l’utilisation des fonctionnalités de Copilot permettant la production de contenu vidéo ou multimédia (y compris le contenu scénarisé, les scénarimages et les résumés) :

• Réservez ces fonctionnalités au contenu à faible risque et de nature non délicate, comme les concepts de formation, les comptes rendus internes ou les ébauches de communications.
• Évitez de générer ou de diffuser du contenu multimédia comportant des renseignements personnels, les données de personnes étudiantes, de l’information des RH, des conversations juridiques ou d’autre matériel soumis à une restriction, sauf si vous le faites à une fin approuvée, et si vous en avez obtenu clairement l’autorisation.
• Mentionnez clairement le recours à l’IA générative si l’auditoire peut raisonnablement croire que le contenu a été entièrement produit par des êtres humains.

8.3 Utilisation des agents dans Copilot

Les personnes qui créent des agents partagés sont responsables de leur conception, et les personnes utilisatrices sont responsables de l’utilisation des résultats proposés par les agents.

8.3.1 Création d’agents dans Copilot

Une personne utilisatrice peut créer un agent dans Copilot seulement si l’Université lui donne accès à cette fonctionnalité, et seulement pour servir des objectifs clairement définis et légitimes pour l’Université.

Quand vous créez un agent dans Copilot, vous devez respecter les exigences suivantes :

• Assurez-vous qu’il appuie des activités administratives, opérationnelles ou de soutien approuvées.
• Utilisez-le comme une mesure d’adaptation en raison d’un handicap seulement de manière appropriée et raisonnable.
• Ne l’utilisez pas pour remplacer la prise de décision humaine quand une décision pourrait avoir des conséquences sur les droits des personnes, les services, l’emploi, le rendement scolaire ou les obligations juridiques.
• Évitez les situations où un agent pourrait prendre des initiatives ou des décisions de manière autonome, ou fonctionner sans réelle supervision humaine, sauf si vous en avez l’approbation explicite.
• Précisez l’objectif, la portée et les limitations de l’agent.
• Évitez d’intégrer des renseignements personnels, des données de nature délicate, des identifiants, du matériel confidentiel ou des directives internes dans les requêtes ou la configuration de l’agent.
• Assurez-vous que l’agent n’a accès qu’à l’information à laquelle la personne créatrice a accès, et que cet accès convient à l’utilisation prévue.

8.3.2 Partage des agents dans Copilot

Vous pouvez partager un agent dans Copilot seulement pour répondre à un besoin légitime de l’organisation.

Les consignes suivantes s’appliquent au partage d’agents :

• Partagez l’agent seulement avec les personnes qui ont l’autorisation d’accéder aux renseignements auxquels l’agent peut se rapporter.
• Obtenez l’autorisation de la personne responsable des données avant de partager un agent qui fait référence à une source dont l’accès est limité.
• Assurez-vous que le partage ne donne pas lieu à un accès général ou imprévu à l’information de l’Université.
• Communiquez clairement les limites de l’utilisation prévue de l’agent, et toute hypothèse ou tout risque connu.
• Comprenez bien que les agents utilisant les données d’entreprise (SharePoint, OneDrive, etc.) peuvent seulement être utilisés par les personnes détenant une licence complémentaire M365 Copilot.

8.3.3 Utilisation d’agents partagés dans Copilot

Quand vous utilisez dans Copilot des agents créés par d’autres personnes, vous devez :

• comprendre l’usage prévu et les limitations de l’agent avant d’utiliser ses résultats;
• vérifier l’exactitude, le caractère approprié et le contexte des résultats avant de les utiliser ou de les transmettre;
• éviter d’utiliser un agent partagé à des fins autres que celles initialement prévues ou communiquées;

L’utilisation d’un agent partagé n’atténue en rien vos responsabilités. Vous demeurez responsable des décisions, des mesures et des communications fondées sur les résultats proposés par un agent.

Transmettez des documents seulement aux personnes qui ont besoin d’y avoir accès. Copilot tient compte des droits d’accès, si bien qu’il ne propose que ce qu’une personne a le droit de consulter. Même quand Copilot se réfère à des sources relevant toutes de la classification de confidentialité la plus basse, le résultat global (agrégé) peut révéler de l’information confidentielle.

Par conséquent, traitez tout résultat de Copilot selon le plus haut degré de sensibilité de l’information qu’il contient (y compris quand l’agrégation augmente la sensibilité), et procédez à son traitement, à son stockage et à sa diffusion conformément au Règlement 117.

Utilisez seulement votre compte Microsoft 365 de l’Université d’Ottawa dans l’environnement de celle-ci. Ne copiez pas l’information de l’Université dans un outil d’IA personnel ou externe, ou dans un compte infonuagique personnel.

Les conversations avec Copilot et ses résultats sont conservés pendant 90 jours. Les clavardages et les requêtes sont considérés comme du matériel de travail temporaire, qui ne doit être conservé que le temps nécessaire pour réaliser la tâche en question. Pour conserver des requêtes ou des résultats, placez-les dans un répertoire distinct approuvé par l’Université, comme votre espace OneDrive.

Si un résultat produit par Copilot (p. ex., un résumé, une ébauche ou une analyse) sert à la prise d’une décision, est intégré à une correspondance officielle ou conserve une valeur notable, déposez-le dans le répertoire approprié de l’Université conformément au Règlement 23 – Règlement sur la gestion de l’information. Associez-y la classification et le calendrier de disposition appropriés, en évitant de conserver des dossiers importants uniquement dans un clavardage.

Tous les résultats de Copilot, y compris les réponses dans le clavardage, peuvent faire l’objet d’une demande d’accès à l’information en vertu de la LAIPVP.

S’il y a lieu, vous devez déclarer l’utilisation de Copilot pour la rédaction d’ébauches ou l’aide à l’analyse, surtout pour des communications officielles ou des documents qui seront archivés. Vérifiez toujours les résultats obtenus et apportez-y les corrections nécessaires avant de les diffuser.

Ne présentez pas du contenu généré par l’IA comme une œuvre produite par l’humain s’il s’agit d’une affirmation trompeuse ou contraire aux normes d’intégrité universitaire ou administrative.

Si vous savez ou présumez que des renseignements personnels ont été indûment recueillis, utilisés, communiqués, perdus ou consultés durant l’usage de Copilot, vous devez :

1. circonscrire l’incident immédiatement, si possible (cesser la diffusion, révoquer les accès, sécuriser les dossiers);
2. signaler l’incident dès que possible à votre superviseure ou superviseur;
3. remplir le formulaire de déclaration d’atteinte à la vie privée pour en aviser le Bureau de l’accès à l’information et de la protection de la vie privée. Vous devrez répondre à trois questions préliminaires avant d’entrer l’information dans les cases appropriées.

Les atteintes à la vie privée sont traitées conformément au protocole d’intervention en cas d’atteinte à la vie privée de l’Université (Méthode 20-8).

Vous devez suivre les modules de formation obligatoires avant d’utiliser Copilot avec l’information de l’Université.