# Politique d'usage des assistants et agents IA : modèle à compléter

## 1. Périmètre

- Outils autorisés : TODO (assistant dans l'IDE, agent en ligne de commande, revue de PR automatisée…)
- Données interdites dans les prompts : secrets, données personnelles, code client sous NDA, TODO

## 2. Règles pour le code et l'IaC générés

- [ ] Le code généré passe par une **Pull Request** et une **revue humaine** ; l'auteur de la PR en reste responsable.
- [ ] Mêmes contrôles obligatoires que pour le code humain : tests, SAST, secrets, dépendances, scan IaC, policies.
- [ ] Toute nouvelle dépendance est **vérifiée** (existence, mainteneurs, popularité, licence) avant ajout.
- [ ] Les PR assistées par IA portent le label `ai-assisted` (traçabilité, pas sanction).
- [ ] TODO

## 3. Règles pour les agents (outils qui agissent : commits, commandes, API)

- [ ] **Moindre privilège** : jeton limité au dépôt, scopes minimaux, lecture seule par défaut.
- [ ] **Jetons éphémères** (OIDC, durée courte) plutôt que des secrets statiques ; jamais de clé cloud administrateur.
- [ ] Environnement isolé (conteneur, VM jetable), sans accès à la production.
- [ ] **Validation humaine** obligatoire avant toute action destructive ou externe (push sur `main`, `terraform apply`, suppression, envoi de messages).
- [ ] Contenus non fiables (issues, README tiers, pages web, réponses d'outils MCP) traités comme des **données**, jamais comme des instructions.
- [ ] Journalisation des actions de l'agent et revue régulière.
- [ ] TODO

## 4. En cas d'incident

TODO : à qui signaler, révocation des jetons, analyse.