Entreprise

Charte IA en entreprise : le modèle d’utilisation à adapter

À quoi sert une charte IA, les 8 rubriques indispensables, un modèle original à copier et adapter, puis comment la déployer en lien avec l’AI Act et le RGPD.

Par Morgan HaillusPublié le 3 novembre 202610 min de lecture

À quoi sert une charte IA

Vos équipes utilisent déjà l’IA, avec ou sans règles. Une charte d’utilisation ne sert pas à interdire : elle clarifie. Elle dit ce qui est permis, ce qui ne l’est pas, et pourquoi. Pour un salarié, c’est un soulagement : il sait enfin s’il peut résumer un contrat avec un assistant IA, et avec quel compte. Pour le dirigeant, c’est une protection concrète des données des clients, des secrets d’affaires et de la réputation de l’entreprise.

La CNIL recommande aux organismes qui déploient l’IA générative de définir par écrit les usages autorisés et interdits, en précisant notamment les données personnelles et confidentielles à ne pas saisir, et d’accompagner ce cadre d’une formation et de contrôles réguliers. La charte est aussi une pièce utile au regard de l’article 4 de l’AI Act : avec la formation, elle fait partie des mesures qu’une entreprise peut prendre pour développer la maîtrise de l’IA de ses équipes.

Une bonne charte IA n’est pas un document juridique de vingt pages. Elle tient en deux ou trois pages, s’écrit en langage courant et vit : on la présente, on l’explique, on la met à jour quand les outils changent.

Charte IA, charte informatique, règlement intérieur

Beaucoup d’entreprises ont déjà une charte informatique (mots de passe, messagerie, internet, matériel). La CNIL recommande qu’elle rappelle les règles de protection des données et ce que risque celui qui ne les respecte pas, et qu’elle soit rendue obligatoire, par exemple en l’annexant au règlement intérieur. Deux options s’offrent à vous : ajouter un chapitre IA à cette charte existante, ou rédiger une charte IA dédiée qui y renvoie. La seconde est plus lisible pour les équipes.

Le règlement intérieur est obligatoire dans les entreprises d’au moins 50 salariés. Une charte qui impose des obligations générales et permanentes suit, pour être opposable, la même procédure que lui : avis du CSE, transmission à l’inspection du travail, information des salariés, puis entrée en vigueur au moins un mois après ces formalités. Sans cette procédure, la charte garde une vraie valeur de référence et de sensibilisation, mais il devient plus délicat de s’en prévaloir en cas de manquement. C’est un point à voir avec un juriste.

Dans ces mêmes entreprises, l’arrivée d’un nouvel outil d’IA peut en outre nécessiter la consultation du CSE, au titre de l’introduction de nouvelles technologies. Nous détaillons ce point dans notre guide pour former ses salariés à l’IA.

Les 8 rubriques indispensables

Quelle que soit la taille de votre entreprise, une charte IA utile répond à huit questions. Si l’une manque, c’est sur elle que portera la première hésitation d’un salarié.

Objet et personnes concernées : à qui s’applique la charte (salariés, dirigeants, stagiaires, intérimaires, prestataires) et pour quels outils (assistants conversationnels, fonctions IA intégrées aux logiciels, transcription, génération d’images ou de voix).
Outils autorisés et comptes : la liste des outils validés, l’obligation d’utiliser le compte professionnel, la procédure pour demander un nouvel outil.
Données : ce qui ne doit jamais être saisi, ce qui peut l’être sous conditions, ce qui est libre.
Vérification et responsabilité : la relecture obligatoire, et le principe selon lequel la personne reste responsable de ce qu’elle envoie, publie ou décide.
Transparence : quand signaler l’usage de l’IA aux clients, au public ou aux collègues.
Droits des tiers : droit d’auteur, marques, image et voix des personnes réelles.
Décisions concernant des personnes : recrutement, évaluation, sanctions, refus d’un service à un client.
Formation, référent, incidents et révision : qui forme, qui répond aux questions, comment signaler un problème, quand la charte est revue et à quelles sanctions elle renvoie.

Le modèle, partie 1 : objet, personnes et outils

Le modèle qui suit a été rédigé pour des TPE et PME. Copiez-le, remplacez les éléments entre crochets et supprimez ce qui ne vous concerne pas. Il s’organise en quinze articles courts et une annexe.

Article 1 · Objet. La présente charte fixe les règles d’utilisation des outils d’intelligence artificielle au sein de [Entreprise]. Elle vise à permettre un usage utile de ces outils tout en protégeant les données de nos clients, de nos salariés et de l’entreprise.
Article 2 · Personnes concernées. La charte s’applique à toute personne qui utilise un outil d’IA pour le compte de [Entreprise] : salariés, dirigeants, stagiaires, alternants, intérimaires. Les prestataires en sont informés et ses règles sont rappelées dans leur contrat.
Article 3 · Outils concernés. Sont concernés les assistants conversationnels (par exemple ChatGPT, Claude, Copilot, Gemini ou Vibe de Mistral), les fonctions d’IA intégrées à nos logiciels, et les outils de transcription, de traduction et de génération d’images, de voix ou de vidéos.
Article 4 · Outils autorisés. Seuls les outils listés en annexe sont utilisés pour le travail, avec le compte professionnel fourni par [Entreprise]. L’usage d’un compte personnel pour une tâche professionnelle est [interdit] [limité aux informations publiques]. Toute demande de nouvel outil est adressée au référent IA, qui l’étudie avec [la direction, le DPO, le prestataire informatique].

Le modèle, partie 2 : les données

C’est la partie la plus importante. Elle doit être concrète : une liste vaut mieux qu’un principe général.

Article 5 · Données interdites. Ne sont jamais saisis dans un outil d’IA, quel que soit le compte : les données de santé et les autres données sensibles au sens du RGPD ; les numéros de sécurité sociale, de pièce d’identité et les coordonnées bancaires ; les identifiants, mots de passe et clés d’accès ; les informations sur la paie, les évaluations ou la discipline des salariés ; les documents marqués confidentiels, les secrets d’affaires et toute information couverte par un secret professionnel ou un engagement de confidentialité.
Article 6 · Données autorisées sous conditions. Les documents internes non confidentiels et les informations sur nos clients ne sont utilisés que dans les outils de l’annexe prévus pour cet usage. Les noms, coordonnées et détails qui permettent de reconnaître une personne sont retirés chaque fois que la tâche ne les exige pas.
Article 7 · Données libres. Les informations publiques et les textes rédigés par l’utilisateur, sans donnée personnelle ni confidentielle, peuvent être utilisés dans tous les outils autorisés.
Article 8 · Réglages. Les utilisateurs conservent les réglages de confidentialité définis par [Entreprise], notamment le refus de l’utilisation des conversations pour l’entraînement des modèles lorsque l’outil le permet. Ils n’envoient pas d’avis à l’éditeur (bouton « pouce » ou signalement) sur une conversation qui contient des informations internes.

Le modèle, partie 3 : vérification, transparence, droits

Ces articles protègent la qualité de votre travail et vos relations avec vos clients.

Article 9 · Vérification. Tout contenu produit avec l’IA est relu avant d’être envoyé, publié ou utilisé pour une décision : faits, chiffres, dates, noms, références juridiques, calculs. Une réponse d’IA n’est jamais reprise telle quelle. L’utilisateur reste responsable du contenu qu’il diffuse.
Article 10 · Transparence. Les personnes sont informées lorsqu’elles échangent avec un agent conversationnel. Les images, sons ou vidéos réalistes générés par l’IA et diffusés à l’extérieur sont signalés comme tels. L’annexe précise les autres cas où l’usage de l’IA est mentionné, par exemple dans les rapports remis aux clients.
Article 11 · Droits des tiers. Il est interdit de générer un contenu qui imite une personne réelle (visage, voix, signature) sans son accord, ou qui reprend une marque, un logo ou une œuvre protégée sans autorisation. Les contenus générés destinés à une diffusion externe sont validés par [fonction].

Le modèle, partie 4 : personnes, formation, incidents

La dernière partie organise l’accompagnement et la mise à jour de la charte.

Article 12 · Décisions concernant des personnes. Aucun outil d’IA n’est utilisé pour trier des candidatures, évaluer un salarié ou prendre une décision importante concernant un client sans validation préalable de [la direction] et, lorsqu’elle est requise, consultation des représentants du personnel. La décision finale revient toujours à une personne.
Article 13 · Formation. Chaque utilisateur suit une formation aux bases de l’IA (fonctionnement, limites, données, vérification) avant d’utiliser les outils professionnels, puis des mises à jour lorsque les outils évoluent.
Article 14 · Référent et incidents. [Nom ou fonction] est le référent IA. Toute erreur importante, toute saisie de données interdites et tout usage problématique lui sont signalés sans délai ; le signalement lui-même n’est jamais sanctionné. Si des données personnelles ont pu être exposées, le référent prévient immédiatement [la direction, le DPO], qui évalue la suite à donner.
Article 15 · Révision et sanctions. La charte est revue au moins une fois par an et à chaque nouvel outil. Son non-respect peut entraîner les sanctions prévues par [le règlement intérieur].
Annexe · Outils autorisés. Pour chaque outil : [nom de l’outil] ; [type de compte et offre] ; [usages permis] ; [données permises] ; [réglages imposés] ; [cas où l’usage de l’IA est mentionné].

Une version courte pour l’affichage

La charte complète sert de référence. Pour le quotidien, rien ne vaut une page affichée près des postes ou épinglée dans votre messagerie interne. Par exemple :

J’utilise les outils autorisés, avec mon compte professionnel.
Je ne colle jamais de données de santé, d’identifiants, de mots de passe ni de documents confidentiels.
Je retire les noms et les coordonnées quand la tâche ne les exige pas.
Je relis et je vérifie chaque réponse avant de l’utiliser.
Je signale les contenus générés quand la charte le prévoit.
En cas de doute ou d’erreur, j’en parle au référent IA, sans attendre.

Comment la déployer

Une charte que personne ne lit ne protège pas grand-chose. La CNIL met d’ailleurs en garde contre les chartes non appliquées ou déconnectées des pratiques réelles. Voici une démarche simple :

Partez des usages réels, relevés par un questionnaire anonyme : la charte doit répondre aux situations que vivent vos équipes.
Rédigez à plusieurs : la direction, un ou deux utilisateurs réguliers, le DPO s’il existe, le prestataire informatique. La CNIL recommande d’associer dès le départ le DPO, les responsables informatiques et les métiers.
Vérifiez la procédure applicable : règlement intérieur et avis du CSE à partir de 50 salariés, consultation sur le nouvel outil si nécessaire.
Présentez la charte en réunion ou pendant la formation, avec des exemples tirés de votre activité.
Faites signer un accusé de réception, ou conservez une trace de sa diffusion.
Affichez la version courte et nommez le référent.
Révisez-la à date fixe et à chaque nouvel outil, en tenant compte des questions remontées.

Ce que la charte couvre, et ce qu’elle ne couvre pas

Côté AI Act, la charte s’ajoute à la formation pour montrer que l’entreprise a pris des mesures. Les questions-réponses de la Commission européenne sur la maîtrise de l’IA indiquent qu’aucun certificat n’est exigé et qu’un registre interne des actions de formation peut être tenu. Gardez donc une trace : version de la charte, date de diffusion, personnes formées. Notre guide sur l’article 4 de l’AI Act précise le cadre.

Côté RGPD, la charte ne remplace pas les obligations de l’entreprise lorsqu’elle traite des données personnelles : registre des traitements, information des personnes, contrat avec l’éditeur qui traite les données pour vous, analyse d’impact lorsque les risques sont élevés. La CNIL précise aussi qu’une entreprise qui relie un outil d’IA à sa propre base documentaire contenant des données personnelles, ou qui l’ajuste avec ses données, devient responsable de ce traitement. Pour savoir quoi confier à quel outil, consultez notre guide IA et RGPD : quelles données confier à un assistant.

Enfin, ce modèle est une base de travail, pas un conseil juridique. Pour le rendre opposable, l’articuler avec votre règlement intérieur ou couvrir une activité réglementée (santé, droit, comptabilité, finance), faites-le relire par un juriste ou un avocat.

Faire vivre la charte

La charte fixe le cadre ; la formation donne les réflexes. Les deux vont ensemble : une équipe qui comprend pourquoi une donnée ne doit pas être collée dans un compte personnel applique la règle sans qu’on ait à la rappeler. Notre parcours « Productivité avec l’IA générative » consacre d’ailleurs un temps à la définition de règles d’usage simples pour l’équipe.

Si vous préférez être accompagné, notre formation IA pour les entreprises part de vos usages, vous aide à finaliser votre charte et forme vos équipes sur vos propres cas. Toutes nos formations IA en Guadeloupe existent dans vos locaux, en salle ou en classe virtuelle.

Sources

Tous les guides