Dans beaucoup d’entreprises, l’IA est déjà utilisée au quotidien, mais chacun le fait à sa manière, avec son propre compte et ses propres règles. Une charte IA d’entreprise met tout le monde d’accord : quels outils, pour quoi faire, avec quelles données, et qui vérifie. Nous vous proposons un modèle court, à adapter, avec nos commentaires sur chaque article.

Pourquoi une charte, et pourquoi maintenant#

La CNIL recommande à tout organisme d’encadrer l’utilisation de l’IA générative par des politiques ou chartes internes qui définissent clairement les usages autorisés et interdits, dans ses questions-réponses sur l’utilisation d’un système d’IA générative (consultées le 15/10/2026). Dans sa synthèse « Comment déployer une IA générative ? » (publiée le 18/07/2024, consultée le 15/10/2026), elle y ajoute d’autres recommandations : partir d’un besoin concret, choisir un système sécurisé, former les utilisateurs et mettre en place une gouvernance adaptée.

Par ailleurs, l’AI Act demande aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel et des personnes qui les utilisent pour leur compte (article 4). Depuis sa modification par l’omnibus numérique sur l’IA, entrée en vigueur à la mi-juillet 2026, l’obligation demeure mais aucun niveau précis n’est imposé, d’après les questions-réponses de la Commission européenne sur la maîtrise de l’IA (consultées le 15/10/2026). Une charte accompagnée d’une courte formation est une manière concrète d’y répondre.

Enfin, c’est une question de bon sens : sans règle écrite, une personne de bonne volonté peut coller un contrat client dans un outil grand public sans imaginer que c’est un problème.

Le modèle de charte IA d’entreprise, article par article#

Le texte du modèle figure dans les citations. Nos commentaires suivent chaque article. Remplacez les éléments entre crochets.

Article 1 : objet et champ d’application#

La présente charte encadre l’utilisation des outils d’intelligence artificielle générative (assistants conversationnels, outils de rédaction, de synthèse, de traduction, de génération d’images) par toute personne travaillant pour [entreprise], salariée ou non, dans le cadre de son activité professionnelle.

Commentaire : incluez les prestataires, stagiaires et alternants. Ils utilisent souvent ces outils et ne connaissent pas forcément vos règles.

Article 2 : outils autorisés#

Seuls les outils suivants peuvent être utilisés avec des informations de l’entreprise : [liste des outils et des offres, par exemple « Microsoft Copilot via le compte professionnel »]. Ils sont utilisés exclusivement avec le compte professionnel fourni par l’entreprise. Toute demande d’ajout d’un outil est adressée à [référent].

Commentaire : la précision « avec le compte professionnel » est essentielle. Les engagements sur l’usage des données diffèrent fortement entre offres grand public et offres professionnelles ; nous détaillons ce point dans notre comparaison de ChatGPT, Claude et Copilot. Avant d’inscrire un outil dans cette liste, passez-le au crible de notre checklist IA et RGPD.

Article 3 : les données que l’on peut confier#

Les informations sont classées en trois catégories :

  • Vert, autorisé : informations publiques ou sans enjeu (textes déjà publiés, documentation générale, brouillons sans données personnelles).
  • Orange, avec précaution : documents internes non sensibles, dans les outils autorisés uniquement, en retirant les données personnelles non nécessaires.
  • Rouge, interdit : données personnelles sensibles, données de santé, informations bancaires, mots de passe et identifiants, données couvertes par un accord de confidentialité, informations stratégiques non publiques [à compléter].

Commentaire : c’est l’article le plus important. Les feux tricolores sont plus faciles à retenir qu’une longue liste. Donnez un ou deux exemples concrets par couleur, tirés de votre activité. La CNIL rappelle, dans les questions-réponses citées plus haut, que les utilisateurs ne devraient soumettre que des informations qu’ils sont autorisés à partager, et jamais d’informations confidentielles dans un service grand public.

Article 4 : usages autorisés et interdits#

Autorisés : rédiger un premier jet, reformuler, résumer, traduire, structurer des idées, préparer une réunion, analyser des données anonymisées.

Interdits : prendre seul une décision concernant une personne (recrutement, évaluation, sanction) sur la base d’une réponse d’IA ; produire un contenu destiné à tromper ; contourner les règles de sécurité de l’entreprise.

Commentaire : partez de vos usages réels. Demandez à l’équipe ce qu’elle fait déjà avec l’IA : vous éviterez une charte théorique que personne ne lit.

Article 5 : validation humaine#

Tout contenu produit avec l’aide de l’IA est relu par la personne qui l’utilise avant toute diffusion. Cette personne reste responsable du contenu. Les chiffres, noms, dates, citations et références juridiques sont systématiquement vérifiés à la source.

Commentaire : la CNIL souligne que ces systèmes peuvent produire des résultats inexacts qui paraissent pourtant plausibles. La règle « qui diffuse, vérifie » est simple et responsabilisante.

Article 6 : transparence#

Lorsqu’un client ou un partenaire échange avec un outil d’IA mis en place par l’entreprise (par exemple un assistant sur le site), il en est informé. Les contenus générés par l’IA et publiés sont signalés lorsque [règles à préciser].

Commentaire : l’AI Act prévoit des obligations de transparence (article 50), applicables à partir du 2 août 2026. D’après la FAQ de la Commission européenne sur l’AI Act (consultée le 15/10/2026), concevoir le système pour que les personnes sachent qu’elles dialoguent avec une IA incombe au fournisseur ; l’entreprise qui l’utilise doit, elle, signaler les contenus truqués (« deepfakes ») qu’elle diffuse et les textes générés ou modifiés par l’IA publiés pour informer le public sur des questions d’intérêt public. Au-delà de l’obligation, c’est une question de confiance avec vos clients.

Article 7 : sécurité des comptes#

Les comptes des outils autorisés sont protégés par l’authentification de l’entreprise [et la double authentification]. Les identifiants ne sont jamais partagés. Toute fuite ou erreur (par exemple, une donnée « rouge » saisie par erreur) est signalée sans délai à [référent].

Commentaire : insistez sur le signalement sans reproche. Une erreur signalée tout de suite se traite ; une erreur cachée par peur de la sanction devient un vrai problème.

Article 8 : formation et référent#

Chaque utilisateur suit une formation courte avant d’utiliser les outils autorisés. [Nom ou fonction] est le référent IA : il répond aux questions, tient à jour la liste des outils et propose les évolutions de la charte.

Commentaire : dans une PME, le référent n’a pas besoin d’être technique. Il faut surtout quelqu’un de disponible et identifié.

Article 9 : révision#

La charte est revue au moins [une fois par an], et à chaque changement important d’outil ou de réglementation.

Commentaire : les outils et leurs conditions évoluent vite. Une date de révision écrite évite qu’une charte ancienne reste appliquée sans être relue.

Comment la mettre en place#

  1. Recensez les usages actuels avec un court questionnaire anonyme : quels outils, pour quelles tâches.
  2. Choisissez les outils autorisés et ouvrez les comptes professionnels.
  3. Adaptez le modèle avec deux ou trois personnes de métiers différents.
  4. Présentez la charte en réunion, avec des exemples concrets plutôt qu’une lecture intégrale.
  5. Formez : une courte session suffit pour commencer. Notre article sur l’écriture de prompts efficaces peut servir de support.
  6. Faites le point après quelques semaines pour ajuster ce qui coince.

Quelle valeur juridique pour la charte ?#

Tout dépend de ce que vous voulez en faire. Une simple note de bonnes pratiques informe ; une charte dont le non-respect peut être sanctionné obéit à d’autres règles.

  • Le règlement intérieur est obligatoire dans les entreprises d’au moins 50 salariés (article L1311-2 du Code du travail).
  • D’après l’article L1321-5 du Code du travail (consulté le 15/10/2026), une note de service ou tout autre document qui comporte des obligations générales et permanentes en matière de santé, de sécurité ou de discipline est soumis aux mêmes règles que le règlement intérieur, et lui est rattaché quand il en existe un.
  • Ces règles comprennent notamment l’avis préalable du comité social et économique s’il existe, la communication à l’inspection du travail et la diffusion aux salariés, selon la fiche de service-public.fr sur le règlement intérieur (consultée le 15/10/2026). Depuis la loi de simplification du 26 mai 2026, le dépôt au greffe du conseil de prud’hommes n’est plus exigé, précise Entreprendre Service Public (consulté le 15/10/2026).

Si votre charte prévoit des sanctions, faites valider sa forme et sa procédure par un juriste ou votre conseil en droit social : ces repères ne constituent pas un avis juridique.

Conclusion#

Une charte d’usage de l’IA ne sert pas à interdire : elle permet à l’équipe d’utiliser ces outils sereinement, en sachant ce qui est permis. Partez de ce modèle, adaptez-le à vos usages réels, et accompagnez-le d’une courte formation.

Si vous voulez construire cette charte avec votre équipe, choisir les outils adaptés et former les utilisateurs, c’est précisément l’objet de notre accompagnement en conseil.