Charte d’utilisation de l’IA en entreprise

Une charte d’utilisation de l’IA en entreprise est un document court qui fixe quels outils d’IA les salariés peuvent utiliser, pour quelles tâches, avec quelles données, et qui contrôle le résultat. Elle s’écrit avec les équipes à partir de leurs usages réels et se révise dès qu’un outil ou une règle change.

Cet article explique à quoi sert une charte, donne un modèle de rubriques réutilisable, décrit la méthode pour l’écrire et la faire vivre, et ce qu’elle ne règle pas. Il ne constitue pas un avis juridique. Le collectif CAIO fait écrire leur charte aux équipes dans sa formation AI Act et RGPD.

À quoi sert une charte d’utilisation de l’IA ?

Une charte d’utilisation de l’IA sert à transformer des questions que chaque salarié tranche seul en règles connues de tous. Sans charte, la comptable se demande si elle peut envoyer un grand livre à un assistant d’IA, le commercial ne sait pas si son compte personnel est toléré, et le manager découvre qu’un agent tourne sur une boîte partagée. Chacun décide selon son jugement, et deux collègues tranchent en sens contraire.

La CNIL recommande cet encadrement. Dans ses questions-réponses sur l’utilisation d’un système d’IA générative, elle conseille à tout organisme d’encadrer l’usage de ces systèmes « par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ». Elle ajoute qu’il convient de former les utilisateurs et de mener des contrôles réguliers.

Le règlement européen sur l’IA va dans le même sens. Son article 4, réécrit en juillet 2026, demande aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel (voir l’article AI Act, article 4). Une charte, accompagnée d’une formation, documente ces mesures.

Une charte rend aussi un service moins visible : elle autorise. Beaucoup de salariés n’osent pas utiliser l’IA faute de savoir si c’est permis. Une liste claire des usages autorisés lève ce doute.

Quelles rubriques prévoir dans une charte IA ?

Le modèle suivant liste les rubriques d’une charte d’utilisation de l’IA en entreprise. Reprenez la structure et réécrivez chaque règle avec vos outils, vos données et vos métiers. Les exemples entre parenthèses sont des illustrations à adapter.

Modèle de charte d’utilisation de l’IA

1. Objet et périmètre. À qui s’applique la charte (salariés, intérimaires, prestataires qui travaillent pour l’entreprise), sur quels outils, à partir de quelle date.
2. Outils autorisés. La liste des outils validés, avec l’offre et le type de compte (par exemple « Microsoft Copilot sous le compte de l’entreprise »). Tout outil hors liste est soumis à demande.
3. Comptes. Des comptes ouverts avec l’adresse professionnelle et gérés par l’entreprise. Pas de compte personnel pour des tâches de travail.
4. Usages autorisés. Les tâches permises, décrites par métier (reformuler un courriel, résumer un compte rendu interne, préparer une première version de fiche produit, traduire une documentation publiée).
5. Usages interdits. Les tâches exclues (décider seul d’une sanction, d’une embauche ou d’un refus de crédit, produire un document signé sans relecture, créer une image ou une voix d’une personne réelle sans son accord).
6. Données. Ce qui ne sort jamais (données de santé, données des salariés, données clients nominatives sur un outil sans contrat, secrets d’affaires), ce qui sort avec précaution, ce qui peut sortir. Un tableau à trois colonnes se lit mieux qu’un paragraphe.
7. Vérification des résultats. Toute sortie se relit avant usage. Les chiffres, les citations, les références juridiques et les noms se vérifient à la source.
8. Transparence. Quand indiquer qu’un contenu a été produit avec l’IA (à un client, dans une publication, dans un document interne).
9. Agents et automatisations. Qui peut en créer, sur quels outils, avec quelle validation avant mise en service, et qui en est responsable.
10. Propriété et confidentialité. Le sort des contenus produits, le respect des droits d’auteur et des licences, les engagements de confidentialité pris envers les clients.
11. Signalement. À qui signaler une erreur, une fuite possible, un outil qui se comporte de façon inattendue. Un nom ou une adresse, pas un service anonyme.
12. Formation. Ce que chaque utilisateur doit avoir suivi avant d’accéder aux outils, et comment la formation est tracée.
13. Responsables. Qui tient la charte à jour, qui valide un nouvel outil, qui répond aux questions.
14. Révision. La fréquence de relecture et les événements qui la déclenchent (nouvel outil, nouvelle fonction d’un outil existant, incident, évolution d’un texte).

En annexe, placez ce qui change souvent : la liste des outils avec leurs réglages, le tableau des données, les consignes types par métier. La charte reste stable et l’annexe se met à jour.

Comment écrire la charte avec les équipes ?

Une charte écrite par la direction seule décrit des usages imaginés. Une charte écrite avec les équipes décrit le travail réel. La méthode suivante tient en quatre étapes.

Relever les usages existants. Demandez à chaque service quels outils il utilise déjà, pour quelles tâches, avec quelles données. Posez la question sans menace de sanction, sinon les réponses resteront vides. L’article sur le shadow AI explique pourquoi ces usages non déclarés sont une information utile.

Trier les usages. Pour chaque usage relevé, décidez s’il est autorisé tel quel, autorisé sous conditions (outil sous contrat, données réduites, relecture) ou interdit. Notez la raison de chaque décision. Elle servira à expliquer la règle et à la réviser.

Rédiger en phrases d’action. « Ne collez pas de données clients nominatives dans un outil hors de la liste » se comprend. « L’utilisateur veille à la protection des données » ne dit pas quoi faire. Chaque règle commence par un verbe et donne un exemple tiré d’un métier de l’entreprise.

Tester sur des cas. Avant diffusion, soumettez au groupe une dizaine de situations concrètes (« je dois résumer un contrat fournisseur de quarante pages », « un client m’envoie son relevé d’identité bancaire et me demande une analyse »). Si deux personnes donnent deux réponses différentes avec la charte en main, la règle est à réécrire.

Le groupe de rédaction réunit la direction, une personne par métier utilisateur, l’informatique et les personnes chargées de la protection des données. Le statut à donner au document (guide interne, note de service, annexe au règlement intérieur) se décide avec les RH et les personnes compétentes en droit du travail, avant la diffusion.

Comment faire vivre une charte IA ?

Une charte IA vieillit vite parce que les outils changent vite. Une fonction ajoutée par un éditeur (mémoire, connecteur, agent) peut rendre une règle obsolète du jour au lendemain. Trois habitudes la gardent à jour.

Une personne responsable. Un nom, connu de tous, qui reçoit les questions, tient le registre des décisions et lance les révisions.

Une révision sur événement. Chaque nouvel outil, chaque nouvelle fonction d’un outil autorisé, chaque incident déclenche une relecture de la règle concernée. Une révision complète à date fixe complète ce mécanisme.

Une présentation à chaque arrivée. La charte se présente aux nouveaux salariés avec des exemples de leur métier, et se rappelle à chaque ouverture d’un nouvel outil. La CNIL recommande, au-delà des documents, de former les utilisateurs et de recueillir leur avis à intervalles réguliers sur l’utilité et les limites des outils.

Le registre des questions reçues sert d’indicateur. Une même question posée trois fois signale une règle mal écrite.

Que ne règle pas une charte d’utilisation de l’IA ?

Une charte fixe des règles d’usage. Elle ne remplace pas plusieurs démarches qu’elle peut seulement mentionner.

• La conformité RGPD des traitements. Le registre, les contrats de sous-traitance, l’information des personnes et, le cas échéant, l’analyse d’impact restent à faire. L’article IA et RGPD détaille les points à vérifier.
• Le choix et la configuration des outils. La charte dit quels outils sont autorisés. Le contrat, les réglages et les droits d’accès se règlent ailleurs, par l’informatique.
• La compétence des utilisateurs. Connaître une règle ne suffit pas pour l’appliquer devant un vrai fichier. La CNIL associe la charte à la formation et à des contrôles réguliers.
• Les obligations propres aux systèmes à haut risque. Une entreprise qui utilise l’IA pour trier des candidatures ou évaluer des salariés relève d’obligations spécifiques du règlement sur l’IA, applicables à partir du 2 décembre 2027 selon son article 113 modifié, qui demandent une analyse dédiée par les personnes compétentes ou un cabinet dont c’est le métier.

La formation AI Act et RGPD fait écrire au groupe les règles de sa propre charte à partir de ses usages, puis les met à l’épreuve sur des cas tirés de ses métiers. Les participants repartent avec un projet de charte et la méthode pour le réviser. Les managers qui font appliquer la charte au quotidien ont leur parcours, la formation IA pour managers.