Charte IA en entreprise : contenu type, exemple commenté et mise en place pas à pas

On pourrait croire qu’une charte est un document de grand groupe. Pour l’IA, c’est l’inverse : plus l’entreprise est petite, plus une règle claire est utile, parce qu’il n’y a souvent ni service informatique ni juriste pour répondre aux questions.

Les usages existent déjà, avec ou sans règles

Selon l’Insee, 18 % des entreprises d’au moins 10 salariés déclaraient utiliser au moins une technologie d’intelligence artificielle en 2025, contre 10 % en 2024. Ces chiffres ne mesurent que l’usage décidé par l’entreprise. Les usages individuels, avec des comptes personnels et gratuits, sont bien plus répandus. La CNIL parle à ce sujet de « shadow IT », c’est-à-dire l’utilisation d’outils informatiques sans que l’entreprise le sache ni l’encadre, et recommande justement de tenir compte de ces pratiques réelles quand on fixe les règles.

Les risques concrets d’une utilisation sans cadre

Sans règles écrites, les mêmes problèmes reviennent :

• Des données confidentielles qui sortent : un contrat ou un bulletin de salaire collé dans un compte grand public, dont les conditions peuvent permettre au fournisseur de réutiliser les échanges.
• Des erreurs envoyées aux clients : l’IA peut produire des réponses fausses mais présentées avec assurance, ce que l’on appelle des « hallucinations ».
• Des décisions mal encadrées : faire trier des candidatures par une IA touche au RGPD et au règlement européen sur l’IA, qui classe le recrutement parmi les usages à haut risque.
• Une inégalité entre salariés : certains utilisent l’IA tous les jours, d’autres n’osent pas, faute de savoir si c’est autorisé.

Ce que disent les autorités

La CNIL, dans ses recommandations sur le déploiement d’une IA générative publiées en juillet 2024, conseille de partir d’un besoin concret, d’encadrer les usages en définissant des utilisations autorisées et interdites, de choisir un système et un mode de déploiement sécurisés, de former et sensibiliser les utilisateurs et de mettre en place une gouvernance adaptée. Dans ses questions-réponses sur le sujet, elle cite expressément l’adoption de politiques ou de chartes internes.

Le règlement européen sur l’IA, souvent appelé AI Act, impose de son côté aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour développer la maîtrise de l’IA des personnes qui s’en servent pour leur compte. Une charte, présentée lors d’une formation, fait partie des éléments qui montrent que l’entreprise a agi. Notre guide AI Act : ce que le règlement change pour les PME détaille cette obligation.

Une charte IA efficace tient en deux ou trois pages. Au-delà, personne ne la lit. Voici les rubriques que l’on retrouve dans la plupart des chartes réussies. Toutes ne sont pas indispensables pour une très petite entreprise, mais les cinq premières le sont.

Les outils autorisés

C’est la rubrique la plus importante. Elle nomme les outils, par exemple ChatGPT et Claude, éventuellement l’assistant intégré à votre suite bureautique comme Microsoft Copilot ou Gemini, et surtout le type de compte à utiliser. La différence entre un compte personnel gratuit et une offre professionnelle est essentielle : selon Anthropic, les échanges réalisés avec ses offres destinées aux entreprises ne servent pas, par défaut, à entraîner ses modèles, et OpenAI prend un engagement comparable pour ses offres professionnelles. Les conditions évoluent : vérifiez-les à la date de votre choix. Notre guide Choisir son assistant IA vous aide à comparer les outils.

Les usages encouragés et les usages interdits

Les deux listes vont ensemble. La liste des usages encouragés libère les salariés : rédiger un premier jet, reformuler, résumer un document non confidentiel, préparer une réunion, traduire, trouver des idées. La liste des usages interdits protège l’entreprise : prendre une décision sur une personne, comme un recrutement ou une sanction, laisser l’IA répondre seule à un client, produire un document engageant sans relecture.

Les données à ne jamais saisir

La CNIL recommande de ne jamais partager d’informations confidentielles avec un service grand public, et de décider, selon l’outil et ses conditions, s’il faut interdire toute donnée personnelle ou seulement certaines catégories. Soyez concret : « coordonnées de clients », « numéros de sécurité sociale », « données de santé », « bulletins de paie », « codes d’accès », « tarifs négociés », plutôt qu’un vague « données sensibles ».

La relecture et la responsabilité

Une phrase suffit, mais elle doit figurer : tout contenu produit avec l’IA est relu, vérifié et validé par une personne avant d’être utilisé ou envoyé, et cette personne en reste responsable. La CNIL rappelle de ne jamais reproduire telles quelles les réponses d’un système d’IA générative. Les autres rubriques sont illustrées dans l’exemple qui suit.

Voici un exemple de charte pour une entreprise fictive de services, appelée ici « Société Martin ». Il est volontairement simple. Adaptez chaque article à votre activité, à vos outils et à vos contraintes, et faites relire le texte définitif par votre conseil si vous l’annexez au règlement intérieur.

Article 1 – Objet. La présente charte fixe les règles d’utilisation des outils d’intelligence artificielle générative, c’est-à-dire des outils capables de produire du texte, des images ou des analyses à partir d’une demande écrite. Elle s’applique à tous les salariés, stagiaires et intérimaires de la Société Martin, pour toute utilisation liée à leur travail.

Commentaire : définissez l’IA en une phrase simple. Mentionnez les stagiaires et intérimaires, souvent oubliés alors qu’ils utilisent les mêmes outils.

Article 2 – Outils autorisés. Les salariés utilisent exclusivement les comptes professionnels ChatGPT et Claude fournis par l’entreprise. Toute utilisation d’un compte personnel pour des tâches professionnelles est interdite. L’ajout d’un nouvel outil est soumis à l’accord du référent IA.

Commentaire : cette règle est la plus protectrice, à condition que l’entreprise fournisse les comptes.

Article 3 – Usages encouragés. Chacun peut utiliser les outils autorisés, sans demande préalable, pour : rédiger ou reformuler des e-mails et des courriers ; résumer des documents internes non confidentiels ; préparer des réunions et des présentations ; traduire ; analyser des tableaux ne contenant pas de données personnelles ; chercher des idées.

Commentaire : une liste positive est indispensable. Une charte faite seulement d’interdictions décourage les salariés les plus prudents.

Article 4 – Usages interdits. Il est interdit d’utiliser l’IA pour prendre ou préparer seule une décision concernant une personne (recrutement, évaluation, sanction, attribution d’une prime), pour répondre automatiquement à un client sans relecture, ou pour produire un document contractuel sans validation par le responsable concerné.

Commentaire : l’IA peut aider à rédiger une fiche de poste ; ce qui est exclu, c’est de lui confier la décision, conformément aux règles du RGPD sur les décisions automatisées.

Article 5 – Données interdites. Ne doivent jamais être saisies dans un outil d’IA : les données de santé, les numéros de sécurité sociale, les coordonnées bancaires, les bulletins de paie, les identifiants et mots de passe, les informations couvertes par un accord de confidentialité avec un client. Les noms de clients et de salariés sont remplacés par des initiales ou des codes lorsque la tâche ne les exige pas.

Commentaire : la règle d’anonymisation, c’est-à-dire le remplacement des noms par des codes, est facile à appliquer et réduit fortement le risque. Notre guide IA et RGPD détaille les précautions.

Article 6 – Relecture et responsabilité. Tout contenu produit avec l’IA est relu et vérifié avant utilisation. Les chiffres, dates, références juridiques et citations sont contrôlés à la source. La personne qui utilise ou envoie le contenu en reste responsable.

Commentaire : la responsabilité ne se délègue pas à l’outil.

Article 7 – Transparence. Lorsqu’un client échange avec un assistant automatique, il en est informé. Les images ou vidéos réalistes créées avec l’IA et publiées par l’entreprise sont signalées comme telles.

Commentaire : ces deux cas correspondent aux obligations de transparence du règlement européen sur l’IA, applicables depuis le 2 août 2026.

Article 8 – Sécurité. Les comptes sont strictement personnels. La connexion d’un outil d’IA à la messagerie, à l’agenda ou aux dossiers partagés de l’entreprise est réservée aux comptes professionnels et soumise à l’accord du référent.

Commentaire : les connecteurs, qui relient l’IA à vos autres logiciels, sont pratiques mais donnent accès à beaucoup d’informations. Notre guide sur les connecteurs IA explique les réglages à vérifier.

Article 9 – Référent et incidents. Le référent IA est [nom, fonction]. En cas de doute, de saisie de données interdites par erreur ou de résultat problématique, le salarié le prévient sans délai. Le signalement d’une erreur de bonne foi ne donne pas lieu à sanction.

Commentaire : la dernière phrase compte. Un salarié qui craint une sanction cachera son erreur.

Article 10 – Formation et mise à jour. Chaque utilisateur suit une formation à l’utilisation des outils avant d’y avoir accès. La charte est revue au moins une fois par an et à chaque adoption d’un nouvel outil.

Commentaire : la CNIL envisage expressément des formations obligatoires avant l’utilisation. Une charte sans formation reste une liste de règles abstraites.

Une charte IA ne s’écrit pas seul dans son bureau. Pour qu’elle soit appliquée, elle doit partir de ce que font vraiment les équipes. Comptez quelques semaines dans une PME, en avançant à votre rythme.

1. Faire l’inventaire des usages. Demandez à chaque service, sans jugement, quels outils il utilise et pour quoi faire. Un tour de table en réunion suffit souvent.
2. Choisir les outils et les comptes. Retenez un ou deux outils principaux, avec une offre professionnelle, et vérifiez les conditions d’utilisation des données.
3. Classer les usages en trois colonnes : autorisés, soumis à accord, interdits. Les usages qui touchent aux ressources humaines ou aux données de santé vont d’office dans les deux dernières.
4. Rédiger un premier jet à partir de l’exemple ci-dessus, éventuellement avec l’aide de l’IA elle-même.
5. Consulter et tester. Faites relire le projet par quelques salariés, par le CSE s’il existe et, si besoin, par votre conseil juridique. Posez une question simple : « Cette règle vous empêche-t-elle de travailler ? »
6. Diffuser et former. Présentez la charte en réunion ou en formation, remettez-la à chacun et recueillez une signature ou un accusé de lecture.

Une demande à copier pour le premier jet

Je dirige une entreprise de services de 25 salariés (comptabilité clients, commerciaux, assistantes). Nous utilisons ChatGPT et Claude avec des comptes professionnels. Rédige une charte d’utilisation de l’IA de deux pages maximum, en langage simple, avec les rubriques suivantes : objet, outils autorisés, usages encouragés, usages interdits, données à ne jamais saisir, relecture, transparence, sécurité, référent, formation et mise à jour. Donne des exemples concrets adaptés à nos métiers. Signale les points que je dois faire vérifier par un juriste.

Une « demande » à l’IA, souvent appelée prompt, est simplement le texte que vous lui écrivez. Le résultat reste un brouillon : à vous de l’adapter et d’en vérifier chaque règle.

Une charte n’a pas de forme juridique imposée. Mais sa force dépend de la façon dont elle est adoptée. La CNIL recommande de donner une force contraignante à la charte informatique, par exemple en l’annexant au règlement intérieur, et cite parmi les erreurs à éviter le fait de ne pas l’appliquer en cas de manquement.

Dans les entreprises de 50 salariés et plus

Le règlement intérieur est obligatoire dans les entreprises ou établissements d’au moins 50 salariés, selon des conditions de durée précisées par le Code du travail. Il fixe notamment les règles de discipline et l’échelle des sanctions. Selon le Code du travail numérique, une note de service ou tout autre document qui contient des obligations générales et permanentes dans les matières du règlement intérieur suit la même procédure que lui :

• le projet est soumis pour avis au comité social et économique (CSE) ;
• il est porté à la connaissance des salariés par tout moyen ;
• il est communiqué à l’inspecteur du travail, avec l’avis du CSE ;
• il entre en vigueur à la date qu’il fixe, au moins un mois après l’accomplissement des formalités.

La Cour de cassation en tire une conséquence pratique : si l’employeur ne peut pas justifier de ces formalités, il ne peut pas reprocher à un salarié un manquement à ces règles. Une charte IA qui prévoit des sanctions a donc tout intérêt à suivre ce chemin.

Par ailleurs, dans ces entreprises, le CSE est informé et consulté sur l’introduction de nouvelles technologies, selon l’article L2312-8 du Code du travail. Le déploiement d’outils d’IA dans l’entreprise peut entrer dans ce cadre : associez le CSE tôt, plutôt que de lui présenter un projet bouclé.

Dans les entreprises de moins de 50 salariés

Le règlement intérieur n’y est pas obligatoire. La charte peut être diffusée sous forme de note de service, remise à chaque salarié et signée, ou intégrée au livret d’accueil. Ce qui compte, c’est de pouvoir montrer que chacun l’a reçue et comprise. Si vous envisagez de sanctionner un manquement, faites vérifier votre démarche par votre expert-comptable ou un avocat en droit social.

Si vous prévoyez des contrôles

Si la charte annonce un contrôle de l’usage des outils, par exemple la consultation des journaux de connexion d’une offre professionnelle, la CNIL rappelle que les salariés doivent être informés au préalable des objectifs du dispositif, de ses destinataires et de la durée de conservation des données, et que les représentants du personnel doivent être informés ou consultés avant sa mise en œuvre. Cette information peut figurer dans la charte elle-même.

La plus belle charte du monde ne sert à rien si personne ne s’en souvient trois mois plus tard. Trois leviers la font vivre.

La formation

C’est le moment où la charte prend son sens. La CNIL recommande de former les utilisateurs au fonctionnement et aux limites des outils, aux usages autorisés et interdits, et de les alerter sur le « biais d’automatisation », cette tendance à faire trop confiance à une réponse produite par une machine. La Commission européenne, dans ses questions-réponses sur la maîtrise de l’IA, souligne de son côté qu’il ne suffit pas de demander aux salariés de lire les notices des outils.

Une formation structurée, avec un programme écrit et une attestation, sert aussi de preuve des mesures prises au titre de l’obligation de maîtrise de l’IA. Notre guide Former ses équipes à l’IA propose un plan en cinq étapes.

Le référent

Désignez une personne pour répondre aux questions, valider les nouveaux outils, recueillir les incidents et tenir la charte à jour. Pas besoin d’un informaticien : le dirigeant, un responsable administratif ou un salarié volontaire et organisé peut tenir ce rôle.

La bibliothèque de demandes

La CNIL suggère de proposer aux utilisateurs des demandes types pour les guider vers des tâches bien identifiées. Une page partagée, avec les demandes les plus utiles de chaque service, montre concrètement ce qui est encouragé.

La mise à jour

Les outils d’IA évoluent vite. Prévoyez une revue annuelle de la charte, et une revue exceptionnelle à chaque nouvel outil ou incident. Datez chaque version.

Les chartes qui échouent le font presque toujours pour les mêmes raisons.

• Tout interdire. Une charte qui bannit l’IA ou la réduit à presque rien ne supprime pas les usages : elle les cache. Les salariés continuent avec leur téléphone et leur compte personnel, hors de tout contrôle.
• Copier la charte d’un grand groupe. Vingt pages de jargon et des comités qui n’existent pas chez vous : personne ne l’appliquera.
• Rester dans le vague. « Utiliser l’IA de manière responsable » ne dit rien. « Ne jamais saisir de coordonnées de clients dans un compte gratuit » se comprend tout de suite.
• Oublier de fournir les outils. Interdire les comptes personnels sans proposer de comptes professionnels revient à interdire l’IA.
• Ne jamais la présenter. Une charte envoyée par e-mail sans explication finit dans la corbeille. Une charte présentée en formation, avec des exemples, est retenue.

Le cas des équipes RH

Le tri automatique de candidatures ou l’évaluation des salariés par une IA relèvent des usages à haut risque du règlement européen, avec des obligations applicables à partir du 2 décembre 2027 pour ce type de système. Votre charte doit l’indiquer clairement. Notre formation IA pour les ressources humaines, organisée en intra-entreprise, aborde ces précautions.

Rédiger la charte est une étape ; la faire comprendre et appliquer en est une autre. Notre formation IA : l’essentiel en 1 jour consacre une partie de la journée aux bons réflexes que la charte formalise : protéger les données, vérifier les réponses, choisir le bon compte, savoir ce qui est autorisé. Elle dure 7 heures, en classe virtuelle ou en présentiel selon la session, pour 990 € HT par participant en inter-entreprises.

Pour une équipe, la formation peut être organisée en intra-entreprise, à 2 500 € HT par jour jusqu’à 12 personnes : le format idéal pour présenter votre propre charte avec vos documents rendus anonymes. Chaque participant reçoit une attestation, utile pour documenter les mesures prises au titre de la maîtrise de l’IA. La formation est finançable par votre OPCO, souvent jusqu’à 100 % pour les entreprises de moins de 50 salariés selon les règles de la branche.

Vous ne savez pas par où commencer ? Notre audit IA gratuit vous aide à faire l’inventaire de vos usages et à repérer les règles prioritaires à inscrire dans votre charte.