Charte IA en entreprise : que mettre dedans ?

Dans beaucoup d'entreprises, l'IA est déjà là avant toute règle : un salarié rédige ses mails avec un assistant, un autre lui fait résumer des comptes rendus, un troisième y colle un fichier client « pour gagner du temps ». La charte sert à remettre de l'ordre sans tout interdire. Cette page propose les points à y mettre, chacun rattaché au texte ou à la recommandation qui le justifie. C'est un modèle à adapter, pas un document validé par une autorité.

Une charte IA est-elle obligatoire ?

Non, aucun texte n'impose un document intitulé « charte IA ». Mais plusieurs règles poussent dans ce sens, et la charte est la façon la plus simple de les tenir ensemble.

• La CNIL recommande « à tout organisme d'encadrer l'utilisation d'un système d'IA générative par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits » (questions-réponses du 18 juillet 2024). Elle rappelle aussi que c'est l'organisme utilisateur « qui engagera sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel ».
• L'AI Act (règlement (UE) 2024/1689) impose depuis le 2 février 2025 une obligation de maîtrise de l'IA à ceux qui l'utilisent, les « déployeurs ». Elle a été assouplie en juillet 2026 (voir plus bas), mais elle existe toujours.
• Le secret des affaires ne protège une information que si l'entreprise prend des « mesures de protection raisonnables » (code de commerce, article L151-1). Une règle écrite sur ce qui peut sortir vers un outil d'IA en fait partie : le guide ChatGPT et données confidentielles détaille ce point.

Que mettre dans une charte IA ?

Huit points suffisent pour une PME. Le tableau les résume, le détail suit.

Point de la charte	Ce qui le justifie
1. Outils autorisés et comptes	CNIL, questions-réponses du 18 juillet 2024
2. Données qui n'y entrent jamais	CNIL ; ANSSI, recommandation R34
3. Pas de décision confiée à l'IA	CNIL, recommandations de déploiement
4. Relecture humaine	Commission européenne, FAQ sur la maîtrise de l'IA ; ANSSI, R30
5. Contenus à signaler comme générés	AI Act, article 50
6. Usages interdits ou très encadrés	AI Act, article 5 et annexe III
7. Formation	AI Act, article 4 modifié
8. Référent, signalement, révision	CNIL ; organisation interne

1. Quels outils, avec quel compte ?

La charte nomme les outils autorisés et le type de compte à utiliser. La CNIL admet un service grand public pour des usages non confidentiels, « à condition d'éviter la création de compte avec des adresses électroniques personnelles et, le cas échéant, en désactivant la possibilité pour le fournisseur du système de réutiliser les données d'usage ». En pratique : une liste courte d'outils, des comptes créés avec l'adresse de l'entreprise, le réglage d'entraînement désactivé, et l'interdiction d'utiliser un compte personnel pour le travail.

2. Quelles données n'y entrent jamais ?

C'est le cœur de la charte. La CNIL recommande « d'interdire la fourniture de certaines données confidentielles (par exemple couvertes par le secret industriel et commercial) ou personnelles ». L'ANSSI va plus loin pour les outils grand public : sa recommandation R34 demande de « proscrire l'utilisation d'outils d'IA générative sur Internet pour un usage professionnel impliquant des données sensibles ». Son guide range parmi ces données les données personnelles, les données contractuelles, juridiques ou financières de l'entreprise, et les mots de passe ou clés d'accès.

Une liste concrète aide plus qu'un principe : noms et coordonnées de clients, dossiers de salariés, données de santé, contrats, chiffres non publiés, codes d'accès. La charte peut prévoir l'exception : ces données passent dans un outil sous contrat, choisi pour elles, ou après avoir été retirées du document.

3. Que ne doit-on pas confier à l'IA ?

La décision. Parmi les usages à interdire, la CNIL donne l'exemple de « ne pas confier de prise de décision » au système. Une IA peut préparer une réponse à une réclamation, proposer un planning ou résumer un dossier ; la décision qui en découle reste prise et assumée par une personne. La charte le dit en une phrase.

4. Qui relit ce que l'IA produit ?

La personne qui l'utilise, avant tout envoi. La Commission européenne, dans sa FAQ sur la maîtrise de l'IA, écrit que des salariés qui utilisent ChatGPT doivent être informés des risques propres à ces outils, « par exemple les hallucinations » : des réponses fausses présentées avec assurance. L'ANSSI demande de son côté de « contrôler systématiquement le code source généré par IA ». La charte peut fixer la règle simple : rien de produit par une IA ne part chez un client, un salarié ou une administration sans avoir été relu par quelqu'un qui en répond.

5. Quand faut-il dire qu'un contenu vient d'une IA ?

Dans deux cas prévus par l'article 50 de l'AI Act, applicable depuis le 2 août 2026. Une entreprise qui diffuse une image, un son ou une vidéo truqués de façon réaliste (« hypertrucage ») indique qu'ils ont été générés ou manipulés par une IA. Un texte publié pour informer le public sur des questions d'intérêt public doit aussi le signaler, sauf s'il a fait l'objet d'un contrôle éditorial et qu'une personne en assume la responsabilité. Pour le reste (un mail, une proposition commerciale), aucune mention n'est imposée par ce texte : la charte peut fixer sa propre règle.

6. Quels usages sont interdits ou très encadrés ?

Deux, surtout, dans une PME. L'article 5 de l'AI Act interdit depuis le 2 février 2025 l'utilisation de systèmes d'IA « pour inférer les émotions d'une personne physique sur le lieu de travail », sauf raisons médicales ou de sécurité. Et l'annexe III range parmi les systèmes à haut risque ceux qui servent à analyser et filtrer des candidatures, évaluer des candidats, ou suivre et évaluer les performances des salariés. Leurs règles ont été reportées au 2 décembre 2027 ; elles prévoient notamment que l'employeur informe les représentants du personnel et les salariés concernés avant la mise en service (article 26). La charte peut réserver ces usages à une décision de la direction, prise après examen.

7. Faut-il former les salariés ?

Oui, mais sans niveau imposé. Depuis le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet, l'article 4 de l'AI Act demande aux déployeurs de prendre des mesures « pour favoriser le développement de la maîtrise de l'IA » par leur personnel, et précise que cette obligation ne les contraint pas « à garantir un niveau spécifique de maîtrise de l'IA par un individu ». La version d'origine parlait de « garantir […] un niveau suffisant ». La FAQ de la Commission ajoute qu'aucun certificat n'est exigé et qu'un registre interne des formations suffit. Pour une PME, une séance sur les outils autorisés, les données interdites et les erreurs typiques, avec une trace de qui l'a suivie, répond à l'esprit du texte.

8. Qui contacter, et quand revoir la charte ?

Un nom, et une date. La CNIL recommande d'associer le délégué à la protection des données, s'il y en a un, et le responsable de la sécurité. Dans une petite structure, c'est souvent le dirigeant lui-même. La charte dit à qui signaler une erreur ou une donnée partie par mégarde, et prévoit une relecture au moins annuelle : les offres des éditeurs et les textes changent vite, l'article 4 en est l'exemple.

Quelle valeur a la charte vis-à-vis des salariés ?

Elle dépend de ce qu'elle contient et de la taille de l'entreprise. Un règlement intérieur est obligatoire à partir de 50 salariés (code du travail, article L1311-2). S'il en existe un, tout document qui pose des « obligations générales et permanentes » en matière de discipline, de santé ou de sécurité est considéré comme une adjonction au règlement intérieur (article L1321-5). Il suit alors la même procédure : avis du comité social et économique, communication à l'inspecteur du travail, entrée en vigueur un mois après la publicité (article L1321-4). Le CSE est aussi consulté, dans ces entreprises, sur « l'introduction de nouvelles technologies » (article L2312-8). Une charte qui se contente de recommandations pèse moins, mais engage moins de formalités. Le choix entre les deux, et la rédaction des sanctions, relèvent de votre conseil en droit social.

Ce que ça veut dire pour vous

Une charte qui interdit tout sans proposer d'outil adapté ne tient pas : les salariés retournent sur leur compte personnel. La règle sur les données n'est tenable que si l'outil autorisé sait traiter les documents qui comptent. C'est ce que je regarde d'abord pendant un audit : quelles données circulent, lesquelles ne doivent pas sortir, et quel circuit permet de s'en servir quand même.

Quand les données sont sensibles, elles restent en Europe : la page métiers réglementés et données sensibles décrit ce circuit, qui voit quelle donnée et où. Le Caviardeur en montre une pièce : le document est anonymisé avant qu'un modèle américain ne le lise, ce qui rend applicable la règle « aucun nom de client dans l'IA ». Quand les données ne sont pas sensibles, on prend simplement l'outil le plus efficace, et la charte le nomme.

Sources

• CNIL, Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, 18 juillet 2024, consulté le 18 octobre 2026.
• CNIL, Comment déployer une IA générative ? La CNIL apporte de premières précisions, 18 juillet 2024, consulté le 18 octobre 2026.
• ANSSI, Recommandations de sécurité pour un système d'IA générative (ANSSI-PA-102, 29 avril 2024), section 5.7 et recommandations R30 et R34, consulté le 18 octobre 2026.
• Règlement (UE) 2024/1689 sur l'intelligence artificielle, articles 3, 4, 5, 26, 50, 113 et annexe III, EUR-Lex, consulté le 18 octobre 2026.
• Règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique sur l'IA), JO du 24 juillet 2026, article 1er et considérant 8, EUR-Lex, consulté le 18 octobre 2026.
• Commission européenne, AI Literacy – Questions & Answers, mise à jour du 27 juillet 2026, consulté le 18 octobre 2026.
• Code de commerce, article L151-1, Légifrance, consulté le 18 octobre 2026.
• Code du travail, articles L1311-2, L1321-4 (mise à jour du 28 mai 2026), L1321-5 et L2312-8, Code du travail numérique, consulté le 18 octobre 2026.