Une charte IA est le document interne qui fixe, en deux à quatre pages, ce que les collaborateurs peuvent faire avec les outils d’intelligence artificielle, ce qu’ils ne doivent pas y saisir, comment ils vérifient les résultats et à qui ils s’adressent en cas de doute. Elle répond à deux obligations, celle du RGPD sur la protection des données et celle de l’IA Act sur la maîtrise de l’IA par le personnel, et elle se rédige en une à deux semaines à partir d’un inventaire des usages réels.
Ce guide donne le plan type d’une charte, la méthode pour la rédiger et les erreurs qui la rendent inapplicable.
L’essentiel
- Une charte IA n’est pas imposée par un texte, mais elle est le moyen le plus simple de prouver la formation (IA Act, article 4) et l’encadrement des traitements (RGPD).
- Neuf rubriques suffisent : périmètre, outils autorisés, données interdites, validation humaine, transparence, propriété des résultats, sécurité, formation, contact.
- Une charte qui interdit plus qu’elle n’autorise n’est pas appliquée ; la bonne charte dit comment utiliser l’IA, pas seulement ce qui est défendu.
- Elle s’annexe au règlement intérieur ou à la charte informatique, après information des représentants du personnel lorsqu’ils existent.
Pourquoi une charte IA, et pour qui
Dans la plupart des entreprises, l’IA est déjà utilisée avant d’être décidée : des assistants ouverts avec une adresse professionnelle, des outils de transcription dans les visioconférences, des fonctions intégrées aux logiciels métier. Sans règle écrite, chacun fixe la sienne, et des données clients, des contrats ou des informations sur des salariés circulent dans des outils dont personne n’a lu les conditions.
La charte répond à trois besoins : protéger les données personnelles et les secrets d’affaires, satisfaire l’obligation de maîtrise de l’IA prévue par le règlement européen sur l’IA, et donner aux équipes un cadre qui leur permet d’utiliser ces outils sans crainte. Elle concerne toute organisation où au moins un collaborateur utilise un assistant d’IA, ce qui inclut aujourd’hui les cabinets, les collectivités et les TPE.
Le plan type d’une charte IA
| Rubrique | Ce qu’elle contient | Exemple de formulation |
|---|---|---|
| 1. Objet et périmètre | À qui s’applique la charte, quels outils et quels usages | « La charte s’applique à tous les collaborateurs, stagiaires et prestataires qui utilisent un outil d’IA dans le cadre de leur activité. » |
| 2. Outils autorisés | Liste des solutions validées, avec le type de compte (professionnel sous contrat) ; procédure pour en proposer un nouveau | « Les outils autorisés figurent en annexe 1. Tout autre outil fait l’objet d’une demande au référent IA. » |
| 3. Données interdites | Ce qui ne doit jamais être saisi : données de santé, données bancaires, données nominatives de salariés ou de clients hors outil contractualisé, secrets d’affaires, documents classés confidentiels | « Avant toute saisie, le collaborateur retire les noms, coordonnées et identifiants des personnes. » |
| 4. Validation humaine | Obligation de relire, vérifier et assumer tout résultat ; interdiction de décision automatisée sur une personne | « Un résultat produit par l’IA est une proposition. Le collaborateur reste responsable de ce qu’il transmet. » |
| 5. Transparence | Quand dire qu’un contenu est généré ou qu’un interlocuteur parle à une IA ; mention dans les livrables si le client le demande | « Les contenus générés destinés au public sont signalés comme tels. » |
| 6. Propriété et confidentialité | Statut des contenus produits, respect du droit d’auteur, interdiction de reproduire des contenus protégés | « Les résultats sont vérifiés au regard des droits de tiers avant publication. » |
| 7. Sécurité | Comptes individuels, authentification, pas de partage d’identifiants, désactivation de l’historique quand l’outil le permet | « Chaque collaborateur utilise un compte nominatif fourni par l’entreprise. » |
| 8. Formation | Sensibilisation initiale, mise à jour annuelle, conservation de la preuve | « Chaque collaborateur suit une sensibilisation de deux heures à l’arrivée, puis une mise à jour annuelle. » |
| 9. Référent et sanctions | Nom du référent IA ou du DPO, procédure en cas d’incident, renvoi au règlement intérieur | « Tout doute ou incident est signalé au référent IA sous 24 heures. » |
Deux annexes complètent le document : la liste des outils autorisés avec leur usage et leur type de contrat, et un tableau des usages par métier (ce qui est autorisé, ce qui demande validation, ce qui est interdit). Ces annexes vivent indépendamment du corps de la charte, qui reste stable.
La méthode en cinq étapes
- Inventorier les usages réels par un questionnaire anonyme ou des entretiens courts : quels outils, pour quelles tâches, avec quelles données. Cette étape détermine tout le reste.
- Choisir les outils à autoriser, en version professionnelle, et signer les contrats de sous-traitance correspondants ; les règles RGPD sont détaillées dans IA et RGPD.
- Rédiger la charte avec le DPO ou un référent, en partant des usages constatés : chaque règle doit répondre à une situation réelle.
- Consulter les représentants du personnel lorsqu’ils existent, puis annexer la charte au règlement intérieur ou à la charte informatique pour la rendre opposable.
- Former et déployer : une session de deux heures par équipe, la charte signée ou accusée de réception, et une revue des outils autorisés tous les six mois.
Les erreurs qui rendent une charte inapplicable
- Tout interdire. Les usages continuent, mais en cachette ; l’entreprise perd la visibilité qu’elle cherchait.
- Copier un modèle générique sans inventaire : la charte parle d’outils que personne n’utilise et ignore ceux qui posent problème.
- Oublier les outils intégrés aux logiciels existants (messagerie, visioconférence, suite bureautique, logiciel RH), qui activent des fonctions d’IA sans que l’entreprise l’ait décidé.
- Ne pas nommer de référent. Sans interlocuteur, les questions ne remontent pas et la charte vieillit.
- Ne pas former. La charte prouve la règle, la formation prouve la maîtrise ; l’IA Act demande les deux.
Ce que je constate en mission. Les chartes qui fonctionnent tiennent sur trois pages et commencent par ce qui est autorisé. Dans les cabinets comptables que j’accompagne, la règle la plus efficace n’est pas une interdiction mais un réflexe : anonymiser avant de saisir, vérifier avant de transmettre. Une fois ce réflexe installé, le reste de la charte se lit comme un mode d’emploi, et les équipes l’appliquent parce qu’elle leur simplifie le travail.
Thomas Blanc, DPO externalisé et formateur IA
Questions fréquentes
La charte IA est-elle obligatoire ?
Aucun texte ne l’impose sous ce nom. En revanche, l’IA Act impose de garantir la maîtrise de l’IA par le personnel depuis février 2025, et le RGPD impose d’encadrer les traitements de données : la charte est la manière la plus simple de documenter les deux.
Faut-il la faire signer ?
Annexée au règlement intérieur ou à la charte informatique, elle s’impose sans signature individuelle. Un accusé de réception ou une attestation de formation suffit à prouver que chacun en a eu connaissance.
Combien de temps pour la mettre en place ?
Une à deux semaines pour une PME : quelques jours d’inventaire, une journée de rédaction avec le DPO, puis la consultation et la formation. La charte se révise ensuite une fois par an.
Faire rédiger votre charte IA
Nous produisons des chartes IA pour les PME, les cabinets et les collectivités, à partir d’un questionnaire de cadrage et d’un entretien, aux couleurs de votre entreprise, avec la session de formation associée. Un appel de 30 minutes permet de cadrer le périmètre et le délai.
Sources
- Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 4
- CNIL – IA : comment être en conformité avec le RGPD
