Charte IA en entreprise : modèle et règles pour une PME

Une charte d'utilisation de l'IA est le document qui dit à vos salariés quels outils d'intelligence artificielle ils peuvent utiliser, avec quelles données et sous quelles conditions. Elle ne remplace pas les protections techniques : elle fixe la règle que ces protections font respecter.

Dans une PME, la charte n'a pas besoin d'être longue. Elle doit répondre clairement à quelques questions : quels outils sont autorisés, quelles données ne doivent jamais y entrer, qui relit ce que l'IA produit, qui décide d'ajouter un outil et que faire en cas d'erreur. Voici le contenu à prévoir, une trame à reprendre et la façon de la rendre applicable.

Pourquoi rédiger une charte IA maintenant

Vos salariés utilisent déjà l'IA générative, souvent avec leurs comptes personnels et sans que personne ne le sache. C'est ce qu'on appelle le shadow AI, l'usage d'outils d'IA non validés par l'entreprise : nous en détaillons les risques dans notre article Shadow AI : les risques pour l'entreprise.

Le premier risque est la fuite de données. Un contrat client, un fichier de paie ou du code source collé dans un outil grand public sort de l'entreprise. Au regard du RGPD, l'entreprise reste responsable des données personnelles qu'elle traite, y compris quand un salarié les confie à un service en ligne.

Le second risque est l'erreur. Un texte, un chiffre ou une analyse produits par l'IA peuvent être faux tout en ayant l'air sérieux. Sans règle de relecture, ils partent chez un client ou dans un document officiel.

Interdire tout ne marche pas : les usages passent alors dans l'ombre. La charte sert à autoriser ce qui est utile, dans un cadre connu de tous.

Ce que doit contenir une charte d'utilisation de l'IA

The Scope

Qui est concerné (salariés, stagiaires, prestataires qui travaillent avec vos outils), quels usages (rédaction, synthèse, traduction, code, analyse de données) et sur quels appareils, y compris le téléphone personnel quand il sert au travail.

Les outils autorisés

Une liste courte d'outils validés, avec des comptes professionnels au nom de l'entreprise plutôt que des comptes personnels. Les versions professionnelles offrent en général des engagements contractuels sur l'usage des données : vérifiez-les avant de les autoriser. La charte indique aussi à qui demander l'ajout d'un nouvel outil.

Les données interdites

C'est la partie la plus importante. On y liste ce qui ne doit jamais être saisi dans un outil d'IA, même autorisé, sans accord préalable : données personnelles de clients ou de salariés, données de santé, informations financières non publiées, contrats, secrets d'affaires, mots de passe et identifiants, code source sensible. Des exemples concrets valent mieux qu'une définition juridique.

La relecture humaine

Tout contenu produit par l'IA et destiné à sortir de l'entreprise (client, administration, publication) est relu par une personne qui en devient responsable. La charte peut aussi demander de signaler qu'un document a été préparé avec l'IA, quand c'est utile au destinataire.

La propriété et la confidentialité

Ce que l'IA produit pour l'entreprise appartient à l'entreprise. Le salarié vérifie qu'il ne reprend pas tel quel un contenu protégé (texte, image, code) et respecte les engagements de confidentialité pris envers les clients.

Le référent et les incidents

Un référent nommé (souvent le responsable informatique ou le dirigeant) répond aux questions et tient la liste des outils. En cas d'erreur, par exemple une donnée sensible saisie par mégarde, le salarié le signale tout de suite : la charte dit à qui et comment.

Modèle de charte IA : la trame à reprendre

Voici une trame que vous pouvez adapter à votre entreprise. Chaque ligne devient un court paragraphe de votre charte.

• Objet : encadrer l'usage des outils d'intelligence artificielle dans l'entreprise pour protéger ses données, ses clients et ses salariés.
• Personnes concernées : toute personne qui utilise les outils ou les données de l'entreprise.
• Outils autorisés : la liste, mise à jour par le référent, avec les comptes à utiliser.
• Outils interdits : tout outil d'IA absent de la liste, pour un usage professionnel.
• Données à ne jamais saisir : la liste des catégories, avec des exemples tirés de votre activité.
• Relecture : tout contenu destiné à l'extérieur est relu et validé par une personne.
• Signalement : qui prévenir en cas d'erreur ou de doute, et dans quel délai.
• Référent IA : son nom et la façon de le joindre.
• Révision : la charte est relue à chaque changement d'outil important, et au moins une fois par an.
• Sanctions : le rappel que le non-respect de la charte relève du règlement intérieur.

Rendre la charte applicable dans l'entreprise

Une charte simplement envoyée par courriel informe, mais elle a peu de poids en cas de manquement. Pour qu'elle soit opposable aux salariés, elle est en général annexée au règlement intérieur, ce qui suppose de consulter le comité social et économique (CSE) quand l'entreprise en a un, puis de suivre les formalités prévues pour le règlement intérieur. Faites valider cette étape par votre conseil en droit social.

Avant de rédiger, faites l'inventaire des outils d'IA déjà utilisés dans l'entreprise : c'est lui qui montre quels usages autoriser en priorité. Informez les salariés avant cet inventaire.

Enfin, accompagnez la charte d'une courte formation. Le règlement européen sur l'IA traite d'ailleurs de la maîtrise de l'IA par le personnel des entreprises qui utilisent des systèmes d'IA (article 4) ; ce texte a été modifié par le paquet de simplification européen « Digital Omnibus », vérifiez la version en vigueur avec votre conseil.

Une charte ne suffit pas : faire respecter les règles techniquement

Une règle que rien ne vérifie finit par être oubliée. Les règles de la charte se traduisent donc en réglages : comptes professionnels gérés par l'entreprise, accès réservés aux outils validés, remplacement des données sensibles avant qu'elles partent vers un service d'IA, journal des usages.

C'est le rôle de notre Proxy IA : vos équipes utilisent l'IA générative, mais leurs demandes passent par une passerelle hébergée en France qui repère et remplace les données sensibles, applique vos règles et garde une trace de chaque échange. La mise en service commence par l'inventaire des usages, puis la configuration des règles et une formation de 2 heures à distance. L'abonnement coûte 99 € HT par mois plus 3,50 € HT par utilisateur et par mois, avec un engagement d'un an, et la mise en place 600 € HT. Un contrat de sous-traitance RGPD est fourni.

Charte et outil vont ensemble : la charte dit ce qui est permis, le Proxy IA le fait respecter et vous montre ce qui se passe réellement.

Frequently asked questions

Une charte IA est-elle obligatoire ?

Aucun texte n'impose une charte IA en tant que telle. Mais l'entreprise reste responsable des données qu'elle traite, et ses salariés utilisent déjà l'IA : une charte est la façon la plus simple de montrer qu'elle encadre ces usages.

Peut-on interdire ChatGPT aux salariés ?

Oui, l'entreprise peut interdire un outil pour un usage professionnel, à condition de l'écrire clairement. Une interdiction totale pousse souvent les usages dans l'ombre ; mieux vaut autoriser un outil professionnel encadré et interdire les comptes personnels.

Qui doit rédiger la charte IA ?

La direction, avec le responsable informatique pour la liste des outils et les réglages, et un juriste ou un conseil en droit social pour l'intégration au règlement intérieur. Un référent IA nommé la fait vivre ensuite.

À quelle fréquence mettre à jour la charte IA ?

À chaque changement d'outil important, et au moins une fois par an. Les outils d'IA évoluent vite : une liste d'outils autorisés qui n'est pas tenue à jour perd sa valeur.

Sources

• Règlement (UE) 2016/679 (RGPD), EUR-Lex, consulté le 05/11/2026.
• Commission européenne, service d'assistance du règlement IA, article 4 (maîtrise de l'IA), consulté le 05/11/2026.
• SideCare, charte d'utilisation de l'IA en entreprise, consulté le 05/11/2026.