Vos collaborateurs utilisent déjà ChatGPT, Copilot ou un autre assistant, avec ou sans votre accord. La question n’est plus « faut-il autoriser l’IA ? » mais « selon quelles règles ? ». Une charte d’usage de l’IA répond à cette question en quelques pages que tout le monde peut lire et appliquer. Voici comment la rédiger, ce qu’elle doit contenir et comment la rendre réellement utile.
Ce qu’une charte d’usage de l’IA apporte (et ce qu’elle ne fait pas)
Une charte d’usage de l’IA est un document interne qui indique à vos équipes quels outils d’IA utiliser, pour quoi faire, avec quelles données, et ce qui est interdit.
Elle répond à un besoin que la CNIL, l’autorité française de protection des données personnelles, formule clairement : encadrer l’usage de l’IA générative par des « politiques ou chartes internes » qui précisent les usages autorisés et interdits. La CNIL rappelle aussi que, dans le cas général, c’est l’organisme utilisateur qui engage sa responsabilité en cas de mauvaise utilisation par son personnel.
Ce que la charte ne fait pas :
- Elle ne remplace pas la formation. Un document que personne ne comprend n’est pas appliqué. La CNIL recommande de former les utilisateurs, par exemple avant tout usage.
- Elle ne garantit pas la conformité. C’est un outil de cadrage, pas une attestation juridique.
- Elle ne règle pas tout. Un outil d’IA qui trie des candidatures ou évalue des salariés relève d’autres règles, plus strictes (voir notre article sur l’AI Act).
Partir des usages réels, pas d’un modèle trouvé en ligne
L’erreur la plus fréquente que nous observons en formation : copier une charte générique, très juridique, qui interdit tout… et que personne ne respecte parce qu’elle ne correspond à aucun usage réel.
Avant d’écrire, passez une semaine à observer :
- Qui utilise quoi ? Un questionnaire anonyme de 5 questions suffit souvent.
- Pour quelles tâches ? Rédaction de mails, synthèse de réunions, traduction, analyse de tableaux.
- Avec quelles données ? C’est la question qui fait basculer un usage anodin en risque.
La CNIL donne la même direction : partir d’un besoin concret et cibler des usages identifiés, plutôt que de déployer sans but précis.
Les 6 rubriques d’une charte utile
Une charte efficace tient en 2 à 4 pages. Voici les rubriques que nous recommandons.
1. Le périmètre : qui, quoi, quand
Précisez à qui la charte s’applique (salariés, intérimaires, prestataires) et quels outils elle couvre : assistants d’IA générative, fonctions d’IA intégrées à vos logiciels, outils personnels utilisés pour le travail.
2. La liste des outils autorisés
Nommez les outils validés, et pour chacun la version concernée (gratuite, payante, d’entreprise). Les conditions de réutilisation des données par l’éditeur ne sont pas les mêmes d’une version à l’autre. La CNIL invite d’ailleurs à vérifier si le prestataire peut réutiliser les données fournies et à adapter l’usage en conséquence.
Prévoyez aussi une porte d’entrée : à qui s’adresser pour demander l’ajout d’un nouvel outil. Sans cela, les équipes contournent la règle.
3. Les données : ce qui peut entrer, ce qui ne le peut pas
C’est la rubrique centrale. Une grille à trois niveaux est simple à retenir :
- Autorisé partout : informations publiques, textes sans donnée sensible.
- Autorisé uniquement dans les outils validés : documents internes courants.
- Interdit : données personnelles de clients ou de salariés, secrets d’affaires, informations couvertes par une clause de confidentialité.
La CNIL indique que les utilisateurs ne devraient soumettre que des informations qu’ils sont autorisés à partager, et que, selon le mode de déploiement, il peut être nécessaire d’interdire la saisie de données personnelles ou confidentielles. Ajustez donc cette grille outil par outil.
4. La vérification et la responsabilité
Rappelez que l’IA peut produire des erreurs qui paraissent plausibles (la CNIL le souligne) et qu’un contenu généré ne doit jamais être repris tel quel. Précisez qui relit quoi : un texte envoyé à un client, un chiffre repris dans un rapport, un extrait de code. Le salarié reste responsable de ce qu’il produit.
5. Les usages sensibles
Listez ce qui exige une validation préalable ou reste interdit : décision automatique concernant une personne, recrutement, évaluation, contenu destiné à être publié sans relecture. La CNIL cite comme exemples d’usages à écarter la transmission de données personnelles au système et la délégation d’une prise de décision.
6. Que faire en cas de doute ou d’incident
Indiquez un contact (référent IA, DPO si vous en avez un, responsable sécurité) et une règle simple : en cas de doute, on demande avant ; en cas d’erreur, on signale sans crainte. Une donnée saisie par erreur dans un outil non validé se rattrape mieux si elle est signalée le jour même.
Faire adopter la charte et la rendre applicable
Associer les bonnes personnes
La CNIL recommande une gouvernance qui implique dès le départ le DPO, le responsable de la sécurité des systèmes d’information et les responsables métiers. Dans une PME, cela peut se résumer à 3 ou 4 personnes qui relisent le projet. Faites aussi relire la charte par des utilisateurs : si elle n’est pas lisible pour eux, elle sera ignorée.
Choisir le bon support juridique
La valeur de la charte dépend de la façon dont elle est adoptée. D’après la CCI Paris Île-de-France, une charte qui se limite à un guide d’utilisation peut prendre la forme d’une note de service. Si elle prévoit des contrôles et des sanctions, elle doit être annexée au règlement intérieur et suivre la procédure de modification de celui-ci, qui comprend l’information et la consultation des représentants du personnel puis la communication à l’inspection du travail.
Les règles de seuil et de procédure évoluent : faites valider ce point par un juriste ou un conseil en droit du travail avant diffusion. Cet article ne remplace pas un avis juridique.
Former, puis contrôler
Une charte se présente en séance, avec des exemples tirés de vos métiers. Notre sensibilisation à l’IA pour tous les collaborateurs suit cette logique : un socle commun, puis les règles de l’entreprise.
La formation répond aussi à une attente du droit européen. L’article 4 de l’AI Act demande aux entreprises qui utilisent l’IA de prendre des mesures pour développer la maîtrise de l’IA de leur personnel. Selon la Commission européenne, aucune certification n’est exigée, mais elle suggère de garder une trace des initiatives menées ; une charte diffusée et accompagnée d’une formation en fait partie. Le contrôle relève des autorités nationales de surveillance du marché. La formulation de cet article a été modifiée par le règlement dit « Digital Omnibus » : nous détaillons la situation dans notre article sur l’AI Act, et vous pouvez approfondir le cadre juridique avec notre univers IA, légal et gouvernance.
Enfin, prévoyez une revue régulière, par exemple tous les 6 mois. Les outils changent vite, et une liste d’outils autorisés vieillit en quelques mois.
À retenir
- Une charte d’usage de l’IA fixe les outils, les données et les usages autorisés ou interdits ; la CNIL recommande de l’adopter pour encadrer l’IA générative.
- Partez de ce que vos équipes font réellement, pas d’un modèle générique.
- Les 6 rubriques essentielles : périmètre, outils autorisés, données, vérification, usages sensibles, incidents.
- Selon son contenu (contrôles, sanctions), la charte peut devoir être annexée au règlement intérieur : faites-la valider par un juriste.
- Une charte sans formation ni revue régulière reste lettre morte. À Nantes comme ailleurs, ce sont les exemples concrets de chaque métier qui la font vivre.