Charte IA en entreprise : les règles à fixer pour l’usage de l’IA générative

Une charte IA est le document interne qui fixe les règles d’usage de l’intelligence artificielle générative dans l’entreprise : quels outils sont autorisés, quelles données ne doivent jamais y être saisies, qui vérifie les résultats et qui répond en cas de problème. Bien rédigée, elle protège l’entreprise et libère les usages, car elle dit aussi ce qui est permis.

On parle aussi de charte d’utilisation de l’IA ou de politique IA d’entreprise : l’objet est le même, fixer les règles d’usage de ChatGPT, Claude, Vibe (ex-Le Chat de Mistral), Gemini ou Microsoft 365 Copilot au travail. Cet article explique pourquoi en rédiger une maintenant, détaille les dix rubriques à couvrir, la méthode pour la construire et la faire vivre, son statut juridique en France (règlement intérieur, CSE, opposabilité, à jour de la loi du 26 mai 2026), puis propose un modèle complet, article par article.

Pourquoi une charte IA est-elle devenue indispensable ?

Parce que l’IA est déjà utilisée, déclarée ou non. Des salariés rédigent, résument ou traduisent avec des assistants grand public, sur des comptes personnels : c’est le shadow AI. Le risque principal porte sur les données. La CNIL (2024) recommande de ne jamais partager d’informations confidentielles, données personnelles ou données de l’entreprise, lors de l’utilisation d’un service grand public. Nous expliquons comment inventorier ces usages dans notre article sur l’adoption de l’IA par les équipes.

Parce que l’entreprise répond des usages de ses salariés. Pour la CNIL, « c’est l’organisme utilisateur qui engagera sa responsabilité légale en cas de mauvaise utilisation de l’IA par son personnel ». Elle recommande donc à tout organisme d’encadrer l’IA générative « par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits », de former les utilisateurs et de mener des contrôles réguliers.

Parce que les équipes attendent des règles claires. Selon l’Insee (juillet 2026), parmi les entreprises de 10 salariés ou plus qui utilisent l’IA, 43 % s’inquiètent de la protection des données et de la vie privée, et 42 % évoquent un manque de clarté juridique. Une charte répond précisément à ces deux inquiétudes. Avec la formation, elle fait aussi partie des mesures qu’une entreprise peut montrer pour répondre à l’obligation de l’AI Act de favoriser la maîtrise de l’IA de son personnel : voyez notre guide pour former ses équipes à l’IA.

Que doit contenir une charte IA ? Les 10 rubriques

Quatre rubriques méritent qu’on s’y arrête.

Les données : un classement en trois couleurs

Une liste de données interdites s’oublie ; un code couleur se retient. Il s’adapte au mode de déploiement de chaque outil : la CNIL rappelle que les interdictions dépendent de ce que le fournisseur peut faire des données, et qu’elles se justifient moins pour un outil hébergé sur vos propres serveurs.

Le détail des règles RGPD figure dans notre guide IA et RGPD, et la question de l’hébergement dans notre article sur l’IA souveraine.

La vérification humaine : l’IA propose, l’humain dispose

Un modèle de langage produit la réponse la plus probable, pas la réponse vraie. La CNIL recommande de vérifier que les résultats sont exacts, qu’ils ne reproduisent pas une œuvre protégée et qu’ils ne véhiculent pas de biais, et de ne jamais les reprendre tels quels. La règle à écrire est simple : celui qui utilise un résultat en répond comme s’il l’avait produit seul.

La transparence : ce que l’AI Act impose depuis août 2026

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’IA oblige les déployeurs à signaler les hypertrucages (deepfakes), c’est-à-dire les images et contenus audio ou vidéo générés ou manipulés par une IA qui pourraient passer pour authentiques. Même obligation pour les textes publiés afin d’informer le public sur des questions d’intérêt public, sauf relecture humaine et responsabilité éditoriale assumée. Au-delà de la loi, fixez vos règles internes : quand signaler l’usage de l’IA à un responsable ou à un client.

Les usages interdits

Certains usages doivent être exclus ou soumis à validation préalable. Inférer les émotions d’une personne sur le lieu de travail est interdit par l’article 5 de l’AI Act depuis le 2 février 2025, sauf raisons médicales ou de sécurité. Les systèmes utilisés pour recruter, évaluer, promouvoir ou surveiller des salariés sont classés à haut risque, avec des obligations applicables au 2 décembre 2027. Et l’article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé. Notre guide de l’AI Act détaille ces catégories.

Comment construire la charte et la faire vivre ?

1. Partez des usages réels. Un questionnaire anonyme et deux ou trois ateliers révèlent ce que les équipes font déjà et ce dont elles ont besoin.
2. Choisissez les outils avant d’écrire. Une charte qui n’autorise rien d’utile sera contournée. Privilégiez des offres professionnelles avec des engagements contractuels sur les données.
3. Écrivez court. Trois à quatre pages lisibles, plus des annexes (liste des outils, classement des données) faciles à mettre à jour.
4. Associez les bonnes personnes : DPO, RSSI ou DSI, juriste, quelques managers et, selon votre effectif, le CSE.
5. Diffusez et formez. La CNIL cite en exemple des formations obligatoires avant l’utilisation des outils. Une session courte sur la charte, avec des cas concrets, vaut mieux qu’un courriel ; elle trouve naturellement sa place dans une formation en entreprise construite sur vos cas d’usage.
6. Révisez au moins une fois par an et à chaque nouvel outil, nouvel incident ou nouvelle règle. Les risques techniques propres à l’IA, comme l’injection de consignes, évoluent vite : voyez les risques de sécurité de l’IA générative.

La charte correspond à la troisième étape de notre guide pour intégrer l’IA dans son entreprise : poser les règles d’usage avant de former et d’outiller les équipes.

Quel est le statut juridique d’une charte IA en France ?

Guide de bonnes pratiques ou texte opposable

Le règlement intérieur fixe notamment les règles générales et permanentes relatives à la discipline (article L1321-1 du Code du travail). Une note de service ou tout autre document qui comporte de telles obligations est une adjonction au règlement intérieur lorsqu’il en existe un, et reste « en toute hypothèse » soumis aux règles qui le régissent (article L1321-5). Une charte IA qui prévoit des interdictions et des sanctions entre dans ce cas.

La procédure est fixée par l’article L1321-4 du Code du travail : avis préalable du CSE, publicité auprès du personnel (par tout moyen, précise l’article R1321-1), communication à l’inspecteur du travail avec l’avis du CSE, et entrée en vigueur au moins un mois après les formalités de publicité.

Sans cette procédure, la charte reste un guide utile, mais une base fragile pour sanctionner. Dans une entreprise tenue d’avoir un règlement intérieur, une sanction autre que le licenciement doit y être prévue (Cour de cassation, chambre sociale, 23 mars 2017, n° 15-23.090). Et les amendes ou autres sanctions pécuniaires sont interdites (article L1331-2).

Ce qui change selon l’effectif

Ce qu’une charte ne peut pas imposer

Une charte ne peut pas apporter aux droits et libertés des salariés des restrictions qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché (articles L1121-1 et L1321-3). Si vous conservez des journaux d’usage des outils pour contrôler le respect de la charte, les salariés doivent en être informés au préalable (article L1222-4) et, dans les entreprises d’au moins 50 salariés, le CSE consulté avant la mise en œuvre de ces moyens de contrôle (article L2312-38), sans oublier les obligations du RGPD.

Modèle de charte IA à adapter

Préambule. [Nom de l’entreprise] encourage l’usage de l’IA générative lorsqu’il améliore la qualité du travail et fait gagner du temps. La présente charte fixe les conditions de cet usage afin de protéger les personnes, les données de l’entreprise et de ses clients, et la qualité de ce que nous produisons.

Article 1 — Objet et champ d’application. La charte s’applique à toute personne travaillant pour [Nom de l’entreprise] (salariés, stagiaires, alternants, intérimaires, prestataires sur site), pour tout usage d’un outil d’IA générative dans le cadre de son activité professionnelle, quel que soit l’équipement utilisé.

Article 2 — Définitions. « Outil d’IA générative » : tout service capable de produire du texte, du code, des images, du son ou de la vidéo à partir d’une consigne, y compris les fonctions d’IA intégrées à des logiciels existants. « Outil autorisé » : outil figurant à l’annexe 1. « Niveau de données » : classement vert, orange ou rouge défini à l’annexe 2.

Article 3 — Outils autorisés. Seuls les outils autorisés peuvent être utilisés, avec un compte professionnel fourni par l’entreprise. L’usage d’un compte personnel ou d’un outil non autorisé pour traiter des informations de l’entreprise est interdit. Toute demande de nouvel outil est adressée à [référent IA], qui l’instruit avec [la DSI et le DPO].

Article 4 — Données. Pour chaque outil autorisé, l’annexe 1 indique le niveau de données maximal qu’il peut recevoir. Les données de niveau rouge ne sont jamais saisies dans un outil d’IA, sauf dans un environnement expressément validé pour cet usage. En cas de doute, une donnée est traitée comme rouge.

Article 5 — Vérification humaine et responsabilité. Les résultats produits par l’IA sont des propositions. Avant tout usage, l’utilisateur vérifie leur exactitude, leurs sources, l’absence de reprise d’un contenu protégé et de biais. Il reste responsable du contenu qu’il diffuse. Aucun contenu généré n’est transmis à un client ou publié sans relecture.

Article 6 — Transparence. L’usage de l’IA est signalé [au responsable du livrable / au client] lorsqu’il a contribué de façon substantielle à un livrable. Les images, sons ou vidéos générés ou modifiés qui ressemblent à des personnes, des lieux ou des événements réels et pourraient être pris pour authentiques sont signalés comme tels. [Si l’entreprise exploite un assistant conversationnel pour des tiers : ceux-ci sont informés qu’ils échangent avec une IA.]

Article 7 — Propriété intellectuelle et confidentialité. Il est interdit de soumettre à un outil d’IA des contenus dont l’entreprise ne détient pas les droits ou qu’un contrat interdit de communiquer. Les contenus produits avec l’IA dans le cadre du travail sont soumis aux mêmes règles de confidentialité que tout autre document de l’entreprise.

Article 8 — Sécurité. Les comptes sont protégés par [une authentification forte]. L’installation d’extensions, de connecteurs ou d’agents d’IA ayant accès à la messagerie, aux fichiers ou aux applications de l’entreprise est soumise à l’accord préalable de [la DSI]. Toute instruction inhabituelle trouvée dans un document ou une page web traitée par l’IA est signalée.

Article 9 — Usages interdits. Sont interdits : l’usage de l’IA pour déduire les émotions d’une personne au travail ; toute décision concernant une personne (recrutement, évaluation, promotion, sanction, rupture) prise sur la seule base d’un résultat d’IA ; l’usage d’un outil d’IA pour trier des candidatures ou évaluer des salariés sans validation préalable de [la direction et du DPO] et information des représentants du personnel ; la production de contenus trompeurs, diffamatoires ou discriminatoires ; le contournement des protections des outils.

Article 10 — Rôles. [Nom ou fonction], référent IA, tient la liste des outils autorisés, reçoit les demandes et les signalements, et propose les mises à jour de la charte. Les managers veillent à son application dans leur équipe. [La DSI] gère les accès et la sécurité. [Le DPO] est consulté pour tout usage impliquant des données personnelles.

Article 11 — Formation. L’accès aux outils autorisés suppose d’avoir suivi la formation de prise en main prévue par l’entreprise. Des ressources (guides, modèles de consignes, sessions de questions) sont mises à disposition [sur l’intranet].

Article 12 — Signalement des incidents. Toute saisie de données de niveau rouge, toute erreur significative diffusée ou tout comportement anormal d’un outil est signalé sans délai à [référent IA / DSI]. Un signalement rapide et de bonne foi est encouragé : il permet d’en limiter les conséquences.

Article 13 — Contrôle. Le respect de la charte peut être vérifié au moyen de [décrire le dispositif : journaux d’activité des outils autorisés, durée de conservation]. Ce dispositif a été porté à la connaissance du personnel [et soumis au CSE] avant sa mise en œuvre.

Article 14 — Manquements. Le non-respect de la charte peut donner lieu aux sanctions prévues par le règlement intérieur, proportionnées à la gravité des faits. [Si la charte n’est pas annexée au règlement intérieur, supprimer cet article.]

Article 15 — Entrée en vigueur et révision. [La charte est annexée au règlement intérieur.] Elle a été soumise à l’avis du CSE le [date], communiquée à l’inspection du travail et portée à la connaissance du personnel le [date]. Elle entre en vigueur le [date, au moins un mois après ces formalités]. Elle est révisée au moins une fois par an.

Annexes. Annexe 1 : liste des outils autorisés (outil, offre souscrite, usages permis, niveau de données maximal, responsable). Annexe 2 : classement des données, avec des exemples propres à l’entreprise. Annexe 3 : contacts du référent IA, de la DSI et du DPO. Tenez ces annexes à jour, en gardant à l’esprit qu’autoriser un nouvel outil peut appeler une nouvelle consultation du CSE.