Une charte IA en entreprise tient à dix clauses précises

Thibault MonteiroPublié le 14/08/2026 à 09h00

La plupart des chartes IA d’entreprise tiennent en une page de bonnes intentions posée sur l’intranet. Celles qui servent à quelque chose disent des choses vérifiables : quels outils vos équipes peuvent utiliser, sur quelles données, et qui répond quand ça dérape. À défaut, l’usage de l’IA ne disparaît pas, il continue en silence, sur des comptes personnels.

Le contexte a changé de nature. Depuis le 2 août 2026, les obligations de transparence du règlement (UE) 2024/1689, dit AI Act, sont applicables : son article 50 impose de prévenir une personne qu’elle s’adresse à une machine et de signaler les contenus générés. L’obligation de littératie IA de l’article 4, c’est-à-dire la formation minimale des personnes qui utilisent ces systèmes, est opposable depuis le 2 février 2025. Toute organisation qui utilise un outil IA tiers y est un « déployeur » et doit pouvoir documenter sa politique d’usage interne. Une charte IA d’entreprise n’est donc plus un objet de communication : c’est une pièce de gouvernance qu’on peut vous demander de produire.

À quoi sert une charte IA, et ce qu’elle ne remplace pas

Une charte utile fait trois choses : elle autorise, elle délimite, elle trace. Autoriser d’abord, parce qu’un document qui n’ouvre rien pousse simplement les usages hors du périmètre visible. Délimiter ensuite, parce que la valeur d’une charte se mesure à la netteté de ses interdits. Tracer enfin, pour qu’un incident soit reconstituable six mois plus tard.

Ce qu’elle ne remplace pas mérite d’être écrit noir sur blanc dans le document lui-même : le registre des traitements et, le cas échéant, l’analyse d’impact relative à la protection des données ; le contrat avec le fournisseur et ses annexes de sous-traitance ; la politique de sécurité du système d’information ; la formation. Une charte qui prétend tenir lieu de tout cela devient un paravent juridique. Elle rassure la direction et ne protège personne.

Elle ne remplace pas non plus l’arbitrage métier. Décider qu’un modèle peut proposer un tri de candidatures est une décision de direction, pas une clause. La charte encadre l’exécution, elle ne tranche pas la stratégie.

Les dix clauses qui reviennent dans les chartes sérieuses

À force d’en lire, un socle se dégage. Une charte qui contient ces dix éléments couvre l’essentiel ; une charte qui en oublie trois laisse des zones grises exploitables.

• Périmètre et vocabulaire : qui est concerné (salariés, prestataires, stagiaires), et ce qu’on appelle IA, en évitant de réduire la définition aux seuls assistants conversationnels.
• Liste d’outils autorisés, tenue en annexe et versionnée, avec le niveau de données admis pour chacun.
• Classification des données : quelle information peut entrer dans quel outil, sans renvoyer le salarié à son intuition.
• Relecture humaine et responsabilité de l’auteur : la production reste imputable à la personne qui la signe ou la met en production.
• Transparence externe : ce qu’on dit aux clients, aux candidats, aux partenaires quand une IA intervient dans un livrable ou une décision.
• Propriété intellectuelle et réutilisation : statut des sorties, interdiction de verser dans un outil des contenus sous licence restrictive ou couverts par un accord de confidentialité.
• Interdictions explicites, formulées en actes et non en principes : pas de secrets techniques, pas de données de santé, pas de décision défavorable automatisée sans intervention humaine.
• Traçabilité : ce qui est journalisé, par qui, pendant combien de temps, et ce qui ne l’est pas.
• Formation et point de contact : un référent nommé, joignable, plus une procédure d’exception avec un délai de réponse annoncé.
• Clause de révision : la fréquence de mise à jour et l’autorité qui la décide.

Deux tests rapides pour évaluer un brouillon. Un salarié pressé peut-il en tirer une réponse en moins d’une minute ? Chaque interdit indique-t-il l’alternative autorisée ? Si la réponse est non, vous avez écrit une note de cadrage, pas une charte.

Données, secrets, confidentialité : où placer la ligne rouge

C’est la partie où les chartes échouent le plus souvent, par excès d’abstraction. « Ne partagez pas d’informations sensibles » ne veut rien dire pour quelqu’un qui doit résumer un compte rendu client dans les dix minutes.

Le mécanisme qui fonctionne tient en trois ou quatre niveaux, chacun associé à des outils précis. Données publiques : tout outil autorisé. Données internes non critiques : uniquement les offres souscrites par l’entreprise, avec engagement contractuel de non-réutilisation pour l’entraînement. Données confidentielles, personnelles ou contractuellement protégées : périmètre restreint, validé au cas par cas. Secrets d’authentification, code propriétaire d’un client, données de santé : jamais, sans exception possible.

La distinction décisive se joue sur le contrat souscrit, pas sur le modèle. Un abonnement personnel grand public et une offre entreprise du même fournisseur n’offrent pas les mêmes garanties de conservation, de localisation et de non-réutilisation des données. Les conditions des éditeurs le disent : OpenAI exclut par défaut de l’entraînement les contenus de ChatGPT Business, ChatGPT Enterprise et de son API, et Anthropic applique la même règle à ses offres commerciales, quand ses formules grand public laissent le partage des conversations à un réglage de l’utilisateur. Nommez donc les outils de l’annexe avec la nature du contrat souscrit, qu’il s’agisse de ChatGPT, de Microsoft 365 Copilot, de Claude, de Gemini ou du Chat de Mistral, et pas seulement la marque.

Un mot sur l’anonymisation, souvent invoquée comme solution miracle. Retirer un nom d’un extrait ne suffit pas quand le contexte permet de réidentifier la personne ou le client. La CNIL a publié ses recommandations sur l’IA et le RGPD, et a inscrit la qualification des responsabilités des déployeurs à son programme de travail 2026 : le sujet sera donc regardé côté utilisateur d’outils, et pas seulement côté fournisseur.

Qui valide, qui contrôle, qui sanctionne

Une charte sans chaîne de responsabilité est un texte décoratif. Trois rôles suffisent à démarrer : un référent IA qui instruit les demandes et tient l’annexe des outils, un binôme sécurité et protection des données qui donne un avis sur les cas nouveaux, un sponsor au niveau de la direction qui assume les arbitrages. Le comité peut se réunir une fois par trimestre ; la procédure d’exception, elle, doit répondre en quelques jours, sinon les équipes contournent.

Le contrôle doit être annoncé et proportionné. Journaux d’accès aux outils via l’authentification centralisée, revue d’un échantillon de cas d’usage, déclaration des nouveaux usages : oui. Lecture systématique des prompts individuels : non. C’est un dispositif de surveillance, qui suppose d’informer les salariés, de consulter les instances représentatives du personnel et de justifier une base légale.

Reste la sanction, souvent traitée en une ligne vague. Une charte n’est pas opposable disciplinairement du seul fait qu’elle existe : pour fonder une sanction, ses règles contraignantes doivent emprunter le régime du règlement intérieur, avec la consultation et les formalités de dépôt correspondantes. Faites valider ce point par le juridique avant diffusion, plutôt que de découvrir la faille au premier litige. Une gradation lisible, du rappel à l’ordre au manquement grave pour la fuite de données caractérisée, vaut mieux qu’une menace générale.

Rédaction, programmation, recrutement : trois cas à trancher

Une charte se juge sur les cas limites. Trois reviennent partout et méritent chacun leur paragraphe dédié.

Rédaction et communication. L’assistance est autorisée, la publication reste signée par un humain qui garantit les faits, les chiffres et les sources. Aucun chiffre non vérifié, aucune citation reconstituée, aucune référence générée sans consultation de l’original. Ajoutez la règle de transparence quand le contenu diffusé est synthétique, en cohérence avec les obligations de l’article 50 applicables depuis le 2 août 2026.

Programmation. Revue humaine obligatoire avant chaque merge, interdiction absolue de coller des identifiants ou des clés dans un prompt, vigilance sur la provenance des suggestions dans les projets à contrainte de licence. Quand des agents IA obtiennent des droits d’écriture, la charte doit fixer leur périmètre : pas d’accès direct aux environnements de production, pas de merge sans validation humaine, traçabilité de ce qu’ils ont produit.

Recrutement. Ici le curseur change de nature, parce que la décision touche des personnes extérieures. Le tri automatisé de candidatures relève des usages classés à haut risque par l’AI Act, dont les obligations ne sont pas encore applicables : l’omnibus numérique sur l’IA, proposé par la Commission en novembre 2025 puis adopté le 8 juillet 2026 et en vigueur depuis le 27 juillet 2026, les reporte au 2 décembre 2027, et au 2 août 2028 pour l’IA embarquée dans des produits réglementés. Ce report ne vide pas le sujet : le RGPD encadre déjà les décisions automatisées et l’information des candidats. La règle prudente s’écrit en une phrase : aucun écartement automatique, critères documentés, candidat informé.

Faire vivre la charte quand les outils changent tous les mois

La cause de mort la plus fréquente d’une charte IA, c’est son propre format. Un document unique de vingt pages, validé en comité, devient faux dès qu’un fournisseur modifie son offre.

Séparez donc le stable de l’instable. Le stable : principes, classification des données, responsabilités, sanctions, procédure d’exception. L’instable : la liste des outils et des niveaux de données associés, dans une annexe que le référent met à jour sans repasser par un vote. Une revue trimestrielle du socle, plus trois déclencheurs de mise à jour immédiate : un nouvel outil déployé, un incident, une évolution réglementaire.

Ajoutez un registre des usages, même sous forme de tableau : qui utilise quoi, sur quelles données, pour quelle finalité. C’est ce document, et non la charte elle-même, qui vous permettra de répondre à une question de contrôle ou de client. Et mesurez deux ou trois signaux simples : nombre de demandes d’exception, incidents déclarés, part des équipes formées. Une charte que personne ne consulte et qui ne génère aucune demande n’est pas respectée, elle est ignorée.

Le test grandeur réelle arrive le jour où un collaborateur découvre un outil dont personne n’a entendu parler et se demande s’il peut y verser un compte rendu client. S’il trouve la réponse seul en une minute, votre charte fonctionne. S’il demande à un collègue, elle est perfectible. S’il essaie et se tait, il reste beaucoup à faire. Et le jour d’un contrôle, ce sont vos traces d’usage, pas la belle rédaction du document, qui montreront que la charte était appliquée.