Une charte IA en entreprise définit les règles d’utilisation de l’intelligence artificielle par les collaborateurs : outils autorisés, données pouvant être partagées, usages interdits, vérification des résultats et responsabilités. Elle ne remplace ni le RGPD ni l’AI Act, mais permet de traduire ces exigences en pratiques compréhensibles au quotidien. Avant de généraliser l’IA, dix règles méritent d’être définies clairement.
L’intelligence artificielle n’attend pas toujours que l’entreprise ait terminé sa feuille de route pour entrer dans les pratiques. Un collaborateur peut créer un compte ChatGPT, Gemini ou Claude en quelques minutes et commencer à résumer un document, préparer un email ou analyser des informations.
Le problème n’est donc plus uniquement de savoir si l’entreprise va autoriser l’IA, mais dans quelles conditions elle souhaite qu’elle soit utilisée. Une interdiction générale risque de pousser les usages hors du cadre officiel (shadow IA). À l’inverse, ouvrir les outils sans règles expose l’organisation à des erreurs, à des fuites de données ou à des décisions insuffisamment contrôlées. La charte IA entreprise sert précisément à poser cette frontière.
Qu’est-ce qu’une charte IA en entreprise ?
Une charte IA est un document interne qui précise les conditions dans lesquelles les collaborateurs peuvent utiliser des systèmes d’intelligence artificielle dans le cadre professionnel. Elle peut notamment définir les outils autorisés, les informations pouvant leur être transmises, les cas nécessitant une validation humaine et les personnes à contacter lorsqu’un doute apparaît.
La charte ne constitue cependant pas une conformité juridique à elle seule. Le règlement européen sur l’intelligence artificielle, ou AI Act prévoit des obligations différentes selon les systèmes et les usages concernés. Le RGPD continue également de s’appliquer lorsqu’un traitement implique des données à caractère personnel.
L’intérêt de la charte est ailleurs : transformer des principes généraux en comportements utilisables dans le travail quotidien.
Voici les dix règles que nous recommandons de clarifier avant de généraliser les usages.
1. Définir quels outils d’IA sont autorisés
La première règle doit répondre à une question très simple : quels outils puis-je utiliser pour travailler ?
Laisser chaque collaborateur choisir librement son application crée rapidement une multiplication de comptes, de conditions contractuelles et de niveaux de protection différents. La charte peut donc distinguer les outils validés par l’entreprise des services qui ne doivent pas recevoir de données professionnelles.
Cette règle doit rester suffisamment précise pour être applicable. Écrire « utilisez uniquement des IA sécurisées » laisse chacun décider de ce que signifie « sécurisé ». Mieux vaut fournir une liste tenue à jour ou orienter les collaborateurs vers un catalogue interne.
2. Préciser quelles données peuvent être envoyées à une IA
C’est probablement la règle la plus importante. Un collaborateur ne devrait pas avoir à improviser devant son écran pour déterminer s’il peut envoyer un contrat, un CV, une base clients ou un document stratégique à un chatbot.
La charte doit distinguer les informations librement utilisables des données confidentielles, personnelles ou sensibles qui nécessitent des précautions supplémentaires, voire qui ne doivent pas être saisies dans certains outils. La CNIL rappelle que les projets d’IA impliquant des données personnelles restent soumis aux principes du RGPD, notamment concernant la finalité, la base légale, la minimisation des données et leur protection. Les recommandations de la CNIL sur l’intelligence artificielle permettent d’approfondir ces obligations.
Une règle simple peut déjà éviter beaucoup d’erreurs : ne jamais copier une donnée confidentielle ou personnelle dans un outil qui n’a pas été validé pour cet usage.
3. Identifier les usages autorisés, encadrés et interdits
Toutes les utilisations de l’IA ne présentent pas le même niveau de risque. Préparer le plan d’une présentation n’a pas les mêmes conséquences que présélectionner des candidatures, produire un avis juridique ou prendre une décision concernant un salarié. La charte peut donc créer plusieurs niveaux.
Un usage courant, comme reformuler un texte non confidentiel, peut être libre. Une utilisation susceptible d’influencer une décision importante peut nécessiter une validation ou être réservée à certaines fonctions.
Cette distinction devient particulièrement importante avec l’AI Act, qui adopte précisément une logique fondée sur les risques. Certains systèmes liés notamment à l’emploi ou à la gestion des travailleurs peuvent entrer dans la catégorie des systèmes à haut risque selon leur finalité.
4. Maintenir une validation humaine
L’IA peut produire une réponse très convaincante et néanmoins fausse. Une charte IA doit donc rappeler une règle fondamentale : le collaborateur reste responsable de ce qu’il utilise, transmet ou décide à partir d’un résultat produit par l’IA.
La validation nécessaire dépend évidemment de l’enjeu. Une première version d’un email interne ne demande pas le même niveau de contrôle qu’une analyse financière destinée au COMEX. Mais dès qu’un contenu engage l’entreprise, influence une décision ou est diffusé à l’extérieur, une relecture humaine doit être clairement prévue.
C’est aussi pourquoi développer son esprit critique face à l’intelligence artificielle devient une compétence professionnelle à part entière.
5. Exiger la vérification des faits et des sources
La validation humaine ne consiste pas simplement à relire la formulation. Lorsqu’une IA fournit une statistique, une citation, une référence juridique ou une information factuelle, la charte peut imposer de revenir à la source avant de la réutiliser.
Une consigne du type « vérifiez les réponses de l’IA » reste trop générale. Il est plus utile de préciser ce qui doit être vérifié en priorité : chiffres, noms, dates, références, calculs et affirmations susceptibles d’influencer une décision. L’enjeu est de ne pas confondre qualité rédactionnelle et fiabilité de l’information.
6. Définir quand l’utilisation de l’IA doit être signalée
Faut-il préciser qu’un contenu a été produit avec une intelligence artificielle ? Il n’existe pas une réponse unique pour tous les usages. Une correction orthographique assistée par IA n’appelle pas nécessairement la même transparence qu’une vidéo générée représentant une personne réelle.
Depuis le 2 août 2026, certaines obligations de transparence prévues par l’AI Act sont devenues applicables dans l’Union européenne. Elles concernent notamment certains contenus artificiellement générés ou manipulés ainsi que certaines interactions avec des systèmes d’IA. L’entreprise peut choisir d’aller plus loin et définir ses propres règles : quand signaler qu’un contenu est généré, quand conserver cette information uniquement en interne et quand une validation éditoriale suffit.
7. Encadrer les contenus protégés et confidentiels
Un document n’est pas utilisable dans une IA simplement parce qu’un collaborateur peut l’ouvrir sur son ordinateur. Contrats, présentations clients, études payantes, créations graphiques, documents internes ou contenus protégés peuvent être soumis à des règles de confidentialité ou de propriété intellectuelle.
La charte doit donc rappeler que l’accès à une information ne vaut pas automatiquement autorisation de la transférer vers un service tiers. Le même principe vaut dans l’autre sens. Un contenu généré par IA destiné à une communication externe doit faire l’objet des vérifications nécessaires concernant son origine, son utilisation et les éventuels droits de tiers.
8. Conserver une trace pour les usages sensibles
Pour certains usages, pouvoir expliquer comment un résultat a été obtenu devient essentiel. Il peut être utile de conserver le prompt, la version du document ayant servi de source, les principales modifications effectuées et le nom de la personne ayant validé le résultat.
Il ne s’agit pas de créer une procédure lourde pour chaque demande adressée à un chatbot. La traçabilité doit être proportionnée au risque : plus l’usage influence une décision importante, plus la possibilité de reconstruire le raisonnement et les sources devient utile.
9. Attribuer clairement les responsabilités
Que doit faire un collaborateur qui reçoit une réponse douteuse ? Qui décide qu’un nouvel outil peut être utilisé ? Qui traite un incident impliquant des données ? Une charte efficace donne des réponses à ces questions.
Selon la taille de l’organisation, les responsabilités peuvent être partagées entre la DSI, le DPO, la direction juridique, les métiers, les RH ou une instance de gouvernance de l’IA. L’essentiel est d’éviter une situation fréquente : tout le monde est concerné par l’IA, mais personne ne sait qui peut trancher.
10. Former les équipes et faire évoluer la charte
Une charte envoyée par email puis oubliée dans l’intranet n’encadre pas réellement les usages. Les collaborateurs doivent comprendre pourquoi certaines règles existent et savoir les appliquer dans leurs situations de travail.
Ce point rejoint directement l’article 4 de l’AI Act, applicable depuis le 2 février 2025. Les fournisseurs et organisations qui déploient des systèmes d’IA doivent prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA parmi les personnes qui utilisent ces systèmes pour leur compte, en tenant compte notamment de leurs connaissances, de leur expérience et du contexte d’utilisation.
La charte doit donc être accompagnée de sensibilisation, de cas pratiques et de formation. Elle doit aussi être révisée lorsque les outils, les usages ou le cadre réglementaire évoluent.
Une charte IA doit permettre d’utiliser l’IA, pas seulement de l’interdire
La meilleure charte IA en entreprise n’est pas celle qui accumule les interdictions. C’est celle qui permet à un collaborateur de savoir rapidement ce qu’il peut faire, avec quel outil et sous quelles conditions. Elle doit donc rester courte, accessible et connectée au travail réel.
Lorsque l’IA commence à se généraliser, la gouvernance ne peut plus reposer uniquement sur la vigilance individuelle. Il faut créer des repères communs, désigner les responsabilités et développer les compétences nécessaires pour utiliser ces technologies avec suffisamment d’autonomie.
La charte devient alors moins un document de restriction qu’un cadre de confiance pour accélérer les usages sans perdre le contrôle.
