Charte d'usage de l'IA en entreprise : modèle en 10 règles pour une TPE ou PME

Selon un sondage OpinionWay pour Cegid publié en septembre 2026, 67 % des salariés français utilisateurs d’IA passent par des outils qui ne leur ont pas été fournis par l’employeur, et 63 % n’ont reçu aucune formation. Une étude Microsoft France de février 2026 va dans le même sens : une majorité d’usages passe par des comptes personnels. Ce « shadow AI » n’est pas une faute des salariés : c’est l’absence de cadre. Une charte d’usage, courte et concrète, règle l’essentiel en une page.

Pourquoi une charte, et pourquoi maintenant

• La CNIL rappelle dans ses questions-réponses sur l’IA générative que c’est l’organisme utilisateur qui engage sa responsabilité, et qu’il ne faut pas saisir de données personnelles dans un outil grand public sans cadre approprié.
• Le règlement européen sur l’IA impose depuis le 2 février 2025 de favoriser la maîtrise de l’IA du personnel (article 4) : une charte diffusée et expliquée est une mesure simple et traçable.
• Le secret des affaires et les contrats clients interdisent souvent de transmettre des informations à des tiers : un outil d’IA grand public en est un.
• Les erreurs confiantes des modèles (« hallucinations ») ont déjà conduit à des sanctions pour des professionnels qui n’avaient pas vérifié des références inventées.

Les 10 règles d'une charte efficace

1. Outils autorisés. Lister les outils et les comptes approuvés (par exemple Copilot Chat avec le compte professionnel, ChatGPT Business, Claude Team). Les comptes personnels ne sont pas utilisés pour le travail.
2. Données interdites. Jamais de données personnelles de clients, de salariés ou de candidats, de données de santé, bancaires, de mots de passe, de contrats ou de secrets de fabrication dans un outil non approuvé. Dans un outil approuvé, seulement ce qui est nécessaire et anonymisé quand c’est possible.
3. Réglages. Désactiver l’usage des conversations pour l’entraînement quand l’option existe ; activer l’authentification à deux facteurs ; ne pas partager de conversations publiquement.
4. Vérification. Tout contenu généré est relu par un humain avant envoi ou publication. Les chiffres, références, textes de loi et informations techniques sont vérifiés à la source.
5. Responsabilité. La personne qui envoie ou publie un contenu en reste responsable, qu’il ait été produit avec l’IA ou non.
6. Transparence. On informe les clients quand ils échangent avec une IA (chatbot) et on marque les contenus lorsque la réglementation ou le contrat l’exige.
7. Usages sensibles. Pas de décision automatisée sur des personnes (recrutement, évaluation, sanction, crédit) : l’IA aide à préparer, l’humain décide et peut l’expliquer.
8. Droits d’auteur et marques. Pas de reproduction d’œuvres protégées, prudence sur les visuels générés pour un usage commercial, respect des chartes graphiques.
9. Formation. Chaque utilisateur suit une sensibilisation adaptée à son poste ; la charte est présentée à l’arrivée dans l’entreprise.
10. Référent et révision. Un référent IA répond aux questions, tient la liste des outils et revoit la charte au moins une fois par an.

Trame de charte à adapter

Une charte tient en une ou deux pages : 1) objet et périmètre (qui est concerné, quels outils) ; 2) principes (aide à la décision, responsabilité humaine, respect des personnes) ; 3) outils autorisés et comptes ; 4) données interdites et données autorisées sous conditions ; 5) règles de vérification et de relecture ; 6) transparence vis-à-vis des clients et des collègues ; 7) usages sensibles et interdits ; 8) sécurité des comptes et des accès ; 9) formation et référent ; 10) date, signature et modalités de mise à jour. Faites-la relire par votre référent RGPD ou votre conseil, et informez les représentants du personnel lorsque la loi le prévoit.