Charte IA en entreprise : modèle et méthode 2026
Une charte IA utile dit quels outils peuvent être utilisés, avec quelles données, pour quelles tâches et sous quelle validation humaine. Elle n'est pas une obligation légale portant ce nom, mais la CNIL recommande d'encadrer les usages par une politique ou une charte interne, et certaines clauses peuvent déclencher des formalités en droit du travail.
Le mauvais réflexe consiste à télécharger un modèle, remplacer le nom de l'entreprise et demander une signature. Le bon réflexe consiste à partir des usages réels, décider ce qui est permis, former les équipes puis maintenir les règles quand les outils changent.
Ce guide vous donne les deux : un modèle à copier et une méthode de déploiement en 30 jours.
Une charte IA est-elle obligatoire en 2026 ?
Non, aucun texte n'impose à toutes les entreprises un document spécifiquement nommé « charte IA ». En revanche, plusieurs obligations existantes rendent nécessaire un cadre concret dès que l'IA entre dans le travail quotidien.
La CNIL recommande aux organisations de définir clairement les usages autorisés et interdits, d'analyser les risques, de protéger les données et de former les utilisateurs. Le guide TPE-PME conçu avec France Num et la CNIL ajoute deux règles simples : contrôler les résultats produits par l'IA et mesurer son impact réel.
L'article 4 de l'AI Act sur la maîtrise de l'IA renforce cette logique de compétences et de sensibilisation. La Commission européenne précise qu'un certificat spécifique n'est pas requis et qu'un registre interne des formations ou initiatives de sensibilisation peut servir de trace. Une charte peut en faire partie, mais elle ne remplace ni l'analyse des usages, ni la formation, ni la supervision humaine.
La distinction importante est donc la suivante :
- la charte n'est pas une conformité prête à signer ;
- elle est le mode d'emploi interne d'une gouvernance qui doit fonctionner dans la réalité.
Avant d'écrire, répondez à quatre questions
Une règle générique comme « n'envoyez pas de données sensibles à l'IA » est trop vague pour guider une équipe. Pour chaque usage, posez plutôt ces quatre questions :
- Quel outil ? Compte personnel, offre entreprise, fonction intégrée à un logiciel métier, système hébergé sous votre contrôle ?
- Quelles données ? Publiques, internes, confidentielles, personnelles, couvertes par un secret ou par un contrat ?
- Quel résultat ? Brouillon interne, code, analyse, recommandation, contenu client, décision concernant une personne ?
- Quel contrôle ? Simple relecture, validation d'un expert métier, accord du DPO ou du RSSI, interdiction ?
Cette grille évite deux extrêmes : tout interdire et pousser les usages sous le radar, ou tout autoriser en faisant confiance aux réglages par défaut.
Pour replacer cette charte dans une démarche plus large, consultez aussi notre feuille de route pour intégrer l'IA en entreprise.
La matrice vert, orange, rouge des usages IA
Cette matrice est une classification interne et pratique. Elle ne remplace pas les catégories de risque de l'AI Act.
| Niveau | Règle | Exemples |
|---|---|---|
| Vert | Usage autorisé dans un outil approuvé, avec relecture humaine | Trouver des idées à partir d'informations publiques, reformuler un texte non confidentiel, créer un plan, résumer une documentation publique |
| Orange | Usage possible seulement avec l'outil, les données et le validateur prévus | Préparer un email client, analyser un document interne, produire du code, générer un compte rendu, assister un recrutement ou une décision métier |
| Rouge | Usage interdit tant qu'un responsable n'a pas validé un cadre spécifique | Saisir un mot de passe ou une clé, transmettre un secret d'affaires, traiter des données sensibles, laisser l'IA décider seule pour une personne, publier un résultat non vérifié |
Le niveau porte sur le couple usage plus données, pas sur le nom du fournisseur. Le même outil peut être vert pour résumer une page publique et rouge pour analyser un dossier médical.
Quelles données peut-on fournir à une IA ?
La réponse honnête est : cela dépend du système et du traitement. La CNIL demande notamment de regarder les conditions contractuelles, la réutilisation éventuelle des saisies, l'historique, les transferts de données, les accès et le mode d'hébergement.
Sans analyse et autorisation explicites, adoptez une règle simple : ne transmettez pas à un service d'IA grand public ce que vous ne publieriez pas sur un site public.
Cela vise notamment :
- les mots de passe, clés d'API, secrets techniques et informations de sécurité ;
- les contrats, stratégies, données financières ou documents marqués confidentiels ;
- les données de clients, prospects ou collaborateurs permettant d'identifier une personne ;
- les informations couvertes par un secret professionnel, un accord de confidentialité ou une obligation sectorielle ;
- les fichiers dont l'entreprise ne possède pas les droits d'utilisation nécessaires.
Cette règle par défaut n'interdit pas tout projet sur des données internes. Elle oblige à choisir un cadre adapté : outil approuvé, garanties contractuelles, droits d'accès, minimisation des données, et validation du DPO ou du RSSI lorsque le risque le justifie.
Modèle de charte IA à copier et adapter
Le texte ci-dessous est un point de départ opérationnel, pas un acte juridique universel. Remplacez les éléments entre crochets, retirez ce qui ne correspond pas à votre contexte et faites valider les clauses disciplinaires, RH ou sectorielles avant diffusion.
1. Objet et périmètre
La présente charte définit les règles d'utilisation des systèmes d'intelligence artificielle dans le cadre des activités de [ENTREPRISE]. Elle s'applique aux collaborateurs et aux prestataires qui utilisent un outil d'IA pour le compte de l'entreprise. Elle complète les politiques de sécurité, de protection des données et d'utilisation du système d'information.
2. Principe de responsabilité
L'IA assiste le travail humain. Elle ne transfère pas au fournisseur de l'outil la responsabilité du résultat. Chaque utilisateur reste responsable de vérifier, corriger et valider ce qu'il utilise, transmet ou publie.
3. Outils autorisés
Seuls les outils inscrits dans la liste tenue par [RÉFÉRENT IA OU FONCTION] peuvent être utilisés à titre professionnel. La liste indique, pour chaque outil, les comptes autorisés, les usages permis, les données admises et les restrictions. Toute demande d'un nouvel outil ou d'un nouvel usage est adressée à [CANAL].
4. Données et confidentialité
Sans autorisation documentée, il est interdit de transmettre à un outil d'IA des identifiants, secrets techniques, informations confidentielles, données personnelles, données couvertes par un secret professionnel ou contenus appartenant à un tiers. L'utilisateur ne cherche pas à contourner cette règle par anonymisation improvisée. En cas de doute, il s'arrête et demande une validation.
5. Usages encouragés
Les usages classés verts sont encouragés lorsqu'ils font gagner du temps sans diminuer la qualité : exploration d'idées, préparation d'un plan, reformulation, traduction ou synthèse de sources publiques. Le résultat doit rester relu avant utilisation.
6. Usages soumis à validation
Les usages classés orange nécessitent le validateur indiqué dans la matrice de [ENTREPRISE]. Cela inclut notamment les contenus destinés à un client, l'analyse de documents internes, le code mis en production et les recommandations susceptibles d'influencer une décision importante.
7. Usages interdits
Il est interdit de confier à une IA une décision finale concernant le recrutement, l'évaluation, la rémunération, l'accès à un service ou toute autre décision produisant un effet important sur une personne, sauf dispositif spécifiquement autorisé et supervisé. Il est également interdit de publier comme vrai un résultat non vérifié, d'usurper une identité ou de produire un contenu trompeur.
8. Vérification des résultats
Avant toute utilisation, l'utilisateur vérifie les faits, calculs, citations, liens, droits et éventuels biais du résultat. Pour un sujet juridique, financier, médical, de sécurité ou de ressources humaines, la validation revient à une personne compétente dans le domaine. Une réponse plausible n'est pas une preuve.
9. Transparence
L'usage de l'IA est signalé lorsque la loi, un contrat, la politique de [ENTREPRISE] ou la nature du livrable l'exige. L'utilisateur ne présente pas comme intégralement humain un travail pour lequel cette présentation serait trompeuse.
10. Incident et droit à l'erreur
Toute transmission accidentelle de données, résultat dangereux, comportement anormal ou usage non prévu est signalé rapidement à [CANAL INCIDENT]. Le signalement de bonne foi sert d'abord à limiter l'impact et à améliorer les règles. Il ne doit pas être retardé pour tenter de corriger seul l'incident.
11. Formation et assistance
[ENTREPRISE] fournit une sensibilisation adaptée aux outils et aux risques rencontrés par chaque équipe. Les utilisateurs savent où trouver la liste des outils, la matrice des usages, les exemples autorisés et la personne à contacter en cas de doute.
12. Révision
La présente charte est revue lors de l'ajout d'un outil ou d'un usage sensible, après un incident, après une évolution contractuelle ou réglementaire importante, et selon le calendrier fixé par [RESPONSABLE]. La version applicable et sa date sont accessibles à tous les utilisateurs concernés.
Faut-il faire signer la charte et consulter le CSE ?
Une signature ne rend pas automatiquement le document opposable, conforme ou efficace. La bonne procédure dépend de ce que contient la charte et de la manière dont l'IA est utilisée.
Deux règles du Code du travail méritent une vérification :
- lorsqu'un document crée des obligations générales et permanentes relevant du règlement intérieur, l'article L1321-5 le traite comme une adjonction à celui-ci ; les formalités de l'article L1321-4 peuvent alors s'appliquer, dont la consultation du CSE ;
- l'article L2312-38 prévoit une information ou consultation préalable du CSE pour certaines techniques de recrutement, certains traitements automatisés de gestion du personnel et les moyens permettant de contrôler l'activité des salariés.
En pratique, associez tôt les RH, le DPO, le RSSI et les représentants du personnel lorsque la charte touche à la discipline, à la surveillance, au recrutement ou à l'évaluation. Pour une situation sensible, faites valider la procédure par votre conseil plutôt que de transformer un modèle web en règle interne du jour au lendemain.
Comment déployer la charte en 30 jours ?
Jours 1 à 5 : inventorier les usages réels
Demandez à chaque équipe quels outils elle utilise, pour quelles tâches et avec quelles données. Le but n'est pas de sanctionner les premiers répondants, mais de découvrir la réalité avant d'écrire les règles.
Livrable : une ligne par usage avec outil, utilisateur, données, résultat, validateur et incident déjà rencontré.
Jours 6 à 10 : décider la matrice
Classez chaque usage en vert, orange ou rouge. Vérifiez les contrats et réglages des outils envisagés. Désignez un propriétaire pour la liste des outils et un canal de demande simple.
Livrable : une matrice courte que les équipes peuvent comprendre sans juriste.
Jours 11 à 15 : adapter et valider le texte
Adaptez le modèle à votre entreprise. Faites relire le texte par les métiers, le DPO, le RSSI et les RH selon le périmètre. Déterminez avec eux si des formalités sociales sont nécessaires.
Livrable : une version datée, reliée aux politiques existantes, avec un responsable nommé.
Jours 16 à 20 : tester sur des cas concrets
Prenez dix situations réelles : résumé de réunion, email client, document RH, code, analyse financière, contenu marketing. Demandez à des utilisateurs de les classer avec la charte. Toute hésitation révèle une règle à simplifier ou un exemple à ajouter.
Livrable : une FAQ interne issue des questions réellement posées.
Jours 21 à 25 : former par profil
Un dirigeant, un recruteur, un développeur et une équipe commerciale n'ont ni les mêmes outils, ni les mêmes risques. Prévoyez un socle commun puis des exercices par métier. La Commission européenne recommande une maîtrise adaptée au contexte et au niveau de risque, pas une présentation identique pour tout le monde.
Livrable : registre des sessions, supports, participants et questions à traiter.
Jours 26 à 30 : publier, aider et mesurer
Rendez la charte et la liste des outils faciles à trouver. Ouvrez le canal de demande et d'incident. Mesurez des signaux simples : demandes de nouveaux usages, erreurs signalées, questions récurrentes, adoption des outils approuvés et qualité des livrables.
Livrable : un propriétaire, une date de prochaine revue et quatre indicateurs lisibles.
Les six erreurs qui rendent une charte inutile
- Copier un modèle sans inventorier les usages. Les règles ne répondent alors à aucune situation réelle.
- Écrire uniquement des principes éthiques. Une équipe a besoin de savoir quel outil, quelle donnée et quel validateur.
- Interdire toute l'IA. Les usages continuent souvent ailleurs, sans visibilité ni assistance.
- Autoriser une marque sans préciser l'offre et les données. Un compte personnel et un environnement d'entreprise ne donnent pas le même cadre.
- Faire signer sans former. Une signature ne donne pas la capacité de détecter une hallucination, une fuite de données ou un biais.
- Ne jamais mettre à jour le document. Une charte qui cite des réglages, outils ou règles disparus apprend aux équipes à l'ignorer.
FAQ · Charte IA en entreprise
Une charte IA est-elle obligatoire en entreprise en 2026 ?
Non, aucun texte n'impose un document nommé « charte IA » à toutes les entreprises. La CNIL recommande cependant une politique interne claire. Des formalités peuvent s'appliquer selon les obligations créées et les usages RH ou de contrôle concernés.
Que doit contenir une charte IA utile ?
Le périmètre, les outils autorisés, les règles sur les données, une matrice d'usages, le contrôle humain, la transparence, les responsables, le canal d'incident, la formation et la date de révision.
Peut-on saisir des données personnelles dans ChatGPT ou une autre IA ?
Pas sans cadre validé. La réponse dépend de l'outil, du contrat, des paramètres, de l'hébergement, des transferts et du traitement envisagé. Par défaut, ne transmettez aucune donnée personnelle ou confidentielle à un service grand public.
Faut-il consulter le CSE ?
Pas pour tout simple guide de bonnes pratiques. Une consultation ou une information peut devenir nécessaire si le document modifie le règlement intérieur ou si l'IA sert au recrutement, à la gestion du personnel ou au contrôle de l'activité. Faites vérifier votre cas précis.
À quelle fréquence faut-il mettre à jour la charte ?
Après tout changement important d'outil, de contrat, d'usage ou de règle, et après un incident. Ajoutez une revue planifiée pour éviter qu'une version obsolète reste la référence officielle.
Une charte comprise vaut mieux qu'un modèle parfait
Le meilleur document n'est pas le plus long. C'est celui qui permet à une personne de décider en moins d'une minute : puis-je utiliser cet outil, avec ces données, pour cette tâche, et qui doit vérifier le résultat ?
La formation IA responsable et conformité aide vos responsables à cartographier les usages, classer les risques et bâtir une gouvernance applicable. Pour donner à toute l'équipe les réflexes de base, la formation Introduction à l'IA générative apporte le socle commun. Ces parcours peuvent être intégrés à votre plan de développement des compétences et financés par votre OPCO selon votre situation.
Adapter votre charte et former vos équipes
Cet article fournit un cadre d'information général à jour au 20 juillet 2026. Il ne remplace pas un avis juridique, une analyse RGPD, une analyse de sécurité ou la consultation des représentants du personnel lorsqu'elle est requise. Sources principales : CNIL, Commission européenne, Légifrance, ANSSI et France Travail, consultées le 20/07/2026.
