Modèle de charte d’usage de l’IA en entreprise
Dans la plupart des entreprises, l’IA générative est déjà utilisée quotidiennement — sans cadre écrit, sans liste d’outils validés, et sans que personne sache ce qui est permis. Le risque n’est pas que les équipes s’en servent : c’est qu’elles s’en servent en devinant les règles.
Voici une charte complète, en dix articles. Elle se lit en dix minutes et s’adapte en remplaçant les mentions entre crochets. Elle est volontairement permissive : une charte qui interdit tout est contournée dès la première semaine, et ce qui se passe ensuite n’est plus visible.
Comment l’utiliser
- Copiez les dix articles ci-dessous et remplacez les mentions entre crochets — elles sont peu nombreuses, et signalent chaque endroit où votre organisation doit trancher.
- Établissez la liste des outils autorisés de l’article 3. C’est le seul travail réel : il suppose de vérifier ce que chaque éditeur fait des données saisies, et cette vérification vaut plus que la charte elle-même.
- Faites relire la version finale par votre conseil, et présentez-la aux instances représentatives du personnel si votre organisation en est dotée.
- Diffusez-la avec une session de formation, pas par email seul. Une charte lue en diagonale ne change aucun comportement — c’est la séance qui installe la règle.
Charte d’usage de l’intelligence artificielle générative
Modèle — [NOM DE L’ENTREPRISE], version du [DATE]. À adapter avant diffusion.
Article 1 — Objet et champ d’application
La présente charte définit les conditions d’utilisation des outils d’intelligence artificielle générative au sein de [NOM DE L’ENTREPRISE]. Elle s’applique à l’ensemble des collaborateurs, y compris les stagiaires, alternants, intérimaires et prestataires intervenant pour le compte de l’entreprise.
Elle couvre tout outil produisant du texte, du code, des images, du son ou de la vidéo à partir d’une consigne — qu’il soit accessible par navigateur, intégré à un logiciel métier ou appelé par une interface de programmation.
Article 2 — Principe général
L’usage de l’IA générative est encouragé dans le cadre professionnel. Elle est un outil de travail, au même titre qu’un tableur ou un moteur de recherche.
Le collaborateur reste responsable de tout contenu qu’il produit, diffuse ou utilise, qu’il l’ait rédigé lui-même ou obtenu par un outil d’IA. L’usage d’une IA n’atténue jamais cette responsabilité, et ne peut être invoqué pour justifier une erreur.
Article 3 — Outils autorisés
Seuls les outils figurant dans la liste ci-dessous sont autorisés pour un usage professionnel. Cette liste est tenue par [SERVICE / PERSONNE RESPONSABLE] et révisée [PÉRIODICITÉ].
L’usage d’un outil absent de cette liste requiert une validation préalable de [PERSONNE RESPONSABLE]. Cette règle n’est pas une formalité : chaque outil a ses propres conditions d’utilisation des données saisies, et c’est ce point-là qui est vérifié.
- [OUTIL 1] — usages autorisés : [USAGES]
- [OUTIL 2] — usages autorisés : [USAGES]
- [OUTIL 3] — usages autorisés : [USAGES]
Article 4 — Données interdites de saisie
Il est interdit de saisir dans un outil d’IA générative non validé par l’entreprise les catégories d’informations suivantes :
- Les données personnelles identifiantes : noms, coordonnées, numéros de sécurité sociale, données bancaires, éléments de dossier RH ou de santé.
- Les données couvertes par un accord de confidentialité, une clause de secret, ou le secret professionnel.
- Les documents contractuels non publics : contrats, propositions commerciales chiffrées, conditions négociées.
- Les éléments relevant du secret des affaires : code source propriétaire, procédés, formules, plans stratégiques, données financières non publiées.
- Les identifiants, mots de passe, clés d’interface de programmation et tout autre secret technique.
Article 5 — Vérification humaine
Aucun contenu produit par une IA ne peut être diffusé à l’extérieur de l’entreprise, transmis à un client, publié, ou utilisé comme fondement d’une décision, sans avoir été relu et validé par un collaborateur compétent sur le sujet.
La vérification porte sur trois points, dans cet ordre : l’exactitude des faits et des chiffres, l’existence réelle des sources citées, et la conformité au ton et aux engagements de l’entreprise. Les modèles produisent des références plausibles et inexistantes : une source non vérifiée est une source absente.
Article 6 — Usages soumis à une vigilance renforcée
Certains usages engagent l’entreprise au-delà du contenu produit. Ils requièrent la validation préalable de [PERSONNE RESPONSABLE] :
- Toute décision affectant une personne — recrutement, évaluation, promotion, sanction, sélection de candidature.
- Toute production juridique, comptable ou réglementaire destinée à un tiers ou à une autorité.
- Tout contenu diffusé publiquement au nom de l’entreprise.
- Toute génération d’image ou de voix représentant une personne identifiable.
- Tout usage impliquant le traitement de données personnelles de clients ou de salariés.
Article 7 — Transparence
Le recours à l’IA générative n’a pas à être signalé pour un usage d’assistance courant : reformulation, correction, traduction, synthèse d’un document interne, aide à la recherche.
Il doit être signalé lorsque le résultat est présenté comme une production personnelle engageant une compétence — notamment un livrable client, une production éditoriale signée, ou un travail dont l’évaluation porte sur la personne.
Article 8 — Propriété intellectuelle
Le collaborateur s’assure que le contenu produit ne reproduit pas une œuvre protégée. Une production d’IA peut restituer des fragments de contenus existants sans le signaler.
Le statut juridique des contenus générés par IA reste incertain dans plusieurs juridictions. En conséquence, aucun contenu majoritairement généré par IA ne doit être déposé, revendiqué comme création originale de l’entreprise, ou intégré à un livrable dont le contrat garantit l’originalité, sans validation de [PERSONNE RESPONSABLE].
Article 9 — Protection des données et cadre réglementaire
Tout traitement de données personnelles par un outil d’IA relève du RGPD : il suppose une base légale, une information des personnes concernées, et l’inscription du traitement au registre tenu par [DPO / RESPONSABLE].
Le règlement européen sur l’intelligence artificielle impose par ailleurs des obligations aux utilisateurs professionnels de ces systèmes, notamment un niveau suffisant de compétence des personnes qui les emploient, et une vigilance particulière sur les usages touchant à l’emploi et à l’accès aux services. [ENTREPRISE] y répond par la formation prévue à l’article 10.
Ce document est un modèle à adapter à votre organisation. Il ne constitue pas un conseil juridique : sa version définitive doit être relue par votre conseil et, le cas échéant, présentée aux instances représentatives du personnel.
Article 10 — Formation, accompagnement et application
[ENTREPRISE] met à disposition de ses collaborateurs une formation à l’usage professionnel de l’IA générative, couvrant les capacités et les limites des outils, la formulation des demandes, et les règles de la présente charte.
Les questions relatives à cette charte s’adressent à [PERSONNE / SERVICE]. Un usage manifestement contraire à ses dispositions, notamment la divulgation d’informations mentionnées à l’article 4, peut donner lieu aux mesures prévues par le règlement intérieur.
La charte entre en vigueur le [DATE] et sera révisée au moins une fois par an, les outils évoluant plus vite que les règles qui les encadrent.
Ce que cette charte ne fait pas
Elle ne remplace pas votre analyse d’impact sur la protection des données lorsqu’un traitement le justifie, ni la vérification des conditions contractuelles de chaque éditeur — c’est là que se joue réellement la confidentialité, pas dans le texte de la charte.
Elle ne constitue pas un conseil juridique. Sa version définitive doit être relue par votre conseil, et son opposabilité dépend de la façon dont elle est diffusée et annexée à votre règlement intérieur.