Charte IA : encadrer l'usage de l'IA générative en entreprise
Une charte IA fixe les règles d'usage de l'intelligence artificielle générative dans l'entreprise : outils et comptes autorisés, données à ne jamais saisir, vérification des réponses, signalement des erreurs. La CNIL recommande d'en adopter une, qui liste les usages permis et interdits. Le règlement européen sur l'IA (AI Act) demande, lui, aux entreprises de favoriser la maîtrise de l'IA par leur personnel, sans imposer de charte. Pour être opposables aux salariés, les interdictions et sanctions d'une charte IA suivent la procédure du règlement intérieur.
Une charte IA, puis une formation
Nous vous aidons à rédiger votre charte d'utilisation de l'IA, puis à la faire comprendre en formation.
Pour les PME et les collectivités de Bretagne et de Loire-Atlantique.
Pourquoi écrire une charte IA ?
Des usages arrivés avant les règles
Dans beaucoup de PME, l'IA générative est arrivée par les postes de travail : un commercial fait reformuler ses offres par un assistant gratuit, une collègue y colle un compte rendu, noms et chiffres compris, chacun avec son compte personnel. Selon le baromètre France Num 2026 de la DGE, 40 % des TPE et PME utilisent au moins une solution d'IA (53 % des PME). Dans l'enquête de la CNIL et de ses partenaires auprès de délégués à la protection des données, 32 % des structures ont mis en place une sensibilisation ou une charte de bon usage, 16 % parmi celles de 50 salariés ou moins. Cybermalveillance.gouv.fr invite les dirigeants à vérifier qu'une charte d'usage de l'IA existe.
Conformité IA : ce que demande l'AI Act
Une entreprise dont les salariés utilisent ChatGPT ou Mistral pour leur travail est « déployeur » au sens du règlement européen sur l'IA. Son article 4 s'applique depuis le 2 février 2025 ; dans sa version en vigueur depuis le 27 juillet 2026, il demande de prendre des mesures pour favoriser la maîtrise de l'IA par le personnel, sans obligation de garantir un niveau précis pour chacun. La Commission européenne n'exige ni certificat ni format de formation : des registres internes suffisent comme preuve. Le règlement ne prévoit pas d'amende pour un manquement à cet article : une sanction relèverait du droit national, et en octobre 2026 aucune loi française n'a encore désigné d'autorité de contrôle. Une formation IA en entreprise et une charte écrite sont deux mesures concrètes pour y répondre.
Ce que contient une charte IA
Outils autorisés et données interdites
Au-delà des principes que pose une charte éthique de l'IA, une charte d'utilisation repose d'abord sur deux listes. La première nomme les outils autorisés, retenus après examen du contrat, de l'hébergement et de l'usage des données par l'éditeur. Cybermalveillance.gouv.fr conseille de s'en tenir au service souscrit par l'employeur, avec un compte professionnel. La seconde dit ce qui ne doit jamais partir dans un assistant grand public ; l'ANSSI y range les données personnelles, contractuelles, juridiques ou financières, les mots de passe et les clés d'accès. Pour les versions gratuites, le guide d'usage de l'IA de l'État pour ses agents propose un réflexe : pourrait-on publier cette information sur un site ouvert à tous ?
Relecture humaine, mention et droits d'auteur
Un assistant d'IA peut se tromper avec assurance : la CNIL recommande de vérifier ses réponses et de laisser la décision finale à un humain. Le règlement européen n'impose de signaler l'usage de l'IA que dans des cas précis : depuis le 2 août 2026, son article 50 vise les hypertrucages (deepfakes) et les textes publiés pour informer le public sur des questions d'intérêt public, sauf relecture sous la responsabilité éditoriale d'une personne. Une charte peut aller plus loin, comme le guide de l'État, qui prévoit une mention quand l'IA produit le contenu. Quant aux droits d'auteur, une production entièrement générée par l'IA relève du domaine public selon un rapport présenté au Conseil supérieur de la propriété littéraire et artistique ; ce rapport n'engage que ses auteurs.
Modèle de charte IA à télécharger
Un modèle complet, gratuit et à adapter, rédigé pour une entreprise de 20 salariés : 15 articles et 5 annexes (registre des outils autorisés, grille « puis-je confier cette donnée à l'IA ? », liste de contrôle avant de publier, demande d'un nouvel outil, attestation de remise).
Une page d'introduction explique comment l'adapter et l'adopter avec votre charte informatique ; elle ne remplace pas l'avis de votre conseil.
Données personnelles et secret professionnel
Le RGPD s'applique aussi aux requêtes
Pour l'ANSSI, coller un fichier clients dans un assistant grand public revient à le déposer sur un espace de stockage du prestataire. L'entreprise reste responsable du traitement, et si l'éditeur agit pour son compte, un contrat conforme à l'article 28 du règlement général sur la protection des données s'impose : la charte ne le remplace pas. Elle prévoit en revanche qu'une saisie de données sensibles par erreur se signale aussitôt, sans crainte de sanction pour ce seul signalement. L'entreprise apprécie alors s'il s'agit d'une violation de données, à documenter et, en cas de risque, à notifier à la CNIL, si possible 72 heures au plus tard après sa découverte.
Secret professionnel et comptes de travail
Le guide de déontologie du Conseil national des barreaux demande aux avocats de ne jamais confier à une IA générative de données sur leurs dossiers ou leurs clients. Dans un document de travail, la HAS et la CNIL relèvent le risque d'atteinte au secret médical quand des données de patients sont saisies dans un agent conversationnel en ligne. L'article 226-13 du Code pénal punit la violation du secret professionnel d'un an d'emprisonnement et de 15 000 euros d'amende. Reste le choix du compte : la CNIL conseille une adresse professionnelle dédiée, Cybermalveillance.gouv.fr un mot de passe unique et la double authentification.
Rendre la charte applicable, puis la faire vivre
Une procédure, pas une signature
Une charte IA qui pose des interdictions et annonce des sanctions comporte des obligations générales et permanentes : le Code du travail la soumet « en toute hypothèse » aux règles du règlement intérieur (article L1321-5), même, d'après la lettre du texte, dans une entreprise de vingt salariés qui n'en a pas. Avis du comité social et économique s'il existe, publicité, transmission à l'inspection du travail et délai d'un mois au moins avant l'entrée en vigueur s'imposent donc. Faire signer chaque salarié ne remplace pas cette procédure. Comme pour la charte informatique, la voie la plus prudente, à faire valider par un avocat en droit social, consiste à annexer les deux chartes à un règlement intérieur, même facultatif.
Contrôles, formation et révision
Conserver les requêtes ou filtrer les sites d'IA suppose une information préalable de chaque salarié (article L1222-4 du Code du travail, article 13 du RGPD), une inscription au registre des traitements et une durée de conservation fixée. Or l'ANSSI recommande de journaliser les requêtes : la charte dit alors ce qui est gardé, pourquoi et combien de temps. La CNIL préconise aussi un point de contact pour signaler un problème ; la charte est présentée en formation et remise à chaque nouvel arrivant. Le modèle du Barreau de Paris prévoit enfin de réexaminer les outils validés au moins chaque année, et aussitôt qu'un éditeur change ses conditions ou son hébergement.
Notre façon de faire, et un modèle à adapter
Rédiger la charte, puis l'expliquer
Chez KERIONIS, nous aidons les structures que nous accompagnons à rédiger leurs chartes, dont la charte d'utilisation de l'IA. Une séance de formation réservée aux dirigeants et aux managers peut en préparer le fond, puisque c'est à eux de choisir les outils et les usages permis. Celle des équipes vient ensuite expliquer les règles adoptées, sur des exemples proches de leur travail. La validation juridique de la charte et sa procédure d'adoption restent du ressort de l'employeur et de son conseil.
Un modèle de charte IA à adapter
Nous proposons sur cette page un modèle de charte d'utilisation de l'IA, en Word et en PDF, rédigé pour une entreprise fictive de vingt salariés et conçu pour compléter celui de la charte informatique. Restent à y inscrire vos outils autorisés et les données propres à votre activité. Une fois complétée, la charte suit la procédure décrite plus haut. Le document s'ouvre sur une page « À lire avant d'utiliser ce modèle » et ne remplace pas un conseil juridique.
Former vos équipes à l'IA générative
Une demi-journée ou une journée, dans vos locaux ou à distance, six personnes au plus.
Chaque formation comprend une sensibilisation aux données que l'on ne confie pas à un outil d'IA.
Questions fréquentes : Charte IA en entreprise
Une charte IA est-elle obligatoire ?
Non, pas en tant que telle : le règlement européen sur l'IA demande aux entreprises utilisatrices de favoriser la maîtrise de l'IA par leur personnel, sans imposer de charte. La CNIL recommande en revanche d'encadrer l'IA générative par une charte qui liste les usages permis et interdits.
Que doit contenir une charte d'utilisation de l'IA ?
Elle liste les outils et comptes professionnels autorisés et les données à ne jamais saisir, impose la relecture des résultats, précise les cas où l'usage de l'IA doit être signalé et le contact à prévenir après une erreur. Elle annonce les contrôles éventuels et prévoit sa révision.
Peut-on interdire ChatGPT aux salariés ?
Oui : l'employeur peut réserver l'usage professionnel de l'IA aux outils qu'il a validés, si la restriction est justifiée, proportionnée et adoptée selon la procédure du règlement intérieur. L'ANSSI relève que les usages non encadrés aggravent le risque de fuite : mieux vaut fournir un outil autorisé qu'interdire toute IA.
Que demande le règlement européen sur l'IA à une PME ?
Le règlement européen demande à une PME de favoriser la maîtrise de l'IA par son personnel, sans certificat imposé ni amende prévue par le texte. Il interdit aussi de recourir à l'IA pour déduire les émotions d'une personne au travail, sauf raisons médicales ou de sécurité. Les règles sur l'IA à haut risque, qui visent notamment le recrutement et l'évaluation des salariés, s'appliqueront le 2 décembre 2027.