Charte IA en entreprise : comment la rédiger (RGPD et AI Act)

Vos salariés utilisent déjà l’IA. La question n’est plus de savoir s’il faut l’autoriser, mais comment l’encadrer pour que chacun sache ce qu’il a le droit de faire. C’est le rôle de la charte d’utilisation de l’IA : un document court, concret, que chaque collaborateur peut lire en dix minutes.

Ce guide vous explique pourquoi elle est devenue indispensable, ce qu’elle doit contenir et comment la déployer.

Pourquoi une charte IA est devenue indispensable

Vos équipes n’ont pas attendu

Dans la plupart des entreprises, des salariés utilisent ChatGPT ou d’autres assistants sur leurs comptes personnels, souvent sans en parler. Ce n’est pas de la mauvaise volonté : les gains de temps sont réels. Mais sans règles, des données clients, des chiffres ou des documents internes se retrouvent copiés dans des outils que l’entreprise ne contrôle pas. C’est ce qu’on appelle le Shadow AI.

Le RGPD s’applique aussi à l’IA

Dès qu’un salarié colle dans un assistant IA un e-mail client, un CV ou un dossier contenant des données personnelles, l’entreprise réalise un traitement de données. Elle reste responsable de ce traitement : elle doit savoir quel outil est utilisé, où vont les données et sur quelle base.

L’AI Act impose la « maîtrise de l’IA »

Le règlement européen sur l’intelligence artificielle (AI Act) prévoit, depuis le 2 février 2025, que les entreprises qui utilisent des systèmes d’IA prennent des mesures pour assurer un niveau suffisant de maîtrise de l’IA chez leurs collaborateurs. Une charte, accompagnée d’une courte formation, est la façon la plus simple de commencer à répondre à cette exigence.

Les 8 rubriques indispensables

Une bonne charte tient en trois pages. Au-delà, personne ne la lit. Voici les rubriques à couvrir.

1. Les outils autorisés

Listez nommément les outils validés par l’entreprise (par exemple : « l’espace ChatGPT de l’entreprise » ou « Gemini dans notre Google Workspace ») et précisez que les comptes personnels et gratuits sont interdits pour un usage professionnel.

2. Les données interdites

C’est la rubrique la plus importante. Soyez explicite. Ne doivent jamais être saisis dans un outil IA, même autorisé, sans validation préalable :

• les données personnelles sensibles (santé, opinions, données RH, numéros de sécurité sociale) ;
• les mots de passe, codes d’accès et coordonnées bancaires ;
• les informations couvertes par un secret professionnel ou un accord de confidentialité ;
• les données stratégiques non publiques (résultats financiers, projets de rachat, tarifs confidentiels).

3. Le réflexe d’anonymisation

Pour tout le reste, apprenez à vos équipes à anonymiser avant de coller : remplacer les noms par « Client A », supprimer les adresses, arrondir les montants. Dans la grande majorité des cas, l’IA n’a pas besoin de l’identité de la personne pour rédiger une bonne réponse.

4. La vérification humaine

Les assistants IA peuvent produire des informations fausses présentées avec assurance. La règle : toute production destinée à l’extérieur est relue par un humain, qui en reste responsable. C’est particulièrement vrai pour les chiffres, les références juridiques et les citations.

5. La transparence

Précisez quand il faut signaler qu’un contenu a été produit avec l’aide de l’IA, notamment vis-à-vis des clients. L’AI Act prévoit des obligations de transparence pour certains contenus générés par IA : votre charte peut fixer une règle simple et applicable par tous.

6. La propriété intellectuelle

Rappelez que les contenus générés peuvent ressembler à des œuvres existantes, et qu’on ne colle pas dans un outil IA des documents appartenant à des tiers sans en avoir le droit.

7. Les comptes et les accès

Un compte par personne, rattaché à l’adresse professionnelle, désactivé au départ du salarié. Les historiques de conversation appartiennent à l’entreprise.

8. Le référent et les incidents

Désignez une personne à contacter en cas de doute ou d’erreur, par exemple si des données ont été copiées par mégarde. Prévoyez aussi une révision de la charte au moins une fois par an : les outils évoluent vite.

Une règle simple : le feu tricolore

Pour rendre la charte immédiatement applicable, beaucoup d’entreprises adoptent un classement en trois couleurs :

Niveau	Exemples	Règle
Vert	Textes publics, idées, structure d’un document, reformulation d’un texte sans données personnelles	Autorisé dans les outils validés
Orange	E-mails clients, comptes rendus internes, documents de travail	Autorisé après anonymisation
Rouge	Données de santé, RH, bancaires, mots de passe, informations sous secret	Interdit, sauf outil et procédure spécifiquement validés

Voici un extrait type que vous pouvez adapter :

« J’utilise uniquement les outils IA fournis par l’entreprise, avec mon compte professionnel. Je n’y saisis jamais de mots de passe, de données bancaires ni de données de santé. J’anonymise les informations clients avant de les utiliser. Je relis et vérifie toute production avant de l’envoyer à l’extérieur, et j’en reste responsable. En cas de doute, je contacte le référent IA. »

Les points RGPD à vérifier en parallèle

La charte encadre les comportements, mais l’entreprise a aussi des démarches à faire de son côté :

• Choisir des offres professionnelles qui excluent vos données de l’entraînement des modèles.
• Signer le contrat de traitement des données (DPA) proposé par l’éditeur.
• Vérifier la localisation des données et l’encadrement des éventuels transferts hors de l’Union européenne.
• Mettre à jour votre registre des traitements pour y faire figurer les usages de l’IA.
• Évaluer les usages à risque : si l’IA intervient dans des décisions qui concernent des personnes (recrutement, par exemple), une analyse plus poussée peut être nécessaire.

La CNIL publie des recommandations régulièrement mises à jour sur l’IA et le RGPD : elles sont une bonne référence pour aller plus loin.

Comment la déployer pour qu’elle soit appliquée

Une charte qui dort dans un dossier partagé ne sert à rien. Pour qu’elle change vraiment les pratiques :

1. Fournissez d’abord l’outil officiel. Interdire les comptes gratuits sans proposer d’alternative ne fonctionne pas.
2. Présentez-la en 20 minutes, avec des exemples tirés de vos vrais métiers.
3. Faites-la signer, ou au minimum accuser réception, par chaque collaborateur.
4. Formez rapidement aux bons réflexes : comment formuler une demande, comment anonymiser, comment vérifier une réponse.
5. Révisez-la régulièrement en fonction des questions remontées.

Si vous souhaitez pouvoir sanctionner un manquement, la charte doit généralement être annexée au règlement intérieur et suivre la même procédure : consultation du CSE lorsqu’il existe, transmission à l’inspection du travail et dépôt au greffe du conseil de prud’hommes. Faites valider cette étape par votre conseil juridique.

Gagnez du temps

Le Kit supports & mise en route inclut une Charte IA prête à adapter et à signer, les règles de confidentialité associées et des guides pour paramétrer vos outils en mode sécurisé. Vous ne savez pas encore quels outils autoriser ? Commencez par le diagnostic gratuit, ou lisez notre guide pour choisir entre ChatGPT, Claude, Gemini et Copilot.

Ce guide est fourni à titre informatif et ne constitue pas un conseil juridique. Pour les situations spécifiques, rapprochez-vous de votre DPO ou de votre avocat.