Pourquoi écrire une charte IA, même dans une petite équipe
Souvent, l'IA entre dans une PME par les salariés eux-mêmes : ChatGPT pour reformuler un email, Claude pour résumer un appel d'offres, Copilot dans la messagerie. Sans règle écrite, chacun décide seul de ce qu'il leur confie. Cinq risques justifient une charte.
- Confidentialité. Selon l'outil et l'offre, ce que vous saisissez peut être conservé ou réutilisé par le fournisseur.
- Données personnelles. Coller la fiche d'un client ou le dossier d'un salarié dans un outil d'IA est un traitement soumis au RGPD. Selon la CNIL, en cas de mauvaise utilisation par le personnel, c'est en général l'organisme utilisateur qui engage sa responsabilité.
- Secret des affaires. Le Code de commerce ne protège une information à ce titre que si son détenteur prend des « mesures de protection raisonnables » pour en conserver le caractère secret. Une règle écrite sur ce qu'on ne saisit jamais va dans ce sens.
- Erreurs plausibles. Selon la CNIL, ces outils peuvent produire des « résultats inexacts qui peuvent, pourtant, paraître plausibles » : ce qu'on appelle les « hallucinations ».
- Maîtrise de l'IA. Depuis le 2 février 2025, l'article 4 de l'AI Act demande aux entreprises qui utilisent l'IA de prendre des mesures pour la maîtrise de l'IA de leur personnel ; depuis le « Digital Omnibus » de 2026, sans niveau précis imposé. Voir notre guide AI Act et PME.
Une charte ne sert pas à interdire l'IA, mais à dire clairement ce qui est permis. La CNIL recommande d'ailleurs d'encadrer l'IA générative par des « politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ».
Ce que contient une charte IA utile
Une charte efficace tient en quelques pages et couvre au moins ces rubriques :
| Rubrique | Exemple de règle |
|---|---|
| Outils autorisés | « Seuls les outils de la liste, y compris l'IA intégrée à nos logiciels, sont autorisés » |
| Comptes | « Jamais de compte ouvert avec une adresse personnelle » |
| Données interdites | « Aucune donnée de santé, aucun fichier client » |
| Relecture humaine | « Tout message à un client est relu par son auteur » |
| Transparence | « Le chatbot du site annonce qu'il est une IA » |
| Propriété intellectuelle | « Un logo créé avec l'IA est validé par la direction » |
| Traçabilité | « L'usage de l'IA est noté au dossier des livrables clients » |
| Contact | « Une erreur se signale au référent le jour même » |
Outils et comptes : professionnels, pas personnels
Pour chaque outil, précisez l'offre retenue et ses réglages. Pour des usages non confidentiels, la CNIL admet un service grand public utilisé avec des adresses électroniques professionnelles dédiées, en évitant les comptes créés avec des adresses personnelles et, si possible, en désactivant la réutilisation des données par le fournisseur. Pour des données de clients ou de salariés, elle juge généralement plus sûr un déploiement « sur site » ; une offre en ligne demande alors un encadrement contractuel, comme un contrat de sous-traitance (article 28 du RGPD).
Les données qu'on ne saisit jamais
La liste dépend de l'outil : selon la CNIL, certaines interdictions ne sont pas nécessaires pour une solution sur site, sans réutilisation des données par le fournisseur. Pour un service en ligne, liste type :
- les données personnelles de clients, de prospects, de candidats ou de salariés ;
- les données sensibles au sens du RGPD : santé, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle… ;
- les informations confidentielles : prix de revient, marges, fichiers clients, plans, code source ;
- les documents confiés sous engagement de confidentialité ou couverts par un secret professionnel ;
- les identifiants, mots de passe et clés d'accès.
La relecture humaine
La CNIL recommande de ne « jamais reproduire telles quelles » les sorties de ces systèmes, et de vérifier qu'elles sont exactes, qu'il ne s'agit pas d'un plagiat et qu'elles n'introduisent pas de biais discriminatoires. En pratique : chiffres, dates et références juridiques vérifiés à la source ; tout message qui engage l'entreprise relu et envoyé par une personne ; aucune décision concernant une personne (embauche, sanction) laissée à une IA. Pour un agent IA, précisez ce qui attend une validation humaine.
Transparence, propriété intellectuelle et traces
Côté clients, l'AI Act impose notamment qu'un chatbot ou un agent qui échange directement avec eux soit conçu pour annoncer qu'il est une IA, et que les hypertrucages soient signalés (voir notre guide AI Act et PME). Vos contrats clients peuvent aussi encadrer l'usage d'outils externes.
Côté propriété intellectuelle, un rapport de mission du Conseil supérieur de la propriété littéraire et artistique (CSPLA) du 16 juillet 2026, qui ne modifie pas la loi, distingue la création « hybride », où l'humain garde un rôle créatif, protégeable si elle est originale, de la production générée sans intervention humaine significative, étrangère au droit d'auteur. Pour un logo ou un slogan, gardez la trace de vos choix créatifs.
Enfin, si l'entreprise consulte l'historique des usages de ses salariés, ces informations les concernent personnellement : le dispositif doit être porté préalablement à leur connaissance (article L1222-4 du Code du travail).
Rendre la charte applicable : note, règlement intérieur, CSE
En droit du travail français, le statut de la charte dépend de son contenu plus que de son titre.
| Forme | Quand | Ce qu'il faut faire |
|---|---|---|
| Guide de bonnes pratiques | Il explique et recommande, sans obligation générale et permanente de discipline | Diffusion simple ; s'il impose des règles dont le non-respect peut être sanctionné, il change de régime. |
| Note de service ou charte qui impose des règles | Elle comporte des obligations générales et permanentes en matière de discipline, de santé ou de sécurité | Mêmes règles que le règlement intérieur, quel que soit l'effectif (article L1321-5) |
| Annexe au règlement intérieur | Entreprise d'au moins 50 salariés, ou qui a déjà un règlement intérieur | Avis du CSE, publicité, communication à l'inspection du travail |
Le règlement intérieur est obligatoire à partir de 50 salariés, seuil atteint pendant 12 mois consécutifs, et facultatif en dessous. Lui et toute charte qui en relève suivent cette procédure :
- le soumettre pour avis au CSE, s'il existe ; selon service-public.fr, sans cette consultation, le règlement n'est pas opposable aux salariés ;
- indiquer sa date d'entrée en vigueur, au moins un mois après les formalités de publicité ;
- le porter à la connaissance, par tout moyen (affichage, intranet), des personnes ayant accès aux lieux de travail et aux locaux d'embauche ;
- le communiquer en deux exemplaires à l'inspecteur du travail, avec l'avis du CSE, en même temps que la publicité ;
- refaire ces étapes pour toute modification ou tout retrait de clause.
La charte est rédigée en français, comme tout document comportant des obligations pour le salarié (article L1321-6). Elle ne peut pas apporter aux droits et libertés des salariés des restrictions qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché (article L1321-3). Demandez à un juriste comment tenir à jour la liste des outils sans relancer la procédure à chaque ajout.
Le CSE peut aussi être consulté sur l'outil lui-même
Dans une entreprise d'au moins 50 salariés, le CSE est informé et consulté sur l'introduction de nouvelles technologies (article L2312-8 du Code du travail) et, avant leur mise en œuvre, sur les moyens permettant de contrôler l'activité des salariés (article L2312-38). Le déploiement d'un outil d'IA pour les équipes, ou d'un suivi de leurs usages, peut relever de ces consultations, distinctes de l'avis sur le règlement intérieur. Faites examiner votre situation avant le lancement.
Former les équipes et garder une trace
Une charte que personne n'a lue ne protège pas grand-chose. Les questions-réponses de la Commission européenne sur l'article 4 de l'AI Act donnent des repères :
- une entreprise dont les salariés utilisent ChatGPT pour rédiger ou traduire est concernée : ils doivent être informés des risques propres à ces outils, comme les hallucinations ;
- se contenter de la notice d'utilisation, ou demander au personnel de la lire, peut être inefficace ;
- aucun certificat n'est exigé : l'entreprise peut tenir un registre interne des formations et des consignes ;
- sont visées aussi les personnes qui utilisent l'IA pour le compte de l'entreprise, comme un prestataire.
Concrètement : une courte session par équipe, sur ses propres cas d'usage (limites de l'outil, données interdites, vérification des résultats), et la charte remise à chaque nouvel arrivant. Dans le registre, notez la date, les participants, le contenu et les outils concernés.
À retenir
La CNIL invite aussi à prévenir les risques d'un usage excessif, dont le « biais d'automatisation » : une relecture réelle vaut mieux qu'un coup d'œil.
Le modèle de charte IA à adapter
Remplacez les éléments entre crochets, supprimez ce qui ne vous concerne pas et, si vous voulez pouvoir sanctionner son non-respect, suivez la procédure décrite plus haut.
1. Objet et champ d'application
La présente charte fixe les règles d'utilisation des outils d'intelligence artificielle (assistants, fonctions d'IA intégrées aux logiciels, agents IA) chez [Nom de l'entreprise]. Elle s'applique aux salariés et est remise aux stagiaires, intérimaires et prestataires qui utilisent ces outils pour notre compte.
2. Outils et comptes autorisés
Seuls les outils de la liste tenue par [fonction du référent IA] sont autorisés à titre professionnel, avec un compte ouvert par l'entreprise. Aucun compte n'est ouvert avec une adresse personnelle, et aucune information de l'entreprise n'est traitée avec un compte personnel.
3. Données interdites
Sauf dans un outil expressément autorisé pour cela, il est interdit de saisir, coller ou téléverser :
- des données personnelles de clients, prospects, candidats ou salariés ;
- des données de santé ou d'autres données sensibles ;
- des informations confidentielles : prix de revient, marges, fichiers clients, plans, code source ;
- des documents reçus sous engagement de confidentialité ;
- des identifiants, mots de passe ou clés d'accès.
En cas de doute, retirez noms, coordonnées et montants, ou interrogez [fonction du référent IA].
4. Vérification humaine
Un contenu produit par une IA peut être faux tout en paraissant plausible : faits, chiffres, dates et références sont vérifiés, et aucun contenu généré n'est reproduit tel quel. Tout document qui engage l'entreprise (devis, contrat, réponse à un client, publication) est validé par une personne avant envoi. Aucune décision concernant une personne n'est confiée à une IA.
5. Agents IA
Les agents IA préparent des brouillons ou des propositions d'action. Toute action ayant un effet hors de l'entreprise (envoi d'un message, modification d'un document client, paiement) est validée par une personne habilitée. Leurs accès sont limités au nécessaire.
6. Transparence
Un outil d'IA qui échange directement avec des clients indique qu'il s'agit d'une IA. Les images, sons ou vidéos réalistes générés ou modifiés par IA, qui pourraient passer pour authentiques, sont signalés comme tels.
7. Propriété intellectuelle
Aucun contenu sur lequel l'entreprise n'a pas de droits n'est soumis à une IA, et aucune reproduction d'une œuvre protégée ne lui est demandée. Les logos, slogans et visuels durables sont validés par [fonction], et les étapes de leur création sont conservées.
8. Traçabilité
L'usage d'un outil d'IA pour un livrable client est noté au dossier. [Historique conservé : quoi, combien de temps, qui y accède]
9. Incidents et questions
Toute erreur importante, toute saisie de données interdites ou tout usage douteux est signalé sans délai à [fonction du référent IA] ([adresse électronique interne]), qui répond aussi aux questions.
10. Formation
Chaque utilisateur est sensibilisé avant d'accéder aux outils, puis à chaque mise à jour importante. Un registre des formations est tenu.
11. Entrée en vigueur
La présente charte est [annexée au règlement intérieur / une note de service]. Elle entre en vigueur le [date], après avis du CSE rendu le [date] et accomplissement des formalités de publicité. [Si annexée au règlement intérieur :] tout manquement peut donner lieu aux sanctions prévues par le règlement intérieur.
Fait à [ville], le [date]
[Nom et fonction du signataire]
La check-list de mise en place
- Faites l'inventaire des usagesQuels outils d'IA chaque équipe utilise, sur quels comptes, pour quoi, avec quelles données. Sans jugement : partez du réel.
- Choisissez les outils et les offresComptes professionnels, réutilisation des données désactivée si possible, contrat adapté dès que des données personnelles sont en jeu.
- Rédigez la chartePartez du modèle, avec des règles courtes et des exemples tirés de vos métiers.
- Choisissez sa formeGuide, note de service ou annexe au règlement intérieur : la procédure dépend des règles imposées.
- Consultez le CSE quand c'est requisAvis sur la charte qui impose des règles ; à partir de 50 salariés, examinez aussi la consultation sur l'outil et sur tout suivi des usages.
- Formez et notezUne session par équipe, un registre des formations.
- Révisez régulièrementRelisez la charte au moins une fois par an, et à chaque nouvel outil.
Notre approche chez JoinTheClub
Nos agents IA préparent des brouillons qu'une personne de votre équipe valide avant tout envoi : relances de devis, réponses aux clients, tâches administratives. Ils peuvent être installés sur un serveur dédié ou en local, dans vos locaux. C'est un choix de méthode : la décision reste chez vous, et les règles de votre charte s'appliquent à l'agent comme à vos équipes. Voir notre page agents IA pour PME.
Sources officielles consultées le 23/10/2026, listées ci-dessous. Ce guide est une information générale et ne constitue pas un conseil juridique.