Charte IA en entreprise : modèle et règles d’usage

Dans beaucoup d’entreprises, la question n’est plus de savoir si les équipes utilisent l’IA générative. Elles le font déjà : pour reformuler un e-mail, résumer un compte rendu, préparer une réponse à un appel d’offres. Ce qui manque, c’est une règle commune, écrite et connue de tous, qui dise ce qui est permis.

Une charte d’utilisation de l’IA répond à trois questions que chaque collaborateur se pose devant un assistant : ai-je le droit d’utiliser cet outil, puis-je y mettre ce document, et à qui demander en cas de doute.

Pourquoi une charte, et maintenant

Vos équipes utilisent déjà des assistants

Une commerciale d’ACME France (exemple fictif) prépare un point de compte. Elle copie l’export de ses dix plus gros clients — nom, e-mail, chiffre d’affaires, commentaire sur la négociation en cours — et le colle dans l’assistant qu’elle utilise à titre personnel, pour obtenir une synthèse. La réponse est bonne. Personne ne sait où sont parties les données.

Personne ne lui a dit que c’était interdit, ni quel outil utiliser à la place : c’est la « shadow AI », un usage invisible de la direction.

Interdire ne marche pas, laisser faire non plus

Interdire tous les assistants paraît prudent. En pratique, l’usage se déplace sur les téléphones et les comptes personnels, hors de toute visibilité. Vous perdez à la fois le contrôle et le bénéfice.

Laisser faire produit l’inverse : chacun choisit son outil et ses limites. Le jour où un document confidentiel circule, personne ne peut dire ce qui était permis.

Une charte IA ne sert pas à interdire l’IA : elle sert à dire avec quoi on l’utilise.

Ce que dit le cadre

Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689) s’applique par étapes. Son article 4, réécrit par le règlement (UE) 2026/1744 du 8 juillet 2026, demande aux entreprises qui utilisent des systèmes d’IA (les « déployeurs ») de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel, sans les obliger à garantir un niveau précis. Le RGPD, lui, continue de s’appliquer dès qu’une donnée personnelle est saisie dans un outil, avec ses principes de minimisation et ses règles sur les sous-traitants.

La CNIL recommande, pour déployer une IA générative, de définir les usages autorisés et interdits, de former les utilisateurs et d’associer le délégué à la protection des données. Une charte ne rend pas l’entreprise « conforme » à elle seule : c’est un support pour organiser ces mesures, et en particulier pour former vos équipes. Pour leur portée exacte dans votre cas, reportez-vous aux textes officiels ou à votre conseil.

Les outils autorisés

Une liste courte et nommée

La première section opérationnelle de la charte est une liste : les assistants que l’entreprise autorise, nommés, avec le type de compte. Pas « les outils d’IA reconnus », mais « l’assistant fourni par l’entreprise, via votre compte professionnel ». Trois lignes suffisent souvent.

• Autorisé, compte entreprise. L’outil fourni et administré par l’entreprise, pour les usages listés dans la charte.
• Toléré, information publique seulement. Un assistant grand public, uniquement pour des textes qui ne contiennent aucune donnée interne.
• Exclu. Les extensions de navigateur et applications non validées qui lisent vos pages ou vos documents.

Ce qui change avec un compte entreprise

Un compte gratuit et une offre souscrite par l’entreprise n’offrent pas forcément les mêmes garanties, même à interface identique. Trois points sont à vérifier dans le contrat de l’outil que vous retenez : la durée de conservation des échanges, la réutilisation éventuelle de vos contenus pour entraîner les modèles, et la possibilité d’administrer les accès (créer, retirer un compte au départ d’un collaborateur). Les conditions varient d’un éditeur et d’une offre à l’autre : la charte cite l’outil retenu, pas une règle générale.

Et une IA hébergée chez vous

Pour les données les plus sensibles, certaines entreprises font tourner un modèle dans leur propre environnement. C’est un choix d’architecture plus qu’une règle de charte, détaillé dans notre article sur l’IA hébergée dans votre propre environnement.

Les données qui ne partent jamais

Cette section ne dit pas « soyez prudents » : elle classe les données en familles et dit où chacune peut aller.

Quatre familles à nommer dans la charte

• Les données personnelles. Clients, prospects, salariés, candidats : tout ce qui permet d’identifier une personne, directement ou par recoupement.
• Les chiffres non publiés et les contrats. Résultats, marges, prix négociés, conditions d’un contrat en cours.
• Les secrets d’affaires et le code source. Procédés, formules, feuilles de route, dépôts de code.
• Les identifiants et les accès. Mots de passe, clés d’API, liens de partage : jamais dans un assistant, quel qu’il soit.

Chez ACME France, la commerciale aurait ainsi su que son export pouvait aller dans l’outil de l’entreprise, ou qu’il fallait d’abord en retirer noms et e-mails.

Savoir où sont ces données

Une règle sur les données suppose de savoir où elles se trouvent. Si les fichiers clients circulent en plusieurs versions, entre le CRM, des exports et des tableurs partagés, personne ne peut dire ce qui est sensible ni ce qui sort. Ce travail de fond n’est pas l’objet de la charte, mais il la conditionne : l’équipe de turnK accompagne les entreprises qui veulent remettre leurs données en ordre avant d’ouvrir de nouveaux usages.

Relire avant d’utiliser

Reste ce qui revient de l’assistant : une réponse peut être fausse ou inventée, et elle engage celui qui l’envoie. Un e-mail client, un chiffre dans une présentation ou une clause de contrat se vérifient avant de partir.

Qui valide un nouvel usage

Demain, quelqu’un voudra résumer des entretiens annuels ou brancher un assistant sur la base documentaire. La charte dit à qui poser la question, et comment.

Un référent nommé, pas un comité

Un comité trimestriel fait attendre les équipes, qui finissent par ne plus demander. Mieux vaut une personne nommée — à la DSI, à la direction des opérations ou auprès du délégué à la protection des données — qui répond vite et qui sait escalader les cas difficiles.

Les quatre questions de la demande

1. Quel outil ? Un outil déjà autorisé ou un nouveau, avec son type de compte.
2. Quelles données ? Les familles concernées, au regard de la section précédente.
3. Pour quoi faire ? La tâche précise, et ce qui en sort : un brouillon interne, un document envoyé, une décision.
4. Qui en répond ? La personne qui vérifie les sorties et qui arrête l’usage si besoin.

Si les quatre réponses tiennent en quelques lignes et restent dans le cadre de la charte, le référent valide. Sinon, il approfondit.

Les usages qui demandent plus

Trois situations méritent un examen plus poussé avant tout feu vert. Les décisions qui portent sur des personnes, comme le tri de candidatures ou l’évaluation : elles touchent à des règles spécifiques, à vérifier dans les textes officiels. Les contenus publiés au nom de l’entreprise, qui l’engagent publiquement. Et les outils construits en interne, par exemple un chatbot interne créé sans coder : utile, mais il doit passer par la même fiche. C’est la même logique que pour les applications créées par les métiers, qu’il faut garder sous contrôle sans les bloquer.

Relier la charte à la formation

Former par usage autorisé

Une charte cochée « lu et approuvé » est rarement relue, et une formation générale « à l’IA » laisse des notions, pas des réflexes. Organisée autour des usages autorisés — synthétiser une réunion, anonymiser un extrait, vérifier une réponse — la formation montre la règle au moment où elle s’applique. C’est la logique à demander à toute formation des équipes aux usages de l’IA : chaque usage validé vient avec sa séance.

Chaque usage autorisé dans la charte devrait avoir sa formation, et chaque formation renvoyer à la charte.

Réviser à date fixe

Les outils et leurs conditions changent. Fixez une date de révision dans la charte et nommez qui la conduit ; relisez alors les demandes reçues par le référent : elles disent ce que la charte n’avait pas prévu. Notre article sur les erreurs les plus fréquentes lors des premiers déploiements donne d’autres points à surveiller.

Modèle de charte IA en entreprise

Chaque phrase type peut être reprise telle quelle, puis adaptée ; le parcours en tête d’article vous donne l’ordre de rédaction selon votre situation.

1. Objet et périmètre. « La présente charte encadre l’usage des assistants d’IA générative par toute personne travaillant pour l’entreprise, sur ses outils ou pour ses dossiers. »
2. Outils autorisés. « Seuls les outils listés en annexe sont autorisés pour un usage professionnel ; tout autre outil fait l’objet d’une demande préalable. »
3. Données interdites. « Aucune donnée permettant d’identifier un client, un prospect, un salarié ou un candidat n’est saisie dans un assistant non fourni par l’entreprise. Les identifiants et mots de passe ne sont saisis dans aucun assistant. »
4. Règles d’usage. « Toute production issue d’un assistant est relue et vérifiée par son auteur avant diffusion ; elle n’est jamais présentée comme vérifiée si elle ne l’a pas été. Tout incident — donnée saisie par erreur, réponse problématique — est signalé au référent. »
5. Valider un nouvel usage. « Tout nouvel usage est soumis au référent IA, qui se prononce à partir de quatre éléments : l’outil, les données, la finalité et la personne qui en répond. »
6. Formation. « Chaque usage autorisé est accompagné d’une formation ; l’accès à un outil peut être conditionné à cette formation. »
7. Responsabilités. « Chaque utilisateur est responsable des contenus qu’il produit avec un assistant et des données qu’il y saisit. » Si la charte fixe des règles de discipline ou prévoit des sanctions, elle relève du régime du règlement intérieur (Code du travail, articles L1321-1, L1321-4 et L1321-5), dont l’avis préalable du comité social et économique : voyez ce point avec votre service juridique.
8. Révision. « La charte est revue à date fixe par le référent IA et la direction ; la date de la prochaine révision figure en tête du document. »

Deux sections suffisent pour commencer : outils autorisés et données interdites. Diffusées, elles changent déjà le geste de la commerciale d’ACME France. Si vous voulez les écrire avec un regard extérieur, nous pouvons réaliser un diagnostic IA de votre organisation, puis former vos équipes sur des cas d’usage concrets.