Charte IA en entreprise : un modèle commenté et la méthode en cinq étapes

Une charte IA utile tient sur deux pages et se relit en dix minutes. Pour le dirigeant de PME comme pour le responsable conformité, en finance ou en santé : un modèle en dix articles annotés, la méthode en cinq étapes, et ce que demandent l’AI Act, la CNIL, le RGPD et le Code du travail.

Souvent, la charte arrive après les usages. Un commercial fait rédiger ses relances par un assistant ; une cheffe de projet colle un contrat dans un outil gratuit pour le résumer. Chacun avance de bonne foi, à sa façon.

Ces usages menés hors des outils choisis par l’entreprise ont un nom : le shadow AI, dont notre note sur l’IA fantôme mesure l’ampleur et les risques. La charte leur donne un cadre commun. Elle prolonge notre note sur l’IA en entreprise, qui dit où l’IA fait gagner du temps.

Shadow AIL’usage d’outils d’IA par les salariés en dehors de ceux que l’entreprise a choisis et réglés : un compte personnel, une extension de navigateur, une application gratuite. Les données qui y passent sortent du cadre de ses contrats.

1Qu’est-ce qu’une charte IA en entreprise ?

Une charte IA est un document interne qui dit à chaque personne travaillant pour l’entreprise comment se servir des outils d’intelligence artificielle. On parle aussi de politique d’usage de l’IA.

Elle tient sur deux pages, avec des annexes qui bougent souvent : la liste des outils autorisés, et celle des usages validés avec leurs demandes types.

2Une charte IA est-elle obligatoire ?

Aucun texte n’exige un document intitulé « charte IA ». Quatre textes rendent pourtant une règle écrite très utile :

• Le règlement européen sur l’IA, article 4. Depuis le 2 février 2025, l’entreprise qui utilise un système d’IA prend des mesures pour la maîtrise de l’IA de son personnel. Les autorités nationales contrôlent ce point depuis le 2 août 2026.
• Le RGPD, articles 5, 24 et 28. L’entreprise démontre qu’elle protège les données personnelles, et signe un contrat avec chaque sous-traitant.
• La CNIL, questions-réponses du 18 juillet 2024. Elle recommande des politiques ou des chartes internes qui définissent les usages autorisés et interdits.
• Le Code de commerce, article L151-1. Le secret des affaires couvre l’information que son détenteur protège par des mesures raisonnables : une règle écrite en fait partie.

Le Code du travail, lui, fixe la procédure dès que la charte prévoit des sanctions (section 5).

Ce qui a changé à l’été 2026

L’article 4 parlait d’« un niveau suffisant de maîtrise de l’IA ». Depuis le 27 juillet 2026, le règlement (UE) 2026/1744, dit « omnibus » sur l’IA, demande des mesures « pour favoriser le développement de la maîtrise de l’IA », sans niveau précis à atteindre pour chaque personne.

La Commission européenne juge un certificat superflu. Son exemple parle à toutes les PME : des salariés qui rédigent avec ChatGPT doivent connaître ses risques, comme les hallucinations.

3Que doit contenir une charte IA ? Le modèle commenté

Une charte IA contient dix articles : le périmètre, les outils, les données, les usages encouragés, les usages interdits, la vérification, la transparence, la formation, le référent et le suivi. Les voici, avec notre note dans la marge.

Plusieurs articles du modèle renvoient à nos autres notes :

• la règle des trois couleurs, détaillée dans notre note sur l’IA et la confidentialité des données ;
• le tableau qui relit quoi selon ce que l’IA a produit, à reprendre en annexe 3 ;
• l’automatisation des tâches, pour un usage validé qui revient chaque jour ;
• les règles propres à un agent IA, qui agit lui-même dans vos logiciels : accès réduits, validations humaines, journal des actions.

4Comment rédiger une charte IA : la méthode en cinq étapes

La charte s’écrit à partir des usages de l’équipe : le modèle donne la forme, le relevé donne le fond.

1. Relever les usages réels. Un questionnaire anonyme de cinq questions : quels outils, quels comptes, pour quelles tâches, avec quels documents. L’anonymat fait remonter les comptes personnels.
2. Classer les données. Chaque métier liste ses documents courants et leur donne une couleur. Les contrats des clients se relisent au passage : confidentialité, sous-traitants, clause sur l’IA.
3. Choisir les outils et régler les comptes. Une offre pour les entreprises ou une API sous contrat, l’entraînement coupé, le pays de traitement connu, avec l’avis du délégué à la protection des données.
4. Écrire court, puis faire lire. Trois personnes de métiers différents lisent le texte : chaque passage compris de travers se réécrit.
5. Présenter, former, diffuser. Le CSE quand il le faut, une séance de prise en main sur les tâches de l’équipe, puis la diffusion avec accusé de lecture.

5Charte IA et CSE : quand faut-il le consulter ?

À partir de 50 salariés, le CSE est consulté sur « l’introduction de nouvelles technologies » (article L2312-8 du Code du travail) et, avant leur mise en œuvre, sur les moyens de contrôle de l’activité des salariés (article L2312-38). Trois questions situent votre cas.

Ce qu’ont décidé les juges

Trois ordonnances de référé, commentées par le cabinet CMS Francis Lefebvre, montrent où passe la ligne :

• Nanterre, 14 février 2025 (n° 24/01457) : une « phase pilote » qui faisait déjà travailler les salariés concernés avec les outils d’IA valait mise en œuvre. Le déploiement est suspendu jusqu’à la fin de la consultation.
• Paris, 10 février 2026 (n° 25/57412) : un essai de Copilot 365 sur quatre mois, avec des volontaires, sans tâche ni poste visés, n’exigeait pas encore de consultation.
• Nanterre, 29 janvier 2026 (n° 25/02856) : le remplacement d’un logiciel de compétences qui utilisait déjà l’IA demandait une consultation, parce que les nouveaux outils touchaient tous les salariés et nourrissaient les entretiens annuels.

Le juge regarde donc les effets sur le travail plus que la technologie. Une présentation au CSE avant le déploiement coûte une réunion ; une suspension arrête les outils pendant toute la consultation.

Le règlement intérieur

Une charte qui fixe des règles générales et permanentes de discipline, avec des sanctions, devient une adjonction au règlement intérieur (article L1321-5).

Elle suit alors sa procédure : avis du CSE, transmission à l’inspection du travail, publicité, entrée en vigueur au plus tôt un mois plus tard (article L1321-4). Le règlement intérieur est obligatoire à partir de 50 salariés, douze mois après le franchissement du seuil (article L1311-2).

6Charte IA et RGPD : ce qu’elle doit couvrir

Dès qu’une demande contient une donnée personnelle, le RGPD s’applique, et l’entreprise doit pouvoir démontrer qu’elle le respecte (articles 5 et 24). La charte en est une pièce si elle couvre quatre points :

• Les outils sous contrat. L’éditeur d’une offre pour les entreprises agit en général comme sous-traitant : l’article 28 demande un contrat, souvent appelé DPA.
• Les données sensibles. La santé, les opinions, l’origine et les autres catégories de l’article 9 passent en rouge par défaut.
• L’analyse d’impact. La CNIL recommande d’associer le délégué à la protection des données et, le cas échéant, de mener une analyse d’impact (article 35).
• L’incident. Une donnée personnelle confiée au mauvais outil peut constituer une violation, à notifier à la CNIL dans les 72 heures si elle présente un risque pour les personnes (article 33).

Les offres des éditeurs et leurs réglages ont leur propre note, sur ce qu’on peut confier à une IA.

Nous suivons nous-mêmes une charte de cet ordre : les accès de nos clients restent hors des assistants d’IA, leurs données passent par une offre pour les entreprises ou une API sous contrat, et chaque contenu est relu par un humain avant sa mise en ligne, comme le décrit notre page Méthode.

7En finance et en santé : ce que la charte ajoute

En finance

Banques, assureurs, sociétés de gestion et établissements de paiement appliquent depuis le 17 janvier 2025 le règlement (UE) 2022/2554, dit DORA.

Un assistant d’IA en ligne y est un service informatique fourni par un prestataire tiers : son contrat entre dans le registre d’informations de l’article 28. L’article 2 de la charte renvoie à ce registre, et seuls les outils qui y figurent servent au travail.

En santé

Les données de santé font partie des catégories particulières de l’article 9 du RGPD. Leur hébergement pour le compte d’un cabinet, d’une clinique ou d’un laboratoire demande un hébergeur certifié HDS (article L1111-8 du Code de la santé publique).

La charte les place en rouge, sauf dans l’outil choisi pour elles avec le délégué à la protection des données.

8Avant de diffuser la charte

Une dernière liste, avant la diffusion. Vos cases restent cochées sur cet appareil.

Les participants à nos formations IA repartent avec des demandes prêtes à servir et des règles communes écrites noir sur blanc. La charte donne à ces règles une place durable dans l’entreprise.

Questions fréquentes

Sur le même sujet

IA et confidentialité des données : ce que nous confions à une IA, et ce que nous gardons pour nous IA Pour comprendre Lire la note L’IA en entreprise : où elle fait gagner du temps, et ce qu’elle coûte IA Pour comprendre Lire la note Agent IA : ce que c’est, ce qu’il fait en PME, comment l’encadrer IA Pour comprendre Lire la note