Vos équipes utilisent déjà l'IA. Écrivez les règles du jeu.

01Avant de commencer

La question que ce guide traite

Une commerciale colle un appel d'offres dans ChatGPT pour en tirer une synthèse. Un comptable demande à un agent gratuit de vérifier un tableau de paie. Un chef de projet traduit un contrat client avec l'outil qu'il utilise chez lui. Personne n'a mal agi : personne ne leur a dit ce qui était permis.

Qu'est-ce qu'on autorise, qu'est-ce qu'on interdit, et qui décide quand ce n'est pas clair ?

Une charte IA répond à ces trois questions sur deux pages. Ce guide explique ce qu'elle doit contenir, ce que les éditeurs font réellement de vos données, comment la rendre applicable dans votre entreprise, et il fournit un modèle Word à adapter. Les conditions des outils et les articles de loi cités ont été vérifiés le 24 octobre 2026 ; les numéros renvoient aux sources en fin de page.

02Le constat

L'IA est déjà dans votre entreprise, le plus souvent par la porte de derrière

En France, près d'un salarié du privé sur deux utilise l'IA générative dans son travail. La majorité le fait avec des outils grand public, et très peu ont un cadre.¹ Le phénomène n'est pas nouveau : dès 2024, 78 % des utilisateurs d'IA dans le monde apportaient leurs propres outils au travail.³

Enquête KPMG et Impact AI, réalisée par Viavoice auprès de 1 000 salariés du privé en février 2026. Enquête BCG auprès de plus de 10 600 salariés dans onze pays, publiée en juin 2025.

Le risque n'est pas l'usage, c'est l'usage invisible. Dans un outil grand public, ce que vous saisissez peut servir à entraîner le modèle (chapitre 4). Un appel d'offres, un fichier client ou une grille de salaires collés dans un compte personnel sortent de votre entreprise sans que personne ne le sache.

Interdire l'IA ne règle rien : l'usage continue, il devient seulement invisible. Une charte utile autorise un outil, dit ce qui ne doit pas y entrer, et donne quelqu'un à qui poser la question.

03Le modèle

Cinq règles font une charte : les outils, les données, la relecture, la transparence, le pilotage

Les chartes publiées par des collectivités et des universités font souvent dix pages.¹⁹²⁰ Dans une PME, deux suffisent si elles répondent à cinq questions. Chacune a son chapitre dans ce guide et son article dans le modèle.

Une charte qui ne fait qu'interdire échoue sur la première règle : sans outil autorisé, chacun garde le sien. La CNIL recommande d'ailleurs d'encadrer les usages par une liste d'utilisations autorisées et interdites, et de former les utilisateurs.⁴

04Règle 1 · Les outils

La vraie différence entre une offre gratuite et une offre professionnelle : ce que l'éditeur fait de vos données

La plupart des éditeurs utilisent par défaut, ou selon votre choix, les conversations de leurs offres grand public pour entraîner leurs modèles. Leurs offres professionnelles, elles, ne le font pas par défaut. Voici ce que disent leurs pages officielles au 24 octobre 2026.

Deux changements de nom récents : Le Chat de Mistral s'appelle Vibe depuis mai 2026, et Microsoft 365 Copilot est devenu Microsoft Copilot. Sur plusieurs offres, cliquer sur « pouce levé » ou « pouce baissé » peut transmettre la conversation à l'éditeur, même quand l'entraînement est désactivé.⁷¹¹

• Autorisez un outil, avec des comptes professionnels. C'est la règle qui fait le plus pour vos données. Si vous êtes sous Microsoft 365 ou Google Workspace, l'agent inclus dans votre abonnement est souvent le point de départ le plus simple.
• Excluez les comptes personnels pour le travail, même payants. Un abonnement Plus ou Pro reste une offre grand public.
• Nommez les outils dans la charte, avec l'offre et le type de compte. « Les outils validés par la direction » ne dit rien à personne.
• Prévoyez la sortie. Pour un outil qui n'est pas dans la liste, la charte dit à qui demander, et en combien de temps on répond.

05Règle 2 · Les données

Trois couleurs suffisent pour que chacun sache ce qu'il peut saisir

Une liste de vingt catégories de données ne se retient pas. Trois couleurs, si. Le classement dépend de l'outil : une donnée orange peut aller dans votre outil professionnel validé, jamais dans un outil grand public.

Cette règle s'appuie sur trois textes. L'ANSSI demande de ne jamais intégrer de données sensibles dans les requêtes adressées aux outils d'IA générative accessibles sur internet, et cite parmi elles les données personnelles, contractuelles, juridiques, financières et les secrets comme les mots de passe.⁶ La fiche de la CNIL et de France Num destinée aux PME conseille de ne pas introduire de données confidentielles, personnelles ou stratégiques dans les outils grand public.⁵

Enfin, le Code de commerce ne protège une information comme secret des affaires que si elle fait l'objet de « mesures de protection raisonnables ».¹² Notre lecture : une règle écrite sur ce qui ne doit pas entrer dans un outil d'IA fait partie de ces mesures. Sans elle, vous aurez plus de mal à soutenir qu'une information était protégée.

06Règle 3 · La relecture

L'IA prépare, une personne signe : rien ne part sans relecture

Un agent IA peut inventer un chiffre, une référence ou une clause avec le même aplomb qu'un fait exact. La règle la plus utile tient en une phrase : la personne qui envoie, publie ou décide est responsable du contenu, quelle que soit la part écrite par l'IA. La CNIL conseille de ne jamais reproduire telles quelles les sorties de ces systèmes.⁴

• Vérifiez ce qui engage : les chiffres, les dates, les noms, les références juridiques, les engagements de prix ou de délai.
• Pas d'envoi automatique vers l'extérieur tant que l'usage n'a pas fait ses preuves. L'ANSSI déconseille les actions critiques automatisées sans contrôle humain, comme une transaction ou une publication.⁶
• Pas de décision sur une personne par l'IA seule : recrutement, évaluation, sanction, refus d'un client. Ces usages relèvent du haut risque dans l'AI Act.¹⁸
• Le code généré se relit comme celui d'un collègue, et ne s'exécute pas sans contrôle.⁶

07Règle 4 · La transparence

Dire quand l'IA a servi : obligatoire dans trois cas, utile dans quelques autres

Mentionner l'IA sur chaque e-mail n'a pas de sens. La charte doit dire où la mention est obligatoire, et où elle est une politesse.

Pour le détail des obligations de l'article 50 et du reste du règlement, voyez notre guide sur l'AI Act pour les PME.

08Règle 5 · Le statut juridique

Une charte qui impose des obligations doit suivre la procédure du règlement intérieur

C'est le point que la plupart des modèles en ligne oublient. Le Code du travail traite comme une adjonction au règlement intérieur tout document qui comporte des obligations générales et permanentes en matière de discipline, de santé ou de sécurité.¹⁴ Une charte qui interdit, oblige et prévoit des sanctions en fait partie : elle suit donc la même procédure.

1. Soumettez la charte à l'avis du CSE.

   Le règlement intérieur, et ce qui lui est assimilé, ne peut être introduit qu'après cet avis.¹⁴ Dans une entreprise d'au moins 50 salariés, le CSE doit aussi être consulté sur l'introduction de nouvelles technologies et sur les moyens de contrôle de l'activité.¹⁶ Plusieurs tribunaux ont suspendu en 2025 des déploiements d'IA faute de consultation, y compris pendant une phase dite pilote.¹⁷

2. Portez-la à la connaissance de chaque salarié

   par un moyen qui laisse une trace : affichage, intranet, envoi avec accusé de lecture.¹⁴

3. Envoyez-la à l'inspection du travail,

   avec l'avis du CSE, en même temps que vous la rendez publique.¹⁴

4. Fixez une date d'entrée en vigueur

   au plus tôt un mois après la publicité. Chaque modification suivra la même procédure.¹⁴

09La méthode

Écrire la charte en cinq étapes, en partant des usages réels

1. Faites l'inventaire des usages, sans chasse aux sorcières.

   Demandez à chaque équipe quels outils elle utilise et pour quoi faire, en annonçant qu'aucun usage passé ne sera reproché. Vous découvrirez les vrais besoins, et les vrais risques.

2. Choisissez l'outil autorisé.

   Partez de celui qui couvre le plus d'usages et qui protège vos données (chapitre 4). Un seul outil au départ suffit souvent.

3. Classez vos données en trois couleurs,

   avec des exemples tirés de vos documents réels : vos devis, vos dossiers, vos fichiers.

4. Rédigez deux pages à partir du modèle.

   Remplacez chaque passage entre crochets. Supprimez ce qui ne vous concerne pas ; une règle inapplicable affaiblit les autres.

5. Validez, présentez, formez.

   Procédure du chapitre 8 si la charte impose des obligations, puis une présentation d'une heure par équipe avec des cas de son métier. Le règlement européen sur l'IA demande aux entreprises de favoriser la maîtrise de l'IA par leur personnel : une charte expliquée y contribue.¹⁸

10Le modèle

Un modèle en dix articles, à adapter plutôt qu'à signer tel quel

Charte d'utilisation de l'IA
├── Préambule                                 pourquoi la charte, son esprit
├── Article 1   Champ d'application
├── Article 2   Outils autorisés              règle 1
├── Article 3   Données                       règle 2, en trois couleurs
├── Article 4   Usages                        autorisés, à valider, interdits
├── Article 5   Relecture et responsabilité   règle 3
├── Article 6   Transparence                  règle 4
├── Article 7   Propriété intellectuelle
├── Article 8   Sécurité et incidents
├── Article 9   Référent et formation         règle 5
├── Article 10  Entrée en vigueur
└── Annexes                                   outils, demande d'usage, accusé de lecture

11Passer à l'action

Par où commencer lundi : une charte en quatre semaines, pas en quatre mois

1. Semaine 1

   Faites l'inventaire des usages, équipe par équipe, sans reproche.

2. Semaine 1

   Choisissez l'outil autorisé et ouvrez les comptes professionnels.

3. Semaine 2

   Classez vos données en trois couleurs et rédigez la charte à partir du modèle.

4. Semaine 3

   Validez : relecture par la direction, avis du CSE si la charte impose des obligations.

5. Semaine 4

   Présentez la charte à chaque équipe, avec des cas de son métier, et recueillez les accusés de lecture.

6. Dans six mois

   Relisez-la avec ce que le référent a appris : les questions posées, les usages demandés, les incidents.