Vos équipes utilisent déjà ChatGPT, Claude ou Copilot. La question n'est plus de savoir s'il faut une charte IA, mais ce qu'elle doit contenir pour être lue, comprise et appliquée. Voici un modèle de charte IA pour une PME, rubrique par rubrique, avec la méthode pour la déployer sans en faire un document de vingt pages que personne n'ouvre.
Réponse courte
Une charte IA (ou charte d'utilisation de l'IA) est un document interne qui fixe les règles d'usage des outils d'intelligence artificielle dans l'entreprise : quels outils sont autorisés, quelles données on peut y mettre, ce qu'il faut relire avant d'utiliser un résultat, ce que les agents connectés ont le droit de faire, et qui contacter en cas de doute. Une bonne charte tient en deux à quatre pages, s'appuie sur un ou deux outils officiels et se déploie avec une formation par métier. Elle ne garantit pas la conformité à elle seule, mais elle donne un cadre clair et une base face à l'AI Act et au RGPD.
Pourquoi une charte IA maintenant
Sans règle écrite, chaque salarié fixe la sienne : devis clients collés dans des comptes personnels, extensions installées sans que personne le sache, réponses d'IA envoyées sans relecture. C'est le shadow AI, et la charte en est le premier remède.
Il y a aussi une raison réglementaire. Depuis le 2 février 2025, l'AI Act demande aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA chez leur personnel (article 4). Une charte et une formation montrent que vous avez organisé ces usages. Le détail est dans mon article sur l'AI Act pour les entreprises.
Que doit contenir une charte IA ? Les 8 rubriques
Voici la structure que j'utilise avec les PME.
- Objet et périmètre : à qui s'applique la charte (salariés, prestataires) et quels outils elle couvre (assistants, IA intégrées aux logiciels, agents, transcription).
- Outils autorisés : la liste nominative des outils validés, avec le type de compte (entreprise, pas personnel). Tout le reste passe par une demande.
- Règle des données : ce qui peut aller dans quel outil. Je recommande une règle en trois couleurs, détaillée dans l'article sur le shadow AI : vert partout, orange seulement dans l'outil officiel, rouge dans aucune IA en ligne sans validation.
- Relecture humaine : tout contenu produit par une IA et envoyé à l'extérieur (client, fournisseur, administration) est relu par la personne qui l'envoie. Elle en reste responsable.
- Agents et connecteurs : les droits accordés aux IA branchées sur la messagerie, le CRM ou les fichiers partagés (voir plus bas).
- Transparence : quand indiquer qu'un contenu a été produit avec l'IA.
- Propriété et confidentialité : pas de document d'un client ou d'un partenaire dans une IA si le contrat l'interdit, pas de code source ni de secret d'accès dans un outil non validé.
- Référent et mise à jour : une personne à contacter en cas de doute ou d'incident, et une revue de la charte tous les trois à six mois.
Modèle de charte IA : exemple de formulation
Pour éviter la page blanche, voici le ton à viser. Des phrases courtes, des exemples concrets, pas de jargon juridique.
Outils autorisés. Pour un usage professionnel, utilisez uniquement les comptes entreprise mis à disposition (par exemple ChatGPT Business ou Claude Team). Les comptes personnels ne doivent pas recevoir de données de l'entreprise.
Données. Ne copiez jamais dans une IA des données de santé, des informations RH nominatives, des mots de passe ou des documents couverts par un accord de confidentialité, sauf outil validé pour cet usage. En cas de doute, demandez au référent IA.
Relecture. Un texte, un chiffre ou un code produit par une IA est une proposition. Vous le vérifiez avant de l'envoyer ou de l'utiliser.
Adaptez la liste des outils et la règle des données à votre activité : une agence de communication et un cabinet d'expertise comptable n'ont pas la même zone rouge. Le choix de l'outil officiel se fait sur vos usages : voir mon comparatif Claude vs ChatGPT en entreprise et le détail des offres ChatGPT Business et Enterprise.
Agents IA et connecteurs : la rubrique qu'on oublie
La plupart des chartes ont été écrites pour des assistants qui répondent à des questions. Or les outils actuels agissent : ils lisent les mails, mettent à jour un CRM, et parfois suppriment ou envoient.
Dans ma vidéo sur le sujet, je montre les trois garde-fous que j'applique avant de brancher une IA sur une boîte Gmail. Ce sont exactement les règles à écrire dans votre charte :
- Lecture seule par défaut : l'agent lit les mails et les documents, il n'efface rien.
- Une liste d'actions interdites : supprimer, vider la corbeille, envoyer, sans validation humaine.
- Un essai à blanc : avant toute action en masse, l'agent présente la liste de ce qu'il va faire, et rien ne part sans accord.
Ajoutez une règle simple : tout nouveau connecteur (messagerie, Drive, CRM, outil comptable) est validé par le référent avant d'être activé. Si vous découvrez le sujet, commencez par mon article sur le Model Context Protocol (MCP), le standard qui relie les IA à vos outils.
Comment rédiger et déployer la charte en 5 étapes
- Partir des usages réels. Un questionnaire anonyme de dix questions révèle les outils déjà utilisés et les tâches concernées. C'est le point de départ d'un audit IA.
- Choisir l'outil officiel avant d'écrire. Une charte qui interdit sans proposer d'alternative pousse les usages dans l'ombre.
- Rédiger court. Deux à quatre pages, des exemples par métier, une règle des données lisible en dix secondes.
- Valider avec les bonnes personnes. Direction, référent informatique, DPO ou conseil RGPD. Si vous voulez que la charte soit opposable et que son non-respect puisse être sanctionné, elle suit en principe la procédure du règlement intérieur (consultation du CSE s'il existe, communication à l'inspection du travail) : faites-le valider par votre conseil juridique.
- Former, puis revoir. La charte se présente en atelier, avec les cas d'usage de chaque équipe. C'est l'objet d'une formation IA en entreprise par métier. Prévoyez une revue tous les trois à six mois : les outils changent vite.
Les erreurs fréquentes
- Copier une charte trouvée en ligne sans l'adapter à vos outils et à vos données.
- Tout interdire : les usages passent sur les téléphones personnels.
- Promettre zéro risque : aucune charte ne garantit qu'aucune donnée ne sortira. L'objectif est de réduire les risques réels.
- Oublier les agents et ne jamais mettre la charte à jour.
En clair
Une charte IA utile est courte, concrète et accompagnée. Elle dit quels outils utiliser, quelles données y mettre, ce qu'il faut relire et ce que les agents ont le droit de faire. Le reste, c'est de la formation et du suivi.
C'est ce que je mets en place avec les PME : diagnostic des usages, des outils et des données, configuration de Claude ou ChatGPT avec des règles de confidentialité claires, rédaction de la charte et formation par métier. Si vous voulez en parler, réservez un appel, ou lisez d'abord l'IA en PME : par où commencer.
FAQ
Qu'est-ce qu'une charte IA en entreprise ?
C'est un document interne qui fixe les règles d'utilisation des outils d'intelligence artificielle : outils autorisés, données autorisées, relecture humaine, droits des agents connectés, transparence et référent à contacter.
La charte IA est-elle obligatoire ?
Aucun texte n'impose un document intitulé « charte IA ». Mais l'AI Act demande aux entreprises qui utilisent l'IA d'assurer un niveau suffisant de maîtrise de l'IA chez leur personnel, et le RGPD impose de maîtriser les traitements de données personnelles. Une charte, associée à une formation, est la façon la plus simple d'y répondre.
Que mettre dans une charte d'utilisation de l'IA ?
Huit rubriques suffisent : objet et périmètre, outils autorisés, règle des données, relecture humaine, agents et connecteurs, transparence, propriété et confidentialité, référent et mise à jour.
Faut-il consulter le CSE pour une charte IA ?
Si la charte crée des obligations dont le non-respect peut être sanctionné, elle suit en principe la procédure du règlement intérieur, ce qui inclut la consultation du CSE quand il existe. Faites valider ce point par votre conseil juridique.
Une charte IA suffit-elle à protéger les données de l'entreprise ?
Non. Elle fixe les règles, mais elle doit s'appuyer sur des outils officiels bien configurés et sur une formation qui montre les bons usages. Aucune charte ne garantit l'absence totale de fuite.