Charte IA en entreprise : règles et déploiement

Une charte d’usage de l’IA définit les usages autorisés, les données que vous pouvez transmettre, les contrôles humains attendus et la conduite à tenir en cas d’incident. Pour être applicable, elle doit associer des règles compréhensibles, une liste d’outils approuvés et des responsables identifiés. Les exemples ci-dessous constituent une base à adapter à votre activité, à vos contrats et aux obligations applicables.

Définir le périmètre avant de rédiger les règles

Commencez par décrire ce que la charte couvre : rédaction, traduction, recherche, analyse documentaire, génération d’images, assistance au développement et automatisation. Incluez les fonctions IA intégrées aux logiciels déjà utilisés, les extensions et les services accessibles depuis un navigateur. Une fonction activée dans un logiciel existant mérite le même examen qu’un nouvel abonnement.

Précisez également les personnes concernées : salariés, dirigeants, stagiaires et prestataires intervenant pour l’entreprise. Pour les intervenants externes, traduisez les exigences pertinentes dans les instructions et les contrats adaptés. Une publication sur l’intranet ne garantit pas qu’un sous-traitant connaisse vos règles.

Organisez ensuite le dispositif autour de documents distincts :

la charte expose les principes et les responsabilités ;
le catalogue indique les outils et usages approuvés ;
les procédures expliquent comment demander une autorisation ou signaler un incident ;
les fiches métier donnent des exemples acceptables et interdits.

Cette organisation évite de réécrire toute la charte à chaque évolution commerciale. Chaque document doit porter une date, un responsable et un emplacement de référence.

Recensez les usages réels avant de décider. Le shadow AI, c’est-à-dire l’utilisation d’outils IA hors du cadre connu de l’organisation, se repère aussi en demandant aux équipes comment elles accomplissent leurs tâches. Le catalogue des outils IA par besoin peut aider à nommer les familles d’usages, sans valoir autorisation de les employer.

Distinguer politique interne et conformité juridique

La charte transforme vos choix en consignes de travail. Elle ne remplace ni l’examen d’un contrat fournisseur, ni l’analyse d’un traitement de données personnelles, ni les démarches nécessaires pour un usage réglementé. Évitez donc une formule générale affirmant que tout usage conforme à la charte serait automatiquement conforme au droit.

Pour la France et le marché européen, faites examiner les usages concernés sous l’angle de la protection des données, du droit du travail, de la confidentialité, de la propriété intellectuelle et du règlement européen sur l’IA. Les obligations varient selon le système, sa finalité et votre rôle. L’article AI Act : ce qui change pour les agents IA permet d’approfondir ce dernier point.

La Commission européenne explique que les actions de maîtrise de l’IA doivent tenir compte du contexte, des risques et des connaissances des personnes concernées. Sa FAQ sur la maîtrise de l’IA, consultée le 24 octobre 2026, ne présente pas la lecture d’une charte comme une garantie suffisante de préparation.

Règle proposée : tout projet touchant au recrutement, à l’évaluation des personnes, à la santé, au crédit ou à une autre décision sensible doit être soumis à un examen préalable. L’autorisation générale d’un assistant de rédaction ne couvre pas ces finalités.

Avant d’intégrer la charte au dispositif interne, faites vérifier les formalités applicables, notamment au regard de ses conséquences pour les salariés. Séparez clairement les obligations légales, les engagements contractuels et les restrictions supplémentaires décidées par l’entreprise.

Classer les données et autoriser des usages précis

Une règle exploitable répond à une situation : quelle donnée, dans quel outil, pour quelle tâche ? L’autorisation d’un logiciel ne doit pas être interprétée comme l’autorisation d’y déposer tous les documents de l’entreprise.

La CNIL recommande notamment de définir les conditions d’usage et de contrôler les informations introduites dans les outils. Sa fiche destinée aux TPE et PME, consultée le 24 octobre 2026, constitue un point de départ pour cette politique interne.

La grille suivante est un exemple de classement interne, à adapter à votre système documentaire.

Critère	Données publiques	Données internes	Données confidentielles ou à protection renforcée
Exemple	Brochure déjà publiée	Procédure non publique	Dossier client, information de santé, secret technique
Utilisation proposée	Dans un outil approuvé pour la tâche	Dans un environnement explicitement autorisé	Après examen spécifique ou interdite selon le cas
Contrôle avant transmission	Vérifier le statut public et les droits	Retirer les informations inutiles	Vérifier nécessité, destinataires et garanties
Sortie produite	Relire avant diffusion	Conserver le classement approprié	Appliquer les restrictions liées aux informations contenues

Les catégories se recoupent : une donnée personnelle peut être publique, et une donnée commerciale peut être confidentielle sans identifier de personne. Ne déduisez jamais l’autorisation de traitement de la seule présence d’une information sur Internet.

Règle proposée : en cas de doute sur le classement, ne transmettez pas le document et demandez une qualification au responsable désigné. Retirer un nom ne suffit pas toujours à empêcher l’identification : une fonction rare, une adresse ou un contexte détaillé peuvent rester révélateurs. Prévoyez des exemples fictifs utilisables pour les exercices.

Tenir un catalogue d’outils et de configurations approuvés

Le catalogue doit identifier le service, l’offre contractuelle, le compte professionnel et les fonctions autorisées. Une même marque peut proposer des conditions différentes selon l’abonnement, l’interface ou le mode d’accès. L’approbation doit donc porter sur une configuration déterminée.

Pour chaque entrée, renseignez le responsable métier, les utilisateurs concernés, les données permises et les finalités acceptées. Ajoutez les conditions examinées : conservation des conversations, utilisation éventuelle des données pour améliorer les modèles, suppression, accès administrateur, sous-traitants et transferts. Si un point reste inconnu, consignez cette incertitude avant de décider.

Règle proposée : les usages professionnels passent par les comptes approuvés par l’entreprise. L’utilisateur ne peut pas activer seul une extension, une connexion documentaire ou un accès à la messagerie. Chaque ajout qui élargit les données accessibles ou les actions possibles exige une nouvelle validation.

Prévoyez aussi le départ des personnes et l’arrêt du service : retrait des accès, révocation des connexions, transfert des éléments utiles et suppression selon les règles retenues. Un compte partagé rend ces opérations et l’attribution des actions plus difficiles.

Un outil installé localement demande également un examen. Vérifiez les communications sortantes, les mises à jour, les journaux et les éventuels services distants utilisés. Le lieu d’exécution ne décrit pas, à lui seul, tout le parcours des données.

Pour documenter ce parcours, l’article Agents IA et RGPD : quelles données partent, et où ? complète utilement le catalogue. Conservez les justificatifs contractuels et techniques à côté de la décision d’approbation.

Écrire des règles de vérification et de diffusion

Une hallucination est une réponse plausible mais fausse ou non étayée. La charte doit préciser ce que signifie vérifier : retrouver une source, contrôler un calcul, comparer avec le document original ou tester un programme. Une simple relecture de fluidité ne couvre pas ces opérations.

Règle proposée : toute production utilisée dans un livrable professionnel fait l’objet d’un contrôle proportionné à ses conséquences. La personne qui valide doit avoir les compétences, le temps et l’accès aux sources nécessaires. Si ces conditions manquent, la production ne peut pas être considérée comme vérifiée.

Déclinez cette règle par tâche :

pour un résumé, contrôler les faits, les réserves et les passages omis ;
pour un calcul, reprendre les données et vérifier le résultat indépendamment ;
pour une recherche, ouvrir les sources citées et vérifier qu’elles soutiennent les affirmations ;
pour du code, examiner les modifications et effectuer les vérifications adaptées ;
pour une traduction engageante, faire contrôler les termes techniques et les obligations exprimées.

Traitez aussi les droits sur les contenus. L’utilisateur doit être autorisé à fournir les documents sources et vérifier les conditions de réutilisation du résultat. Une réponse générée ne constitue pas une preuve de propriété ni une garantie d’absence de reprise protégée.

Enfin, définissez les règles de transparence : quand signaler une assistance IA, qui approuve une publication et comment informer une personne qui interagit avec un système automatisé. Ces choix doivent tenir compte des obligations applicables et des engagements envers les clients. Interdisez explicitement les citations, références et témoignages fabriqués.

Encadrer les agents capables d’agir

Un assistant qui propose un texte et un agent qui envoie ce texte présentent des conséquences différentes. Pour les systèmes connectés aux fichiers, aux logiciels métier ou à la messagerie, la charte doit encadrer les actions, les destinataires et les moyens d’arrêt.

L’injection de prompt consiste notamment à introduire des instructions malveillantes dans un contenu lu par le système. Un document reçu ou une page consultée ne doit pas acquérir le pouvoir d’autoriser une action. Les recommandations de sécurité de l’ANSSI pour les systèmes d’IA générative, consultées le 24 octobre 2026, fournissent un cadre technique complémentaire.

Règle proposée : tout agent reçoit uniquement les accès nécessaires à sa tâche. Les envois externes, paiements, suppressions et modifications sensibles nécessitent une validation définie avant le démarrage. Une demande générale d’accomplir une tâche ne vaut pas autorisation de modifier les permissions.

La validation doit montrer l’action réelle : destinataire, contenu, montant éventuel, fichiers concernés et conséquences attendues. Une demande vague de poursuivre ne permet pas un contrôle éclairé.

Prévoyez également des limites de consommation, une durée d’exécution adaptée, des journaux utiles et un responsable capable de suspendre le fonctionnement. Testez le retrait des accès et le retour à un traitement manuel avant le passage en production.

La charte énonce les exigences ; les équipes techniques doivent les traduire en réglages effectifs. Le guide Sécuriser un agent IA détaille cette traduction, et le diagnostic de sécurité du Labo aide à repérer les points à examiner.

Répartir les responsabilités et traiter les exceptions

Évitez de confier toute la responsabilité à l’utilisateur final. L’entreprise choisit les outils, définit les accès et organise les contrôles ; l’utilisateur applique les consignes, vérifie les éléments relevant de sa compétence et signale les difficultés. La validation humaine ne corrige pas un défaut d’organisation.

Définissez les rôles, même si une petite structure en regroupe plusieurs :

la direction approuve la politique et arbitre les moyens ;
le responsable métier décrit la tâche et accepte les résultats ;
l’informatique administre les comptes, les connexions et les accès ;
la sécurité examine les risques techniques et les incidents ;
les fonctions juridique, protection des données et ressources humaines interviennent selon les enjeux.

Pour chaque usage approuvé, désignez un responsable et son remplaçant. Indiquez aussi qui peut interrompre le service. Une décision collective sans personne chargée de son application reste difficile à faire respecter.

Règle proposée : toute exception est demandée avant l’usage, documentée et limitée à un périmètre précis. Elle indique la finalité, les données, les utilisateurs, les contrôles compensatoires, la personne qui décide et la condition de fin. Elle ne permet pas de déroger à une obligation légale ou contractuelle.

Prévoyez un état intermédiaire clair : tant que la demande n’est pas approuvée, l’usage concerné reste suspendu. Donnez néanmoins une solution de travail autorisée pour éviter qu’une procédure trop lente pousse aux contournements.

Conservez enfin une trace des refus et de leurs motifs. Des demandes répétées peuvent révéler un besoin métier que le catalogue actuel ne couvre pas.

Préparer une procédure de signalement utilisable

La charte doit expliquer quoi faire après une erreur, sans exiger que l’utilisateur sache déjà qualifier juridiquement l’événement. Une pièce jointe confidentielle transmise au mauvais service, un lien de conversation rendu public ou une action inattendue d’un agent doivent pouvoir être signalés immédiatement.

Règle proposée : l’utilisateur cesse les opérations susceptibles d’aggraver l’incident, contacte le point d’entrée désigné et conserve les éléments utiles selon les instructions reçues. Il ne cherche pas à dissimuler l’erreur en effaçant les traces. Il ne recopie pas les données exposées dans un canal supplémentaire pour expliquer le problème.

Le formulaire de signalement peut demander le service concerné, le moment de l’événement, la nature des informations et les actions déjà réalisées. Les équipes compétentes évaluent ensuite l’exposition, retirent les accès si nécessaire et organisent les mesures correctives.

Pour une violation de données personnelles, la CNIL distingue documentation interne, notification à l’autorité selon le risque et information des personnes en cas de risque élevé, sous réserve des exceptions applicables. Le délai de notification est, si possible, de 72 heures au plus tard après en avoir pris connaissance : référence consultée le 24 octobre 2026 dans le chapitre du RGPD publié par la CNIL. Ce délai ne constitue pas un délai d’attente pour le signalement interne.

Après traitement, mettez à jour les réglages et les exemples de formation. Organisez un retour d’expérience factuel qui permette de corriger la cause, au-delà de la seule erreur individuelle.

Déployer la charte par étapes

Le prérequis est un responsable de déploiement disposant d’un catalogue initial, d’un canal de support et d’interlocuteurs pour les questions sensibles. Le guide Déployer des agents IA en entreprise replace cette démarche dans l’organisation générale d’un projet.

Recenser les pratiques. Interrogez les équipes sur les tâches, les données et les connexions utilisées. Recherchez aussi les fonctions IA intégrées aux logiciels existants.
Rédiger les décisions concrètes. Pour chaque situation fréquente, précisez ce qui est permis, interdit ou soumis à validation. Testez la compréhension des formulations avec les utilisateurs.
Faire examiner le dispositif. Vérifiez les aspects techniques, contractuels, sociaux et liés aux données. Corrigez les écarts entre les règles écrites et les capacités des outils.
Lancer un pilote limité. Utilisez des tâches représentatives, avec des informations adaptées au périmètre autorisé. Observez les erreurs, les demandes d’aide et le temps de vérification.
Former avant l’élargissement. Faites pratiquer la détection d’une source inventée, le classement d’un document et le signalement d’un incident. Une attestation de lecture ne mesure pas ces capacités.
Publier et réviser. Rendez la version applicable facile à retrouver, annoncez les changements et retirez les documents périmés.

Choisissez des indicateurs utiles : qualité après vérification, corrections nécessaires, incidents, demandes d’exception et coûts complets. Le nombre de comptes ouverts décrit l’accès au service, pas son utilité. Associez aux mesures de temps le travail de contrôle et de reprise.

Problèmes fréquents et vérifications avant publication

Les règles restent abstraites. Remplacez les seules notions de prudence ou d’éthique par des situations observables. Une consigne doit permettre à une personne de décider si elle peut transmettre un document ou diffuser une réponse.

Le catalogue ne correspond pas au travail réel. Identifiez les besoins sans solution approuvée, puis proposez une alternative ou une procédure d’examen. Une interdiction sans moyen de travailler favorise les usages cachés.

La validation humaine devient automatique. Vérifiez que le contrôleur dispose des informations nécessaires et peut refuser ou interrompre l’action. Si les résultats arrivent trop vite pour être examinés, réduisez le périmètre ou le rythme.

Les journaux créent une nouvelle exposition. Définissez leur contenu, leurs accès et leur conservation. Expliquez aux personnes concernées les contrôles réalisés ; collecter toutes les conversations ne constitue pas une politique de sécurité en soi.

Personne ne révise les autorisations. Faites déclencher un réexamen lors d’un changement de contrat, de connexion, de finalité ou de catégorie de données. L’approbation passée ne couvre pas automatiquement un usage élargi.

Avant publication, vérifiez les points suivants :

Le périmètre et les personnes concernées sont définis.
Les usages autorisés correspondent à des configurations identifiées.
Les règles de transmission des données comportent des exemples.
Les contrôles humains sont réalisables et attribués.
Les actions des agents disposent de limites et d’un moyen d’arrêt.
Le signalement, les exceptions et les responsabilités sont documentés.
La formation comporte des exercices adaptés aux métiers.
La version applicable, son responsable et les conditions de révision sont visibles.

Pages liées

Questions fréquentes

Une charte IA est-elle obligatoire dans toutes les entreprises ?

Il ne faut pas confondre le document appelé charte et les obligations applicables aux usages de l'IA. Celles-ci dépendent notamment des traitements de données, des systèmes utilisés et du contexte professionnel. Une charte aide à organiser ces obligations, mais sa signature ne constitue pas une preuve générale de conformité.

Qui doit rédiger la charte IA d'une PME ?

La direction peut confier la coordination à un responsable identifié, avec les personnes chargées de l'informatique, des ressources humaines et de la protection des données. Les utilisateurs métier doivent participer pour vérifier que les règles correspondent au travail réel. Les questions juridiques sensibles demandent une validation compétente.

Peut-on utiliser un compte IA personnel pour travailler ?

La charte doit répondre explicitement à cette question. Une règle prudente consiste à réserver les usages professionnels aux comptes administrés et approuvés par l'entreprise. Une autorisation exceptionnelle doit préciser les données permises et les conditions de suppression.

Faut-il indiquer l'utilisation de l'IA sur chaque document ?

Une mention systématique dépend de votre politique interne, des engagements contractuels et des obligations applicables au contenu. Distinguez la simple correction d'un texte, la génération substantielle et l'interaction automatisée avec une personne. La formulation retenue doit être exacte et compréhensible.

Comment garder la charte à jour quand les outils changent ?

Conservez les principes durables dans la charte et les paramètres variables dans des annexes administrées. Chaque changement de connecteur, de contrat ou de catégorie de données doit déclencher une vérification. Les utilisateurs doivent pouvoir identifier la règle actuellement applicable sans consulter d'anciennes pièces jointes.

Rédiger la charte d'usage de l'IA de son entreprise : contenu, exemples de règles, déploiement