Charte IA en entreprise : un modèle d’une page pour votre PME

2 novembre 2026

Une charte IA en entreprise tient sur une page. Mardi matin, votre assistante colle un devis dans ChatGPT pour soigner le mail d’envoi. Le nom du client, son adresse et le montant partent avec. Rien ne le lui interdisait. Rien ne l’y autorisait non plus.

Cette page règle le flou. Elle dit ce que l’équipe peut confier à l’IA, et ce qui lui est interdit. Elle nomme aussi qui décide. Présentée en réunion puis signée, elle laisse une trace datée. Une obligation européenne, en vigueur depuis le 2 février 2025, rend cette trace utile. Le modèle, plus bas, se copie sans laisser votre adresse e-mail.

Ce qu’une charte IA d’entreprise doit trancher

La CNIL recommande d’encadrer l’IA générative par « des politiques ou chartes internes ». Elles doivent définir « clairement les usages autorisés et les usages interdits ». C’est écrit dans ses questions-réponses sur l’IA générative, publiées en juillet 2024. Le même texte rappelle qui répond d’une erreur. Quand un salarié utilise mal l’IA, l’entreprise engage en général sa responsabilité.

Une charte de douze pages finit dans un tiroir. Une page se punaise à côté de l’écran. Inutile d’y recopier le RGPD. Gardez les gestes du quotidien. Notre article sur ChatGPT en entreprise en posait l’ébauche, en cinq lignes. Le modèle ci-dessous nomme en plus un décideur, et il se signe.

Le modèle de charte IA, à copier tel quel

Remplacez les crochets de cet exemple, puis retirez les lignes inutiles. Pour un PDF, collez le texte dans votre traitement de texte, puis exportez-le.

Charte d’utilisation de l’IA de [nom de l’entreprise]

Version du [date]. Référent IA : [prénom et nom].

1. Les outils autorisés

[Outil 1], [outil 2]. Aucun autre sans l’accord du référent.
Toujours avec un compte de l’entreprise, jamais avec un compte personnel.
L’option qui laisse le fournisseur réutiliser vos échanges reste désactivée.

2. Ce que vous pouvez confier à l’IA

Rédiger un premier jet : mail, annonce, compte rendu, fiche produit.
Reformuler, corriger ou traduire un texte sans donnée personnelle.
Résumer un document public, comme une notice ou une norme.
Chercher des idées ou bâtir un plan.

3. Ce qui est interdit

Saisir une donnée personnelle : nom, adresse, téléphone, RIB, santé.
Coller un contrat, un devis, un prix ou un document confidentiel.
Laisser l’IA décider seule d’une embauche ou d’une sanction.
Saisir un mot de passe ou un code d’accès.

4. Avant d’envoyer ou de publier

Relisez tout, puis vérifiez chaque chiffre et chaque nom propre.
Une réponse plausible peut être fausse : c’est une hallucination.
Signalez tout contenu généré qui pourrait passer pour vrai : photo, voix, vidéo.
Un client sait toujours quand il échange avec une IA.

5. Qui décide

Le référent valide tout nouvel outil et répond à vos questions.
Il tient la liste des signatures de cette charte.
En cas de doute, demandez avant d’agir.
Une donnée partie par erreur ? Prévenez le référent le jour même.

6. Engagement

J’ai lu cette charte et suivi sa présentation du [date]. Nom, date et signature.

Prochaine relecture : [date], ou dès l’arrivée d’un nouvel outil.

Les règles sur les comptes viennent de la CNIL, pour un service grand public. Le modèle interdit aussi toute donnée personnelle. C’est la règle la plus simple à tenir. Un outil couvert par un contrat de sous-traitance peut justifier une exception. Le référent la décide, outil par outil. Avant de l’accorder, posez au fournisseur nos trois questions sur l’hébergement des données.

Former vos collaborateurs à l’IA : ce que l’article 4 demande vraiment

L’AI Act, le règlement (UE) 2024/1689, consacre son article 4 à la « maîtrise de l’IA ». Il vise les fournisseurs et les « déployeurs », c’est-à-dire les utilisateurs professionnels. Une équipe qui rédige ses textes publicitaires avec ChatGPT est concernée, selon la Commission européenne. Elle doit être informée des risques propres à l’outil, comme les hallucinations.

L’article s’applique depuis le 2 février 2025. Il a été réécrit par le règlement (UE) 2026/1744, dit « omnibus IA ». Ce texte est entré en vigueur le 27 juillet 2026, rappelle la CNIL. L’article demande désormais « des mesures pour favoriser le développement de la maîtrise de l’IA ». Aucun niveau n’est fixé : l’entreprise n’a pas à « garantir un niveau spécifique » par salarié. Les autorités nationales contrôlent ce point depuis le 2 août 2026.

La charte n’est pas une exigence de l’article 4. Ni formation type ni certificat ne sont imposés, précise la Commission. Vous pouvez tenir un registre interne des formations et des consignes données. La charte signée peut ouvrir ce registre, avec sa date et ses signatures.

Mais la signature seule ne forme personne. Faire lire des consignes risque d’être inefficace, prévient aussi la Commission. Présentez la charte en réunion, exemples à l’appui. Apportez une réponse fausse mais plausible, tirée de vos propres essais. Puis faites signer, date de la séance comprise.

AI Act : ce qui s’ajoute depuis le 2 août 2026

L’article 50 s’applique depuis le 2 août 2026. Deux de ses obligations de transparence concernent une PME qui crée des contenus avec l’IA.

La première vise l’hypertrucage. C’est une image, un son ou une vidéo générés par l’IA. Il ressemble à du réel et peut passer pour authentique. Par exemple, votre équipe sur un chantier inventé. Ou la voix clonée de votre gérant. Le texte vous oblige à indiquer qu’il a été généré par une IA. L’information doit être claire, dès la première exposition. L’Union a créé trois icônes facultatives pour le signaler.

La seconde vise un texte généré, publié pour informer sur une question d’intérêt public. Il doit porter la même mention. Sauf s’il a été relu et que l’entreprise en assume la responsabilité éditoriale. Votre article de blog, relu et signé, n’a donc pas à porter de mention. C’est du moins notre lecture.

Reste l’assistant de discussion de votre site. Son fournisseur doit faire savoir aux visiteurs qu’ils échangent avec une IA. Vérifiez qu’il le fait avant de l’installer.

Qui décide : un nom, et parfois le CSE

Le nom du référent compte plus que le reste de la page. Aucune structure n’est exigée pour l’article 4, pas même un responsable IA, confirme la Commission. La CNIL y voit pourtant un intérêt. Avec un nom, chacun sait à qui signaler un problème.

À partir de cinquante salariés, le Code du travail ajoute deux étapes. Selon l’article L2312-8, le CSE est informé et consulté sur « l’introduction de nouvelles technologies ». Un outil d’IA ouvert à toute l’équipe peut en relever. Consultez le CSE avant le lancement.

Votre charte, elle, peut suivre une autre procédure. Le Code vise tout document qui fixe des obligations générales et permanentes de discipline. Il en fait une adjonction au règlement intérieur, quand il en existe un. Une charte assortie de sanctions peut entrer dans ce cas. L’article L1321-4 la soumet alors à l’avis du CSE. Elle est aussi communiquée à l’inspecteur du travail. Et elle n’entre en vigueur qu’un mois au moins après les formalités de publicité. Faites relire la clause de sanction par votre avocat.

Ce que la charte ne dira jamais

Même parfaite, une charte ne dit pas quelles tâches méritent l’IA. Au bout de trois mois, demandez au référent ce qui revient chaque semaine. Le relevé du lundi, la relance du jeudi : ces copier-coller signalent une tâche répétitive. Elle mérite une automatisation, ou un agent IA bien cadré.

L’audit d’automatisation part de ces tâches. Il les chiffre en heures par semaine, puis dit lesquelles confier à l’IA. Les tâches à garder y figurent aussi, avec la raison. L’audit dure 1 semaine et coûte 790 € HT. Remboursé si nous trouvons moins de 4 heures par mois à vous rendre. Vous gardez le document, même sans rien activer.

Une décision n’attend pas l’audit : le nom en haut de la charte.