Charte IA en entreprise : contenu, modèle de plan et mise en place

Vos collaborateurs utilisent déjà l'IA générative, que ce soit prévu ou non. Sans règles claires, chacun fait comme il peut : certains n'osent pas s'en servir, d'autres collent des données sensibles dans des outils grand public. La charte IA est l'outil le plus simple pour sortir de ce flou : un document court qui dit ce qui est permis, ce qui ne l'est pas, et pourquoi.

Ce guide explique à quoi sert une charte IA, ce qu'elle doit contenir, propose un plan type et donne les étapes pour la déployer.

À quoi sert une charte IA ?

Une charte IA fixe le cadre d'utilisation de l'intelligence artificielle dans l'entreprise. Elle poursuit plusieurs objectifs à la fois :

• Protéger les données de l'entreprise, de ses clients et de ses salariés, en évitant qu'elles soient envoyées n'importe où. C'est la réponse directe au shadow AI.
• Sécuriser juridiquement l'usage de l'IA au regard du RGPD, du secret des affaires et de la propriété intellectuelle.
• Rassurer et encourager les équipes : une règle claire libère les usages autant qu'elle les limite.
• Répondre aux obligations réglementaires : depuis le 2 février 2025, l'AI Act impose aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour que leur personnel dispose d'un niveau suffisant de maîtrise de l'IA. Une charte, accompagnée d'une formation, en est une brique naturelle.

Ce que doit contenir une charte IA

Les outils autorisés

La liste des outils d'IA validés par l'entreprise, et pour chacun, les usages permis. Par exemple : l'assistant interne pour tout usage professionnel, un outil grand public seulement pour des contenus sans donnée interne. Une charte qui interdit tout sans proposer d'alternative est vouée à l'échec.

Les données interdites

C'est le cœur du document. La charte doit dire clairement quelles informations ne doivent jamais être saisies dans un outil externe : données personnelles (clients, candidats, salariés), données de santé, informations financières non publiques, secrets industriels, code source, documents confidentiels.

Les règles de vérification

L'IA peut se tromper avec aplomb. La charte rappelle que l'utilisateur reste responsable de ce qu'il produit : relire, vérifier les faits et les chiffres, ne jamais envoyer à un client un contenu généré sans contrôle.

La transparence

Quand faut-il signaler qu'un contenu a été produit avec l'aide de l'IA ? En interne, vis-à-vis des clients, dans les documents publiés ? La charte fixe la règle.

La propriété intellectuelle

Ne pas soumettre de contenus protégés appartenant à des tiers, faire attention aux images et textes générés utilisés publiquement, respecter les conditions d'utilisation des outils.

Les usages interdits

Certaines utilisations doivent être exclues explicitement : décisions automatisées sur des personnes sans intervention humaine (recrutement, évaluation), contournement des règles de sécurité, usages contraires à l'éthique ou à la loi.

La gouvernance

Qui valide un nouvel outil ? À qui poser ses questions ? Comment signaler un incident, par exemple une donnée sensible saisie par erreur ? Qui met la charte à jour ?

Un plan type de charte IA

L'objectif est un document de deux à quatre pages, lisible par tous. Une charte de vingt pages ne sera pas lue.

Le point clé : la classification des données

La façon la plus efficace de rendre une charte applicable est de relier chaque niveau de sensibilité des données à un type d'outil :

• Données publiques (contenus déjà publiés, informations générales) : tout outil autorisé.
• Données internes (notes, comptes rendus sans données personnelles) : outils validés avec garanties contractuelles, hébergement européen de préférence.
• Données confidentielles et personnelles (clients, RH, finances, contrats) : uniquement un outil dont l'entreprise maîtrise l'hébergement.

Pour ce dernier niveau, la solution la plus robuste est une IA locale : un modèle qui tourne sur vos serveurs ou en cloud souverain français, avec une interface comme Open WebUI. Les équipes disposent alors d'un outil autorisé pour tous leurs usages, y compris sensibles, et la charte devient simple à respecter.

Déployer la charte : les étapes

1. Faire un état des lieux des usages actuels, sans chercher de coupables : quels outils, pour quoi faire, avec quelles données.
2. Choisir les outils officiels, en particulier une alternative sécurisée aux assistants grand public.
3. Rédiger la charte avec les personnes concernées : direction, responsable informatique, délégué à la protection des données s'il existe, représentants des métiers.
4. Lui donner une valeur formelle. Si vous souhaitez l'annexer au règlement intérieur pour la rendre opposable, comme une charte informatique, les règles applicables à ce type de document s'appliquent, notamment la consultation des représentants du personnel. Faites-vous conseiller sur ce point.
5. Former les équipes : bons usages, risques, vérification des réponses. C'est aussi ce qui répond à l'exigence de maîtrise de l'IA de l'AI Act.
6. Réviser régulièrement : les outils et les usages évoluent très vite, une révision tous les six mois est un bon rythme.

Pour le volet données personnelles, notre article sur l'IA et le RGPD détaille les obligations à intégrer.

Conclusion

Une charte IA n'est pas une formalité administrative : c'est ce qui permet à vos équipes d'utiliser l'IA avec confiance, sans exposer l'entreprise. Pour qu'elle fonctionne, elle doit rester courte, relier chaque type de données à un outil autorisé, et surtout proposer une alternative sécurisée aux outils grand public. Une charte sans outil interne n'est qu'une liste d'interdits.

Chez Automato, nous accompagnons les entreprises sur les deux volets : la rédaction d'une charte IA adaptée à vos usages et à vos données, et le déploiement d'une IA privée, installée chez vous ou en cloud souverain français, pour que vos équipes aient un outil conforme à la charte. Vous voulez encadrer l'IA dans votre entreprise ? Parlons-en.