Charte IA en entreprise : la rédiger en 7 points
Dans beaucoup d'entreprises, l'IA est déjà là avant la règle. Un commercial reformule ses mails avec ChatGPT, une assistante traduit un contrat avec un outil en ligne, un manager colle un compte-rendu dans un chatbot. Une charte IA ne sert pas à interdire : elle sert à dire clairement ce qui est permis, ce qui ne l'est pas, et pourquoi. Voici une méthode en 7 points, appuyée sur deux sources officielles françaises : la CNIL et l'ANSSI.
Pourquoi une charte IA, et pourquoi maintenant
Une charte IA (on parle aussi de politique d'usage de l'IA) est un document court qui fixe les règles d'utilisation des outils d'IA générative dans votre organisation. L'IA générative, ce sont les outils qui produisent du texte, des images ou du code à partir d'une consigne : ChatGPT, Copilot, Gemini, Mistral Le Chat, etc.
Ce n'est pas une idée de consultant. Le 18 juillet 2024, la CNIL a publié ses questions-réponses sur l'utilisation d'un système d'IA générative. Elle y recommande explicitement d'adopter une politique ou une charte interne qui liste les usages autorisés et les usages interdits, de former les utilisateurs et de mener des contrôles réguliers.
De son côté, l'ANSSI (l'agence nationale de la sécurité des systèmes d'information) a publié le 29 avril 2024 un guide intitulé « Recommandations de sécurité pour un système d'IA générative ». Sa recommandation R34 est sans ambiguïté : proscrire l'utilisation d'outils d'IA générative sur Internet pour un usage professionnel impliquant des données sensibles.
Autrement dit : si vous n'écrivez pas la règle, chacun invente la sienne. Et c'est là que les fuites de données arrivent.
Les 7 points d'une charte IA utile
1. Partir des usages réels, pas d'un texte juridique
La CNIL recommande de partir de besoins concrets. Avant d'écrire une ligne, faites un tour rapide des équipes : qui utilise quoi, pour quelle tâche ? Vous découvrirez souvent trois ou quatre usages dominants : rédiger et reformuler des mails, résumer des documents, préparer des réunions, traduire.
Votre charte doit parler de ces usages-là, avec des exemples métier. Un texte générique de dix pages que personne ne lit ne protège personne.
2. Lister les outils autorisés
Nommez les outils validés par l'entreprise et le type de compte à utiliser. La CNIL recommande, pour un service grand public utilisé sur des usages non confidentiels, de passer par une adresse professionnelle dédiée plutôt qu'une adresse personnelle, et de désactiver, quand c'est possible, la réutilisation des données par le fournisseur.
Un outil non listé n'est pas forcément interdit pour toujours : prévoyez simplement la procédure pour en demander la validation.
3. Classer les données : ce qu'on peut donner à l'IA, et ce qu'on ne donne jamais
C'est le cœur de la charte. L'ANSSI rappelle qu'envoyer des informations à un service d'IA générative grand public revient à les déposer sur un espace de stockage qui appartient au fournisseur. Elle cite comme données à ne jamais y envoyer notamment les données personnelles et les données contractuelles, juridiques ou financières de l'entreprise, ainsi que les secrets informatiques comme les mots de passe ou les clés d'API.
Un tableau simple suffit souvent :
| Type d'information | Outil grand public | Outil validé par l'entreprise |
|---|---|---|
| Texte public, idée, plan, reformulation sans nom | Autorisé | Autorisé |
| Document interne non sensible (procédure, trame) | Interdit | Selon la règle interne |
| Données personnelles (clients, salariés, candidats) | Interdit | Seulement si le DPO a validé |
| Contrats, chiffres financiers, stratégie | Interdit | Selon la règle interne |
| Mots de passe, clés d'accès | Interdit | Interdit |
Adaptez la colonne de droite à votre situation : elle dépend du contrat signé avec le fournisseur et de son hébergement. Pour les données sensibles, la CNIL indique qu'une solution déployée « sur site » (on premise, c'est-à-dire installée sur vos propres serveurs) limite les risques.
4. Fixer les usages interdits
Au-delà des données, certains usages posent problème en eux-mêmes. La CNIL cite par exemple le fait de confier des décisions au système. L'ANSSI, dans sa recommandation R9, demande de proscrire l'usage automatisé de systèmes d'IA pour des actions critiques sur le système d'information.
Concrètement, votre charte peut préciser :
- pas de décision RH (recrutement, évaluation, sanction) prise par l'IA ;
- pas d'envoi automatique à un client d'un texte généré sans relecture ;
- pas d'action automatique sur des comptes, des paiements ou des accès.
5. Imposer la relecture humaine
Une IA générative peut produire une réponse fausse avec un ton très sûr. La CNIL demande aux utilisateurs de vérifier l'exactitude des résultats, de rechercher les sources, de vérifier l'absence de plagiat et de biais, et de ne jamais reproduire les réponses telles quelles.
Formulez-le simplement : « Vous restez l'auteur de tout ce que vous envoyez. L'IA propose, vous vérifiez, vous signez. »
6. Encadrer les connexions aux outils métier
Les assistants IA se branchent de plus en plus sur la messagerie, l'espace documentaire ou la visioconférence. L'ANSSI recommande (R35) de revoir les droits d'accès de ces outils dès leur activation, puis régulièrement, par exemple tous les mois, pour vérifier qu'ils ne voient pas plus de données que nécessaire.
Dans la charte, indiquez qui a le droit d'activer une connexion et qui contrôle les droits : en général la DSI ou le prestataire informatique.
7. Nommer un référent et prévoir la formation
La CNIL recommande d'associer le DPO (délégué à la protection des données), en lien avec le RSSI (responsable de la sécurité informatique) si besoin, et de prévoir un point de contact pour remonter les difficultés. Elle suggère aussi de responsabiliser les utilisateurs, par exemple avec une formation obligatoire avant utilisation.
Une charte sans formation reste lettre morte. Les équipes doivent comprendre pourquoi la règle existe, et surtout comment bien utiliser l'IA dans le cadre fixé. C'est aussi ce que demande l'obligation de maîtrise de l'IA de l'AI Act, que nous détaillons dans notre article sur la formation IA en entreprise en 5 étapes.
Un modèle de structure prêt à adapter
Votre charte peut tenir sur deux pages. Voici une trame :
- Objectif : en trois lignes, pourquoi l'entreprise encourage l'IA et pourquoi elle fixe un cadre.
- Outils autorisés : liste, type de compte, réglages obligatoires.
- Données : le tableau du point 3.
- Usages encouragés : cinq exemples métier concrets (mail, synthèse, préparation de réunion, trame de document, traduction de texte non sensible).
- Usages interdits : la liste du point 4.
- Règle de relecture : une phrase claire.
- Contacts : référent IA, DPO, DSI.
- Formation et mise à jour : qui est formé, quand, et date de la prochaine révision.
Le prompt pour rédiger un premier jet
Vous pouvez demander à un outil d'IA de vous aider à rédiger la trame, sans y mettre aucune donnée sensible. Exemple :
Tu es juriste en droit du numérique dans une PME française de 80 salariés (secteur : services B2B). Rédige une charte d'utilisation de l'IA générative de deux pages maximum, au « vous », en langage simple. Structure : objectif, outils autorisés, données interdites, usages encouragés avec 5 exemples métier, usages interdits, règle de relecture humaine, contacts, formation. Appuie-toi sur les recommandations de la CNIL et de l'ANSSI sur l'IA générative. Termine par une liste de 5 points à faire valider par notre DPO.
Ensuite, relisez, adaptez à votre contexte et faites valider par votre DPO et, si vous en avez, votre DSI. Le premier jet de l'IA est un brouillon, pas un document juridique.
Ce que ça change pour vous
Une bonne charte rassure tout le monde. Les équipes savent qu'elles ont le droit d'utiliser l'IA, et dans quelles limites. La direction réduit le risque de fuite de données. Et le manager n'a plus à trancher au cas par cas.
Comptez une à deux semaines : un tour des usages, une réunion avec le DPO et l'informatique, une rédaction courte, puis une présentation aux équipes accompagnée d'une formation pratique. Si vous voulez être accompagné sur cette dernière étape, consultez notre offre de formation IA pour managers et équipes.