Charte IA, que doit-elle réellement contenir ?

Vos collaborateurs utilisent peut-être déjà ChatGPT, Gemini ou Copilot pour rédiger des e-mails, analyser des documents ou préparer des propositions commerciales. Mais savent-ils quelles informations ils peuvent transmettre à ces outils, quelles décisions doivent rester humaines et qui contacter en cas de problème ? Une charte IA permet de définir ces règles avant qu'un mauvais usage ne mette l'entreprise en difficulté.

Une charte IA doit encadrer les usages, pas les empêcher

Une charte IA est un document interne qui précise les conditions d'utilisation de l'intelligence artificielle dans l'entreprise. Elle doit répondre à une question simple pour chaque collaborateur : qu'ai-je le droit de faire avec l'IA dans le cadre de mon travail ?

Il n'existe pas d'obligation générale imposant à toutes les PME de disposer d'une charte IA autonome. En revanche, l'entreprise doit respecter les règles applicables à ses usages, notamment celles relatives à la protection des données et au règlement européen sur l'intelligence artificielle.

La charte ne remplace donc pas une démarche de conformité. Elle traduit les règles retenues par l'entreprise en consignes compréhensibles et applicables au quotidien.

Définir les usages autorisés, encadrés et interdits

Le premier élément à formaliser concerne les tâches que les collaborateurs peuvent confier à l'IA. Nous recommandons de distinguer trois catégories.

Les usages autorisés peuvent comprendre la reformulation d'un texte non confidentiel, la préparation d'un plan de présentation ou la recherche d'idées.

Les usages soumis à validation concernent notamment l'analyse de documents internes, le traitement de données clients ou l'utilisation d'un outil connecté aux logiciels de l'entreprise.

Les usages interdits doivent être explicités. Par exemple, transmettre des informations stratégiques à un service non approuvé ou déléguer sans contrôle une décision susceptible d'affecter un salarié ou un client.

Ces catégories doivent être adaptées aux métiers. Les risques d'un service communication ne sont pas identiques à ceux des ressources humaines ou de la comptabilité.

Préciser quelles données peuvent être partagées

La confidentialité est souvent le premier risque à traiter. Un collaborateur peut copier un contrat, un tableau de rémunérations ou une liste de clients dans un outil IA sans mesurer les conséquences.

La charte doit identifier les informations à protéger : données personnelles, documents contractuels, informations financières, secrets commerciaux et données stratégiques.

Elle doit également expliquer les conditions permettant d'utiliser certaines données dans un outil approuvé. Le niveau de protection dépend notamment du fournisseur, des paramètres de confidentialité, des engagements contractuels et des traitements réalisés.

Disposer d'un abonnement professionnel ne suffit pas à garantir qu'un usage est conforme. Chaque solution doit être évaluée au regard des données qu'elle est amenée à traiter.

Identifier les outils autorisés et les modalités d'accès

Une charte efficace ne peut pas se contenter d'indiquer que les collaborateurs doivent utiliser des outils sécurisés. Elle doit préciser quelles solutions sont approuvées, pour quels usages et sous quelles conditions.

Il peut s'agir d'imposer l'utilisation de comptes professionnels, de définir les droits d'accès ou de demander une autorisation avant de connecter une IA à un logiciel métier.

Prévoyez également une procédure simple pour proposer un nouvel outil. Sans alternative adaptée aux besoins réels, une interdiction risque d'encourager les usages non déclarés.

Fixer les règles de vérification et de responsabilité

Une réponse produite par une IA peut sembler convaincante tout en contenant des erreurs. La charte doit donc préciser ce qui doit être vérifié avant utilisation.

Pour un brouillon de communication interne, une relecture peut suffire. Pour un devis, une analyse financière ou un document juridique, le contrôle doit porter sur les chiffres, les sources, les clauses et les conséquences possibles d'une erreur.

Les décisions sensibles, notamment celles concernant le recrutement ou les droits des personnes, nécessitent un encadrement renforcé. La charte doit désigner les personnes habilitées à valider les résultats et rappeler les responsabilités de chacun.

Elle doit aussi préciser quand l'utilisation de l'IA doit être signalée à un client, un partenaire ou un autre interlocuteur, selon le contexte et les obligations de transparence applicables. Ces questions rejoignent les enjeux abordés dans notre analyse sur la conformité IA en entreprise.

Prévoir la formation, les incidents et les mises à jour

Une charte n'est utile que si les équipes savent l'appliquer. Elle doit être accompagnée d'exemples concrets, d'un référent identifié et d'une procédure permettant de signaler une erreur, une fuite de données ou un usage inapproprié.

Le règlement européen sur l'IA prévoit, depuis le 2 février 2025, des mesures destinées à développer les compétences en IA des personnes qui utilisent ces systèmes pour le compte des organisations concernées. Faire signer une charte ne remplace pas la sensibilisation et la formation des collaborateurs.

Enfin, le document doit évoluer avec les outils et les pratiques. Une révision périodique, alimentée par les retours des équipes, permet d'actualiser les règles sans multiplier les contraintes inutiles.

Les éléments à vérifier dans une charte IA

Comment savoir si votre charte est réellement utile ?

Soumettez-la à trois situations courantes : un commercial souhaite analyser un fichier clients, un recruteur veut comparer des candidatures et un responsable administratif envisage de connecter une IA à son logiciel de gestion.

Si votre charte permet de savoir immédiatement ce qui est autorisé, quelle validation demander et quelles précautions prendre, elle remplit sa fonction.

L'objectif n'est pas de produire un document juridique supplémentaire. Il est de permettre aux équipes d'utiliser l'IA avec des règles claires, adaptées à leurs responsabilités et à leurs besoins métier.

Sources : CNIL, Questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024) ; CNIL, Comment déployer une IA générative ? (18 juillet 2024) ; Commission européenne, Talents, compétences et alphabétisation dans le domaine de l'IA.