Presque toutes les chartes IA qui nous arrivent sur les projets partagent le même défaut : elles ont été écrites par précaution, longtemps après que les équipes ont commencé à coller des documents dans un assistant grand public. Elles listent des interdictions, citent le RGPD, et ne disent jamais quel outil un commercial a le droit d'ouvrir pour reformuler une proposition. Résultat, personne ne les lit et l'usage continue exactement comme avant, en un peu plus discret.
Une charte qui fonctionne fait l'inverse. Elle part de ce que les gens font déjà, autorise explicitement, nomme les outils, et prévoit le chemin pour en ajouter un. Elle tient en deux pages parce qu'un document de quinze pages n'est jamais relu. Voilà le modèle que nous proposons, avec le point juridique que la plupart des modèles gratuits passent sous silence.
La charte arrive toujours après l'usage, et c'est son vrai problème
Une charte IA s'écrit presque toujours alors que les outils tournent déjà depuis des mois dans les équipes, ce qui l'oblige à partir de l'inventaire des usages réels plutôt que d'une liste d'interdits. Les chiffres français le montrent. Selon l'enquête TIC 2025 de l'Insee, 18 % des entreprises de 10 salariés ou plus déclarent utiliser au moins une technologie d'intelligence artificielle, contre 10 % en 2024 et 6 % en 2023. L'usage triple donc en deux ans. Il reste très inégal selon la taille : 15 % chez les 10 à 49 salariés, 31 % entre 50 et 249, et 58 % au-delà de 250. Parmi les entreprises utilisatrices, 43 % recourent à des outils de génération de texte ou de parole.
Le décalage se lit encore mieux du côté des salariés. Dans la troisième vague du baromètre Ifop pour Talan, réalisé en ligne les 18 et 19 mars 2025 auprès de 1 100 personnes représentatives de la population française, 17 % de l'échantillon utilise des IA génératives dans un cadre professionnel. Parmi eux, 37 % répondent qu'ils n'ont pas informé leur supérieur hiérarchique, et 24 % déclarent ne pas en avoir. En parallèle, seulement 9 % des salariés interrogés disent que leur entreprise a commencé à installer ces outils sur les postes des collaborateurs, et 42 % répondent qu'ils n'en savent rien.
Ce dernier chiffre mérite qu'on s'y arrête. Quatre salariés sur dix ne savent pas si leur employeur a engagé quoi que ce soit sur des outils que certains d'entre eux ouvrent déjà le matin. Dans ce vide, chacun applique sa propre règle, et celle du plus prudent n'est jamais celle du plus pressé. Une charte ne crée donc aucun usage, elle en rattrape un qui existe déjà. C'est pour cette raison qu'elle doit commencer par un inventaire honnête plutôt que par un préambule sur les valeurs de l'entreprise. Sur nos accompagnements, la première réunion sert presque toujours à écrire au tableau la liste réelle des outils utilisés, service par service. Elle surprend systématiquement la direction. Si vous n'avez pas encore fait ce travail de cadrage, notre article sur par où commencer avec l'IA en entreprise décrit la séquence en amont de la charte.
Charte qui guide ou charte qui sanctionne : trancher avant d'écrire
Une charte-guide se diffuse librement, alors qu'une charte qui prévoit des sanctions devient une adjonction au règlement intérieur et impose l'avis du comité social et économique, une communication à l'inspection du travail et un mois d'attente avant son entrée en vigueur. Ce choix se fait avant la première ligne, et il est juridique. Le premier document explique et recommande. Le second sert à l'employeur le jour où un salarié aura envoyé un fichier client entier à un service en ligne. Les deux ne s'écrivent pas de la même façon.
En droit français, l'article L1321-5 du code du travail prévoit que les notes de service ou tout autre document comportant des obligations générales et permanentes dans les matières couvertes par le règlement intérieur sont, lorsqu'un règlement intérieur existe, considérés comme des adjonctions à celui-ci, et qu'ils sont en toute hypothèse soumis aux dispositions du même titre. Une charte IA qui interdit des comportements et annonce des sanctions entre précisément dans cette catégorie. Elle doit alors suivre la procédure de l'article L1321-4 : avis du comité social et économique, communication à l'inspection du travail en même temps que les mesures de publicité, et date d'entrée en vigueur fixée au moins un mois après l'accomplissement de ces formalités. Rappelons que le règlement intérieur lui-même n'est obligatoire qu'à partir de cinquante salariés, seuil fixé par l'article L1311-2 du code du travail.
Notre recommandation est franche. Pour une structure de moins de cinquante personnes, écrivez une charte-guide, courte, pédagogique, sans article de sanction, et traitez les cas graves par les règles habituelles de loyauté et de confidentialité qui figurent déjà au contrat de travail. Au-delà de cinquante salariés, si vous voulez un texte réellement opposable, assumez la procédure complète plutôt que de publier un document hybride. Plusieurs chartes clientes annonçaient des sanctions sans passer par le CSE : elles rassurent le comité de direction et se révèlent inutilisables au premier incident. Un texte qu'on ne peut pas appliquer coûte plus cher qu'un texte qui se contente de guider.
Le modèle : sept rubriques, deux pages
Les sept rubriques sont le périmètre, l'annexe datée des outils autorisés, ce qu'on ne saisit jamais, la relecture humaine, la traçabilité, la procédure d'ajout d'un outil, et enfin l'arbitre avec la date de révision. C'est la trame que nous utilisons sur les déploiements clients. Chaque rubrique tient en un paragraphe court, rédigé en langage courant. L'ordre importe peu, la présence des sept rubriques compte.
Le périmètre ouvre le document. Précisez que la charte couvre tous les systèmes d'IA utilisés dans le cadre professionnel, y compris les fonctions d'IA intégrées à des logiciels déjà en place, et pas seulement les assistants conversationnels que tout le monde a en tête. C'est la rubrique la plus souvent bâclée, et celle qui évite le plus de discussions plus tard : la fonctionnalité de résumé automatique d'un outil bureautique relève du même cadre que l'assistant qu'on ouvre dans un navigateur.
Vient ensuite la liste des outils autorisés, placée en annexe datée et non dans le corps du texte. La raison est pratique : l'annexe bouge tous les trimestres, le corps ne bouge pas. Chaque ligne indique l'outil, le niveau de données qu'il accepte, et le responsable qui l'a validé. Une charte sans cette annexe reste une déclaration d'intention.
La troisième rubrique énonce ce qu'on ne saisit jamais, avec des exemples issus du métier de l'entreprise plutôt que des catégories abstraites. La quatrième pose la relecture humaine : l'auteur d'un document reste responsable de son contenu, même produit avec une assistance, et un résultat plausible n'est pas un résultat vérifié. La cinquième traite la traçabilité, c'est-à-dire les cas où l'usage de l'IA doit être signalé au destinataire, en interne comme vis-à-vis des clients.
La sixième rubrique est celle qui décide du sort de la charte, et presque aucun modèle en ligne ne la contient : comment demander l'ajout d'un outil. Nommez la personne à qui écrire, le format de la demande, et surtout un délai de réponse engageant, une semaine par exemple. Sans ce chemin, un salarié qui a besoin d'un outil non listé ne renonce pas, il l'utilise sans le dire. La septième et dernière rubrique désigne l'arbitre en cas de doute et fixe la date de révision du document. Ce cadre s'inscrit dans une démarche plus large de gouvernance de l'IA en entreprise, dont la charte n'est que la partie visible par les équipes.
Classer les données avant de classer les outils
Définissez trois niveaux de données, publiques, internes et non diffusables, puis rattachez chaque outil validé à un niveau. Un outil n'est ni sûr ni dangereux dans l'absolu, il l'est au regard de ce qu'on lui envoie et de ce que son fournisseur en fait. La plupart des chartes commencent pourtant par la liste des outils, ce qui revient à trancher avant d'avoir posé le critère.
Le premier niveau couvre les informations déjà publiques ou destinées à l'être : contenus marketing, textes du site, offres d'emploi, documentation ouverte. Tout outil validé peut les traiter. Le deuxième niveau regroupe les données internes non publiques mais peu sensibles : notes de réunion sans nom de client, procédures, supports de formation. Elles supposent un outil dont le fournisseur s'engage contractuellement à ne pas réutiliser les contenus soumis. Le troisième niveau rassemble ce qui ne sort pas : données personnelles identifiantes, dossiers de salariés, données de santé, secrets d'affaires, code source client, éléments couverts par un secret professionnel.
Cette hiérarchie recoupe ce que recommande la CNIL. Dans ses questions-réponses sur l'utilisation d'un système d'IA générative, elle invite les organismes à encadrer l'usage par des politiques ou chartes internes définissant clairement les usages autorisés et les usages interdits, et à interdire la fourniture de certaines données confidentielles, par exemple couvertes par le secret industriel et commercial, ou de données personnelles. Elle précise que de telles interdictions ne sont pas nécessaires pour un déploiement sur site, où le fournisseur ne peut réutiliser aucune donnée, et invite à envisager la création d'un comité éthique ou la désignation d'un référent.
C'est ce point qui ouvre la vraie discussion technique dans nos projets. La question posée en réunion est rarement « quel modèle choisir » mais « où atterrit le contenu du prompt, combien de temps il est conservé, et qui peut le lire ». Selon la réponse, un même cas d'usage bascule du niveau deux au niveau trois. Pour les données du troisième niveau, la sortie consiste souvent à déployer un assistant IA hébergé en France plutôt qu'à interdire l'usage, parce qu'une interdiction sans alternative se contourne en une semaine. Quand ce besoin est identifié, une agence spécialisée dans les agents IA peut cadrer l'hébergement et les accès avant que la charte ne soit figée.
Ce que l'AI Act oblige à écrire dedans
Votre charte doit porter un numéro de version, une date, la trace de sa diffusion et un renvoi au contenu de la sensibilisation associée, parce que l'article 4 du règlement européen sur l'intelligence artificielle s'applique depuis le 2 février 2025 à tous les déployeurs, sans seuil d'effectif. Le texte fait ainsi du document un support de preuve. Trois échéances comptent pour une entreprise utilisatrice, et le calendrier officiel de la Commission européenne les fixe précisément. Depuis le 2 février 2025, les dispositions générales, dont la maîtrise de l'IA prévue à l'article 4, et les interdictions s'appliquent. Le 2 août 2026, les règles de transparence de l'article 50 entrent en application, en même temps que la mise en œuvre et l'exécution au niveau national et européen. Le 2 décembre 2027, ce sont les règles applicables aux systèmes à haut risque de l'annexe III, qui couvrent notamment l'emploi et la gestion des travailleurs.
L'article 4 mérite une lecture attentive parce qu'il est le seul de ces trois blocs déjà opposable aujourd'hui. La Commission précise dans sa foire aux questions sur la maîtrise de l'IA que l'obligation n'impose pas de garantir un niveau déterminé pour chaque individu, et que les mesures doivent être adaptées aux connaissances existantes et au contexte d'utilisation. Autrement dit, une formation certifiante n'est pas exigée, mais l'absence totale de sensibilisation devient difficile à défendre. La supervision de cette obligation démarre au niveau national à partir d'août 2026.
Le baromètre Ifop pour Talan montre l'écart à combler. Parmi les personnes qui utilisent des IA génératives dans un cadre professionnel, 52 % déclarent que leur entreprise les y encourage, mais 15 % seulement se disent formées à leur usage. L'enquête mesure directement la population intermédiaire : 37 % sont encouragées sans être particulièrement formées à leur usage, et c'est exactement celle que vise l'article 4. Les quatre éléments cités plus haut, version, date, trace de diffusion et renvoi à la sensibilisation, coûtent dix minutes à mettre en place et constituent l'essentiel de ce que vous pourrez montrer en cas de contrôle. Si vos cas d'usage touchent le recrutement ou l'évaluation, l'échéance de décembre 2027 vous concerne au premier chef, et nos observations sur l'IA appliquée aux ressources humaines détaillent les précautions à prendre dès maintenant.
Faire vivre la charte, sinon elle meurt en six semaines
Trois mécanismes se fixent au moment de la rédaction, jamais après : une revue trimestrielle de l'annexe des outils, un journal écrit des demandes et des décisions, et un point de contact désigné par son rôle plutôt que par un nom. Une charte IA se périme plus vite qu'un règlement intérieur, parce que les outils qu'elle nomme changent de fonctionnalités tous les mois.
Le premier est la revue trimestrielle de l'annexe des outils. Elle dure une heure, réunit la direction, l'informatique et un représentant métier, et se solde par une nouvelle version datée. Le deuxième est le journal des décisions : chaque demande d'ajout d'outil reçoit une réponse écrite d'une ligne, conservée dans un tableau partagé. Ce journal évite de rejuger deux fois la même question et fournit, six mois plus tard, la matière pour une révision fondée sur des cas réels plutôt que sur des principes. Le troisième est un point de contact identifié par son rôle et non par un nom de personne, pour que le départ d'un collaborateur ne coupe pas le canal.
Un dernier conseil sur la diffusion. Une charte envoyée par courriel avec une pièce jointe intitulée « charte d'utilisation de l'intelligence artificielle version finale » finit rarement lue de bout en bout. Nous préférons une présentation de vingt minutes en réunion d'équipe, où l'on montre deux cas concrets autorisés et deux cas refusés, tirés du travail réel des personnes présentes. Le taux de lecture réel change du tout au tout, et les questions posées ce jour-là alimentent la première révision. C'est aussi l'occasion de constater que certaines interdictions envisagées bloquent des tâches légitimes, ce qui vaut mieux que de le découvrir après publication.
Si vous préférez partir d'une base éprouvée plutôt que d'une page blanche, vous pouvez contacter Noxcod pour récupérer notre trame et l'adapter à votre organisation.
Questions fréquentes sur la charte IA en entreprise
Une charte IA est-elle obligatoire ?
Aucun texte n'impose de rédiger un document intitulé « charte IA ». En revanche, l'article 4 du règlement européen sur l'IA impose depuis le 2 février 2025 aux déployeurs de systèmes d'IA d'assurer un niveau suffisant de maîtrise de l'IA à leur personnel, sans seuil d'effectif, comme le rappelle le calendrier officiel de la Commission européenne. La charte est le moyen le plus simple de matérialiser cette obligation et de garder une trace datée de ce que vous avez diffusé.
Peut-on sanctionner un salarié sur la base de la charte ?
Seulement si elle a été adoptée selon la procédure du règlement intérieur. Un document qui comporte des obligations générales et permanentes en matière de discipline relève de l'article L1321-5 du code du travail : il vaut adjonction au règlement intérieur quand celui-ci existe, et reste dans tous les cas soumis aux règles du même titre. Une charte publiée sans avis du CSE ni transmission à l'inspection du travail garde une valeur pédagogique, pas disciplinaire.
Faut-il consulter le CSE avant de publier ?
Oui dès que la charte crée des obligations opposables ou modifie les conditions de travail. La consultation est de toute façon utile même pour une charte-guide : les représentants remontent des cas d'usage que la direction ignore, et l'adhésion des équipes en dépend largement. Si vous suivez la procédure complète, l'article L1321-4 fait courir le délai d'un mois à compter de l'accomplissement des formalités de publicité, et non de l'avis du comité.
Quelle longueur pour être lue ?
Deux pages pour le corps, plus une annexe d'outils sur une page. Au-delà, le document devient un texte de référence que personne ne consulte au moment où la question se pose. La règle que nous appliquons : si un salarié ne peut pas trouver la réponse à « est-ce que j'ai le droit de faire ça » en moins de trente secondes, la charte est trop longue.
Faut-il interdire les assistants grand public ?
Une interdiction générale se contourne dès la première semaine, surtout depuis les téléphones personnels. Nous préférons autoriser explicitement un outil pour les données de niveau un et deux, fournir une alternative maîtrisée pour le niveau trois, et concentrer l'interdiction sur les contenus plutôt que sur les applications. Une règle sur les données se comprend et se respecte mieux qu'une liste noire de logiciels.
