Carnet de Julien Ricciarelli-BonnalIACharte d’utilisation de l’IA en entreprise : ce qu’elle doit contenir

Article de Julien Ricciarelli-Bonnal

11 novembre 2026

L’essentiel

Une charte d’utilisation de l’intelligence artificielle ne devrait pas se limiter à interdire les données confidentielles et à recommander la prudence. Pour être utile, elle doit préciser les outils autorisés, les usages admis selon les métiers, les informations qui peuvent être partagées, les vérifications exigées et les décisions qui restent humaines. Elle doit aussi encadrer les agents capables d’agir dans les logiciels de l’entreprise, désigner des responsables et prévoir les incidents, la formation et la mise à jour des règles. Ce document ne remplace ni le RGPD ni les obligations sectorielles : il traduit les exigences applicables en consignes de travail compréhensibles.

Une entreprise peut avoir déployé un assistant IA dans sa suite bureautique, laissé son équipe commerciale tester un outil de transcription et découvert que des collaborateurs utilisent, de leur côté, des services grand public. Tous pensent parfois respecter les règles, précisément parce que personne n’a formulé de règles communes. La direction finit alors par chercher une « charte IA » à télécharger, avec l’espoir qu’un document suffira à mettre de l’ordre dans des pratiques déjà installées.

Une bonne charte n’est donc ni un manifeste éthique ni une collection d’avertissements. C’est une règle du jeu opérationnelle, adaptée aux métiers, qui répond à une série de questions simples : qui peut utiliser quoi, avec quelles données, pour produire ou décider quoi, sous quel contrôle et avec quelle procédure lorsque quelque chose tourne mal ?

Commencer par les usages réels, pas par des interdictions abstraites

Le premier chapitre doit décrire son périmètre : salariés et intervenants concernés, outils retenus, activités couvertes et éventuelles exceptions. Il faut surtout distinguer l’utilisation personnelle d’un assistant, l’IA intégrée à un logiciel métier et les systèmes mis en place par l’entreprise.

Prenons un exemple de règle exploitable : « L’assistant approuvé peut aider à préparer un plan de présentation à partir d’informations publiques ; l’analyse d’un fichier clients nécessite le dispositif validé par l’entreprise ; aucune décision individuelle de recrutement ne peut être déléguée à un outil non évalué. »

Enfin, la charte doit expliquer comment demander l’autorisation d’un nouvel outil. Sans canal de remontée, une interdiction globale risque de déplacer les usages vers des comptes privés. L’entreprise a intérêt à connaître les besoins qu’elle n’a pas encore satisfaits, plutôt qu’à confondre absence de déclaration et absence de pratique.

Protéger les données suppose de dire exactement lesquelles

La confidentialité est souvent le premier point cité dans les modèles de charte. Encore faut-il qu’un salarié puisse reconnaître l’information à protéger. Les règles doivent distinguer données publiques, documents internes ordinaires, secrets commerciaux, données personnelles, informations de santé, dossiers RH, codes d’accès et documents reçus sous engagement de confidentialité.

La consigne ne peut pas être identique pour tous les environnements. Un service accessible au public, un abonnement professionnel avec garanties contractuelles et une solution déployée sur une infrastructure maîtrisée ne donnent pas nécessairement lieu aux mêmes traitements. Il faut examiner les conditions du fournisseur : conservation des conversations, réutilisation éventuelle des données, accès des administrateurs, sous-traitants, localisation et transferts.

La CNIL recommande d’encadrer les usages autorisés et interdits, de tenir compte des risques pour les données personnelles et d’organiser une gouvernance adaptée. La charte doit donc renvoyer aux procédures de protection des données déjà en place, sans prétendre qu’un paragraphe règle à lui seul la conformité au RGPD. Lorsque des données personnelles sont traitées, la base légale, les rôles du fournisseur et de l’entreprise, les durées de conservation et les mesures de sécurité doivent être examinés selon le cas.

Définir qui vérifie le résultat et qui assume la décision

Le degré de contrôle doit dépendre des conséquences. Une première liste d’idées pour une réunion interne ne nécessite pas le même circuit qu’une proposition tarifaire, une note juridique, un diagnostic de santé ou un communiqué public. On peut classer les usages en trois niveaux pratiques : assistance à faible impact, production soumise à relecture, et décision sensible réservée à un responsable identifié.

Cette distinction prolonge une difficulté que nous avions déjà analysée en examinant pourquoi certaines entreprises restreignent l’usage de ChatGPT par leurs salariés. Le risque ne réside pas uniquement dans l’outil utilisé, mais dans l’écart entre la confiance accordée à sa réponse et la vérification réellement effectuée.

La formule « l’utilisateur reste responsable » ne suffit pas. Qui doit contrôler les sources ? Qui autorise l’envoi ? Une seconde validation est-elle obligatoire pour les documents contractuels ? La charte doit identifier ces gestes et ces personnes.

Les agents IA obligent à encadrer les permissions, pas seulement les réponses

Une nouvelle frontière apparaît lorsque l’IA peut agir. Un assistant qui propose une réponse et un agent qui l’envoie à cent clients ne relèvent pas du même régime. La charte doit préciser les opérations qu’un système peut effectuer sans intervention humaine : consulter un dossier, modifier une fiche CRM, créer une commande, publier un contenu, contacter un tiers ou déclencher un paiement.

Le document devrait distinguer lecture, modification et exécution, puis fixer des limites explicites. Un agent peut, par exemple, préparer un courriel sans être autorisé à l’expédier. Il peut analyser une facture sans disposer du droit de la payer. Les permissions techniques, les plafonds, les confirmations requises et les journaux d’activité doivent matérialiser ces règles : une consigne écrite dans un prompt ne constitue pas toujours un contrôle de sécurité suffisant.

Il faut également prévoir comment arrêter un agent, révoquer ses accès et reconstituer une action contestée. Qui surveille les exécutions ? Qui intervient lorsqu’un automatisme se répète de manière anormale ? Quels incidents déclenchent une suspension ?

La charte n’est pas une preuve automatique de conformité à l’AI Act

Une confusion fréquente consiste à présenter la charte comme le document qui rendrait, à lui seul, l’entreprise conforme au règlement européen sur l’intelligence artificielle. Le texte européen n’impose pas une charte générale identique à toutes les entreprises. Ses obligations dépendent notamment du rôle de l’organisation, des systèmes utilisés, des usages et de leur classification réglementaire.

Certaines règles s’appliquent déjà. Les dispositions relatives à la maîtrise de l’IA sont applicables depuis le 2 février 2025 : fournisseurs et déployeurs doivent prendre des mesures adaptées pour développer les compétences nécessaires de leurs personnels concernés. Depuis le 2 août 2026, d’autres dispositions, notamment en matière de transparence, sont applicables. Les obligations relatives à plusieurs catégories de systèmes à haut risque suivent un calendrier distinct.

Pour l’entreprise, la bonne distinction est entre droit et organisation. Les obligations légales, le RGPD, la sécurité, les règles professionnelles et, le cas échéant, les exigences liées aux salariés constituent le cadre à respecter. La charte traduit ensuite ce cadre en procédures accessibles. Elle peut préciser quand informer une personne de l’intervention d’une IA, quand solliciter un avis juridique ou quand suspendre un projet, sans prétendre créer une dispense réglementaire.

Faire vivre le texte, au lieu de le faire signer puis oublier

Une politique interne n’a de valeur que si quelqu’un en assure le fonctionnement. Il faut désigner un responsable des mises à jour, un interlocuteur pour les demandes d’exception, un canal de signalement et un calendrier de réexamen. L’important est de savoir qui décide en dernier ressort.

La formation fait partie du dispositif. Présenter dix pages de règles en réunion ne prouve pas que les collaborateurs savent reconnaître une donnée sensible ou vérifier une réponse. Des cas pratiques, adaptés aux métiers, permettent de transformer la règle en réflexe. C’est aussi le sens d’une gouvernance IA Business qui organise les usages, les responsabilités et leur adoption : relier les décisions de la direction aux gestes quotidiens, plutôt que multiplier les documents indépendants du travail réel.

La charte devrait enfin prévoir sa propre révision lorsque les outils changent, qu’un nouveau type de données est traité ou qu’un incident révèle une faiblesse. L’entreprise peut suivre quelques indicateurs simples : demandes d’autorisation, écarts observés, incidents déclarés, contrôles effectués et usages effectivement utiles.

Une charte d’utilisation de l’IA réussie ne cherche pas à éliminer tout risque par une accumulation d’interdictions. Elle rend explicite la part de liberté accordée aux équipes et le niveau de contrôle qu’exigent leurs actes. Sa qualité se vérifie dans une situation ordinaire : un collaborateur hésite sur une donnée, un outil ou une validation, et trouve rapidement une réponse applicable.

Le véritable test n’est donc pas la beauté du modèle téléchargé, mais la capacité de l’entreprise à expliquer, pour chacun de ses usages importants, ce qu’elle autorise, pourquoi elle l’autorise, qui en répond et comment elle peut revenir sur sa décision. La charte cesse alors d’être un document de précaution ; elle devient une manière concrète de gouverner le travail assisté par l’IA.