Charte IA en entreprise : la rédiger pour qu'elle serve

Une charte IA est le document interne qui dit à vos salariés quels outils d'IA utiliser, quelles données y confier et quelles règles appliquer aux agents. Elle n'est pas obligatoire, mais la CNIL la recommande. Pour qu'elle serve, partez des usages réels, visez deux pages et choisissez d'emblée si elle entre dans votre règlement intérieur. Vous trouverez plus bas un exemple de charte complet, à adapter.

Cet article présente une méthode et ne constitue pas un avis juridique. Faites relire votre charte par un avocat en droit social, surtout si elle prévoit des sanctions.

Une charte IA est-elle obligatoire ?

Non, aucun texte n'impose un document intitulé « charte IA ». Trois sources la rendent pourtant très utile :

• La CNIL (Commission nationale de l'informatique et des libertés, l'autorité de protection des données) recommande d'encadrer l'usage de l'IA générative par des politiques ou chartes internes qui définissent les usages autorisés et les usages interdits. Elle cite deux exemples d'interdits : fournir des données personnelles au système, ou lui confier une prise de décision (questions-réponses de la CNIL, 18 juillet 2024).
• Le règlement européen sur l'IA (AI Act, règlement (UE) 2024/1689), dans son article 4, demande aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour développer la maîtrise de l'IA de leurs équipes. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, l'a reformulé : l'obligation porte sur les moyens mis en œuvre, sans exiger de garantir un niveau de compétence précis. Concrètement, on attend de vous des actions, comme former et encadrer. Une charte accompagnée d'une formation en fait partie.
• Le RGPD, le règlement européen sur les données personnelles, vous demande de maîtriser les données personnelles traitées par vos outils. La charte est l'endroit où dire lesquelles peuvent être confiées à quel outil.

La charte correspond à l'étape « gouvernance et conformité » de notre méthode, juste avant la consultation du comité social et économique (CSE), l'instance qui représente les salariés.

Pourquoi une charte générée par l'IA ne suffit-elle pas ?

Même quand l'IA est connectée aux outils de l'entreprise, elle ne tranche pas à votre place ce qui est confidentiel, ce qui relève du règlement intérieur ou ce que les agents ont le droit de faire. Parmi les chartes que nous relisons, beaucoup viennent de ChatGPT ou d'un modèle trouvé en ligne, et elles ont les mêmes défauts :

• Elles restent floues sur les données. « Ne pas partager d'informations confidentielles » ne dit pas si un devis, un plan produit ou un fichier fournisseurs est confidentiel.
• Elles empruntent le vocabulaire disciplinaire. « Sanctions », « manquement », « obligation de » : ces mots peuvent faire de la charte un complément du règlement intérieur, avec une procédure que personne n'a lancée (voir la section suivante).
• Elles sont trop longues. Au-delà de deux ou trois pages, la charte devient difficile à consulter au moment d'ouvrir l'outil.
• Elles ignorent les agents, ces assistants IA capables d'agir dans vos logiciels (envoyer un e-mail, modifier une fiche client). Rien sur qui peut en créer, les partager ou les relier à vos outils.

Un modèle reste un bon point de départ. Le canton de Genève en publie un gratuit, avec un questionnaire pour faire l'état des lieux des usages (modèle de charte IA du canton de Genève), et vous trouverez notre exemple plus bas. Le travail qui compte consiste à l'adapter à ce qui se passe chez vous.

Charte de bonnes pratiques ou règlement intérieur : que choisir ?

Une charte IA sans sanction est une charte de bonnes pratiques : elle se diffuse sans suivre la procédure du règlement intérieur. Dès qu'elle fixe des obligations générales et permanentes de discipline, elle devient un complément du règlement intérieur (le document qui fixe les règles de l'entreprise et ses sanctions disciplinaires) et suit sa procédure. Choisissez donc le statut avant d'écrire.

Le Code du travail le prévoit : les notes de service ou tout autre document « comportant des obligations générales et permanentes » dans les matières du règlement intérieur, dont la discipline, sont des compléments de ce règlement (article L. 1321-5, article L. 1321-1). Ils suivent la même procédure : avis du CSE, transmission à l'inspection du travail et entrée en vigueur au plus tôt un mois après les formalités de dépôt et de publicité (article L. 1321-4). Le règlement intérieur est obligatoire à partir de 50 salariés (article L. 1311-2).

Notre position : commencez par une charte de bonnes pratiques courte, et réservez le règlement intérieur aux quelques interdits qui le justifient (données de santé, secret industriel, décisions sur des personnes). Faites valider ce choix par votre avocat.

Faut-il consulter le CSE sur une charte IA ?

Oui dans deux cas, dans une entreprise d'au moins 50 salariés. D'abord, si la charte fixe des obligations générales et permanentes de discipline : comme complément du règlement intérieur, elle doit recueillir l'avis du CSE. Ensuite, si elle accompagne l'introduction d'outils d'IA qui modifient les conditions de travail, un cas de consultation prévu par l'article L. 2312-8 du Code du travail. Ce second cas vaut aussi pour une charte de bonnes pratiques.

Dans l'affaire jugée par la cour d'appel de Paris le 21 mai 2026 (arrêt n° 25/13234), l'employeur avait autorisé ChatGPT en l'encadrant par une charte et déployé un assistant interne. La cour a jugé qu'il avait introduit une nouvelle technologie, ce qui imposait de consulter le CSE (arrêt de la cour d'appel de Paris). Prévoyez donc de joindre votre charte au dossier présenté au CSE, détaillé dans notre article CSE et IA : vos obligations avant de déployer.

Comment rédiger votre charte IA, étape par étape ?

Rédiger une charte IA prend sept étapes : état des lieux des usages, classement des données, liste des outils validés, règles sur les agents, choix du statut et préparation du CSE, rédaction courte relue par des utilisateurs, puis diffusion avec une formation. Chaque étape a un responsable :

1. Faire l'état des lieux des usages réels (le directeur des systèmes d'information, ou DSI, avec les managers). Un questionnaire court aux équipes, complété par ce que voit l'informatique : connexions aux outils d'IA, abonnements remboursés en notes de frais. La charte part de ce qui existe, sans chercher de coupable. C'est le sujet du shadow IA, l'usage d'outils d'IA non validés par l'entreprise.
2. Classer vos données en quatre niveaux (le délégué à la protection des données, ou DPO, avec le juridique). Par exemple : public, interne, confidentiel, et données personnelles ou sensibles. Pour chaque niveau, donnez trois exemples tirés de votre activité.
3. Lister les outils validés et dire à quoi sert chacun (DSI). Pour chaque outil : comptes autorisés, niveaux de données acceptés, connexions aux logiciels internes. Pour un service grand public, la CNIL demande d'éviter la création de comptes avec des adresses électroniques personnelles (questions-réponses de la CNIL).
4. Fixer les règles sur les agents (DSI). Qui peut en créer, les partager, les relier à un logiciel métier. Une règle que nous posons depuis un incident lors d'un pilote (la phase d'essai) : aucun droit d'écriture sur le logiciel de gestion (ERP) ou de relation client (CRM) sans validation préalable.
5. Choisir le statut de la charte et préparer le CSE (juridique, directeur des ressources humaines ou DRH). Charte de bonnes pratiques ou complément du règlement intérieur, et calendrier de consultation si nécessaire.
6. Rédiger court et faire relire par trois utilisateurs (DSI, avec des champions métier, des utilisateurs volontaires qui relaient l'usage dans leur équipe). Si un commercial ou un comptable ne sait pas, après lecture, ce qu'il a le droit de faire le lendemain, réécrivez.
7. Diffuser avec une formation et nommer un responsable des mises à jour (DRH pour la diffusion, DSI pour les mises à jour). Revoyez la charte à chaque nouvel outil ou nouvelle fonction, sans attendre la révision annuelle.

Que doit contenir une charte IA ? (modèle de sommaire)

Une charte IA contient huit rubriques : son objet, les outils validés, les données autorisées par outil, les interdits, la relecture humaine, les règles sur les agents, le point de contact et la date de version. Visez deux pages. Voici le sommaire, avec un exemple de formulation pour chaque rubrique :

1. Objet et périmètre. « Cette charte s'applique à tous les salariés et prestataires qui utilisent un outil d'IA pour le compte de l'entreprise. »
2. Outils validés. « Les outils validés sont [outil A] pour [usage] et [outil B] pour [usage], accessibles avec votre compte professionnel uniquement. »
3. Données. « Les données publiques et internes peuvent être utilisées dans [outil A]. Les données personnelles de clients n'y sont pas saisies. »
4. Interdits. « Il est interdit de confier à l'IA une décision sur une personne (recrutement, évaluation) ou de publier un contenu généré sans relecture. »
5. Relecture humaine. « Vous restez responsable de ce que vous produisez avec l'IA : vérifiez chiffres, sources et noms avant diffusion. »
6. Agents. « Tout agent relié à un logiciel de l'entreprise est validé par la DSI avant d'être partagé. »
7. Point de contact. « Vos questions : [référent IA, la personne chargée de répondre aux questions sur l'IA], permanence du [jour]. »
8. Version. « Version du [date], tenue à jour par [nom]. »

À quoi ressemble une charte IA complète ? Un exemple

Voici un exemple de charte IA de bonnes pratiques, sans sanction, pour une entreprise fictive qui a déployé deux outils. Il tient sur deux pages. Adaptez les outils, les exemples de données et les contacts à votre entreprise, et faites-le relire par votre avocat avant diffusion.

Charte d'usage de l'intelligence artificielle — [Entreprise]

1. Objet. Cette charte aide chaque salarié à utiliser l'IA dans son travail, en protégeant les données de l'entreprise, de nos clients et de nos collègues. Elle s'applique à tous les salariés, stagiaires et prestataires qui utilisent un outil d'IA pour le compte de [Entreprise].

2. Outils validés. Nous mettons à votre disposition : Microsoft 365 Copilot, pour la rédaction, les comptes rendus et les e-mails ; [plateforme d'agents], pour les agents métiers reliés à nos données. Ils s'utilisent uniquement avec votre compte professionnel. Pour tout autre outil, demandez d'abord à la DSI.

3. Données. Nos données sont classées en quatre niveaux :

• Publiques (site internet, plaquettes) : tous les outils validés.
• Internes (comptes rendus, procédures, documents de projet) : tous les outils validés.
• Confidentielles (devis, contrats, prix d'achat, plans produits) : uniquement dans les espaces dédiés de [plateforme d'agents].
• Personnelles ou sensibles (paie, dossiers RH, données de santé, données personnelles de clients) : jamais dans un outil d'IA, sauf agent validé par la DSI et le DPO.

4. Ce que nous vous demandons de ne pas faire. Utiliser un compte personnel (ChatGPT, Claude, Gemini…) pour un travail de l'entreprise ; confier à l'IA une décision sur une personne (recrutement, évaluation, sanction) ; publier ou envoyer à un client un contenu généré sans l'avoir relu.

5. Relecture humaine. Vous restez responsable de ce que vous produisez avec l'IA. Vérifiez les chiffres, les sources, les noms et le ton avant toute diffusion.

6. Agents. Vous pouvez créer des agents pour votre propre usage. Avant de partager un agent avec votre équipe, faites-le valider par votre manager. Un agent qui écrit dans un logiciel de l'entreprise (ERP, CRM) doit être validé par la DSI.

7. Vos questions. Votre référent IA : [nom]. Permanence chaque [jour], de [heure] à [heure], et canal [nom du canal] dans Teams.

8. Version. Version du [date], tenue à jour par [nom, fonction]. Elle évolue à chaque nouvel outil.

Cet exemple est volontairement court et sans sanction : il se diffuse sans la procédure du règlement intérieur. S'il accompagne la mise en service de nouveaux outils, pensez à la consultation du CSE.

Qui fait quoi, et combien de temps prévoir ?

La rédaction elle-même tient en quelques ateliers. Ce qui allonge le calendrier, c'est la procédure : si la charte entre dans le règlement intérieur, comptez l'avis du CSE, rendu en principe dans un délai d'un mois (article R. 2312-6), puis un mois après les formalités avant l'entrée en vigueur. Intégrez ces délais dès le cadrage du projet.

Quelles erreurs voyons-nous sur le terrain ?

Les trois situations ci-dessous viennent de pilotes et de déploiements conduits par Idoption.

Interdire sans proposer d'autre outil

Lors d'un pilote chez un industriel de l'agroalimentaire, un utilisateur avancé testait ses consignes avec son compte personnel Claude. Une interdiction n'aurait rien changé. Nous lui avons montré que les mêmes modèles étaient disponibles dans la plateforme validée.

À retenir : chaque interdit de la charte gagne à indiquer l'outil à utiliser à la place.

Oublier les agents

Lors d'un autre pilote, un agent a envoyé un e-mail non sollicité à un client. La règle sur les droits d'écriture dans l'ERP et le CRM est née de cet incident.

À retenir : une charte limitée aux conversations avec un assistant passe à côté des usages qui progressent le plus vite.

Sous-estimer l'adoption

Dans un autre déploiement, les collaborateurs ont créé plusieurs centaines d'agents en quelques semaines. Il a fallu ajouter des règles de partage, de modification et de validation.

À retenir : écrivez ces règles dès les premiers agents créés.

Dans quels cas adapter cette méthode ?

• Moins de 50 salariés. Le règlement intérieur n'est pas obligatoire : une charte d'une page et un abonnement d'équipe suffisent souvent.
• Des données soumises à une forte exigence de souveraineté (secteur régulé, clients publics). La charte suit le choix de l'hébergement et des modèles. Pour les données personnelles ou sensibles, la CNIL estime qu'il semble « généralement plus opportun et plus sécurisé » de privilégier un déploiement sur site, c'est-à-dire sur vos propres serveurs (questions-réponses de la CNIL).
• Un groupe avec plusieurs filiales. Une charte groupe commune, des déclinaisons locales, et une analyse juridique par entité pour le CSE.

Et après la charte ?

Une charte produit ses effets quand les équipes disposent d'outils validés et savent s'en servir. Viennent ensuite la consultation du CSE, la formation et le déploiement, décrits dans notre méthode et illustrés par nos cas clients. Vos équipes gardent la main.

Pour rédiger votre charte à partir de vos usages réels et préparer le dossier du CSE en même temps, contactez-nous.

Sources : CNIL, questions-réponses sur l'utilisation d'un système d'IA générative · Code du travail numérique, articles L. 1311-2, L. 1321-1, L. 1321-4, L. 1321-5, L. 2312-8, R. 2312-6 · Arrêt de la cour d'appel de Paris du 21 mai 2026 · Règlement (UE) 2026/1744 · Modèle de charte IA du canton de Genève (consultés le 25 octobre 2026).