Dans beaucoup de PME, l’IA s’est installée sans qu’on la voie. Un collaborateur teste ChatGPT sur son navigateur perso, un autre rédige ses emails avec Claude, une équipe prépare des briefs dans Gemini. Sans cadre, ces usages « en douce » finissent par poser trois problèmes récurrents :
- des risques de fuite de données clients ou internes (prompts contenant des informations sensibles) ;
- des erreurs non relues qui partent au client (IA prise pour oracle) ;
- une jungle d’outils et de comptes personnels, impossible à piloter.
Cette page propose une méthode pragmatique pour écrire une charte d’utilisation de l’IA en entreprise, adaptée à une PME : ce qu’elle doit contenir, une méthode de déploiement en 5 étapes et les points réglementaires à connaître sans céder aux promesses de conformité automatique. L’objectif n’est pas de brider l’initiative, mais d’encadrer sans bloquer pour sécuriser les données, élever la qualité et augmenter la productivité.
Vous cherchez d’abord un document à personnaliser ? Téléchargez notre modèle de charte IA (kit PDF gratuit, règles et procédures prêtes à adapter).
Voir aussi : le point sur l’AI Act article 4 (obligation de maîtrise de l’IA), notre guide formation IA en entreprise, l’article sur l’accompagnement transformation IA, la méthode pour prioriser vos cas d’usage et le guide audit IA 2026. Pour les fiches outils neutres : Claude en entreprise et Gemini en entreprise.
Pourquoi une charte plutôt qu’une interdiction
Interdire « l’IA » ne fonctionne pas. D’une part, vos équipes en tirent déjà de la valeur. D’autre part, le blocage technique pousse au shadow IT : chacun continue avec un compte perso et personne ne voit ce qui se passe. Résultat : plus de risques et moins d’apprentissage collectif.
Une charte :
- fixe un cadre clair sur les données, les outils et les responsabilités ;
- donne une voie officielle pour les usages utiles (et ferme les autres) ;
- permet de former, de suivre, puis d’intégrer ce qui marche vraiment — dans vos outils, pas dans un onglet isolé.
La bonne charte tient en quelques pages lisibles, signées et présentées en équipe. Elle ne remplace ni la formation, ni la gouvernance (droits, régions, DPA), mais elle les rend opérantes.
Ce que doit contenir une charte IA
1) Outils autorisés et comptes pro vs. perso
- Liste des outils approuvés (ex. ChatGPT Team, Claude Team, Gemini for Workspace) et de leur usage (brouillon, résumé, traduction, recherche, etc.).
- Interdiction des comptes personnels pour un usage professionnel.
- Règle simple : « On n’utilise que les accès fournis par l’entreprise. »
2) Données interdites dans les prompts
Précisez noir sur blanc ce qui est proscrit, peu importe l’outil :
- données personnelles de clients ou salariés (identité, coordonnées, éléments RH) sauf cadrage explicite, base légale et outil sous-traitant contractuel ;
- secrets d’affaires (prix non publics, marges, procédés, listes clients, contrats) ;
- données de santé ou toute catégorie sensible ;
- documents tiers protégés, informations soumises à confidentialité ou à obligation contractuelle.
Règle d’or : si vous ne pouvez pas l’envoyer à un prestataire externe sans base contractuelle, ne le collez pas dans un prompt.
3) Relecture humaine obligatoire et responsabilité
- Tout contenu produit avec l’IA est relut par un humain compétent avant réutilisation externe (client, fournisseur, autorité).
- La personne qui envoie ou valide reste responsable du contenu.
- Les tâches engageantes (paiement, envoi client, suppression) exigent une validation explicite.
4) Transparence envers les clients et les tiers
- Si un contenu ou un échange est substantiellement produit par l’IA, on l’indique de façon appropriée (ex. mention dans un pied de page, ou information orale quand pertinent).
- On ne fait pas passer un agent pour une personne réelle.
- On documente les cas où une transparence renforcée est requise (ex. service client automatisé).
5) Propriété et confidentialité des contenus
- Par défaut, les productions réalisées dans le cadre du travail appartiennent à l’entreprise.
- Les fichiers d’appui (documentation, briefs, corpus) sont stockés dans les espaces prévus (Drive/SharePoint/outil de knowledge), pas dans des comptes personnels.
- Les réglages de conservation et d’entraînement des outils sont pilotés par l’IT/DSI.
6) Signalement d’incident
- Canal simple pour signaler une fuite potentielle, une réponse à risque, un accès inadapté ou une erreur de l’IA.
- Droit à l’erreur : le but est d’apprendre vite, pas de sanctionner les remontées.
7) Formation et accompagnement
- Séances d’initiation par métier : quand utiliser l’IA, comment vérifier, quand arrêter.
- Ressources internes (prompts modèles, cas d’usage validés, bonnes pratiques).
8) Révision de la charte
- Revue périodique (voir la méthode plus bas) ; version, date, propriétaires de la charte.
- Procédure express pour ajouter/retirer un outil ou ajuster une règle.
Structurer le document : formulation type par section
Titre : « Charte d’utilisation de l’IA – Entreprise X »
Version : 1.0 · Date : 22/10/2026 · Propriétaires : Direction, DSI, Référent IA
Objectif
« Cette charte définit ce que nos équipes peuvent et ne peuvent pas faire avec les outils d’IA, pour gagner du temps sans exposer nos données ni nos clients. »Outils autorisés
« Seuls les outils suivants sont autorisés avec les comptes fournis par l’entreprise : ChatGPT Team, Claude Team, Gemini for Workspace. Tout compte personnel est interdit pour un usage professionnel. »Données interdites
« Ne jamais coller dans un prompt : données personnelles clients/salariés (sauf cadre validé), secrets d’affaires, données de santé, informations confidentielles ou sous NDA. »Qualité et vérification
« Toute sortie IA est relue par un humain compétent avant envoi externe. Les décisions engageantes exigent une validation explicite. »Transparence
« Nous informons de façon appropriée nos clients lorsqu’un contenu ou un échange est substantiellement produit par un système d’IA. »Propriété et stockage
« Les productions appartiennent à l’entreprise. Les fichiers d’appui sont stockés dans nos espaces (Drive/SharePoint/outil interne), pas en local ni dans des comptes perso. »Sécurité et gouvernance
« Les réglages de régions, conservation, entraînement et DPA sont gérés par l’IT/DSI. Les accès sont limités au nécessaire. »Signalement
« Tout incident, doute ou contenu à risque est signalé immédiatement au référent IA/IT via le canal #incident-ia. »Formation
« Chaque équipe suit une initiation courte à l’IA, centrée sur ses tâches réelles. Des prompts modèles sont fournis. »Révision
« Cette charte est revue chaque trimestre ou lors d’un changement majeur d’outil/réglementation. »Mention importante
« Ce document n’est pas un conseil juridique. Pour les cas sensibles, faites valider par un juriste ou votre DPO. »
Cet exemple n’est pas un document juridique ; il sert de mode d’emploi à vos équipes. Adaptez-le à votre secteur, à vos outils et à votre organisation, ou partez du modèle de charte IA si vous préférez un kit structuré.
Méthode de mise en place en 5 étapes
- Inventorier les usages réels
Faites le tour des équipes : qui utilise quoi, pour quelle tâche, avec quelles données ? Distinguez les usages utiles (à garder/encadrer) et les pratiques à risque (à arrêter). - Choisir les outils et paramétrer les comptes entreprise
Fournissez des accès officiels (Team/Enterprise), désactivez l’entraînement si possible, choisissez la région adaptée, signez le DPA quand l’offre le permet (ex. voir Claude en entreprise à propos du DPA Anthropic). - Rédiger la charte (courte et lisible)
Deux à quatre pages suffisent. Reprenez les sections ci-dessus ou le modèle de charte IA. Évitez le jargon et les annexes interminables. - Présenter et former les équipes
Faites une présentation claire : ce qu’on autorise, ce qu’on interdit, comment vérifier, où demander de l’aide. Poursuivez par une formation pratique par métier, avec des prompts et cas réels. - Revue trimestrielle (et mise à jour)
Mesurez : usages réels, incidents, qualité, temps gagné. Ajustez la charte et la liste des outils. Si des cas méritent une intégration (agent, automatisation, RAG), basculez vers un cadrage structuré côté accompagnement.
Cadre réglementaire, prudemment
RGPD (données personnelles)
- Principe de minimisation : n’envoyez que ce qui est nécessaire à la tâche.
- Base légale selon le cas : intérêt légitime, contrat, obligation légale… à documenter.
- Si l’outil traite des données pour votre compte, il est sous-traitant : vérifiez le DPA (Data Processing Agreement), les régions de stockage/traitement, les transferts hors UE, la conservation et les paramètres d’entraînement. Exemple : voir la section DPA sur la page Claude en entreprise.
AI Act (règlement (UE) 2024/1689)
- L’article 4 demande aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour développer la maîtrise de l’IA de leur personnel. Cette exigence s’applique depuis le 2 février 2025. Détail et sources : AI Act article 4.
- Les obligations de transparence (notamment l’article 50) visent entre autres les interactions avec un système d’IA (informations à donner aux personnes).
- Une charte n’assure pas à elle seule la conformité. Validez les points sensibles avec votre juriste/DPO.
Important : cet article n’est pas un conseil juridique. Pour tout traitement sensible ou décision engageante, faites valider par un juriste ou un DPO.
Erreurs fréquentes (à éviter)
- Charte trop longue : personne ne la lit, personne ne la suit.
- Copier un modèle générique : inapplicable à vos outils et à vos clients.
- Jamais présentée aux équipes : un PDF sur un drive ne change rien.
- Aucun outil autorisé : les comptes personnels continuent, hors de contrôle.
- Pas de relecture humaine : des erreurs partent au client, la confiance tombe.
- Pas de propriétaire : sans référent (métier + IT), la charte se fige et devient obsolète.
FAQ — Charte d’utilisation de l’IA en entreprise
Une charte IA est‑elle obligatoire ?
Il n’y a pas d’obligation générale d’avoir « une charte IA ». En pratique, un document interne clair est devenu indispensable pour encadrer les usages, protéger les données et prouver que vous formez vos équipes. Il s’inscrit dans votre politique de sécurité et votre gouvernance données.
Faut‑il l’annexer au règlement intérieur ?
C’est une option à évaluer avec un juriste. Selon les thèmes couverts et votre organisation, une information ou une consultation du CSE peut être requise. Ne transformez pas la charte en texte disciplinaire : gardez-la opérationnelle et lisible, tout en la rendant opposable quand c’est pertinent.
ChatGPT gratuit est‑il autorisé au travail ?
À éviter pour des données professionnelles. Préférez des comptes d’entreprise (Team/Enterprise) avec des réglages de conservation et des engagements clairs. Sans cadre, le risque de fuite et de réutilisation des données est réel.
Qui doit rédiger la charte ?
Un binôme métier + IT avec l’appui du DPO/juriste. Le dirigeant ou le manager de service porte la décision. Faites relire par les équipes pilotes pour vérifier que les règles sont applicables au quotidien.
À quelle fréquence la mettre à jour ?
Au minimum trimestrielle ou à chaque changement majeur (outil, paramètre, organisation, nouvelle catégorie de données). Gardez un numéro de version, une date et un propriétaire.
Besoin d’un coup de main pour cadrer les usages et former vos équipes ?
Découvrez nos offres Formation et Accompagnement. Basés à Wattrelos (Hauts‑de‑France), nous intervenons aussi à distance, y compris en Île‑de‑France.