Charte IA en entreprise : des règles simples pour vos équipes, avec un modèle

Pourquoi rédiger une charte IA dans une PME ?

Dans beaucoup d'entreprises, l'IA est déjà là. Un conducteur de travaux reformule ses comptes rendus de chantier avec un assistant. Une assistante prépare ses relances de factures avec ChatGPT. Un commercial fait traduire une offre. C'est souvent utile, mais chacun fait à sa façon, avec l'outil qu'il connaît.

Le risque ne vient pas de l'outil lui-même. Il vient de ce qu'on y met et de ce qu'on fait des réponses : un fichier client copié dans un service grand public, un devis envoyé sans relecture, un chiffre inventé repris tel quel. Une charte simple évite ces situations sans freiner personne.

La CNIL, dans ses recommandations publiées le 18 juillet 2024 sur le déploiement de l'IA générative, conseille justement d'encadrer les usages en définissant ce qui est autorisé et ce qui est interdit, de former et sensibiliser les utilisateurs, et de mettre en place une organisation adaptée. Une charte est la façon la plus directe de le faire dans une petite structure.

Elle contribue aussi à l'obligation de « maîtrise de l'IA » prévue par le règlement européen : voir notre guide AI Act et formation obligatoire.

Quelles données ne faut-il jamais saisir dans un outil d'IA ?

C'est le cœur de la charte. Dans ses questions-réponses sur l'IA générative, la CNIL recommande d'interdire la saisie de données personnelles ou confidentielles, notamment dans les services grand public. Elle cite en particulier les secrets d'affaires et les données concernant les clients et les salariés.

Les données confidentielles de l'entreprise

• les prix d'achat, marges et conditions négociées avec les fournisseurs ;
• les devis en cours de négociation et les offres de marchés ;
• les plans, études techniques et documents remis par les clients ;
• les mots de passe, codes d'accès et informations bancaires.

Les données personnelles (RGPD)

• les noms, adresses, téléphones et e-mails des clients ;
• les informations sur les salariés : salaires, arrêts, évaluations ;
• toute donnée de santé, de situation familiale ou financière.

Une astuce simple : anonymiser avant de demander. Remplacez « M. Martin, 12 rue des Lilas » par « le client » et « l'adresse du chantier ». L'IA rédige aussi bien la relance, et rien de sensible ne sort de l'entreprise.

Quels outils autoriser ?

La CNIL recommande de choisir une solution robuste et sécurisée, et de vérifier si le fournisseur peut réutiliser les données saisies. Elle indique que, pour un service en ligne ou une API, la relation doit être encadrée par un contrat de sous-traitance, et qu'il faut vérifier les éventuels transferts de données hors de l'Union européenne.

En pratique, votre charte peut distinguer trois niveaux :

Niveau	Exemples d'outils	Usage possible
Outils fournis par l'entreprise, avec contrat professionnel	Microsoft 365 Copilot ou Google Workspace avec Gemini dans votre abonnement, version professionnelle de ChatGPT ou du Chat de Mistral	Usage courant, selon les règles de la charte et les paramètres vérifiés
Outils grand public gratuits	Versions gratuites des assistants d'IA	Tâches sans aucune donnée personnelle ni confidentielle (idées, reformulation générale)
Outils non validés	Extensions de navigateur, applications inconnues	À ne pas utiliser sans accord du référent

Ces exemples sont neutres : l'important est de vérifier, pour chaque outil, ses conditions d'utilisation et les paramètres de réutilisation des données. Les offres et réglages évoluent souvent ; votre référent fait le point régulièrement.

Pourquoi la vérification humaine est-elle indispensable ?

La CNIL rappelle que ces systèmes, du fait de leur nature probabiliste, peuvent produire des résultats inexacts qui semblent pourtant plausibles. Elle considère comme une bonne pratique de ne jamais reproduire telles quelles les réponses de l'IA et recommande de contrôler leur exactitude, l'absence de plagiat et de biais discriminatoires. Elle conseille aussi de ne pas confier de prise de décision à l'outil.

Dans une PME, cela donne des règles très concrètes :

• un devis préparé avec l'IA est relu ligne par ligne : quantités, prix, TVA, mentions obligatoires ;
• un e-mail client est relu avant envoi, ton compris ;
• une référence réglementaire citée par l'IA est vérifiée sur le texte officiel ;
• une décision sur une personne (recrutement, sanction, refus de client) n'est jamais déléguée à l'outil.

Côté sécurité, l'ANSSI, dans ses recommandations du 29 avril 2024 pour les systèmes d'IA générative, insiste sur le risque de fuite de données sensibles et sur la nécessité d'une validation humaine lorsque l'enjeu est critique. Avant de brancher l'IA sur vos fichiers, assurez-vous aussi d'avoir des sauvegardes fiables de vos données.

Le modèle de charte IA à adapter

Voici un modèle court, à recopier et à compléter avec le nom de vos outils et de votre référent.

1. Objet : cette charte fixe les règles d'utilisation des outils d'intelligence artificielle dans [nom de l'entreprise]. Elle s'applique à tous les salariés et aux personnes qui travaillent pour notre compte.
2. Outils autorisés : [liste des outils et versions]. Tout autre outil doit être validé par [nom du référent] avant usage.
3. Données interdites : aucune donnée personnelle (clients, salariés, fournisseurs), aucun mot de passe, aucune information bancaire, aucun document confidentiel ne doit être saisi dans un outil grand public.
4. Anonymisation : quand c'est possible, remplacer les noms, adresses et montants sensibles par des termes génériques avant de solliciter l'IA.
5. Vérification humaine : tout contenu produit avec l'IA est relu et vérifié avant d'être envoyé, signé ou publié. La personne qui l'envoie en reste responsable.
6. Décisions : l'IA aide à préparer, elle ne décide pas. Aucune décision concernant une personne n'est prise sur la seule base d'un résultat d'IA.
7. Transparence : en cas de doute sur l'usage de l'IA dans un document remis à un client, en parler au référent.
8. Propriété et confidentialité : les documents des clients et partenaires ne sont utilisés que pour le dossier concerné.
9. Incidents : en cas d'erreur (donnée saisie par mégarde, contenu erroné envoyé), prévenir immédiatement [nom du référent]. Une erreur signalée vite se corrige facilement.
10. Formation : chaque utilisateur est accompagné dans la prise en main des outils autorisés. Les actions menées sont notées.
11. Mise à jour : la charte est revue à chaque nouvel outil ou nouvel usage, et au moins une fois par an.

Selon la manière dont vous l'intégrez (note de service, annexe au règlement intérieur, simple document de bonnes pratiques), des règles de droit du travail peuvent s'appliquer. Renseignez-vous auprès de votre conseil habituel.

Comment faire vivre la charte au quotidien ?

Une charte rangée dans un tiroir ne protège personne. Pour qu'elle soit appliquée :

• ☐ présentez-la en réunion, avec deux ou trois exemples tirés de vos dossiers ;
• ☐ affichez les règles essentielles près des postes ou dans votre messagerie interne ;
• ☐ désignez un référent joignable, même dans une équipe de cinq personnes ;
• ☐ faites un court point régulier : ce qui marche, ce qui a posé problème ;
• ☐ gardez une trace des présentations et des formations réalisées.

La CNIL souligne que l'organisme utilisateur engage en principe sa responsabilité en cas de mauvais usage par son personnel. Former les équipes sur leurs propres dossiers reste la meilleure façon de rendre les règles naturelles : c'est l'objet de notre guide formation IA en entreprise.

Vous souhaitez un regard extérieur sur vos usages actuels et une charte adaptée à votre activité ? Parlons-en lors d'un échange offert, gratuit et sans engagement.