Charte IA d’entreprise : modèle en 1 page et 7 règles à inclure (conforme AI Act 2026)

Votre entreprise a déjà une charte IA. Elle n’est écrite nulle part et tient en une ligne : tout est permis tant que personne ne regarde.

Si vous dirigez une PME, une DSI ou une équipe, cette règle s’applique chaque fois qu’un collaborateur colle un mail client dans un compte gratuit pour gagner vingt minutes. Ce que vous perdez en la laissant courir : une donnée personnelle partie chez un fournisseur sans contrat, un chiffre inventé envoyé à un client, un contrôle AI Act sans rien à montrer.

Cet article la remplace par une page : sept règles rédigées à la première personne, prêtes à copier, chacune reliée à ce qu’elle prouve au regard du règlement européen au 17 septembre 2026, puis les trois erreurs qui vident une charte de son effet et le plan de signature en une semaine.

Vos salariés ont déjà une charte IA, sauf qu’elle n’est pas la vôtre

Ce que le shadow AI fait circuler chaque jour hors de votre radar

Le shadow AI désigne l’usage d’outils d’IA générative par les salariés sans validation de l’employeur, et le rapport d’information du Sénat n° 572 (2025-2026) lui consacre un chapitre entier.

Selon le baromètre IFOP pour Talan 2025 repris par ce rapport, 43 % des salariés utilisent l’IA générative au travail. Une étude de septembre 2025 citée par les sénateurs ajoute que 75 % d’entre eux passent par des outils ni fournis ni validés par l’entreprise, et que 44 % se forment seuls.

Côté employeurs, 9 % des salariés disposent d’un outil fourni en interne et près d’une entreprise sur deux n’a pas l’intention d’en fournir un, d’après le rapport INRIA de 2025.

Le cas d’école reste Samsung en 2023 : des ingénieurs collent du code source interne dans ChatGPT pour le déboguer, et l’entreprise interdit l’outil dans la foulée. Le Sénat en tire la leçon inverse : un cadre qui oriente les usages vers des outils autorisés, par exemple une charte d’utilisation de l’IA, fait reculer le shadow AI.

Ce que l’AI Act exige de vous au 17 septembre 2026

Le règlement européen ne cite jamais le mot « charte ». Il pose des obligations aux déployeurs (l’entreprise qui utilise un outil IA fourni par un tiers, autrement dit vous), et la charte IA en est le support.

Trois dates comptent. L’article 4 sur la maîtrise de l’IA par le personnel s’applique depuis le 2 février 2025 ; le Digital Omnibus (règlement UE 2026/1744, en vigueur depuis le 27 juillet 2026) l’a requalifié en obligation de moyens, comme l’expliquent les sept changements du Digital Omnibus. L’article 50 sur la transparence s’applique aux déployeurs depuis le 2 août 2026, sans report, et les autorités nationales contrôlent depuis cette date.

Seul le marquage automatique des contenus par les fournisseurs de systèmes déjà sur le marché attend le 2 décembre 2026. Les usages à haut risque de l’annexe III (recrutement, crédit, éducation) sont reportés au 2 décembre 2027 et relèvent d’un cadre à part, décrit dans notre guide des obligations AI Act pour les entreprises françaises.

Un point que les contenus marketing laissent flou : l’AI Act n’impose aucun registre à une PME qui utilise des systèmes à risque limité ou minimal. Charte et registre sont des preuves à produire en cas de contrôle, pas des obligations.

Les quatre règles du quotidien que chaque salarié doit pouvoir réciter

Pensez au code de la route affiché en une page : sept panneaux que tout le monde reconnaît, pas le Code complet.

Une liste courte d’outils, et un compte professionnel pour chacun

Je n’utilise que les outils de la liste officielle, avec mon compte professionnel. Jamais un compte personnel ni une version gratuite pour un document de travail.

La liste tient en trois à cinq outils, comme la liste des fournisseurs référencés en achat : on ne commande pas un ordinateur chez n’importe qui. Cinq critères qualifient un outil, pas sa marque.

• Une offre professionnelle ou entreprise, jamais la version grand public.
• Un DPA signé (contrat de traitement des données, exigé par le RGPD dès qu’un prestataire touche des données personnelles).
• Un engagement écrit de non-entraînement sur vos échanges.
• Une conservation réglable par l’administrateur, jusqu’au ZDR (Zero Data Retention : le fournisseur ne garde pas vos échanges), étendu par OpenAI aux offres Business et Enterprise en août 2026.
• Un hébergement dans l’UE ou des clauses contractuelles équivalentes.

Une marque change d’offre en six mois ; les critères restent.

Ce qui ne rentre jamais dans un prompt, même sur un outil validé

Je ne saisis dans un outil IA aucune donnée personnelle identifiante, aucune donnée client non anonymisée, aucun contrat, prix non public, code source ou document stratégique. Si j’ai un doute, je demande avant.

Un outil d’IA générative ressemble à un inconnu sympathique dans le train : il ne vous veut aucun mal, mais vous ne savez pas à qui il répète. La règle vaut même sur un outil validé pour les secrets les plus sensibles, parce qu’un contrat limite un risque sans le supprimer.

Les données sensibles au sens du RGPD (santé, opinions, origine) ferment la marche, et chaque interdiction vient avec son alternative : le mail client s’anonymise en deux minutes.

Pourquoi rien ne sort sans relecture humaine

Je relis et je vérifie toute production IA avant de la diffuser à l’extérieur, et je reste responsable de ce que j’envoie. Aucune décision qui touche une personne ne repose sur une sortie d’IA sans validation humaine.

Relire un texte généré revient à relire le travail d’un stagiaire brillant qui n’a jamais mis les pieds dans l’entreprise : rapide, cultivé, sûr de lui, capable d’inventer un chiffre avec le même aplomb qu’un vrai. Les sources sont exigées pour tout contenu chiffré ou juridique.

La responsabilité reste sur celui qui diffuse, et cette relecture protège aussi vos droits sur le contenu (règle 5).

Signaler une erreur ne coûte rien, la cacher coûte cher

Si je pense avoir mis une donnée interdite dans un outil IA, je préviens le référent IA le jour même. Signaler n’est jamais sanctionné, cacher l’est.

Le référent IA peut être le DPO, la DSI ou un responsable métier ; ce qui compte est qu’il soit nommé. Un incident couvre une donnée interdite saisie, une sortie d’IA diffusée sans relecture, ou un outil hors liste.

Le délai est le jour même : une suppression de conversation demandée dans l’heure vaut mieux qu’une découverte au contrôle. L’absence de sanction pour celui qui signale rend les six autres règles crédibles.

Les trois règles que la direction doit trancher avant de signer

Les quatre premières règles se lisent en cinq minutes en réunion d’équipe ; les trois suivantes demandent une décision de la direction.

À qui appartient ce que l’IA produit ?

Ce que je produis avec une IA dans le cadre de mon travail appartient à l’entreprise, et j’y apporte toujours ma propre contribution : sélection, réécriture, vérification, mise en forme.

L’étude du Parlement européen de 2025 sur l’IA générative et le droit d’auteur est nette : un contenu produit à 100 % par une IA, sans apport créatif humain, tombe dans le domaine public. Un contenu assisté par IA avec un contrôle créatif humain reste protégeable.

D’où deux décisions : exiger un apport humain sur tout livrable et clarifier par écrit la cession à l’employeur. Une plaquette générée d’un seul prompt, un concurrent peut la reprendre.

Dire quand c’est une IA qui parle

Quand une IA s’adresse à un client à notre place, ou quand un contenu généré pourrait être pris pour authentique, je le signale clairement. En interne, je mentionne « produit avec l’aide d’une IA » sur les documents concernés.

La première phrase est obligatoire au titre de l’article 50 depuis le 2 août 2026 : un chatbot client se présente comme une IA, un deepfake est marqué, un texte d’intérêt public généré par IA l’indique. La seconde est une bonne pratique : un rapport interne ne circule pas sans que l’on sache qu’il n’a pas été relu.

La distinction protège la charte : quand tout devient obligatoire, plus rien ne l’est.

Former en 45 minutes et tenir le registre à jour

Je suis la session de formation IA de l’entreprise avant d’utiliser un outil de la liste, et tout nouvel outil est inscrit au registre avant son premier usage.

L’article 4 demande des mesures pour favoriser la maîtrise de l’IA du personnel, selon la formulation du Digital Omnibus. Une session de 45 minutes sur la charte, avec un exercice d’anonymisation, y répond mieux qu’un MOOC de 20 heures que personne ne termine.

Le registre des systèmes IA se compare à l’inventaire des extincteurs : personne n’y pense, jusqu’au jour du contrôle où c’est la première chose qu’on vous demande. Cinq colonnes suffisent (outil, usage, référent, niveau de risque, date de validation), trois lignes couvrent une PME de 30 personnes, et une revue tous les six mois le garde vivant.

Les trois erreurs qui vident une charte IA de son effet

La première erreur est la charte de 12 pages que personne ne lit. Le modèle JPI en neuf articles et la charte gouvernementale sont d’excellentes sources et de mauvais documents à diffuser : un salarié ne mémorise pas neuf articles.

Le panneau tient sur une page, épinglé dans la messagerie : une charte IA qu’on peut réciter est une charte qu’on applique.

La deuxième erreur est l’interdiction totale, celle de Samsung en 2023. Elle fabrique du shadow AI au lieu de le réduire, parce que les outils sont déjà dans la place : Gemini dans Google Workspace, Copilot dans Microsoft 365, une fonction IA dans le CRM.

Interdire ChatGPT revient à fermer la porte d’entrée en laissant les fenêtres ouvertes. La charte utile autorise avant d’interdire : chaque « non » vient avec l’outil validé qui dit « oui ».

La troisième erreur est la charte sans formation. Un document signé que personne n’a expliqué ne prouve rien au sens de l’article 4, qui demande des mesures, et laisse les 44 % de salariés qui se forment seuls là où ils étaient.

Sur les sanctions, le champ est naissant : aucune décision prud’homale emblématique sur l’IA générative n’est identifiée au 17 septembre 2026. La jurisprudence sur l’usage d’internet et de la messagerie au travail sert de référence pour la proportionnalité, d’où une charte IA qui informe et forme avant de sanctionner.

Faire signer la charte IA cette semaine

Le jour 1 sert à adapter la trame : copier les sept formulations, remplacer la liste des outils par la vôtre, nommer le référent IA. Le jour 2 passe devant le DPO, la DSI ou votre prestataire informatique pour vérifier les contrats et signer les DPA manquants.

Le jour 3 est institutionnel : le CSE est consulté au titre de l’article L.2312-8 du Code du travail (introduction de nouvelles technologies) ; au-delà de 50 salariés et si la charte prévoit des sanctions, elle rejoint le règlement intérieur (articles L.1321-1 et suivants).

Sous ce seuil, ou sans sanction prévue, une note de service signée par la direction suffit. Les jours 4 et 5 couvrent la session de 45 minutes, la signature, la diffusion par mail et l’inscription des outils au registre, avec une revue à six mois calée dans l’agenda.

La charte IA de votre entreprise existe déjà, écrite ou non. Celle que vos salariés appliquent en silence dit que tout est permis tant que personne ne regarde ; celle de cette page dit ce qui est permis, avec quels outils, et à qui parler quand quelque chose dérape.

Les sept formulations couvrent les articles 4 et 50 au 17 septembre 2026 et laissent le haut risque à son calendrier de décembre 2027. Pour le volet données personnelles, notre analyse du Privacy Filter d’OpenAI traite l’anonymisation avant envoi.

Une seule chose à faire cette semaine : copier les sept blockquotes, remplacer la liste des outils par la vôtre, et poser la page sur le bureau de la direction avant vendredi.

FAQ : dix questions sur la charte IA d’entreprise

Une charte IA est-elle obligatoire avec l’AI Act ?

Non, le règlement ne nomme jamais ce document. Il impose la maîtrise de l’IA par le personnel (article 4) et la transparence (article 50), et la charte est le moyen le plus simple de prouver que ces obligations sont prises en charge.

Que doit contenir une charte IA pour tenir en une page ?

Sept règles : outils validés, données interdites, relecture humaine, signalement, propriété des productions, transparence, formation et registre. Chacune tient en une ou deux phrases à la première personne.

Quelles données mes salariés ne doivent jamais saisir dans un outil IA ?

Les données personnelles identifiantes, les données sensibles au sens du RGPD, les données clients non anonymisées, les contrats, les prix non publics, le code source et les documents stratégiques. La règle s’applique même sur un outil validé pour les secrets les plus sensibles.

Comment savoir si un outil IA est validé ?

Il remplit cinq critères : offre professionnelle, DPA signé, engagement écrit de non-entraînement, conservation réglable par l’administrateur, hébergement UE ou clauses équivalentes. Une version gratuite ou un compte personnel ne remplit aucun des cinq.

Faut-il consulter le CSE pour adopter une charte IA ?

Oui, au titre de l’article L.2312-8 du Code du travail sur l’introduction de nouvelles technologies. Le règlement intérieur ne bouge que si la charte prévoit des sanctions et que l’entreprise dépasse 50 salariés.

Peut-on sanctionner un salarié qui utilise une IA non autorisée ?

Oui, à condition que la règle ait été portée à sa connaissance, que la sanction soit prévue dans un document opposable et qu’elle reste proportionnée. Aucune décision prud’homale emblématique n’existe encore sur l’IA générative, et la jurisprudence sur l’usage d’internet au travail sert de référence.

À qui appartiennent les textes et les images générés par l’IA au travail ?

Un contenu produit à 100 % par une IA sans apport créatif humain tombe dans le domaine public, selon l’étude du Parlement européen de 2025. Un contenu assisté avec un contrôle humain reste protégeable, d’où l’exigence d’apport humain dans la charte et la clause de cession à l’employeur.

Qu’est-ce que le registre des systèmes IA, et une PME de 20 personnes doit-elle en tenir un ?

Un tableau interne en cinq colonnes (outil, usage, référent, niveau de risque, date de validation) qui liste ce que l’entreprise utilise. Les PME qui utilisent des systèmes à risque limité n’y sont pas tenues ; il reste la preuve la plus simple à produire en cas de contrôle.

Que change l’article 50 pour une PME depuis le 2 août 2026 ?

Un chatbot qui s’adresse à des clients doit se présenter comme une IA, un deepfake doit être marqué, un texte d’intérêt public généré par IA doit l’indiquer. La mention interne « produit avec l’aide d’une IA » reste une bonne pratique, pas une obligation.

Une charte d’une page suffit-elle pour un usage de recrutement ou de scoring ?

Non, ces usages relèvent de l’annexe III du règlement et d’obligations à part, applicables à partir du 2 décembre 2027. La charte d’une page couvre les usages courants de l’IA générative, pas les systèmes à haut risque.