Charte IA en entreprise : le modèle pour Cadrer vos équipes

Une charte IA encadre l'usage des outils d'intelligence artificielle par vos salariés : ce qu'ils ont le droit de faire avec ChatGPT, Copilot ou Mistral, ce qui leur est interdit et ce qu'ils risquent en cas de dérive. Le document n'est obligatoire dans aucun texte, mais l'AI Act impose depuis le 2 février 2025 de former vos équipes à l'IA. Toutefois le RGPD, lui, vous tient responsable de chaque fuite de données

Le cabinet d'avocat en droit du numérique Aurore Bonavia vous explique comment construire cette charte et, surtout, comment lui donner une vraie valeur juridique. Car un modèle gratuit téléchargé en trois clics fixe des bonnes pratiques ; il ne permet pas de sanctionner un salarié. L'opposabilité, elle, suit une procédure précise que la plupart des modèles passent sous silence.

RÉSUMÉ DE L'ARTICLE

• Cartographiez d'abord le « shadow IA » (les outils que vos équipes utilisent déjà sans vous le dire) avant d'écrire la moindre règle : une charte déconnectée des usages réels ne s'applique pas.
• Adossez les sanctions au règlement intérieur. Sans cette base, une dérive ne peut donner lieu à aucune sanction disciplinaire.
• Respectez la procédure d'opposabilité pour qu'un manquement à la charte tienne devant le conseil de prud'hommes.
• Reliez la charte à l'AI Act pour transformer une contrainte réglementaire en outil de pilotage interne.

Une charte IA est-elle obligatoire dans votre entreprise ?

Une charte IA désigne un document interne par lequel l'employeur fixe les règles d'utilisation des outils d'intelligence artificielle au travail. Aucune loi ne vous oblige à la rédiger en tant que telle. Mais dans la pratique, deux obligations la rendent difficile à éviter.

1. La première vient de l'AI Act, le règlement (UE) 2024/1689 sur l'intelligence artificielle. Son article 4 impose depuis le 2 février 2025 à tout employeur qui déploie des systèmes d'IA de garantir un niveau suffisant de «maîtrise de l'IA » chez les personnes qui les utilisent. Former et encadrer vos salariés n'est donc plus une option. La charte IA est le support naturel à utiliser.
2. La seconde vient du RGPD. Dès qu'un salarié colle un nom de client, un CV ou un fichier RH dans ChatGPT, votre entreprise transmet des données personnelles et en répond comme responsable de traitement. L'article 5.2 du règlement vous impose de démontrer votre conformité : une charte écrite et diffusée fait partie des mesures qui prouvent votre diligence face à la CNIL.

L’erreur courante de mes clients est de confondre ces 3 documents : 

• La charte d'utilisation qui pose les principes et les bonnes pratiques.
•  La politique IA qui détaille les procédures techniques. 
• Le règlement intérieur qui porte, par nature, l'échelle des sanctions disciplinaires.

Charte IA et AI Act : ce que le règlement vous impose déjà

Plusieurs obligations de l’AI Act s'appliquent déjà à votre entreprise en 2026.

L'article 4 du règlement impose depuis le 2 février 2025 une obligation de « maîtrise de l'IA » : vous devez veiller à ce que vos salariés disposent d'un niveau de compétence suffisant pour utiliser les systèmes que vous déployez. 

L'article 50 ajoute une obligation de transparence sur les contenus générés par l'IA, qui doivent être identifiables comme tels. 

L'article 26 encadre les déployeurs de systèmes à haut risque, catégorie qui couvre notamment les usages RH et de scoring.

Ces obligations restent en vigueur indépendamment du calendrier. L'accord politique sur le Digital Omnibus du 7 mai 2026 a reporté de seize mois certaines échéances pour les systèmes à haut risque, mais les obligations sur les modèles d'IA générative s'appliquent, elles, depuis le 2 août 2025. 

Le report ne touche ni la formation, ni la transparence, ni votre responsabilité en termes de mise en conformité RGPD au titre de l'article 5.2 sur l'accountability. 

Pourquoi adopter une charte IA maintenant

Le « shadow IA » est sûrement déjà installé dans votre entreprise, que vous l'ayez autorisé ou non. Une part importante des salariés utilise ChatGPT ou Copilot au travail sans le signaler à leur hiérarchie.

Le premier danger touche vos données. Un commercial qui demande à une IA de reformuler une proposition commerciale y verse vos tarifs, vos marges et le nom de votre prospect, données qui partent sur des serveurs que vous ne maîtrisez pas. Le secret des affaires et la confidentialité contractuelle s'évaporent en une requête.

Il y a bien entendu d’autres risques comme :

• Les données personnelles : un dossier RH ou un fichier client traité par une IA grand public expose l'entreprise à une violation du RGPD et à une plainte CNIL.
• Le contenu erroné : une IA générative invente des sources, des chiffres et des références juridiques (les « hallucinations ») qu'un salarié pressé peut reprendre sans vérifier.
• La propriété intellectuelle : un visuel ou un texte généré peut reproduire une œuvre protégée et engager votre responsabilité en contrefaçon.

Une charte claire transforme un usage non encadré et risqué en pratique encadrée, tracée et défendable le jour où un incident survient.

Comment rédiger une charte IA en cinq étapes

La rédaction se construit de l'intérieur vers l'extérieur : on part des outils réellement utilisés, on en déduit les risques, puis on écrit les règles.

1. Cartographier les usages réels

Listez les outils que vos équipes utilisent déjà, y compris ceux utilisés sans le signaler. Un questionnaire anonyme et l'examen des licences SaaS déjà payées révèlent le « shadow IA » que vous devez encadrer.

2. Identifier les risques par usage

Classez chaque usage selon les données qu'il touche et la décision qu'il influence. Une IA qui reformule une note interne ne présente pas le même risque qu'une IA qui présélectionne des candidats (un usage que l'AI Act range parmi les systèmes à haut risque).

3. Écrire les règles par type d'usage

Traduisez votre analyse en trois colonnes : autorisé, restreint, interdit. Chaque ligne doit nommer un cas concret pour qu'un salarié sache en trois secondes s'il a le droit ou non.

Usage	Exemple	Régime
Reformulation de contenu non confidentiel	Réécrire un brouillon de note interne	AUTORISÉ
Traduction de documents publics	Traduire une plaquette commerciale	AUTORISÉ
Analyse de données clients	Résumer des verbatims clients nominatifs	RESTREINT (anonymisation préalable)
Aide à la décision RH	Présélectionner des candidatures	RESTREINT (supervision humaine obligatoire)
Saisie de données personnelles	Coller un CV ou un dossier médical	INTERDIT
Diffusion d'un contenu non vérifié	Publier un texte généré sans relecture	INTERDIT

4. Choisir le régime juridique

Décidez si la charte sera intégrée au règlement intérieur ou si elle restera un document autonome adossé au contrat de travail.

Étape 5. Former et prévoir la révision

Désignez un référent IA, organisez une session de sensibilisation et inscrivez la formation dans le document : l'AI Act l'exige et la preuve de cette formation vous protège. Fixez enfin une révision tous les six à douze mois, car les outils et le cadre légal bougent vite.

Ce qui rend la charte opposable à vos salariés

Une charte diffusée par simple note de service sans que le salarié en ait vraiment pris note ne vous autorise pas, à elle seule, à sanctionner le salarié. L'opposabilité disciplinaire se construit selon une procédure que le Code du travail encadre strictement.

Exemple de Mise en situation

Un salarié verse un fichier client complet dans une IA grand public, malgré la charte que vous avez envoyée par e-mail six mois plus tôt. Vous voulez le sanctionner. Mais sur quel fondement ?

Solution :

L'article L.1321-1 du Code du travail réserve au règlement intérieur la fixation des « règles générales et permanentes relatives à la discipline, notamment la nature et l'échelle des sanctions que peut prendre l'employeur ». 

Pour faire simple : une sanction disciplinaire pour non-respect de la charte doit donc trouver sa base dans le règlement intérieur.

Vous avez deux possibilités. Soit intégrer la charte au règlement intérieur, soit la maintenir autonome en y renvoyant explicitement depuis ce dernier.

L'article L.1321-4 du Code du travail impose également de soumettre le règlement intérieur (et donc la charte qui s'y rattache) à l'avis du comité social et économique, puis de le communiquer à l'inspection du travail avec cet avis. Le document entre en vigueur un mois au moins après l'accomplissement des formalités de publicité. Chaque étape doit être réalisée dans l’ordre, sinon vous risquez des sanctions au premier recours devant le conseil de prud'hommes.

Trois précisions essentielles :

• Entreprises de moins de 50 salariés sans règlement intérieur : le règlement intérieur n'étant pas obligatoire en dessous de ce seuil, vous appuyez la charte sur le contrat de travail, par une clause ou un avenant accepté et signé par chaque salarié.
• Prestataires et clients : la charte gagne un volet externe, intégré aux conditions générales, qui engage vos partenaires sur l'usage de l'IA dans la relation contractuelle.
• Preuve de diffusion : conservez la trace de la remise de la charte et de la formation associée, car c'est cette preuve qui fonde votre diligence en cas de litige.

Le cabinet en droit du numérique vérifie cette articulation avant tout déploiement, car c'est là que se jouent l'opposabilité et la sécurité juridique de votre démarche.

Modèle de charte IA commenté

Généralement, les défauts des modèles de charte se trouvent dans les clauses sensibles, celles qui engagent votre responsabilité. Voici deux extraits commentés, à adapter à votre contexte avant tout déploiement.

Clause « usages interdits ».
Le collaborateur s'interdit de saisir dans un outil d'IA non validé toute donnée personnelle, donnée de santé, information couverte par le secret des affaires ou document confidentiel appartenant à l'entreprise ou à ses clients.

Cette clause protège à la fois le RGPD et le secret des affaires. Une formulation vague (« ne pas saisir d'informations sensibles ») laisse le salarié juge de ce qui est sensible, ce qui ruine son effet.

Clause « sanctions ».
Tout manquement aux règles de la présente charte est susceptible de constituer une faute disciplinaire, sanctionnée dans les conditions prévues par le règlement intérieur de l'entreprise.

Cette clause relie la charte au règlement intérieur, sans lequel aucune sanction ne tient. C'est la ligne que les modèles gratuits oublient le plus souvent.

Plusieurs organisations publient déjà leur charte et fournissent des repères utiles : l'Institut national du service public (INSP), Capgemini, Pierre Fabre ou LISI Group ont chacune formalisé un document de ce type. Ces exemples montrent la diversité des approches, du groupe industriel à l'établissement public, mais aucun n'est transposable tel quel à votre activité.

Modèle d’AI ACT

Ce modèle complet à personnaliser contient le minimum vital des clauses. En fonction de votre secteur (santé, finance..), enjeux, outils, il sera bien entendu obligatoire de le développer pour cadrer tous les risques. En tant qu’avocate en intelligence artificielle et droit du numérique, je suis à même de vous accompagner dans la rédaction du document.

Charte d'utilisation de l'intelligence artificielle de [Nom de l'entreprise], version [1.0] du [date].

Préambule

L'IA fait gagner du temps. Mal encadrée, elle expose l'entreprise à trois risques concrets : fuite de données confidentielles ou personnelles, diffusion d'informations fausses présentées comme exactes, et engagement de responsabilité sur un résultat non vérifié. La présente charte fixe les règles minimales d'usage. Elle s'inscrit dans le cadre du règlement (UE) 2024/1689 (AI Act) et du RGPD.

Article 1 — Champ d'application

S'applique à l'ensemble des collaborateurs ([statut à préciser]) et, le cas échéant, aux prestataires, pour tout outil d'IA, fourni par l'entreprise ou public.

Article 2 — Les quatre principes non négociables

1. Supervision humaine — aucun résultat d'IA n'est utilisé sans relecture et validation par une personne.
2. Confidentialité — aucune donnée confidentielle, personnelle ou sensible n'est saisie dans un outil non validé.
3. Esprit critique — tout résultat est vérifié (sources, chiffres, références) avant usage.
4. Transparence — l'usage de l'IA est signalé lorsque le résultat est diffusé à un tiers.

Article 3 — La logique des trois régimes

Chaque usage relève de l'un de trois régimes :

• Autorisé — pas de donnée sensible, résultat vérifié. Exemples : reformuler une note interne non confidentielle, traduire un document déjà public.
• Restreint — autorisé sous condition stricte (anonymisation préalable, supervision humaine renforcée, revue obligatoire).
• Interdit — saisie de toute donnée personnelle, confidentielle ou couverte par un secret ; diffusion d'un contenu non relu.

Le classement de vos usages réels — vos outils, vos données, votre secteur — est l'opération qui détermine la valeur de la charte. C'est là que se jouent les cas RH, la génération de code intégrée à un projet, l'analyse de verbatims clients : tous « restreints », mais chacun sous une condition différente qu'il faut nommer précisément. Un classement générique ne protège personne.

Article 4 — Responsabilité du collaborateur

Chaque collaborateur reste responsable des résultats produits avec l'aide d'une IA comme s'il les avait produits lui-même : exactitude, respect des droits de propriété intellectuelle, absence de données protégées dans ses requêtes.

Article 5 — Données personnelles

Aucune donnée personnelle dans un outil non validé. Pour les outils validés, vérification de la base légale, de la minimisation et, selon le traitement, réalisation d'une analyse d'impact (AIPD). DPO : [nom et contact].

Article 6 — Gouvernance, formation, sanctions

Un référent IA tient la liste des outils validés. Une sensibilisation est organisée (obligation issue de l'article 4 de l'AI Act, applicable depuis février 2025) et tracée. Tout manquement peut constituer une faute disciplinaire dans les conditions du règlement intérieur.

Article 7 — Entrée en vigueur et révision

En vigueur le [date]. Révisée à chaque évolution des outils ou de la réglementation — le calendrier de l'AI Act s'échelonne jusqu'en 2027, une charte figée se périme vite.

À noter que ce modèle est une base à personnaliser et ne dispense pas d'un examen au cas par cas. Le cabinet rédige ou relit votre charte pour sécuriser son opposabilité.

Les erreurs à éviter

Quatre erreurs reviennent dans la plupart des chartes que nous voyons passer. Chacune se corrige.

• Oublier les sanctions : sans renvoi au règlement intérieur, la charte reste une recommandation que rien ne fait respecter.
• Sauter l'avis du CSE : une charte opposable adossée au règlement intérieur exige cet avis, faute de quoi la procédure est viciée.
• Ne pas la réviser : un document figé en 2025 ignore les outils, les usages et les échéances réglementaires de 2026.

FAQ

Une charte IA est-elle obligatoire ?

Non, aucun texte n'impose une charte IA en tant que telle. En revanche, l'AI Act impose depuis le 2 février 2025 de former vos salariés à l'IA. Le RGPD vous rend responsable des données qu'ils y traitent. La charte est le moyen le plus simple de répondre à ces deux obligations et de prouver votre diligence.

Existe-t-il un modèle de charte IA gratuit ?

Oui, de nombreux modèles circulent et plusieurs organisations publient la leur (INSP, Capgemini, Pierre Fabre). Ils donnent une trame utile mais restent génériques. Un modèle gratuit ne traite ni votre secteur, ni l'articulation avec votre règlement intérieur, donc ni l'opposabilité de vos sanctions.

Qui doit rédiger et signer la charte IA ?

La rédaction associe la direction, le service juridique, la DSI et les RH, idéalement avec un référent IA désigné. La charte est ensuite portée à la connaissance des salariés. Si elle s'adosse au règlement intérieur, elle suit la procédure de ce dernier, avis du CSE compris.

Peut-on sanctionner un salarié sur le fondement de la charte ?

Oui, mais à une condition : que la charte soit adossée au règlement intérieur, conformément à l'article L.1321-1 du Code du travail. Une charte diffusée par simple e-mail fixe des bonnes pratiques sans permettre de sanction disciplinaire valable. La sanction prononcée sans cette base tombe devant le conseil de prud'hommes.

Faut-il intégrer la charte IA au règlement intérieur ?

C'est la voie la plus sûre pour la rendre opposable. Vous pouvez aussi la maintenir autonome en y renvoyant depuis le règlement intérieur. Dans une entreprise de moins de 50 salariés sans règlement intérieur, la charte s'appuie sur le contrat de travail, par une clause ou un avenant signé.

Sources

• Code du travail, article L.1321-1 (contenu et discipline du règlement intérieur) : Légifrance
• Code du travail, article L.1321-4 (procédure : avis du CSE, inspection du travail) : Légifrance
• Règlement (UE) 2024/1689 (AI Act), articles 4, 26, 50 : EUR-Lex
• Commission nationale de l'informatique et des libertés (CNIL), recommandations IA : cnil.fr