Il y a de fortes chances que, pendant que vous lisez ces lignes, quelqu’un dans votre entreprise soit en train de coller un extrait de contrat, un fichier RH ou un devis client dans un outil d’IA grand public. Sans vous le dire.
Ce n’est pas de la mauvaise volonté. C’est le sens de l’histoire.
Le Work Trend Index de Microsoft (2024) a montré que 78 % des personnes qui utilisent l’IA au travail apportent leur propre outil (le fameux « BYOAI », bring your own AI), et que 52 % préfèrent ne pas admettre qu’elles s’en servent pour leurs tâches importantes. Côté français, plusieurs études de 2025 pointent dans la même direction : la majorité des salariés qui se servent de l’IA générative le font sans cadre défini par leur employeur — une enquête Inria/Datacraft de juin 2025 avançait même que 68 % des salariés français utilisent des outils d’IA sans en informer leur direction.
Ce phénomène a un nom : le shadow AI (« IA de l’ombre »). Et il pose une question simple au dirigeant : la porte est déjà ouverte — préférez-vous encadrer ce qui passe par là, ou faire semblant qu’elle est fermée ?
Une charte IA, c’est exactement ça : reprendre le contrôle d’un usage qui existe déjà. Cet article s’inspire d’un excellent cadre publié par le Journal of Accountancy pour les cabinets comptables américains (« Drafting an AI Policy That Actually Works », Nicole L. Graham), transposé au contexte d’une PME française et complété par le cadre réglementaire européen (AI Act, RGPD, CNIL).
Une charte, pas une note de service
La première erreur, c’est de traiter le sujet comme un problème d’informatique. « On va bloquer ChatGPT sur le réseau » — et le collaborateur l’ouvre sur son téléphone. « On enverra un mail pour dire de faire attention » — et personne ne s’en souvient trois semaines plus tard.
L’IA générative n’est pas un problème d’outil. C’est un problème de gouvernance. Qui a le droit de faire quoi, avec quelles données, sous quelle responsabilité, et comment on le vérifie.
Une charte IA n’est donc ni une note de service, ni une case à cocher pour se donner bonne conscience. C’est un élément vivant de votre cadre de gestion des risques — un document qu’on écrit, qu’on fait signer, qu’on applique et qu’on met à jour au fil des outils et des règles.
Et ce n’est plus seulement une bonne pratique : c’est en train de devenir une obligation. Depuis le 2 février 2025, l’article 4 du règlement européen sur l’IA (AI Act) impose à toute organisation qui déploie de l’IA de garantir un niveau suffisant de « littératie IA » de ses équipes — c’est-à-dire de s’assurer que les personnes qui utilisent ces systèmes en comprennent les capacités, les limites et les risques. Une charte assortie de formation est précisément la façon la plus simple de matérialiser cette obligation. (Voir l’encadré réglementaire plus bas.)
Le modèle mental : 3 questions, pas 30 pages
Avant les 9 briques détaillées, gardez en tête que toute charte IA répond à trois questions, dans cet ordre :
- Gouvernance — qui décide ? Quels outils sont autorisés, qui les valide, qui tranche en cas de doute.
- Garde-fous — quelles données, quelle vérification ? Ce qu’on a le droit d’entrer dans un outil, et comment on contrôle ce qui en sort.
- Culture — comment on tient dans la durée ? Formation, habitudes, revue régulière.
Une charte de 30 pages que personne ne lit ne protège personne. Une charte d’une page claire, connue et appliquée protège l’entreprise. Visez la seconde.
Les 9 briques d’une charte IA qui tient la route
1. Périmètre et objectif
Commencez par répondre à deux questions : qu’est-ce qu’on encadre, et pourquoi ?
- Définissez ce que vous entendez par « IA générative » (les outils de type ChatGPT, Claude, Copilot, Mistral… qui produisent du texte, du code, des images à partir d’une consigne).
- Rattachez l’usage de l’IA à vos obligations métier : engagements de confidentialité contractuels, secret professionnel si votre secteur y est soumis, règles déontologiques de votre profession, RGPD.
- Posez le principe fondateur, celui qui doit rester en tête à chaque ligne : l’IA est un outil pour soutenir le travail, pas pour le remplacer. Elle assiste un professionnel qui reste responsable.
2. Gouvernance et outils autorisés
C’est le cœur du dispositif. Une charte sans gouvernance, c’est une liste de vœux.
- Limitez l’usage à une liste d’outils validés par l’entreprise. Pas « toute IA » — ces outils-là, choisis parce que leurs conditions de traitement des données sont acceptables.
- Prévoyez un processus de demande : un collaborateur veut utiliser un nouvel outil ? Il le demande, quelqu’un l’évalue, on l’ajoute (ou non) à la liste.
- Précisez les règles d’accès : outils utilisés sur les équipements de l’entreprise, comptes professionnels, interdiction de partager ses accès avec un tiers extérieur.
- Surtout : désignez un référent IA (ou un petit comité selon la taille). Son rôle : examiner les cas d’usage proposés, valider les nouveaux outils, faire évoluer la charte, suivre la conformité et traiter les incidents. Sans propriétaire, une charte meurt le jour de sa publication.
Dans les organisations plus grandes, cette gouvernance passe souvent par une plateforme administrée (comptes, rôles, droits d’accès, journalisation). C’est le sujet de notre comparatif Plateformes IA d’entreprise : gouvernance et RBAC. Pour une PME qui démarre, une charte + une liste d’outils suffisent largement à poser les bases.
3. Données, confidentialité et RGPD
La brique la plus sensible — et celle où le shadow AI fait le plus de dégâts.
- Renseignez-vous sur le traitement des données de chaque outil : où sont stockées les données ? Qui peut y accéder ? Sont-elles réutilisées pour entraîner le modèle ? Un compte gratuit et un compte entreprise n’offrent pas les mêmes garanties.
- Interdisez l’entrée d’informations confidentielles dès lors que les données peuvent être consultées à l’extérieur ou réutilisées : données personnelles, données clients, propriété intellectuelle, secrets d’affaires, éléments couverts par un contrat.
- Formez les équipes à reconnaître ce qui est sensible — avec des exemples concrets de ce qu’il faut masquer (noms, numéros, montants, éléments identifiants) avant toute saisie.
- Ne partagez avec l’outil que le strict nécessaire.
Ce point n’est pas qu’une bonne pratique : c’est du droit. La CNIL rappelle que le RGPD s’applique jusque dans les invites (prompts) : dès qu’un collaborateur saisit une donnée personnelle dans un outil d’IA, il réalise un traitement de données, et l’entreprise en reste responsable. Ses recommandations 2025 sur l’IA et le RGPD confirment cette lecture (cf. cnil.fr). Sans charte, sans liste d’outils, sans formation, c’est l’entreprise qui porte le risque de ce qui sort par la porte ouverte.
4. Qualité, exactitude et responsabilité
Le point que tout le monde sous-estime : l’IA peut se tromper avec aplomb. Elle formule des réponses fausses avec la même assurance que des réponses justes — c’est le phénomène des « hallucinations ».
La règle est donc simple et non négociable :
- N’utilisez jamais l’IA pour prendre, finaliser ou justifier une décision engageante sans relecture et validation humaines complètes. Un livrable client, un chiffre transmis, un avis, une recommandation : la machine propose, l’humain dispose.
- Vérifiez tout contenu généré directement à la source faisant autorité dans votre métier : le texte de loi lui-même, la norme applicable, la documentation officielle du fournisseur, le contrat, la donnée d’origine. Pas « l’IA me l’a dit ».
- Et retenez le principe de responsabilité : celui qui signe reste responsable de l’exactitude. « C’est l’IA qui s’est trompée » n’a jamais été et ne sera jamais une ligne de défense recevable — ni devant un client, ni devant un juge, ni devant un régulateur.
5. Documentation et supervision
Ce qui n’est pas tracé n’a jamais existé — et sera impossible à expliquer a posteriori.
- Documentez les usages sensibles et leur vérification. Sur un dossier qui compte, gardez trace du minimum utile : quelle consigne (prompt) a été utilisée, comment le résultat a été vérifié, et par qui.
- Traitez cette trace comme vous traitez déjà la documentation d’une décision importante ou du recours à un prestataire externe.
- Intégrez la revue « IA » à vos contrôles qualité existants — pas dans un processus séparé et informel qui vivra sa vie. La supervision de l’IA doit entrer dans les rituels que vous avez déjà.
6. Biais et non-discrimination
L’IA apprend sur des données historiques — et peut donc reproduire, voire amplifier, des biais.
- Rappelez que les résultats produits doivent respecter vos politiques internes de non-discrimination.
- Demandez une lecture critique des résultats pour repérer d’éventuels biais.
- Faites intervenir des relecteurs différents sur les sujets à risque : décisions RH, recrutement, sélection, sujets clients sensibles. (Nous détaillons ce point dans l’article IA pour les services RH.)
7. Transparence et communication client
- Attribuez le contenu assisté par IA là où c’est pertinent, plutôt que de le faire passer pour un travail 100 % manuel.
- Vérifiez vos obligations de transparence : certaines réglementations, certains contrats ou certains secteurs imposent d’informer. À partir du 2 août 2026, l’AI Act impose d’ailleurs de signaler clairement les contenus générés par IA et les interactions avec un système d’IA (chatbots, deepfakes…).
- Envisagez une divulgation volontaire : mentionner dans vos conditions ou vos lettres de mission que « des outils d’IA peuvent être utilisés dans le cadre de la prestation » est souvent un facteur de confiance, pas de défiance.
8. Règles d’usage : ce qui est permis, ce qui ne l’est pas
Rien ne remplace des exemples concrets. Une charte abstraite laisse chacun interpréter à sa façon.
| Usages à faible risque (généralement permis) | Usages à proscrire |
|---|---|
| Résumer un document non confidentiel | Entrer des données clients, personnelles ou couvertes par un contrat |
| Rédiger un brouillon de note interne | Faire trancher une décision engageante par l’IA sans relecture |
| Reformuler, corriger, traduire un texte public | Produire un livrable client sans vérification à la source |
| Générer des idées, un plan, une trame | Partager ses accès à un outil avec un tiers extérieur |
| Aider à écrire ou déboguer un bout de code non sensible | Publier un résultat sans en assumer la responsabilité |
Adaptez ce tableau à vos métiers : ce qui est acceptable pour le marketing ne l’est pas forcément pour la paie ou le juridique.
9. Formation, culture et mise en œuvre
Une charte n’a de valeur que si elle est appliquée. La différence se joue là.
- Prévoyez des sessions de formation courtes, par outil et par métier (30 à 60 minutes suffisent souvent pour démarrer).
- Faites signer un accusé de lecture de la charte par chaque collaborateur concerné.
- Mettez en place des contrôles ponctuels et une boucle de retour : les usages remontent, les problèmes émergent, la charte s’ajuste.
- Construisez les bonnes habitudes dès le départ. Il est bien plus facile de cadrer un usage naissant que de reprendre en main un usage déjà installé dans le désordre.
Le cadre réglementaire français et européen, en clair
Vous n’avez pas besoin d’être juriste, mais un dirigeant doit connaître les quelques dates qui l’engagent. Voici l’essentiel — les dates fermes de l’AI Act (règlement UE 2024/1689, entré en vigueur le 1ᵉʳ août 2024) :
| Date | Ce qui s’applique | Concerne une PME ? |
|---|---|---|
| 2 février 2025 | Interdiction des usages « inacceptables » (art. 5) + obligation de littératie IA (art. 4) : former les équipes qui utilisent l’IA | Oui, directement |
| 2 août 2025 | Obligations des fournisseurs de modèles à usage général (GPAI) | Indirect (vos fournisseurs) |
| 2 août 2026 | Transparence (signaler les contenus IA, chatbots, deepfakes, art. 50) + régime de sanctions | Oui |
| Fin 2027 (repoussé) | Obligations « systèmes à haut risque » (annexe III), décalées via le Digital Omnibus | Selon votre activité |
Les sanctions ne sont pas symboliques : jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les manquements les plus graves (avec des plafonds réduits pour les PME et start-up). En France, c’est la CNIL qui est désignée comme l’une des autorités de contrôle.
À cela s’ajoute le RGPD, qui s’applique déjà : dès qu’une donnée personnelle entre dans un prompt, vous réalisez un traitement, avec les obligations habituelles (base légale, minimisation, information des personnes, sécurité). La CNIL a publié en 2025 ses recommandations sur l’articulation IA / RGPD.
Ce qu’il faut en retenir : même sans être concerné par le « haut risque », toute PME qui utilise l’IA est déjà soumise à l’obligation de former ses équipes (littératie), au RGPD sur les données saisies, et bientôt à la transparence. Une charte assortie de formation coche ces trois cases d’un coup.
Modèle de charte IA (à copier et adapter)
Deux façons d’obtenir votre charte : le raccourci (notre générateur) ou la trame à remplir vous-même.
⚡ Le raccourci — le générateur de charte IA Nefia
Pas envie de partir de la page blanche ? Nefia a conçu un générateur de charte IA : un assistant qui vous pose 4 questions (votre entreprise et son activité, votre rôle, votre niveau de connaissance du sujet, et les personnes à embarquer), vous explique chaque section point par point si vous le souhaitez, puis produit une charte personnalisée à votre nom — prête à signer, exportée en PDF A4 (avec vos mentions légales et l'encadré de signature).
Sinon, voici une trame d’une page que vous pouvez reprendre telle quelle et remplir. Les crochets […] sont à compléter.
CHARTE D’USAGE DE L’INTELLIGENCE ARTIFICIELLE — [Nom de l’entreprise] Version [x] — [date] — Référent IA : [nom]
1. Objet. La présente charte encadre l’usage des outils d’intelligence artificielle générative au sein de [entreprise]. L’IA est un outil destiné à soutenir le travail, non à s’y substituer : la responsabilité finale reste toujours humaine.
2. Outils autorisés. Seuls les outils suivants sont autorisés, sur les équipements et comptes professionnels : [liste — ex. Copilot entreprise, Claude via compte pro, …]. Toute demande d’ajout d’outil se fait auprès du référent IA. Le partage de ses accès avec un tiers extérieur est interdit.
3. Données interdites. Il est interdit de saisir dans un outil non expressément validé pour cela : données personnelles, données clients, informations confidentielles, propriété intellectuelle, éléments couverts par un contrat. En cas de doute : masquer, ou demander au référent.
4. Vérification obligatoire. Aucun résultat généré par IA n’est utilisé dans un livrable, une décision ou une communication engageante sans relecture humaine et vérification à la source. Celui qui signe reste responsable de l’exactitude.
5. Traçabilité. Pour les usages sensibles, conserver la trace de la consigne utilisée, de la vérification effectuée et de son auteur.
6. Biais & équité. Les résultats doivent respecter nos règles de non-discrimination. Les sujets RH et clients sensibles font l’objet d’une double lecture.
7. Transparence. Le recours à l’IA est signalé lorsque c’est pertinent ou requis. [Mention type dans les lettres de mission : « des outils d’IA peuvent être utilisés dans le cadre de la prestation ».]
8. Formation & engagement. Chaque collaborateur concerné suit la formation d’usage et signe le présent document. La charte est revue au minimum [tous les 6 mois] et à chaque évolution majeure des outils ou de la réglementation.
Lu et approuvé — Nom / Date / Signature : ____________________
Gardez cette trame courte. Une charte qu’on lit en trois minutes est une charte qu’on applique.
Les 5 pièges qui rendent une charte inutile
- La charte-décoration. Rédigée, publiée, jamais appliquée. Sans référent ni contrôle, elle ne protège personne — elle donne juste une fausse impression de sécurité.
- Le « on interdit tout ». Interdire l’IA ne la fait pas disparaître : ça la pousse dans l’ombre, sur des comptes personnels, hors de tout contrôle. Encadrer bat interdire.
- La liste d’outils figée. Le marché bouge tous les mois. Une liste jamais mise à jour devient soit obsolète, soit contournée. Prévoyez le processus de mise à jour dès le départ.
- Aucune trace. Sans documentation des usages sensibles, impossible d’expliquer a posteriori comment un résultat a été produit et vérifié. C’est le point qui coûte cher en cas de litige.
- Zéro formation. Une charte sans littératie IA, c’est un code de la route sans auto-école — et c’est désormais aussi un manquement à l’article 4 de l’AI Act.
En résumé
Le shadow AI n’est pas un risque théorique : c’est la situation par défaut de la plupart des entreprises aujourd’hui. Vos équipes utilisent déjà l’IA. La seule question est de savoir si elles le font dans un cadre ou dans votre dos.
Une bonne charte IA n’est ni longue, ni compliquée, ni juridique. C’est un document d’une page, porté par un référent, adossé à une liste d’outils et à une formation, et revu régulièrement. Elle transforme un angle mort en avantage : moins de risque, plus de confiance client, et une conformité (AI Act, RGPD) que vous prenez de l’avance au lieu de la subir.
Commencez petit, commencez maintenant. La meilleure charte n’est pas la plus complète — c’est celle que vos équipes connaissent et appliquent.
Vous voulez poser ce cadre sans y passer vos soirées ?
Nefia accompagne les dirigeants de PME sur la gouvernance de l'IA : choix des outils, rédaction de la charte, formation des équipes et mise en conformité (AI Act, RGPD). On part de vos usages réels, pas d'un modèle générique.
Sources : Nicole L. Graham, « Drafting an AI Policy That Actually Works », Journal of Accountancy (juillet 2026) ; Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act) ; recommandations de la CNIL sur l’IA et le RGPD (2025) ; Microsoft Work Trend Index (2024). Cet article est une ressource d’information générale et ne constitue pas un conseil juridique.
