Modèle de charte IA : contenu et clauses types à reprendre

Modèle de charte IA : les douze rubriques et leurs clauses types

Pour chaque rubrique : ce qu’elle doit couvrir et, pour les plus délicates, une clause type. Remplacez les crochets par vos informations.

1. Objet et champ d’application

Expliquez pourquoi la charte existe et à qui elle s’applique : salariés, stagiaires, intérimaires, prestataires, toute personne qui utilise l’IA pour le compte de l’entreprise. Couvrez tous les outils, pas seulement les assistants conversationnels : assistants de code, transcription, génération d’images, fonctions IA des logiciels métiers.

Clause type : « La présente charte s’applique à toute personne utilisant un outil d’intelligence artificielle dans le cadre de son activité pour [Société], quel que soit son statut, et que l’outil soit fourni par [Société], intégré à un logiciel sous licence ou accessible par un compte personnel. »

2. Outils autorisés

Listez les outils autorisés et pour quelles catégories de données, ou renvoyez à une liste tenue à jour sur l’intranet. Nommez les versions entreprise (Microsoft 365 Copilot sous compte professionnel, pas la version grand public). Décrivez comment demander un nouvel outil et qui valide. La liste doit découler de votre cartographie des usages de l’IA, sinon les deux divergeront vite.

Clause type : « Seuls les outils figurant sur la liste des outils d’IA autorisés peuvent être utilisés à des fins professionnelles. Toute demande d’ajout est adressée à [référent IA] via [formulaire] et n’est accordée qu’après revue de sécurité, de protection des données et du fournisseur. »

3. Données : ce qu’on ne saisit jamais

C’est la rubrique qui évite le plus d’incidents. Reliez vos niveaux de classification existants (public, interne, confidentiel, secret) à des règles d’usage de l’IA, et énumérez ce qui est interdit dans tout outil non expressément autorisé pour ce niveau. L’ANSSI recommande elle aussi de restreindre les usages sensibles sur les services d’IA générative publics en ligne, dans ses recommandations de sécurité pour un système d’IA générative.

Clause type : « Sauf autorisation écrite pour le niveau de classification concerné, il est interdit de saisir dans un outil d’IA : mots de passe, clés d’API ou identifiants ; données personnelles de clients ou de salariés ; données sensibles (santé, opinions, appartenance syndicale, données biométriques) ; numéros de sécurité sociale ou de carte bancaire ; informations financières non publiées ; code source classé confidentiel ; documents couverts par le secret professionnel, le secret des affaires ou un accord de confidentialité. »

4. Vérification des résultats et responsabilité

Celui qui utilise l’IA reste responsable du résultat. Les productions doivent être vérifiées (exactitude, biais, droits de tiers, ton) avant usage ou diffusion. Les décisions qui concernent des personnes exigent un contrôle humain réel.

Clause type : « Vous êtes responsable de tout travail réalisé avec l’aide de l’IA. Vérifiez faits, chiffres, sources et code avant de les utiliser. Un résultat d’IA ne peut jamais constituer le seul fondement d’une décision relative au recrutement, à la rémunération, au crédit, à l’accès à un service ou à la situation juridique d’une personne ; une personne habilitée examine le résultat et peut le modifier. »

5. Usages interdits

Listez ce qui n’est jamais permis, en partant des pratiques de l’article 5 susceptibles de se présenter dans une entreprise, puis ajoutez vos propres limites :

• déduire les émotions des salariés (analyse de la voix ou du visage en réunion), sauf raisons médicales ou de sécurité ;
• catégoriser des personnes à partir de données biométriques pour en déduire leur origine, leurs opinions ou leur orientation sexuelle ;
• manipuler ou exploiter la vulnérabilité de personnes liée à l’âge, au handicap ou à la situation sociale ;
• noter des personnes sur leur comportement social avec un traitement défavorable injustifié ;
• produire des images intimes d’une personne sans son consentement ou des contenus pédocriminels (interdiction AI Act au 2 décembre 2026, pour des faits déjà réprimés par le Code pénal) ;
• limites propres à l’entreprise : se faire passer pour une personne réelle, produire des contenus discriminatoires ou harcelants, contourner les contrôles de sécurité, confier à l’IA une décision finale d’embauche ou de licenciement.

6. Transparence et étiquetage

Indiquez quand il faut signaler l’usage de l’IA. L’article 50 impose d’informer les personnes qu’elles échangent avec une IA, sauf évidence, et au déployeur de signaler les hypertrucages et les textes générés publiés pour informer le public sur des questions d’intérêt public, sauf relecture humaine sous responsabilité éditoriale. Le détail est dans notre article sur l’article 50 de l’AI Act.

Clause type : « Les chatbots et assistants vocaux en contact avec les clients indiquent dès le début de l’échange qu’il s’agit d’une IA. Toute image, vidéo ou contenu audio généré ou substantiellement modifié par IA et représentant des personnes, lieux ou événements réels porte la mention “Contenu généré par IA” avant publication. »

7. Propriété intellectuelle et confidentialité

Précisez à qui appartiennent les productions, le risque de reproduction de contenus protégés, et la protection des informations confiées par les clients. Exigez la vérification des licences pour le code et les images générés. Les professions réglementées (avocats, experts-comptables, professions de santé) ajoutent leurs règles de secret professionnel.

8. Sécurité et shadow AI

Interdisez les comptes personnels pour un usage professionnel et les extensions de navigateur non validées qui lisent le contenu des pages. Exigez l’authentification unique (SSO) quand elle existe. Expliquez pourquoi : les conditions grand public peuvent autoriser l’éditeur à réutiliser vos saisies, et rien n’est journalisé.

Clause type : « N’utilisez pas de compte personnel sur un service d’IA pour le travail de [Société] et n’installez aucune extension, aucun module ni aucun robot de réunion d’IA absent de la liste des outils autorisés. La DSI peut bloquer ou supprimer les outils non autorisés. »

9. Signalement des incidents

Définissez ce qu’est un incident lié à l’IA (donnée confidentielle saisie dans un outil non autorisé, résultat discriminatoire, chatbot qui donne une information fausse à un client) et le canal de signalement, de préférence celui des incidents de sécurité. Si des données personnelles sont touchées, l’incident peut constituer une violation à notifier à la CNIL dans les 72 heures. Rendez le signalement d’une erreur de bonne foi non sanctionnable, sinon personne ne signalera rien.

10. Formation et maîtrise de l’IA

Conditionnez l’accès aux outils à une formation adaptée au rôle, renouvelée régulièrement. Prévoyez une formation approfondie pour les fonctions à risque (recruteurs utilisant un outil de présélection, gestionnaires qui supervisent un modèle de scoring). Conservez supports et listes de présence : ce sont vos preuves au titre de l’article 4.

11. Rôles et responsabilités

Nommez le propriétaire de la charte (souvent le RSSI ou un référent IA), celui qui valide les outils, le DPO pour les questions de données, et le rôle des managers. Sans noms, pas de suivi.

12. Révision et sanctions

Fixez une date de révision, au moins annuelle. Indiquez que les manquements sont traités selon les règles disciplinaires applicables et tenez un historique des versions. La charte s’inscrit dans un ensemble plus large : cadre de gouvernance, évaluation des risques IA, contrôle des fournisseurs.

La charte IA sur une page : à faire, à ne pas faire

Rendre la charte IA opposable : la procédure française

1. Partir des usages réels. Une liste d’outils autorisés qui ignore ce que les équipes utilisent vraiment sera contournée.
2. Évaluer les fournisseurs avant d’autoriser. Utilisation des données, durée et lieu de conservation, sécurité, changement de modèle : chaque outil autorisé doit avoir été examiné.
3. Tester le projet sur de vrais utilisateurs issus des ventes, des RH, du développement et de la finance, puis réécrire ce qui a été mal compris.
4. Choisir le statut juridique. Une charte qui ne fait que recommander peut être diffusée comme guide. Si elle impose des obligations générales et permanentes et prévoit des sanctions, elle est considérée comme une adjonction au règlement intérieur (article L1321-5 du Code du travail) : elle suit alors la même procédure, avec consultation du CSE, communication à l’inspection du travail, dépôt au greffe du conseil de prud’hommes et affichage. C’est la pratique habituelle pour les chartes informatiques.
5. Consulter le CSE sur les outils eux-mêmes. Dans les entreprises d’au moins 50 salariés, l’introduction de nouvelles technologies relève de la consultation du CSE (article L2312-8). Tout dispositif qui collecte des informations sur les salariés doit en outre être porté à leur connaissance au préalable (article L1222-4).
6. Lancer avec une formation, pas un e-mail. Une séance de 30 minutes avec des exemples concrets vaut mieux qu’un PDF sur l’intranet. Gardez la liste des participants.
7. Appuyer la charte par des mesures techniques : SSO sur les outils autorisés, blocage proportionné des services non autorisés, journalisation.
8. Réviser au moins une fois par an, et à chaque nouvel outil important ou changement réglementaire.

Questions fréquentes sur la charte IA

Qu’est-ce qu’une charte d’utilisation de l’IA ?

C’est un document interne qui indique aux salariés et prestataires comment ils peuvent, ou ne peuvent pas, utiliser les outils d’intelligence artificielle dans leur travail. Elle couvre en général les outils autorisés, les données interdites, la vérification des résultats, les usages interdits, la transparence, la sécurité et le signalement des incidents.

Une charte IA est-elle obligatoire avec l’AI Act ?

Pas en tant que telle. Le règlement exige des résultats : des mesures pour favoriser la maîtrise de l’IA (article 4), l’absence de pratiques interdites (article 5) et la transparence pour certains usages (article 50). Pour la plupart des organisations, une charte accompagnée d’une formation est le moyen le plus pratique de montrer que ces mesures existent.

Existe-t-il un modèle de charte IA gratuit ?

Le modèle ci-dessous, en douze rubriques avec clauses types, est librement réutilisable : adaptez-le à vos outils et à vos niveaux de classification. Évitez de copier telle quelle la charte d’une autre organisation, qui reflète ses outils, ses contrats et son appétit pour le risque, pas les vôtres.

La charte IA doit-elle être annexée au règlement intérieur ?

Si elle impose des obligations générales et permanentes aux salariés et que son non-respect peut être sanctionné, elle est traitée comme une adjonction au règlement intérieur. Elle doit alors suivre la même procédure : consultation du CSE, communication à l’inspection du travail, dépôt et publicité. Une charte purement informative n’y est pas soumise.

Faut-il interdire ChatGPT en entreprise ?

Une interdiction totale fonctionne rarement : les salariés passent sur leur téléphone et leur compte personnel, et le shadow AI échappe alors à tout contrôle. Il vaut mieux autoriser des versions entreprise avec des clauses contractuelles adaptées, fixer des règles claires sur les données et ne bloquer que ce qui ne peut pas être sécurisé.

Votre charte IA rédigée à partir de vos réponses

Le modèle ci-dessus suffit pour écrire la charte vous-même. Si vous préférez partir d’un projet qui reflète déjà vos outils, vos données et votre appétit pour le risque, répondez aux questions et obtenez-la rédigée pour votre organisation, en Word, gratuitement, avec le diagnostic Opsio et ses modèles gratuits de charte IA et de gouvernance : quatorze étapes, environ 40 minutes, questions en français. Dès l’envoi, vous recevez quatre documents rédigés à partir de vos réponses (la charte d’utilisation de l’IA, un cadre de gouvernance de l’IA, une checklist d’évaluation des fournisseurs d’IA et un modèle d’analyse des risques IA) ainsi qu’un état des lieux sur dix domaines. Les documents sont livrés en anglais et vous appartiennent. Sans engagement.

Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les références au Code du travail sont données à titre indicatif ; faites valider la procédure par votre service juridique ou RH. Situation en octobre 2026.