Un commercial colle un contrat client dans un assistant gratuit pour en tirer un résumé. Une cheffe de projet branche une extension de navigateur qui lit tous ses onglets. Un stagiaire envoie à un prospect un e-mail généré qui cite un tarif que l'entreprise n'a jamais pratiqué. Personne n'a enfreint de règle : il n'y en avait pas.
Une charte IA d'entreprise sert à ça. Elle ne cherche pas à interdire l'IA. Elle dit à chacun ce qu'il peut faire sans demander, ce qu'il ne fait jamais, et à qui poser la question entre les deux. Ce guide donne les décisions qu'elle doit trancher, un modèle de charte d'une page à adapter, et la façon de la déployer pour qu'elle soit lue.
Pourquoi la plupart des chartes IA ne sont pas lues
La charte type fait douze pages. Elle a été rédigée par le juridique ou la DSI, elle commence par des définitions, elle cite trois règlements et se termine par une liste de sanctions. Elle est envoyée en pièce jointe, signée électroniquement, et oubliée le jour même.
Le problème n'est pas sa qualité juridique. C'est qu'elle ne répond pas à la question que se pose un salarié devant son écran : « est-ce que j'ai le droit de coller ce fichier là-dedans ? » Si la réponse demande de relire douze pages, il ne les relira pas. Il collera le fichier.
Une charte utile se lit en trois minutes et se consulte en dix secondes. Elle tient sur une page parce que chaque règle y est formulée comme une décision, pas comme un principe. « Nous utilisons l'IA de manière responsable » n'aide personne. « Aucun document client ne va dans un outil absent de la liste ci-dessous » se comprend sans formation.
Ça ne veut pas dire que le reste disparaît. Les procédures détaillées, l'analyse juridique, le registre des outils existent ailleurs. La charte est la page qu'on affiche, celle qui renvoie vers le reste.
Les cinq décisions qu'une charte IA doit trancher
Une charte d'utilisation de l'IA en entreprise répond à cinq questions. Si l'une manque, c'est elle qu'on vous posera en premier.
Quels outils sont autorisés
Une liste nommée, pas une catégorie. « Les outils validés par la DSI » oblige à aller chercher la liste. Écrivez directement les noms : l'assistant retenu par l'entreprise, avec le type de compte (le compte professionnel fourni, pas un compte personnel), l'outil de transcription de réunion s'il y en a un, l'outil d'automatisation utilisé par l'équipe ops.
Tout ce qui n'est pas sur la liste n'est pas interdit pour autant. Il est en attente de validation, et la charte dit comment le faire valider. Sans cette porte d'entrée, les équipes utilisent l'outil quand même et cessent de le dire.
Le critère principal de validation tient en une question : que fait l'éditeur des données qu'on lui envoie ? Les offres professionnelles des grands éditeurs annoncent en général ne pas entraîner leurs modèles sur les données de leurs clients. Les offres grand public dépendent souvent d'un réglage. C'est le contrat signé qui fait foi, pas la page marketing : c'est lui qu'il faut lire avant d'ajouter un outil à la liste.
Quelles données ne sortent jamais
C'est la décision la plus importante, et la plus simple à rendre lisible avec trois niveaux.
- Vert : contenu public ou sans enjeu. Un article de blog publié, une recherche générale, la reformulation d'un texte qu'on a écrit soi-même. Tout outil de la liste convient.
- Orange : contenu interne non sensible. Une note de réunion sans nom de client, un process interne, du code non critique. Uniquement les outils de la liste, avec un compte professionnel.
- Rouge : données personnelles de clients ou de salariés, contrats, données financières non publiées, identifiants et clés d'API, secrets industriels. Jamais dans un assistant conversationnel, sauf outil explicitement validé pour ce niveau.
Donnez deux ou trois exemples par niveau, tirés de vos métiers. « Données personnelles » reste abstrait ; « l'export CRM avec les e-mails des clients » ne l'est pas.
Le rouge recoupe largement ce que le RGPD encadre déjà. Pour la partie traitements automatisés et sous-traitants, notre article sur l'automatisation et le RGPD détaille les obligations qui s'appliquent avant même de parler d'IA.
Ce qui doit être relu par un humain
L'IA produit du texte plausible, pas du texte vrai. La charte doit dire quels contenus ne partent jamais sans relecture humaine. La règle qui marche : tout ce qui sort de l'entreprise, ou qui engage l'entreprise, est relu par la personne qui l'envoie.
Concrètement : un e-mail client, une proposition commerciale, un chiffre dans un rapport, une clause de contrat, un post publié au nom de la marque, du code qui part en production. La personne qui envoie en répond comme si elle l'avait écrit elle-même. « C'est l'IA qui l'a mis » n'est pas une excuse recevable, et la charte le dit en toutes lettres.
À l'inverse, n'imposez pas de relecture sur ce qui reste interne et sans conséquence. Un brouillon de note pour soi n'a pas besoin d'un circuit de validation. Une règle trop large est ignorée, et elle entraîne l'équipe à ignorer les autres.
Quand dire qu'on a utilisé l'IA
Faut-il prévenir un client qu'un livrable a été rédigé avec l'aide d'un assistant ? La réponse dépend de votre métier et de vos contrats. Ce qui compte, c'est qu'elle soit écrite.
Trois positions tiennent la route. Ne rien signaler tant qu'un humain a relu et assume le contenu. Signaler quand l'IA a produit l'essentiel d'un livrable. Signaler systématiquement quand un client échange directement avec un agent, sans humain dans la boucle — c'est le cas d'un chatbot ou d'un agent de qualification. Pour ce dernier cas, la règle est la même partout : la personne doit savoir qu'elle ne parle pas à un humain.
Vérifiez aussi vos contrats. Certains clients interdisent déjà l'usage d'outils d'IA sur leurs dossiers. La charte doit renvoyer vers cette liste, sinon personne ne la consultera.
Qui répond aux questions
Un nom, pas un service. Une personne qui répond sous quarante-huit heures à « est-ce que je peux utiliser cet outil ? » ou « est-ce que ce fichier est orange ou rouge ? ». Dans une PME, c'est souvent le dirigeant ou la personne qui gère les outils. Dans une structure plus grande, un référent par équipe.
Sans ce nom, chaque doute se règle seul, et presque toujours dans le sens de la facilité.
Le modèle de charte IA en une page
Voici un exemple de charte IA en entreprise à recopier et adapter. Les crochets sont à remplacer. Tout ce qui ne tient pas sur une page va dans une annexe, pas dans la charte.
Charte d'utilisation de l'IA — [Nom de l'entreprise] — version du [date]
1. Pourquoi cette charte. Nous utilisons l'IA pour gagner du temps sur les tâches répétitives. Cette page dit ce que chacun peut faire sans demander, et ce qu'on ne fait jamais.
2. Outils autorisés. [Assistant retenu, compte professionnel uniquement] · [Outil de transcription] · [Outil d'automatisation]. Un outil absent de la liste ? Demandez à [Nom] avant de l'utiliser. Réponse sous 48 h.
3. Ce qu'on peut y mettre.
- Vert, tout outil de la liste : contenus publics, textes qu'on a écrits soi-même, recherches générales.
- Orange, compte professionnel uniquement : documents internes sans nom de client ni donnée personnelle.
- Rouge, jamais : données personnelles de clients ou de salariés, contrats, chiffres financiers non publiés, mots de passe et clés d'API, [secret propre à votre métier].
4. Ce qui est relu avant de partir. Tout ce qui sort de l'entreprise ou l'engage : e-mails clients, propositions, chiffres, publications, code en production. Celui qui envoie en répond.
5. Transparence. [Votre règle.] Un client qui échange avec un agent automatique en est toujours informé. Les clients qui refusent l'IA sur leurs dossiers sont listés [ici].
6. Comptes et accès. Pas de compte personnel pour un usage professionnel. Pas d'extension de navigateur IA sans validation. Pas d'enregistrement de réunion sans accord des participants.
7. En cas d'erreur. Une donnée rouge envoyée par erreur ? Prévenez [Nom] le jour même. On ne sanctionne pas une erreur signalée ; on corrige le process qui l'a permise.
8. Révision. Cette charte est relue tous les [trois] mois. Prochaine version : [date].
Ce modèle fait huit points. C'est un plafond. Si vous en ajoutez un neuvième, retirez-en un ou passez-le en annexe.
Les cas que la charte doit avoir prévus
Les assistants conversationnels ne sont que la partie visible. Une charte écrite en pensant uniquement à eux laisse passer le reste.
Les extensions de navigateur. Elles résument une page, corrigent un texte, remplissent un formulaire. Pour ça, certaines demandent l'accès à tout ce qui s'affiche dans le navigateur, CRM et messagerie compris. C'est souvent la fuite la plus large, et la moins visible.
Les outils de transcription. Un enregistreur de réunion ajouté à un appel client enregistre le client. Il faut son accord, et la transcription contient tout ce qui a été dit, y compris ce qui était rouge.
Les automatisations. Un workflow n8n ou Make qui envoie chaque ticket support à un modèle de langage pour le classer fait passer des données clients par une API, des centaines de fois par jour, sans qu'aucun humain ne colle quoi que ce soit. La charte doit préciser que ces flux suivent les mêmes niveaux de données, et qu'ils passent par la même validation qu'un outil.
Les agents qui agissent. Un agent qui peut écrire dans le CRM, envoyer un e-mail ou modifier un dépôt de code ne se contente plus de proposer : il exécute. La charte n'a pas à détailler leur configuration, mais elle doit poser le principe — un agent n'a que les droits dont il a besoin, et une action irréversible passe par une validation humaine. Nous détaillons ce que ça donne côté développement dans Claude Code en production.
Les comptes personnels. Le cas le plus courant : un salarié qui utilise son abonnement personnel parce que l'outil de l'entreprise est moins pratique. La charte l'interdit, mais l'interdiction ne tient que si l'outil fourni est réellement utilisable. Si tout le monde contourne, c'est le choix de l'outil qu'il faut revoir, pas la règle qu'il faut durcir.
Déployer la charte pour qu'elle soit appliquée
Une charte envoyée par e-mail n'existe pas. Trois gestes font la différence.
Un atelier de trente minutes par équipe. Pas une présentation de la charte : des cas réels. Prenez cinq situations tirées du quotidien de l'équipe — « je veux résumer ce compte rendu client », « je veux traduire ce contrat » — et faites classer chacune en vert, orange ou rouge. Les désaccords qui émergent sont exactement les zones où la charte doit être précisée.
La charte là où on utilise l'IA. Épinglée dans le canal Slack ou Teams de l'équipe, en lien dans l'intranet, en page d'accueil de l'espace où l'on trouve les outils autorisés. Si elle est à plus de deux clics, elle ne sera pas consultée au moment où elle sert.
Une revue trimestrielle courte. Quels outils ont été demandés, lesquels ont été ajoutés, quelles erreurs ont été signalées. Les usages évoluent vite et les outils aussi : une charte figée depuis un an décrit une entreprise qui n'existe plus.
La charte fonctionne mieux quand elle accompagne une montée en compétence. Une équipe qui sait ce qu'un modèle fait bien, et où il se trompe, applique la règle de relecture sans qu'on ait à la lui rappeler. C'est l'objet de notre formation IA en entreprise, qui part des cas d'usage de chaque équipe et se termine souvent par la rédaction de cette charte.
Ce qu'une charte IA ne remplace pas
La charte est un document de comportement. Elle n'est ni une analyse juridique, ni une politique de sécurité.
Elle ne remplace pas la conformité RGPD : registre des traitements, contrats avec les sous-traitants, information des personnes. Elle s'appuie dessus.
Elle ne remplace pas non plus l'analyse réglementaire liée à l'AI Act. Dans sa version adoptée en 2024, le règlement européen demande notamment aux entreprises qui utilisent des systèmes d'IA de veiller à un niveau suffisant de maîtrise de l'IA chez leur personnel. Le texte a fait l'objet de propositions d'ajustement depuis : vérifiez son état avec votre conseil avant d'en déduire vos obligations. Une charte et une formation documentées vont dans le bon sens, elles ne suffisent pas à elles seules à établir une conformité.
Elle ne remplace pas, enfin, la configuration technique. Si un outil non autorisé reste installable sur tous les postes, la charte repose entièrement sur la bonne volonté. Les deux se complètent : la technique bloque ce qui doit l'être, la charte explique pourquoi.
Par où commencer cette semaine
Faites la liste des outils d'IA réellement utilisés dans l'entreprise. Pas ceux que vous avez achetés : ceux que les équipes utilisent. Demandez-le simplement, sans menace de sanction, sinon vous n'obtiendrez que la liste officielle.
Classez ensuite trois documents typiques de chaque équipe en vert, orange ou rouge. Vous tenez la section 3 du modèle, celle qui compte le plus. Désignez la personne qui répondra aux questions, fixez une date de revue, et publiez la première version même imparfaite. Une charte d'une page appliquée vaut mieux qu'un document de douze pages en relecture depuis six mois.
