Pourquoi une charte, et pourquoi maintenant
Dans la plupart des entreprises, l’IA générative est déjà utilisée, souvent sur des comptes personnels, sans que la direction ait décidé quoi que ce soit. Un commercial reformule une proposition, un assistant résume un contrat, un manager prépare un entretien. Chacun de ces usages est en soi raisonnable ; leur accumulation sans règle crée trois risques. Une fuite de données, lorsqu’un document confidentiel est saisi dans un outil grand public. Une erreur non détectée, lorsqu’un contenu généré est transmis sans vérification. Une inégalité de pratiques, lorsque certains salariés gagnent du temps et d’autres s’interdisent l’outil faute de savoir ce qui est permis. La charte d’usage répond à ces trois risques en disant, en quelques pages, ce que l’entreprise autorise, interdit et attend. Elle n’est pas un document juridique de plus : c’est un outil de management. Le règlement européen sur l’IA prévoit par ailleurs que les organisations veillent à un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ces systèmes ; la charte, associée à la formation, est le moyen le plus simple d’en apporter la démonstration.
Les dix rubriques d’une charte d’usage
Une charte utile tient en dix rubriques, dans cet ordre. Première rubrique : l’objet et le champ d’application, c’est-à-dire les personnes concernées, salariés, stagiaires, prestataires, et les outils visés. Deuxième rubrique : les principes, en quelques lignes, par exemple la responsabilité humaine, la confidentialité et la transparence. Troisième rubrique : les outils autorisés, avec leur version et les comptes à utiliser. Quatrième rubrique : les données interdites, par catégorie. Cinquième rubrique : les usages autorisés, les usages soumis à validation et les usages interdits. Sixième rubrique : la validation humaine et la relecture, selon le type de contenu. Septième rubrique : la transparence, interne et externe, sur le recours à l’IA. Huitième rubrique : la formation requise avant l’accès aux outils. Neuvième rubrique : la gouvernance, c’est-à-dire qui décide, qui répond aux questions, qui traite les incidents. Dixième rubrique : la mise à jour, avec une fréquence de révision et un historique des versions. Chaque rubrique tient en un paragraphe ou une courte liste. Une charte de deux à quatre pages est lue ; une charte de vingt pages ne l’est pas.
Rubrique clé : les données interdites
C’est la rubrique qui protège le plus l’entreprise, et celle qui doit être la plus concrète. Elle liste les catégories de données qui ne doivent jamais être saisies dans un outil d’IA générative, quelle que soit sa version, sauf décision contraire écrite pour un outil précis. Les données personnelles des clients, des salariés et des partenaires, y compris les éléments qui permettent une identification par recoupement. Les secrets d’affaires : prix de revient, négociations en cours, projets non annoncés, code source propriétaire. Les informations couvertes par un secret professionnel ou une clause de confidentialité. Les identifiants, mots de passe et clés d’accès. Les documents reçus de tiers sous engagement de confidentialité. La charte précise ensuite ce qui est permis : données publiques, documents internes non sensibles, contenus rendus anonymes, et données fictives pour l’apprentissage et la construction de modèles. Elle indique enfin la conduite à tenir en cas de doute, en désignant la personne à consulter. Cette rubrique doit être relue par la personne en charge de la protection des données, lorsqu’elle existe, afin d’être cohérente avec le registre des traitements et les obligations du RGPD.
Outils autorisés, comptes et configurations
La charte nomme les outils autorisés et exclut les autres. Elle précise pour chacun la version retenue, car les garanties diffèrent entre les offres grand public et les offres professionnelles ou entreprise, en particulier sur l’utilisation des données pour l’entraînement, la conservation et l’hébergement. Elle impose l’usage de comptes fournis et administrés par l’entreprise, et interdit les comptes personnels pour tout usage professionnel. Pour les entreprises équipées de Microsoft 365, elle distingue trois produits qui n’ont ni le même périmètre ni le même mode de facturation : Microsoft 365 Copilot, licence payante par utilisateur, qui s’appuie sur les documents et messages du tenant ; Microsoft Copilot Chat, inclus dans les abonnements, qui fonctionne sans accéder aux données internes sauf configuration contraire ; et Copilot Studio, facturé à l’usage, qui permet de construire des agents. Les données accessibles, les garanties et les permissions dépendent de la licence et de la configuration du tenant, ce qui impose une vérification avec l’administrateur avant tout usage sur des documents internes. La charte prévoit enfin une procédure pour demander l’ajout d’un outil, afin que la liste évolue sans que les salariés la contournent.
Validation humaine et responsabilité
Un contenu généré n’a pas d’auteur au sens où l’entreprise l’entend : la personne qui l’utilise en devient responsable. La charte doit le dire clairement et en tirer des règles de relecture graduées. Première règle : tout contenu transmis à l’extérieur de l’entreprise est relu intégralement par son émetteur, qui en vérifie les faits, les chiffres et les références. Deuxième règle : les contenus à enjeu (contrats, offres, communications publiques, réponses à des réclamations, documents réglementaires) sont validés par une seconde personne habilitée, comme ils le seraient sans IA. Troisième règle : aucune référence, citation, donnée chiffrée ou source produite par un outil n’est reprise sans vérification sur le document d’origine. Quatrième règle : les décisions qui concernent des personnes, en matière de recrutement, d’évaluation ou de sanction, ne sont jamais fondées sur une sortie d’outil sans examen humain, et la charte peut interdire certains usages dans ce domaine. Dans les professions réglementées, la charte rappelle que la validation du professionnel, médecin, avocat, expert-comptable, auditeur, reste la seule qui engage, et qu’aucun outil ne s’y substitue.
Formation : la charte ne vit que si l’on sait l’appliquer
Une charte signée sans formation reste un document d’archive. La rubrique formation précise ce qu’un salarié doit savoir avant d’utiliser les outils, et comment il l’acquiert. Le socle commun comprend le fonctionnement général des outils génératifs et leurs limites, notamment l’invention de références ; les règles de la charte, expliquées sur des cas concrets du métier ; la pratique sur des données fictives ; et la méthode de relecture. Ce socle peut être délivré en une journée, en inter-entreprises pour quelques personnes ou en intra pour une équipe. Les managers ont besoin d’un complément : comment encadrer les usages de leur équipe, détecter les dérives, et répondre aux questions. Les dirigeants de PME ont besoin d’un temps de décision : quels usages prioriser, quels outils retenir, comment écrire la charte et la faire vivre. La charte peut conditionner l’accès aux comptes à la réalisation de cette formation, et prévoir un rappel lors de chaque mise à jour importante. Le financement de ces actions peut relever de l’OPCO ou du plan de développement des compétences de l’entreprise, selon les critères de l’OPCO.
Gouvernance et mise à jour
La charte désigne les rôles. Un responsable de la charte, souvent un membre de la direction ou le responsable des systèmes d’information dans une PME, décide des outils et arbitre les cas non prévus. Un ou plusieurs référents, formés un peu plus que les autres, répondent aux questions du quotidien et remontent les situations nouvelles. La personne en charge de la protection des données, lorsqu’elle existe, est consultée sur les rubriques qui la concernent. La charte prévoit un canal simple pour signaler un incident : saisie de données par erreur, contenu erroné transmis, outil non autorisé utilisé. Elle indique comment l’incident est traité, sans logique punitive dans un premier temps, car un salarié qui craint la sanction ne signale rien. Enfin, elle fixe sa propre révision : une relecture complète à intervalle régulier, par exemple semestrielle, et une mise à jour immédiate lorsqu’un outil change de conditions, qu’un nouvel outil est adopté ou qu’un texte applicable évolue. Chaque version est datée et conservée, et les salariés sont informés des modifications. Dans les entreprises dotées de représentants du personnel, leur consultation s’apprécie selon les règles en vigueur.
Le cas des cabinets soumis au secret professionnel
Pour un cabinet d’avocats, une étude notariale, un cabinet d’expertise comptable ou une structure de soins, la charte s’écrit avec un niveau d’exigence supérieur. La rubrique données interdites y couvre l’ensemble des informations relatives aux clients ou aux patients, sans exception pour les outils grand public, et ne tolère les données réelles que dans des outils dont les garanties ont été examinées et documentées par les associés. La rubrique validation rappelle que la responsabilité du professionnel est entière et que les références produites par un outil sont vérifiées sur la source primaire avant tout usage. La rubrique transparence traite de l’information du client sur le recours à l’IA, selon les règles de la profession. Les guides professionnels publiés par les instances ordinales, par exemple les guides pratiques du Conseil national des barreaux ou la charte du barreau de Paris pour les avocats, et le guide de la HAS et de la CNIL pour les professionnels de santé, fournissent des principes que la charte du cabinet décline. La formation, dans ces structures, se fait exclusivement sur des dossiers fictifs, et la charte est signée par les associés avant d’être présentée à l’équipe.
Erreurs à éviter
Quelques erreurs reviennent dans les chartes que l’on voit circuler. Tout interdire, ce qui déplace les usages vers les téléphones personnels et prive l’entreprise de toute visibilité. Copier une charte générique sans l’adapter aux outils réellement utilisés, aux données réellement manipulées et au métier. Écrire un document trop long, que personne ne lit, au lieu de quelques pages précises. Ne nommer aucun outil, ce qui revient à ne rien décider. Oublier la rubrique données interdites ou la rédiger en termes si généraux qu’elle ne guide personne. Ne prévoir aucune formation, et s’étonner que les règles ne soient pas appliquées. Ne désigner personne pour répondre aux questions, de sorte que chacun tranche seul. Ne jamais mettre à jour, alors que les outils changent de conditions et de fonctionnalités en quelques mois. Confondre la charte avec un avenant au contrat de travail ou avec le règlement intérieur, dont les règles d’adoption sont différentes et se vérifient avec un conseil. Enfin, lancer les licences avant la charte, ce qui installe des habitudes qu’il faudra ensuite corriger.
Passer à l’action
Pour un dirigeant ou un responsable qui souhaite écrire sa charte et former ses équipes, le catalogue des formations IA pour professionnels présente les programmes par famille de métiers et par gamme. La fiche destinée aux dirigeants de PME traite du choix des usages, des outils et des règles, avec la rédaction d’une première version de charte pendant la session. La fiche destinée aux managers porte sur l’encadrement des usages au sein d’une équipe, la relecture et la gestion des questions du quotidien. Pour les cabinets d’avocats, les études et les directions juridiques, la page consacrée aux cabinets juridiques décrit un déploiement en trois temps, avec un atelier gouvernance pour les associés dont la charte signée est le livrable. Dans tous les cas, un cadrage préalable permet de partir des outils déjà présents dans l’entreprise et des situations réellement rencontrées, sur des données fictives.
Pour aller plus loin
Devenez un professionnel de l'IA avec AI2 — Paris
Bachelor (RNCP 6) et Mastère (RNCP 7) en Intelligence Artificielle & Data Science. Alternance, CPF et financement entreprise possibles. Inscriptions ouvertes jusqu'en octobre — places limitées.
Être rappelé gratuitement sous 24h
Laissez votre numéro — notre équipe vous rappelle pour tout vous expliquer (programmes, financement, inscription jusqu'en octobre). Sans engagement.
Articles similaires
IA générative pour avocats : usages, limites et déontologie en 2026
Ce que l’IA générative fait bien au cabinet, les hallucinations de jurisprudence, le protocole de vérification, le secret professionnel et la formation.
ChatGPT au cabinet médical : ce qui est possible, ce qui est interdit
Usages possibles, interdits (données patient, diagnostic), secret médical, RGPD, hébergement des données de santé et organisation du cabinet.
IA en cabinet d’expertise comptable : par où commencer en 2026
Tâches candidates, traçabilité et contrôle, confidentialité des dossiers clients, choix des outils, plan de déploiement par pôle et formation des équipes.