Aller au contenu
Optim-AI

Gouvernance de l'IA

Charte d'usage de l'IA en entreprise : trame commentée

À jour au 10 octobre 2026. Une charte d'usage de l'IA est un document interne court. Il dit quels outils utiliser, quelles données ne jamais y saisir, qui relit les résultats et à qui poser une question. La CNIL recommande ce type de charte, qui précise les usages autorisés et interdits. La trame ci-dessous n'est pas un modèle à copier : adaptez chaque rubrique à vos outils, vos données et votre effectif. Faites relire le texte final par un juriste en droit social avant de le diffuser.

Pourquoi

Pourquoi une charte

Vos équipes utilisent probablement déjà des outils d'IA. Interdire ne règle rien : l'usage devient clandestin, donc non maîtrisé.

Depuis le 27 juillet 2026, l'article 4 du règlement européen sur l'IA demande aux entreprises qui utilisent ces outils de prendre des mesures pour que leurs équipes les comprennent, sans niveau garanti ni certificat. Une charte expliquée fait partie de ces mesures.

Enfin, l'entreprise reste responsable. La CNIL rappelle que l'organisme utilisateur engage en général sa responsabilité en cas de mauvais usage par son personnel.

La trame

La trame, rubrique par rubrique

  1. 1. Objet, périmètre et définitions

    Ce qu'on y écrit
    À qui s'applique la charte : salariés, intérimaires, prestataires qui travaillent pour vous. Quels outils elle couvre.
    Exemple de formulation
    Cette charte s'applique à toute personne qui utilise, pour le compte de l'entreprise, un outil capable de produire du texte, des images, du code ou une analyse à partir d'une demande.
    Piège à éviter
    Oublier les prestataires. Le règlement européen vise aussi les personnes qui utilisent ces outils pour votre compte.

  2. 2. Outils autorisés et outils interdits

    Ce qu'on y écrit
    La liste nominative des outils autorisés, avec le type de compte : professionnel ou grand public. Le principe pour tout outil absent de la liste.
    Exemple de formulation
    Seuls les outils figurant en annexe sont autorisés, avec le compte fourni par l'entreprise. Pour un autre outil, adressez votre demande au référent avant tout usage.
    Piège à éviter
    Inscrire la liste dans le corps du texte. Les outils changent vite : mettez-la en annexe.

  3. 3. Données qu'on ne met jamais dans un outil

    Ce qu'on y écrit
    Les catégories exclues, avec un exemple concret pour chacune : données personnelles de clients ou de salariés, données de santé, secrets d'affaires, documents couverts par un engagement de confidentialité.
    Exemple de formulation
    Ne saisissez dans un outil que des informations que vous êtes autorisé à partager. En cas de doute, retirez les noms et les chiffres, ou demandez au référent.
    Piège à éviter
    Une règle abstraite (« les données sensibles »). Donnez des exemples du métier : un contrat client, une fiche de paie.

  4. 4. Usages réservés ou interdits

    Ce qu'on y écrit
    Les usages qui exigent un accord préalable, et ceux qui sont exclus. Par exemple : toute décision qui concerne une personne, comme le tri de candidatures ou l'évaluation d'un salarié.
    Exemple de formulation
    Aucun outil d'IA ne prend seul une décision qui concerne un salarié, un candidat ou un client.
    Piège à éviter
    Ignorer ces cas. Le tri de candidatures est classé à haut risque par le règlement européen, avec des obligations renforcées à partir du 2 décembre 2027.

  5. 5. Relecture humaine et responsabilité

    Ce qu'on y écrit
    Qui relit quoi, selon l'enjeu. La règle qui ne change pas : l'auteur d'un document en reste responsable, quel que soit l'outil utilisé.
    Exemple de formulation
    Tout contenu produit avec l'aide d'un outil et destiné à l'extérieur est relu par une personne qui en assume le contenu.
    Piège à éviter
    Exiger une relecture de tout. La règle devient inapplicable. Classez les usages par enjeu.

  6. 6. Propriété et confidentialité des contenus

    Ce qu'on y écrit
    Les conditions des fournisseurs retenus : vos données servent-elles à entraîner leurs modèles ? Où sont stockés les échanges ?
    Exemple de formulation
    Les contenus produits dans le cadre du travail appartiennent à l'entreprise dans les mêmes conditions que tout autre document de travail.
    Piège à éviter
    Promettre une protection que le contrat du fournisseur ne prévoit pas. Le régime des droits sur un contenu produit par une IA n'est pas stabilisé.

  7. 7. Transparence vis-à-vis des clients

    Ce qu'on y écrit
    Ce que vous dites aux clients sur l'usage de l'IA. Les cas où leur accord est nécessaire, par exemple avant de traiter leurs documents.
    Exemple de formulation
    Avant de traiter un document fourni par un client avec un outil d'IA, vérifiez que le contrat le permet.
    Piège à éviter
    Oublier vos engagements existants : certains contrats interdisent déjà la transmission à un tiers. Depuis le 2 août 2026, le règlement européen impose aussi de signaler les contenus truqués (« deepfakes ») que vous diffusez.

  8. 8. Référent et circuit de questions

    Ce qu'on y écrit
    Le nom du référent, comment le joindre, son délai de réponse. Comment signaler une erreur ou un incident, sans crainte de sanction.
    Exemple de formulation
    Toute question sur un outil ou un usage s'adresse à [nom du référent], qui répond sous [délai]. Le signalement d'une erreur n'est jamais sanctionné.
    Piège à éviter
    Nommer un comité. Une personne nommée répond. Un comité renvoie.

  9. 9. Formation et acculturation

    Ce qu'on y écrit
    Ce que l'entreprise met en place pour que chacun comprenne les outils : fonctionnement, limites, règles de la charte.
    Exemple de formulation
    Chaque utilisateur suit une présentation des outils autorisés et de cette charte avant son premier usage.
    Piège à éviter
    Parler de « formation obligatoire ». Le règlement européen demande des mesures, pas un certificat. Gardez une trace écrite de ce qui a été fait.

  10. 10. Révision de la charte

    Ce qu'on y écrit
    Qui révise la charte, à quel rythme, et à quelle occasion : nouvel outil, incident, évolution de la loi.
    Exemple de formulation
    La charte est revue chaque année par le référent et la direction. L'annexe des outils est mise à jour à chaque changement.
    Piège à éviter
    Modifier le corps de la charte sans repasser par la procédure qui l'a rendue applicable.

Procédure

Rendre la charte applicable

Une charte diffusée par courriel informe. Elle ne permet pas, à elle seule, de sanctionner un manquement.

Informer les salariés, dans tous les cas. Quel que soit l'effectif, aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qu'il ne connaît pas à l'avance (article L1222-4 du Code du travail). Si vous contrôlez l'usage des outils, dites-le dans la charte.

Consulter le CSE. Dans les entreprises d'au moins 50 salariés, le CSE est informé et consulté sur l'introduction de nouvelles technologies (article L2312-8). Consultez-le avant le déploiement d'outils d'IA, pas après. En dessous de ce seuil, l'information préalable des salariés reste due.

Rattacher la charte au règlement intérieur. Le règlement intérieur est obligatoire à partir de 50 salariés (article L1311-2). Un document qui comporte des obligations générales et permanentes peut être traité comme une adjonction au règlement intérieur, et suivre la même procédure (article L1321-5). Cette procédure est la suivante (article L1321-4) :

  • l'avis du CSE ;
  • la communication à l'inspecteur du travail, avec cet avis ;
  • une entrée en vigueur au moins un mois après la publicité auprès des salariés.

Depuis la loi du 26 mai 2026, le dépôt au greffe du conseil de prud'hommes n'est plus une condition d'entrée en vigueur.

Faites valider ce choix et le texte final par un juriste en droit social.

Accompagnement

Ce que fait Optim-AI

Dans l'audit. Le plan de contre-mesures comprend des règles d'usage de l'IA, rédigées pour être lues et prêtes à être rattachées au règlement intérieur. Elles partent des usages relevés pendant l'audit. La procédure de rattachement reste la vôtre.

Dans une mission d'acculturation distincte. Une session de deux heures pour votre comité de direction, avec vos cas réels. Nous remettons un compte rendu écrit, les supports présentés et un court questionnaire d'évaluation avant et après la session. C'est l'une des mesures possibles au titre de l'article 4 du règlement européen, pas la seule.

Questions fréquentes

Les questions des dirigeants

Une charte d'usage de l'IA est-elle obligatoire ?
Aucun texte n'impose une charte sous ce nom. Depuis le 27 juillet 2026, le règlement européen sur l'IA demande en revanche aux entreprises qui utilisent ces outils de prendre des mesures pour que leurs équipes les comprennent. La CNIL recommande une charte interne. Une charte expliquée et datée répond à ces deux attentes.
Faut-il consulter le CSE avant de diffuser la charte ?
Dans une entreprise d'au moins 50 salariés, le CSE est informé et consulté sur l'introduction de nouvelles technologies (article L2312-8 du Code du travail). Si la charte est rattachée au règlement intérieur, son avis est aussi requis avant l'entrée en vigueur (article L1321-4). En dessous de 50 salariés, ces deux consultations ne s'appliquent pas sous cette forme. Dans tous les cas, aucune information concernant un salarié ne peut être collectée par un dispositif qui n'a pas été préalablement porté à sa connaissance (article L1222-4).
Peut-on sanctionner un salarié qui ne respecte pas la charte ?
Seulement si les règles ont été rendues applicables. En pratique, il faut les rattacher au règlement intérieur selon sa procédure. Une charte simplement diffusée ne fonde pas à elle seule une sanction. Faites vérifier ce point par un juriste.
Que mettre dans une charte IA en priorité ?
Trois rubriques suffisent pour commencer : la liste des outils autorisés, les données qu'on ne saisit jamais, et le nom d'un référent qui répond aux questions. Une charte courte et appliquée protège mieux qu'un texte complet que personne ne lit.

Sources

Les textes consultés

Page à jour au 10 octobre 2026. Elle ne remplace pas l'avis d'un juriste en droit social.

Audit IA pour PME et ETIRelever les usages réels avant d'écrire les règles.L'AI Act pour une PMECe que le règlement européen demande, date par date.Shadow IARepérer et encadrer les usages non déclarés.Acculturation du comité de directionUne session de deux heures, avec vos cas réels.Risques et maîtriseLes cinq risques et les quatre règles de pilotage.La méthodeComment les règles d'usage s'intègrent au plan de contre-mesures.

Prochaine étape

Écrire vos règles d'usage à partir de vos usages réels

Le premier échange dure trente minutes, sans engagement.

Réserver 30 minutesFaire le test de maturité IA