Charte IA en entreprise : modèle en 8 rubriques et 2 prompts

Vos équipes utilisent déjà ChatGPT, Copilot ou Claude pour rédiger des comptes rendus, trier des candidatures ou répondre à des clients. Le plus souvent sans cadre, sans validation, et sans que le DPO le sache : 78 % des utilisateurs d'IA en entreprise apportent leurs propres outils au travail, selon le Work Trend Index de Microsoft et LinkedIn.¹ La charte IA est le document qui transforme ce shadow AI en usage maîtrisé. Elle dit qui peut utiliser quel système d'IA, pour quoi, avec quelles garanties. Loin d'être un gadget RH, c'est une brique concrète de conformité à l'AI Act et au RGPD — et l'un des rares documents qui protège à la fois l'entreprise, ses clients et ses salariés. Ce guide détaille ce qu'elle doit contenir, comment la déployer, et fournit deux prompts prêts à l'emploi : l'un pour générer une première version, l'autre pour auditer celle que vous avez déjà.

Une charte IA, c'est quoi — et ce que ce n'est pas

Une charte IA est un document interne qui fixe les règles d'usage de l'intelligence artificielle dans une organisation. Elle s'adresse à tous les collaborateurs. Elle précise quels systèmes d'IA sont autorisés, dans quels cas, par qui, et sous quelles conditions de supervision. Elle joue pour l'IA le rôle que la charte informatique joue pour la messagerie et internet : poser un cadre pédagogique, évolutif et — si vous suivez la bonne procédure — opposable.

Il faut la distinguer de deux documents voisins. La charte informatique encadre l'usage des moyens numériques classiques : messagerie, internet, matériel. La charte IA se concentre sur les risques propres aux systèmes d'IA : données injectées dans les prompts, contenus générés, décisions assistées, supervision humaine. Ajouter un paragraphe « IA » à votre charte informatique ne suffit pas. Les deux documents cohabitent, mais ne se remplacent pas.

Dans une démarche de gouvernance IA complète, trois objets se répondent :

La charte est la couche visible de cet ensemble. Elle traduit en consignes lisibles les décisions prises au niveau de la politique, et s'appuie sur le registre pour savoir de quoi elle parle.

Pourquoi l'AI Act en fait une brique de conformité

Le règlement européen sur l'IA (règlement UE 2024/1689, entré en vigueur le 1er août 2024) ne mentionne jamais le mot « charte ».² Mais plusieurs de ses obligations se matérialisent, en pratique, dans ce document.

L'article 4 — maîtrise de l'IA — est déjà en vigueur. Depuis le 2 février 2025, fournisseurs et déployeurs de systèmes d'IA doivent garantir « un niveau suffisant de maîtrise de l'IA » chez les personnes qui les utilisent.³ Presque toute entreprise qui met un outil d'IA entre les mains de ses équipes est un déployeur au sens du texte. Une charte diffusée, expliquée et signée est l'une des preuves les plus directes de cet effort — avec le plan de sensibilisation qui l'accompagne. Pour calibrer ce plan, la Commission tient un référentiel vivant de plus de 40 pratiques de maîtrise de l'IA déclarées par des organisations européennes : un bon point de comparaison avant de dimensionner le vôtre.¹¹

L'article 50 — transparence — s'applique depuis le 2 août 2026. Il impose d'informer les personnes qu'elles interagissent avec une IA (chatbot, callbot, mailbot) et encadre le marquage des contenus générés.⁴ Un manquement expose à une amende pouvant atteindre 15 M€ ou 3 % du chiffre d'affaires mondial.⁵ La charte traduit cette obligation en consignes concrètes : quand signaler qu'un contenu vient d'une IA, comment le mentionner dans une interaction client. Nous avons détaillé le périmètre exact de l'article 50 — et ce que le Digital Omnibus n'y change pas.

La supervision humaine. Pour les systèmes à haut risque, l'article 14 exige des systèmes conçus pour permettre un contrôle humain effectif, et l'article 26 impose au déployeur de confier cette supervision à des personnes formées et compétentes.² La charte précise qui valide quoi, et dans quels cas une production d'IA ne part jamais sans relecture.

La cartographie et la traçabilité. Avant d'écrire des règles, il faut savoir ce qui tourne : recenser les systèmes d'IA en place et qualifier leur niveau de risque au sens de l'AI Act (inacceptable, élevé, limité, minimal). La charte s'appuie sur cette cartographie et renvoie au registre des systèmes d'IA — le socle documentaire qui fait la preuve de conformité en cas de contrôle.

Le RGPD et la CNIL : l'autre moitié du cadre

La plupart des usages d'IA en entreprise touchent des données personnelles. Un prompt qui contient le nom d'un client, un CV soumis à un outil de tri, un enregistrement d'appel transcrit : chacun est un traitement au sens du RGPD. Saisir ces données dans un outil grand public revient à les transférer au fournisseur du modèle — souvent hors de l'Union européenne, parfois pour entraîner ses futurs modèles.

La CNIL a publié ses recommandations sur le développement et l'usage des systèmes d'IA, avec fiches pratiques et check-list.⁶ Le message est constant : utiliser l'IA générative avec des données personnelles n'est ni interdit ni libre. C'est un traitement qui se prépare. La charte IA est l'instrument qui diffuse cette préparation à tous les étages :

• Minimisation : ne saisir dans un prompt que ce qui est strictement nécessaire à la tâche.
• Interdictions claires : pas de données sensibles, de secrets d'affaires ou de données clients dans des outils non contractualisés.
• AIPD : quand un système d'IA traite des données à grande échelle ou pèse sur des décisions ayant un effet significatif, une analyse d'impact peut être obligatoire au titre de l'article 35 du RGPD.

L'enjeu financier ne se limite pas aux amendes. Selon le rapport Cost of a Data Breach 2025 d'IBM, les organisations où le shadow AI est répandu subissent des violations de données environ 670 000 $ plus coûteuses que les autres.⁷ Une charte qui canalise les usages vers des outils contractualisés attaque directement ce risque.

Le volet social que tout le monde oublie : CSE et opposabilité

C'est le point le plus sous-estimé des projets de charte IA — et celui qui produit déjà de la jurisprudence.

Le 21 mai 2026, la cour d'appel de Paris a suspendu le déploiement d'outils d'IA — dont ChatGPT — dans une entreprise de presse qui n'avait pas consulté son CSE, sous astreinte de 1 000 € par jour.⁸ La cour a jugé que l'introduction d'outils d'IA affectant l'organisation du travail exige une consultation préalable du comité, y compris pour des outils grand public et y compris quand les salariés les utilisaient déjà de façon informelle.

Deux conséquences pratiques pour votre charte :

1. Consultez le CSE avant, pas après. Le dossier remis au comité décrit les outils concernés, les tâches impactées, les données traitées et les modalités de contrôle humain. Une consultation escamotée peut suspendre tout le projet.
2. Choisissez le statut du document. Une charte diffusée par simple email pose des bonnes pratiques, mais ne fonde pas de sanction disciplinaire valable. Pour être opposable aux salariés, elle doit être annexée au règlement intérieur et suivre la procédure associée (article L. 1321-1 et suivants du Code du travail) : consultation du CSE, dépôt, publicité.⁹

Une charte pensée avec les représentants du personnel a un autre mérite : elle désamorce la peur. Les salariés qui rejettent l'IA le font rarement par technophobie — plutôt parce qu'on leur impose des outils sans cadre ni garanties. 52 % des utilisateurs d'IA au travail hésitent d'ailleurs à admettre qu'ils s'en servent pour leurs tâches importantes.¹ Une règle claire vaut mieux qu'un tabou.

Les 8 rubriques d'une charte IA opérationnelle

Aucun modèle unique n'est imposé par la réglementation. Mais chaque rubrique d'une charte efficace répond à une obligation précise — c'est ce qui la distingue d'un document de communication :

Une charte IA qui fonctionne couvre ces huit rubriques :

1. Champ d'application et définitions — qui est concerné (salariés, prestataires, alternants), ce qu'on entend par système d'IA, quels outils sont visés.
2. Principes directeurs — transparence, supervision humaine, protection des données, non-discrimination : le cadre de valeurs qui guide tout le reste.
3. Outils autorisés et interdits — la liste (ou les critères) des solutions validées, et celles à proscrire pour les données confidentielles. C'est ici que se joue la différence entre un compte ChatGPT personnel gratuit et un outil d'entreprise contractualisé, avec clauses de non-entraînement et hébergement maîtrisé.
4. Règles d'usage des données — ce qu'on peut soumettre à une IA, et surtout ce qu'on ne peut pas : données sensibles, secrets d'affaires, données clients hors outils contractualisés. Le format qui marche le mieux sur le terrain est une classification à trois couleurs : vert (données publiques, tout outil), orange (données internes non sensibles, outils validés uniquement), rouge (données personnelles, financières, stratégiques — jamais dans un outil non contractualisé).
5. Transparence et marquage — quand signaler qu'un contenu est généré par IA, comment mentionner l'IA dans les interactions clients. C'est la déclinaison opérationnelle de l'article 50.
6. Supervision et validation — les cas où une relecture humaine est obligatoire avant diffusion : réponse à un client, document contractuel, décision RH.
7. Rôles, responsabilités et signalement — qui pilote la gouvernance IA, qui valide un nouvel usage, comment remonter un incident ou demander l'ajout d'un outil.
8. Opposabilité, sanctions et révision — le statut juridique du document et sa fréquence de mise à jour. L'IA évolue vite : une revue semestrielle est un bon rythme de départ.

Déployer sa charte en 5 étapes

Le déploiement réussi suit une logique d'audit puis de cadrage — jamais l'inverse. Écrire des règles avant de savoir ce que font réellement les équipes produit une charte théorique, vite contournée.

La gouvernance de l'IA ne repose jamais sur une seule fonction. Le DPO et le juridique apportent le cadre réglementaire, la DSI et le RSSI la sécurité, les RH le dialogue social, la direction porte le document. La charte est précisément l'objet qui formalise ce partage.

Les 5 erreurs qui condamnent une charte IA

• Copier un modèle générique sans cartographie. Une charte qui ne reflète pas les usages réels de votre organisation reste lettre morte.
• Ajouter une ligne « IA » à la charte informatique. Les risques des systèmes d'IA — prompts, contenus générés, supervision — ne sont pas couverts par les règles messagerie-internet.
• Tout interdire. Une charte trop restrictive pousse les équipes vers le shadow AI, exactement ce qu'elle devait empêcher. L'objectif est d'encadrer, pas de bannir : à chaque interdiction doit correspondre une alternative autorisée.
• Oublier le registre et le CSE. Sans registre tenu à jour, pas de preuve de conformité. Sans consultation du CSE, pas d'opposabilité — et un risque réel de suspension judiciaire du déploiement.
• Négliger la sensibilisation. La charte ne vit que si les équipes la comprennent. Le programme de sensibilisation n'est pas un bonus : c'est votre obligation article 4.

Côté relation client, le même principe s'applique aux outils que vous exposez à vos clients. Un chatbot, un callbot ou un mailbot d'entreprise contractualisé — divulgation IA intégrée, données hébergées en Europe, supervision humaine paramétrable — coche nativement les cases que votre charte impose, là où un outil grand public détourné vous met en risque sur chacune.

Le prompt pour générer votre première charte IA

Copiez le prompt ci-dessous dans votre assistant IA (dans un outil validé par votre organisation — c'est le moment d'appliquer les règles qui précèdent). Il travaille en trois phases : l'assistant vous interviewe par petits groupes de questions, reformule ce qu'il a compris pour validation, puis rédige. Le livrable est complet : charte en 8 sections avec classification des données à trois couleurs, tableau d'outils, mémo d'une page affichable et FAQ collaborateurs.

Tu es un expert en gouvernance de l'IA, en droit du numérique européen
(AI Act, RGPD) et en droit du travail français. Ta mission : m'aider à
rédiger la première version de la charte IA de mon organisation, en
trois phases. Ne saute jamais une phase.
 
PHASE 1 — INTERVIEW
Pose-moi les questions ci-dessous, par groupes de 3 maximum, et attends
mes réponses avant de passer au groupe suivant. Si une réponse est
floue ou contradictoire avec une réponse précédente, dis-le-moi et
demande une clarification.
 
1. Contexte : secteur d'activité, effectif, implantations, régulateurs
   sectoriels éventuels (ACPR, HDS, autre) ?
2. Métiers : quelles sont les 3 à 5 fonctions qui utilisent (ou
   utiliseront) le plus l'IA (RH, marketing, juridique, IT, relation
   client, production...) ? Pour quelles tâches ?
3. Existant : avons-nous une charte informatique ? Un DPO ? Un RSSI ?
   Un registre des traitements à jour ?
4. Usages officiels : quels outils d'IA sont déjà validés et déployés ?
   Avec des comptes professionnels contractualisés ou des comptes
   personnels gratuits ?
5. Shadow AI : quels outils suspectons-nous d'être utilisés sans cadre ?
6. Données : nos équipes manipulent-elles des données clients, de santé,
   RH, ou des secrets d'affaires susceptibles de finir dans un prompt ?
7. Cas sensibles : l'IA intervient-elle (ou pourrait-elle intervenir)
   dans le recrutement, l'évaluation des salariés, le scoring ou des
   décisions affectant des clients ? (Ces usages sont classés à haut
   risque par l'AI Act.)
8. Contenus : publions-nous des contenus générés par IA (site, réseaux
   sociaux, emails) ? Avons-nous des chatbots, callbots ou mailbots face
   à nos clients ?
9. Gouvernance : qui doit valider les nouveaux usages d'IA ? Qui serait
   le référent IA ? Un comité IA existe-t-il, ou faut-il en proposer un
   (à partir de quelques centaines de salariés : DSI, RSSI, DPO, RH,
   référents métier) ?
10. Dialogue social : avons-nous un CSE ? La charte doit-elle être
    opposable (annexée au règlement intérieur, procédure du Code du
    travail) ou rester un guide de bonnes pratiques ?
11. Culture : plutôt liste blanche stricte d'outils, ou principes
    généraux avec validation au fil de l'eau ?
 
PHASE 2 — SYNTHÈSE
Avant de rédiger, présente-moi en 15 lignes maximum : ce que tu as
compris de mon contexte, les 3 à 5 risques prioritaires que la charte
doit traiter, et les arbitrages que tu proposes (niveau de restriction,
statut du document). Attends ma validation ou mes corrections.
 
PHASE 3 — RÉDACTION
Rédige la charte, structurée ainsi :
 
En-tête de gestion documentaire : version, date, propriétaire du
document, date de prochaine revue (6 mois par défaut).
 
1. Objet et champ d'application (salariés, prestataires, alternants)
2. Définitions (système d'IA, IA générative, prompt, donnée sensible,
   shadow AI) — une phrase simple chacune
3. Principes directeurs (primauté de l'humain, transparence, protection
   des données, non-discrimination, sécurité)
4. Outils autorisés et interdits — sous forme de tableau (outil / usages
   permis / conditions d'accès), avec la clause « tout outil non listé
   est non autorisé par défaut » et la procédure de demande d'ajout
   d'un outil
5. Règles d'usage des données — avec une classification à trois niveaux
   adaptée à MON activité : VERT (données publiques : tout outil),
   ORANGE (données internes non sensibles : outils validés uniquement),
   ROUGE (données personnelles, clients, santé, RH, financières,
   code source, secrets d'affaires : jamais dans un outil non
   contractualisé) — et 2 exemples concrets par couleur tirés de mes
   métiers
6. Transparence et supervision humaine — les cas où la relecture
   humaine est obligatoire (tout envoi à un client, tout chiffre dans
   un document, toute décision RH ou commerciale) et quand signaler
   qu'un contenu a été généré par IA, en distinguant usage interne et
   communication externe (article 50 de l'AI Act)
7. Rôles, responsabilités et signalement — référent IA, validation des
   nouveaux usages, procédure de remontée d'incident
8. Opposabilité, sanctions et révision
 
Annexes :
- Mémo « 10 règles d'or » d'une page, affichable, sans jargon
- FAQ collaborateurs (5 questions : « Puis-je utiliser mon compte
  ChatGPT perso ? », « Que faire si j'ai déjà saisi des données
  clients ? », etc.)
- Email d'annonce de la charte aux équipes (10 lignes maximum, ton
  positif : nous encadrons pour permettre, pas pour interdire)
 
RÈGLES PERMANENTES :
- N'invente aucun fait sur mon organisation. Si une information me
  manque, propose une hypothèse prudente marquée [À VALIDER].
- Ne cite un article de loi que si tu es certain de son contenu ;
  sinon écris [RÉFÉRENCE À VÉRIFIER PAR LE JURIDIQUE].
- Langage clair, phrases courtes, exemples concrets : la charte doit
  être comprise par des non-juristes. Vise 4 pages maximum hors
  annexes.
- Termine par : la liste récapitulative des points [À VALIDER], un
  avertissement indiquant que ce projet doit être relu par le DPO et
  le service juridique avant diffusion, et les prochaines étapes
  (consultation du CSE si opposable, plan de sensibilisation article 4
  AI Act, création du registre des systèmes d'IA — distinct du registre
  des traitements RGPD, liste des questions à poser aux fournisseurs
  d'outils IA sur l'usage de nos données).

Le résultat est un point de départ, pas un document final. Deux passages restent non négociables : la relecture par le DPO et le juridique, et la consultation du CSE si vous voulez une charte opposable. Mais partir d'une version structurée à 80 % change l'économie du projet — la discussion porte sur vos règles, pas sur la page blanche.

Le prompt d'audit : mettez votre charte à l'épreuve avant le contrôle

Vous avez déjà une charte — générée avec le prompt ci-dessus, héritée d'un modèle, ou rédigée par votre juridique ? Le second prompt fait le chemin inverse : il éprouve votre document. Cinq profils exigeants cherchent les trous, testent des scénarios réels et notent la maturité du texte. C'est l'équivalent d'une revue contradictoire — sans mobiliser cinq personnes pendant une demi-journée.

Tu es un panel d'audit chargé d'éprouver la charte IA que je vais te
fournir. Le panel réunit cinq profils exigeants :
- un DPO pointilleux (RGPD : minimisation, base légale, AIPD,
  transferts hors UE) ;
- un RSSI paranoïaque (fuite de données, shadow AI, extensions de
  navigateur, sécurité des comptes) ;
- un avocat en droit du travail mandaté par le CSE (opposabilité,
  procédure de consultation, proportionnalité des sanctions) ;
- un contrôleur appliquant l'AI Act (articles 4, 26 et 50 :
  sensibilisation, supervision humaine, transparence) ;
- un salarié pressé qui cherche les zones grises pour contourner
  la charte sans la violer formellement.
 
MÉTHODE :
1. Lis la charte. Pour chaque profil, identifie les 3 failles les
   plus graves : règle absente, ambiguë, contradictoire, inapplicable
   en pratique, ou non conforme.
2. Teste ces 5 scénarios contre le texte — la charte donne-t-elle une
   réponse claire à chacun, et laquelle ?
   a. Un commercial colle l'historique CRM d'un client dans un outil
      IA grand public pour préparer un rendez-vous.
   b. Les RH utilisent un outil d'IA pour présélectionner des CV.
   c. Un manager envoie à un client une note générée par IA sans
      relecture.
   d. Un salarié installe une extension IA de navigateur qui lit
      toutes les pages qu'il consulte.
   e. Le marketing publie un article de blog généré par IA sans
      mention d'aucune sorte.
3. Restitue un tableau : faille / profil / gravité (critique, majeure,
   mineure) / passage exact de la charte concerné (ou « absent ») /
   réécriture proposée.
4. Conclus par : les 3 corrections prioritaires, puis une note de
   maturité de 1 à 5 avec justification en 3 lignes.
 
RÈGLES :
- Cite toujours le passage exact de la charte qui fonde ton constat.
- Ne cite un article de loi que si tu es certain de son contenu ;
  sinon écris [RÉFÉRENCE À VÉRIFIER PAR LE JURIDIQUE].
- Sois dur. Une charte qui sort de l'audit sans aucune faille critique
  mérite une seconde lecture, pas des félicitations.
 
Voici la charte à auditer :
[COLLEZ ICI LE TEXTE INTÉGRAL DE VOTRE CHARTE]

Le scénario le plus révélateur est systématiquement le cinquième profil — le salarié qui cherche la zone grise. Si votre charte interdit « les outils non autorisés » sans dire ce qu'est une autorisation ni qui la donne, il passe. Si elle impose une relecture humaine « pour les documents importants » sans définir « important », il passe aussi. C'est exactement ce genre de flou qu'un contrôle — ou un contentieux prud'homal — exploitera.

D'abord la charte, ensuite les outils qui la respectent

La charte IA n'est pas le dossier de plus dans la pile conformité. C'est le document qui convertit une obligation abstraite — l'AI Act — en règles que chaque collaborateur peut appliquer lundi matin. Commencez par la cartographie, générez une première version avec le premier prompt, mettez-la à l'épreuve avec le second, faites-la consolider par votre DPO, consultez votre CSE. L'article 50 étant désormais applicable, c'est le moment de transformer le shadow AI en usage maîtrisé plutôt qu'en risque documenté.

Et quand votre charte imposera des outils contractualisés, transparents et supervisables pour la relation client, nos chatbots, callbots et mailbots sont conçus pour cocher ces cases dès le déploiement — divulgation IA native, hébergement européen, humain dans la boucle.