Que doit contenir une charte d'usage de l'IA, en une page, pour votre PME ou votre cabinet ?
Une charte d'usage de l'IA dit à chacun ce qu'il peut faire avec l'IA, avec quels outils, et surtout quelles données ne doivent jamais y entrer. Une page suffit si elle couvre l'essentiel : les outils autorisés et leurs comptes, les données interdites (patients, salariés, contrats, mots de passe), l'obligation de relire tout résultat, un référent et une courte formation. C'est ce que recommandent la CNIL et la DGSI, et cela aide à remplir l'obligation de former le personnel prévue par l'article 4 du règlement européen sur l'IA.
Le scénario en bref
Exemple, inventé pour illustrer. Dans un cabinet de masso-kinésithérapie fictif, la secrétaire doit résumer le long courrier d'un médecin spécialiste. Elle copie le texte, avec le nom, la date de naissance et le diagnostic du patient, dans un assistant d'IA grand public ouvert dans son navigateur, sur son compte personnel. Le résumé est très bon. Personne ne lui avait dit que c'était interdit, ni pourquoi.
Rien de grave ne se voit ce jour-là. Mais des données de santé sont parties chez un service en ligne que le cabinet n'a pas choisi, sur un compte dont il ne contrôle pas les réglages. Le problème n'est pas l'IA : c'est l'absence de règle claire. Une charte d'une page règle cela.
Ce n'est pas qu'un risque théorique
La DGSI, le service de renseignement intérieur, a consacré en décembre 2025 un Flash ingérence économique aux risques de l'IA au travail. Premier cas décrit : dans une entreprise multinationale, des salariés utilisaient régulièrement un outil d'IA générative « grand public », développé par une société étrangère, pour traduire des documents confidentiels, sans l'aval de leur hiérarchie. Des consignes ont été passées pour qu'ils privilégient un outil payant acheté par l'entreprise, et la direction a lancé un groupe de travail pour définir des règles d'usage internes.
La DGSI explique pourquoi : les versions gratuites et standard des principaux outils d'IA générative (une IA qui produit du texte ou des images à la demande) utilisent souvent les données saisies pour entraîner leurs modèles, et certaines stockent ces données à l'étranger.
Et l'usage progresse vite. Selon l'Insee (juillet 2026), 18 % des entreprises françaises de 10 salariés ou plus utilisaient au moins une technologie d'IA en 2025, 8 points de plus qu'en 2024. Chez les 10 à 49 salariés, la part est passée de 5 % en 2023 à 15 % en 2025. Ces chiffres ignorent le salarié qui ouvre un outil gratuit de son côté.
Ce que demandent les textes
Depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA demande aux organisations qui utilisent des systèmes d'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. Modifié en juillet 2026, il n'exige plus un niveau précis pour chaque personne, mais l'obligation d'agir demeure. La Commission européenne le précise dans ses questions-réponses : des salariés qui utilisent un outil d'IA générative pour rédiger ou traduire doivent être informés de ses risques, par exemple les « hallucinations », ces réponses inventées mais présentées avec assurance.
| Ce que disent les autorités | Ce que cela veut dire pour vous |
|---|---|
| Commission européenne : pas besoin de certificat | Aucun diplôme à faire passer à vos équipes |
| Commission européenne : garder une trace interne des formations | La charte signée et la date de la séance servent de trace |
| CNIL : encadrer l'usage par des politiques ou chartes internes listant les usages permis et interdits | La charte d'une page est exactement cela |
| DGSI : expliciter le cadre d'emploi de l'IA dans la charte informatique | Ajoutez une rubrique IA à votre charte informatique existante, ou une annexe d'une page |
Les huit rubriques d'une charte en une page
Une charte efficace tient sur une page, en phrases courtes. Si elle fait cinq pages, personne ne la lira. Voici les rubriques indispensables, avec une phrase type pour chacune :
| Rubrique | Ce qu'on écrit | Exemple de phrase |
|---|---|---|
| 1. Le principe | L'IA est encouragée, dans un cadre clair | « Utilisez l'IA pour rédiger, résumer, traduire, en respectant les règles ci-dessous. » |
| 2. Les outils autorisés | La liste des outils permis, avec un compte professionnel | « Seuls les outils de la liste, avec votre adresse professionnelle. Pas de compte personnel. » |
| 3. Les données interdites | Ce qui ne doit jamais être collé dans un outil d'IA | « Jamais de nom de patient, de dossier médical, de donnée de salarié, de mot de passe. » |
| 4. Anonymiser | Retirer ce qui permet de reconnaître une personne | « Remplacez les noms par “le patient”, “le client”, “le fournisseur”. » |
| 5. Relire | L'IA peut se tromper avec aplomb : une personne vérifie tout | « Rien ne part sans relecture : chiffres, noms, dates, références de textes. » |
| 6. Décider | L'IA propose, une personne décide | « Aucune décision sur un patient, un client ou un salarié ne repose sur la seule réponse d'une IA. » |
| 7. Le référent | Une personne à qui poser ses questions et signaler un problème | « En cas de doute ou d'erreur, prévenez [nom] le jour même. » |
| 8. La mise à jour | Une date de révision et une trace de la formation | « Charte lue et expliquée le [date]. Prochaine révision : [date]. » |
Ces rubriques reprennent les recommandations de la CNIL : former les utilisateurs, ne jamais reprendre telles quelles les réponses, éviter les comptes personnels et prévoir un point de contact.
Les données : feu vert, orange, rouge
C'est la rubrique la plus importante, et celle que vos équipes retiendront si elle est visuelle. Plus une information est personnelle ou confidentielle, moins elle a sa place dans un outil d'IA en ligne. La DGSI demande d'ailleurs que la charte précise le niveau de sensibilité des informations qui peuvent être confiées à l'IA.
| Couleur | Type d'information | Règle |
|---|---|---|
| Vert | Textes publics, modèles vierges, idées, reformulation d'un texte sans nom | Libre, avec un outil autorisé |
| Orange | Document interne sans donnée personnelle : procédure, offre type, note de service | Outil autorisé et compte professionnel uniquement, après avoir retiré les chiffres sensibles |
| Rouge | Données de patients, données de santé, dossiers des salariés, contrats, coordonnées bancaires, mots de passe, comptes-rendus de réunions confidentielles | Jamais dans un outil d'IA en ligne grand public |
La DGSI recommande aussi d'anonymiser systématiquement les requêtes et d'éviter ces outils pour les tâches sensibles.
Le cas particulier des cabinets de santé
Dans un cabinet médical, dentaire ou paramédical, la zone rouge est grande. La CNIL rappelle que les données concernant la santé sont des données sensibles, que le règlement européen interdit en principe de recueillir ou d'utiliser, sauf exceptions précises. Coller un dossier de patient dans un assistant d'IA grand public, avec un compte personnel, n'en fait pas partie.
Retirer le nom ne suffit pas toujours : une maladie rare, un âge et une commune peuvent suffire à reconnaître quelqu'un. Pour un cabinet, la règle la plus simple reste : aucune information de patient dans un outil d'IA en ligne qui n'a pas été choisi et réglé par le cabinet.
Choisir et régler les outils autorisés
Interdire sans proposer d'alternative pousse les gens à contourner la règle. Dans le cas rapporté par la DGSI, l'entreprise a d'ailleurs réagi en orientant ses salariés vers un outil payant qu'elle avait choisi. Mieux vaut choisir un ou deux outils, les régler et les mettre à disposition de tous. Avant de les inscrire sur la liste, posez ces quatre questions, inspirées de la CNIL :
- Le fournisseur réutilise-t-il vos données ? La CNIL conseille de le vérifier et, si c'est le cas, de s'opposer à cette réutilisation et de limiter la conservation de l'historique.
- L'outil est-il conforme au RGPD ? La CNIL recommande de poser la question au fournisseur et de demander la documentation de l'outil.
- Qui gère les comptes ? Un compte professionnel peut être fermé quand quelqu'un quitte l'entreprise. Un compte personnel part avec la personne, historique compris.
- L'outil se branche-t-il à votre messagerie ou à vos dossiers ? La DGSI note que les connexions à des outils externes (extensions, interfaces logicielles) augmentent les vulnérabilités. Vérifiez qui voit quoi avant de l'activer.
Faire respecter la charte
Une charte que personne ne connaît ne protège personne. Faites-la lire, expliquez-la, et gardez une trace : une signature ou une liste de présence. Pour les indépendants, stagiaires ou intérimaires qui utilisent vos outils, prévoyez aussi une signature.
Si vous voulez pouvoir sanctionner un manquement, il faut aller plus loin. Selon Service-Public.fr, le règlement intérieur est obligatoire à partir de 50 salariés, son adoption passe par la consultation du CSE, un dépôt au greffe du conseil de prud'hommes et une transmission à l'inspection du travail. Et quel que soit l'effectif, une note de service qui fixe des règles permanentes de discipline suit les mêmes règles. Votre conseil en droit social peut vous y aider.
La charte modèle, à adapter
Voici une base qui tient sur une page. Remplacez les crochets et retirez ce qui ne vous concerne pas.
- Oui à l'IA pour rédiger, résumer, traduire, reformuler et trouver des idées, avec les outils de la liste : [outil, type de compte].
- Compte professionnel uniquement, créé avec votre adresse professionnelle. Pas de compte personnel pour le travail.
- Jamais dans un outil d'IA : nom ou dossier de patient, donnée de santé, donnée de salarié, contrat, coordonnées bancaires, mot de passe, compte-rendu confidentiel.
- Anonymisez tout le reste : remplacez les noms par une fonction (« le patient », « le client »).
- Relisez tout avant usage : l'IA peut inventer des chiffres, des noms ou des références. Vous restez l'auteur de ce que vous envoyez.
- L'IA ne décide pas : aucune décision sur une personne ne repose sur sa seule réponse.
- Dites-le quand un document remis à un client ou à un patient a été largement rédigé avec l'IA, si cela peut compter pour lui.
- Pas de nouvel outil (extension de navigateur, application, outil branché à la messagerie) sans l'accord de [référent].
- Une voix ou une vidéo ne suffit pas à prouver une identité : toute demande inhabituelle de paiement ou de données se vérifie par un autre canal, au numéro que vous connaissez déjà.
- Un doute, une erreur, une donnée partie par mégarde : prévenez [référent] le jour même. Une erreur signalée vite se corrige ; une erreur cachée s'aggrave.
Dans le même flash, la DGSI rapporte qu'un responsable de site d'un groupe français a reçu un appel en visioconférence d'un faux dirigeant, au visage et à la voix imités par l'IA, qui lui demandait un transfert de fonds. Il a raccroché et prévenu sa direction par les canaux habituels : c'est exactement le bon réflexe.
Lundi matin : cinq gestes
- Demandez à l'équipe, sans juger, quels outils d'IA chacun utilise déjà et pour quoi faire. Vous partirez de la réalité.
- Choisissez un ou deux outils autorisés et créez les comptes professionnels.
- Adaptez la charte modèle ci-dessus et désignez un référent.
- Présentez-la en 30 minutes en réunion d'équipe, avec des exemples tirés de votre métier, et faites-la signer.
- Notez une date de révision dans six mois : les outils évoluent vite, la charte aussi.
Une charte d'une page ne demande ni budget ni grand projet : vos équipes profitent de l'IA en confiance, et vous savez où vont vos données.
Mettre en place votre charte IA→
Questions fréquentes
Une charte d'usage de l'IA est-elle obligatoire ?
Aucun texte n'impose une charte en tant que telle. Mais depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA demande aux organisations qui utilisent l'IA de prendre des mesures pour que leur personnel apprenne à s'en servir et en connaisse les risques. La CNIL et la DGSI recommandent d'encadrer cet usage dans une charte. C'est la façon la plus simple de le faire et de le montrer.
Faut-il un certificat de formation à l'IA pour mes salariés ?
Non. La Commission européenne précise qu'aucun certificat n'est nécessaire. Garder une trace interne des formations ou des consignes données suffit, par exemple la charte signée et la date de la séance d'information.
Mes salariés peuvent-ils utiliser un assistant d'IA grand public gratuit ?
Pour des contenus publics ou sans données personnelles, c'est possible si la charte le prévoit. Pour des données de patients, de salariés ou des documents confidentiels, non : selon la DGSI, les versions gratuites des principaux outils utilisent souvent les données saisies pour entraîner leurs modèles. Mieux vaut proposer un outil choisi, avec des comptes professionnels.
Peut-on anonymiser un dossier de patient et l'utiliser avec l'IA ?
Retirer le nom ne suffit pas toujours : une maladie rare, un âge et une commune peuvent permettre de reconnaître quelqu'un. Les données de santé sont des données sensibles, que le règlement européen interdit en principe d'utiliser sauf exceptions. Pour un cabinet, la règle la plus sûre est de ne mettre aucune information de patient dans un outil d'IA en ligne qui n'a pas été choisi et réglé par le cabinet.
Faut-il annexer la charte IA au règlement intérieur ?
Tout dépend de votre taille. À partir de 50 salariés, le règlement intérieur est obligatoire : la charte y est intégrée ou annexée, après consultation du CSE, dépôt au greffe du conseil de prud'hommes et transmission à l'inspection du travail. En dessous, si la charte fixe des règles de discipline permanentes, elle doit suivre ces mêmes formalités. Faites-vous accompagner par votre conseil en droit social.