À retenir
- L'obligation CSE est réelle mais ignorée — l'article L.2312-8 du Code du travail impose une consultation préalable avant tout déploiement d'outil IA : 0 concurrent ne le dit clairement
- 78 % des utilisateurs IA amènent leurs propres outils au travail (BYOAI, Microsoft Work Trend Index 2025) — le shadow IA coûte 321 900 € supplémentaires par violation de données (IBM, 2025)
- AI Act article 4 : depuis le 2 février 2025, la littératie IA du personnel est une obligation légale — pas une recommandation
- Un modèle de charte IA adapté à votre taille (TPE, PME, ETI, grand groupe) avec 8 sections indispensables à couvrir
- Financez la formation : les PME de moins de 50 salariés peuvent former leurs équipes à 100 % via l'OPCO, si le prestataire est certifié Qualiopi
Un responsable RH d'une PME industrielle bretonne ouvre son CRM un matin et découvre qu'un commercial a collé, mot pour mot, la liste complète des prospects actifs dans ChatGPT pour rédiger ses relances. Données personnelles, montants des devis, noms des interlocuteurs — tout est parti sur les serveurs d'OpenAI. Elle appelle son DPO. La réponse : « On n'a pas de charte IA. »
Ce scénario n'est pas théorique. Selon le rapport IBM Cost of a Data Breach 2025, le shadow IA — l'utilisation d'outils IA sans autorisation de l'entreprise — ajoute 321 900 euros au coût moyen d'une violation de données en France, lui-même déjà de 3,59 millions d'euros. Et selon le Microsoft Work Trend Index 2025, 78 % des utilisateurs IA amènent leurs propres outils au travail (pratique dite BYOAI, « Bring Your Own AI »).
Une charte IA d'entreprise n'est pas un document de conformité supplémentaire à ranger dans un tiroir. C'est la seule manière de rendre les usages IA à la fois légaux, sécurisés et efficaces — avant que votre direction soit contrainte de réagir après un incident.
💡 Bon à savoir : Selon IBM (2025), 53 % des organisations françaises n'ont pas mis en place de politiques de gouvernance IA — mais leurs salariés utilisent l'IA quotidiennement. Le shadow IA n'est pas une exception : c'est la norme dans les entreprises sans charte.
La charte IA, ce n'est pas ce que vous croyez
Une charte IA efficace est un contrat opérationnel entre l'entreprise et ses collaborateurs sur quatre questions concrètes, pas une liste de « ne pas faire » rédigée par un stagiaire juriste.
Quels outils sont autorisés ?
Quelles données peut-on y mettre ?
Qui est responsable de quoi ?
Comment la charte évolue-t-elle ?
La charte IA n'est pas non plus un document figé. Pensez-y comme au code de conduite routier : il ne dit pas quelle marque de voiture vous devez conduire, mais il fixe les règles qui permettent à tout le monde de rouler sans se percuter — même quand les modèles changent.
La plupart des modèles de charte IA qui circulent sur internet ressemblent à des règlements intérieurs rédigés en 2019 : insuffisants et souvent inapplicables. Pour comprendre comment encadrer concrètement les usages IA dans votre organisation, consultez notre guide sur l'encadrement de l'IA en entreprise.
Ce que personne ne vous dit : la consultation du CSE est obligatoire
Voici le point que l'ensemble des concurrents esquivent totalement, et qui peut pourtant transformer un déploiement de charte IA en casse-tête juridique.
L'article L.2312-8 du Code du travail (Légifrance) impose que le Comité Social et Économique soit « informé et consulté sur les questions intéressant l'organisation, la gestion et la marche générale de l'entreprise », notamment sur « l'introduction de nouvelles technologies ». L'article L.2312-38 étend explicitement cette obligation aux outils de surveillance ou d'évaluation des performances des salariés — ce qui couvre des outils comme Copilot Analytics ou tout assistant IA supervisé.
L'article L.2312-22 du Code du travail précise par ailleurs les modalités de la consultation récurrente sur les orientations stratégiques et l'organisation du travail, dont relèvent les déploiements IA impactant les conditions de travail.
Risque juridique concret : un déploiement d'outil IA sans consultation préalable du CSE expose l'employeur à une suspension par décision de justice (référé TJ), des dommages-intérêts, voire une nullité des décisions RH prises sur la base de cet outil (évaluation, licenciement). Le délai d'avis court à compter de la communication des informations par l'employeur ; le CSE dispose d'1 mois pour rendre son avis (2 mois si un expert est désigné).
Cela ne signifie pas que la charte IA doit être cosignée par le CSE. Mais les grandes lignes — liste des outils, données traitées, impact sur les conditions de travail — doivent être présentées et discutées avant diffusion. Cette étape est une protection pour tout le monde, y compris les collaborateurs.
Les 8 sections d'une charte IA d'entreprise : le modèle
Voici la structure que nous recommandons, testée sur les chartes publiques de Pierre-Fabre (grand groupe pharmaceutique, avril 2025) et de l'INSP (Institut National du Service Public, septembre 2025), les deux seuls exemples français publics et complets disponibles à ce jour.
Préambule et objet
Définir pourquoi l'entreprise déploie l'IA, quels objectifs elle poursuit, et ce que la charte entend encadrer. Référencer explicitement l'AI Act (Règlement UE 2024/1689) et le RGPD comme socle réglementaire. Ce n'est pas une formalité : c'est ce qui donne à la charte sa légitimité face à un salarié ou à un juge.
Champ d'application
Qui est concerné : salariés en CDI/CDD, stagiaires, prestataires externes, sous-traitants. Quels outils sont couverts : liste positive des outils autorisés avec version ou date de validation (ex. : « ChatGPT via l'interface entreprise Microsoft Copilot — validé le JJ/MM/AAAA »). Les outils non listés sont implicitement interdits.
Classification des données
C'est la section la plus sous-estimée, et la plus critique. Sans grille de classification, un commercial ne sait pas si le nom d'un prospect est « interne » ou « confidentiel ». Voici la grille minimale recommandée par la CNIL.
Règles d'usage par catégorie de données
Pour chaque niveau de sensibilité : quels outils sont autorisés, avec quelles précautions (anonymisation préalable, compte entreprise vs compte personnel, stockage des conversations). C'est ici que la charte devient opérationnelle plutôt que déclarative.
Supervision humaine et responsabilité
Identifier qui valide les outputs IA avant action (devis, décision RH, communication client). Préciser que l'IA est un outil d'assistance, jamais un décideur autonome. Nommer un référent IA par service ou par BU.
Propriété intellectuelle et droits d'auteur
Les outputs générés par l'IA ne sont pas protégeables au titre du droit d'auteur en France (absence de création humaine originale). Mais les données saisies restent potentiellement couvertes par le secret des affaires — le rappeler explicitement.
Transparence et information des tiers
Depuis le 2 août 2026, l'article 50 de l'AI Act impose d'informer les interlocuteurs qu'ils interagissent avec une IA (chatbots, e-mails générés). La charte doit préciser comment cette obligation est satisfaite en interne.
Révision, formation et entrée en vigueur
Prévoir une révision annuelle minimum — voire semestrielle dans les secteurs réglementés. Documenter la date de formation des équipes (obligatoire pour prouver la conformité article 4 de l'AI Act). Indiquer la procédure de signalement en cas d'incident ou d'usage douteux.
La grille de classification des données : ce que les autres modèles omettent
Tout prompt contenant des informations sur une personne identifiable constitue un traitement de données personnelles au sens du RGPD — y compris un simple e-mail collé dans Claude ou ChatGPT.
La CNIL a publié 14 fiches pratiques entre 2024 et 2025 sur l'IA et le RGPD. Le principe central : tout prompt contenant des informations sur une personne identifiable (nom, email, poste) constitue un traitement de données personnelles — y compris un simple e-mail collé dans Claude ou ChatGPT.
Voici la grille de classification à intégrer dans votre charte :
Le cas Samsung, en mars 2023, est l'incident fondateur : trois ingénieurs ont collé du code source propriétaire dans ChatGPT pour déboguer un programme. En moins d'un mois, trois fuites — le code était parti sur les serveurs d'OpenAI, impossible à récupérer. Une ligne dans la grille « secret des affaires = IA on-premise uniquement » aurait suffi.
💡 Bon à savoir : La CNIL considère que même un prénom + fonction saisi dans un prompt constitue un traitement de données personnelles soumis au RGPD. Sans base légale documentée (intérêt légitime, contrat…), l'entreprise est en infraction — même si elle utilise un outil grand public « gratuit ».
Adapter le modèle à la taille de votre entreprise
Il n'existe pas de charte IA universelle — les besoins d'une TPE de 8 personnes et d'une ETI industrielle de 400 salariés sont radicalement différents.
Un cabinet comptable strasbourgeois de 15 personnes a besoin d'une chose simple : une liste des 3 outils autorisés, une grille de données en 4 niveaux, et une demi-journée de formation pour que toute l'équipe soit alignée. Pas d'une politique de 40 pages. La complexité doit être proportionnelle aux enjeux — et aux données effectivement traitées.
L'audit shadow IA : avant de rédiger, cartographiez ce qui existe déjà
Rédiger une charte sans savoir ce que vos équipes utilisent déjà, c'est rédiger un règlement de copropriété sans savoir combien d'appartements sont déjà occupés. Selon IBM 2025, 53 % des organisations françaises n'ont pas mis en place de politiques de gouvernance IA — mais leurs salariés utilisent l'IA, eux.
Analyser les logs réseau et DNS
Détecter les connexions vers les domaines IA publics : openai.com, claude.ai, gemini.google.com, deepl.com, perplexity.ai. Votre DSI ou votre prestataire réseau peut extraire cette liste en 30 minutes.
Questionnaire anonyme auprès des équipes
Demander à chaque service quels outils IA ils utilisent, à quelle fréquence, et pour quels types de tâches. L'anonymat est clé : sans lui, vous obtiendrez les réponses « correctes », pas les réponses vraies.
Inventaire des extensions de navigateur
Certains outils shadow IA passent par des extensions Chrome ou Edge (Merlin, Sider, Monica…) — invisibles dans les logs DNS mais actifs sur tous les sites web visités, y compris votre CRM ou votre ERP.
Croiser avec vos politiques DLP existantes
Si vous avez déjà une solution de Data Loss Prevention, configurez des règles pour détecter les transferts de fichiers vers des services cloud non répertoriés. L'IA n'est qu'un nouveau vecteur de sortie de données.
Cartographier les risques par service
Tous les usages ne sont pas équivalents. Un commercial qui utilise ChatGPT pour reformuler un e-mail générique ≠ un RH qui y colle un entretien d'évaluation. Classez les usages par niveau de risque pour prioriser vos règles.
Ce que l'AI Act impose concrètement à votre entreprise en 2026
Depuis le 2 février 2025, l'article 4 de l'AI Act est entré en vigueur : toute entreprise déployant un outil IA doit garantir un niveau suffisant de littératie IA à son personnel — sous peine d'une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
L'AI Act (Règlement UE 2024/1689) n'est pas un horizon lointain. Plusieurs obligations sont déjà actives, et certaines concernent directement les entreprises qui déploient ChatGPT, Claude ou Copilot en interne.
Voici ce qui s'applique à votre entreprise selon le calendrier officiel (service-public.gouv.fr, mis à jour après le Digital Omnibus de juillet 2026) :
Pour les PME et ETI déployant ChatGPT, Claude ou Copilot en usage interne (rédaction, analyse, résumé), ces outils relèvent de la catégorie « risque limité » ou « usage général » (GPAI). L'obligation principale aujourd'hui est l'article 4 (formation) et l'article 50 (transparence). La bascule en « haut risque » n'intervient que si l'IA devient décisionnelle sur des sujets RH, crédit ou sécurité.
💡 Bon à savoir : La formation IA en entreprise certifiée Qualiopi est la preuve documentaire que vous pouvez présenter en cas de contrôle AI Act. La date, les participants et le contenu doivent figurer dans vos registres — c'est l'équivalent d'un registre de formation RGPD, mais pour l'IA.
Charte IA et « charte IA modèle » : quelle différence avec une politique IA ?
Le mot-clé « charte ia modèle » renvoie souvent à des templates génériques qui confondent trois documents distincts. Voici la distinction que même les juristes internes négligent parfois.
La plupart des PME ont besoin d'une charte IA — pas d'une politique complète. La charte est le document que vous annexez au règlement intérieur (après modification soumise à l'inspection du travail), que vous présentez au CSE, et que vous faites signer à chaque nouveau collaborateur. La politique IA vient ensuite, quand les usages se complexifient.
La formation : le maillon manquant entre la charte et la réalité
Olivier, directeur commercial d'une PME de services informatiques nantaise, m'a confié quelque chose d'éclairant : « On a rédigé une charte IA impeccable. Deux semaines après la diffusion, j'ai re-testé mes équipes. Personne ne savait ce que voulait dire "anonymiser avant saisie". »
Une charte sans formation est une pancarte sans conducteur formé au code de la route.
L'article 4 de l'AI Act le dit explicitement : les déployeurs doivent assurer « un niveau suffisant de littératie en matière d'IA » à leur personnel. Pas une lecture de charte. Une formation.
Ce que la formation doit couvrir
Comment financer la formation
Format adapté aux PME
Preuve de conformité AI Act
The Intelligence Academy propose des formations IA en entreprise certifiées Qualiopi, finançables via OPCO, sur les usages conformes de l'IA générative — de la classification des données à la rédaction de prompts sécurisés. Le programme couvre exactement ce que votre charte IA impose à vos équipes de maîtriser. Pour comparer les options disponibles, consultez notre guide des meilleures formations IA pour entreprises.
Découvrez nos formations IA
Sources et références
- BPIFrance Le Lab — L'IA dans les PME et ETI françaises : une révolution tranquille (2026) — données sur les profils dirigeants face à l'IA et taux d'adoption
- Entreprendre.service-public.gouv.fr — AI Act : quels changements pour les entreprises ? (2025) — calendrier officiel des obligations AI Act
- CNIL — Les fiches pratiques IA (2024-2025) — 14 fiches pratiques sur le cadre RGPD applicable aux outils IA
- Légifrance — Article L.2312-8 du Code du travail — obligation de consultation du CSE sur les nouvelles technologies
- Légifrance — Article L.2312-22 du Code du travail — modalités de consultation récurrente sur l'organisation du travail
- Pierre-Fabre — Charte IA Éthique (avril 2025) — exemple réel de charte grand groupe français
- GlobalSecurityMag — IBM Cost of a Data Breach 2025 (2025) — coût des violations de données en France et surcoût shadow IA
- ANSSI — Recommandations de sécurité pour un système d'IA générative (avril 2024) — bonnes pratiques de sécurisation
- Microsoft Work Trend Index 2025 — 78 % des utilisateurs IA pratiquent le BYOAI (Bring Your Own AI)
FAQ
Qu'est-ce qu'une charte IA d'entreprise et à quoi sert-elle ?
Une charte IA d'entreprise est un document interne qui définit les règles d'utilisation des outils d'intelligence artificielle par les collaborateurs : quels outils sont autorisés, quelles données peuvent y être saisies, qui est responsable des outputs, et comment les usages sont contrôlés. Elle sert à trois choses simultanément : protéger l'entreprise juridiquement (RGPD, AI Act, secret des affaires), encadrer les usages pour éviter le shadow IA, et donner aux collaborateurs une base claire pour utiliser l'IA efficacement et en confiance.
La charte IA est-elle obligatoire en France en 2026 ?
Aucune loi française n'impose encore explicitement la rédaction d'une charte IA. Mais deux obligations légales rendent son absence risquée : l'article L.2312-8 du Code du travail impose la consultation du CSE avant tout déploiement d'outil numérique impactant les conditions de travail, et l'article 4 de l'AI Act (en vigueur depuis le 2 février 2025) impose à tout déployeur d'IA de former son personnel à un niveau suffisant de littératie IA. Sans charte, il est difficile de documenter et de prouver le respect de ces deux obligations.
Faut-il consulter le CSE avant de déployer une charte IA ?
Oui, si votre entreprise compte 11 salariés ou plus. L'article L.2312-8 du Code du travail impose l'information et la consultation du CSE sur « l'introduction de nouvelles technologies ». Le délai d'avis court à compter de la communication des informations par l'employeur ; le CSE dispose d'au moins 1 mois pour rendre son avis (2 mois avec expert désigné). L'omettre expose l'employeur à une suspension du déploiement par décision de justice, des dommages-intérêts, et une nullité potentielle des décisions RH prises à l'aide de l'outil IA déployé.
Quelle est la différence entre charte IA et charte IA modèle ?
« Charte IA modèle » désigne un template générique réutilisable — une trame de document que vous adaptez à votre contexte, votre secteur et vos outils. Une charte IA, c'est le document finalisé, signé ou formellement adopté par votre entreprise, éventuellement annexé au règlement intérieur. Le modèle est le point de départ ; la charte est le document opposable. L'erreur fréquente est de traiter le modèle comme la charte — sans l'adapter aux outils réellement utilisés, à la classification de vos données propres, et aux spécificités de votre secteur (santé, finance, BTP, etc.).
Que risque une entreprise sans charte IA face à la CNIL ou à l'AI Act ?
Face à la CNIL : si un collaborateur colle des données personnelles dans ChatGPT sans encadrement documenté, l'entreprise peut être considérée comme responsable d'un traitement illicite de données (absence de base légale, absence d'information des personnes concernées). La CNIL a enregistré un record de 20 150 plaintes en 2025 (+10 %). Face à l'AI Act : l'absence de programme de littératie IA (article 4) et de signalement de l'usage de l'IA aux tiers (article 50) expose à des amendes de 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Face aux prud'hommes : un déploiement sans consultation du CSE peut être suspendu ou annulé a posteriori.
En combien de temps peut-on mettre en place une charte IA en entreprise ?
Pour une TPE ou PME de moins de 50 salariés sans CSE ou avec un CSE coopératif : comptez 2 à 4 semaines. Pour une PME avec CSE : 6 à 8 semaines, délai légal de consultation inclus. Pour une ETI ou un grand groupe avec plusieurs BU, un DPO, et des enjeux sectoriels réglementés : 3 à 6 mois. Dans tous les cas, la phase la plus longue n'est pas la rédaction — c'est l'audit shadow IA préalable et la formation des équipes à la charte une fois adoptée.
Comment adapter la charte IA quand un nouvel outil IA sort sur le marché ?
Prévoir dans la charte elle-même un processus de révision et de validation des nouveaux outils : qui peut demander l'ajout d'un outil (le collaborateur, son manager), qui valide (DSI, DPO, ou comité IA), dans quel délai. Toute validation doit s'accompagner d'une vérification du contrat de traitement de données (DPA) proposé par l'éditeur. Une révision annuelle complète de la liste des outils autorisés est le minimum ; dans les secteurs à forte transformation IA (finance, santé, juridique), une révision semestrielle est recommandée.
Comment former ses collaborateurs à la charte IA une fois rédigée ?
La formation doit être concrète et centrée sur les cas d'usage réels de chaque service — pas une lecture commentée de la charte. Pour un service commercial : comment reformuler un e-mail sans y mettre de données client identifiables. Pour les RH : quelles tâches peuvent être assistées par IA et lesquelles exigent une décision humaine documentée. La formation doit être tracée (date, participants, contenu) pour servir de preuve de conformité à l'obligation article 4 de l'AI Act. Elle est finançable via l'OPCO pour les PME, ou via le CPF individuel sur des formations certifiées Qualiopi.