La charte d'utilisation de l'IA : la liste d'abord, la charte ensuite

Posez la question autour de vous : quelles sont les règles d'utilisation de l'intelligence artificielle dans votre entreprise ? Interrogez plusieurs salariés, pas un seul. Vous obtiendrez des réponses très différentes d'une personne à l'autre, et c'est le meilleur diagnostic que vous puissiez faire en une matinée.

La liste avant la charte

Demandez à vos équipes quelles intelligences artificielles elles utilisent déjà, et surtout pour quoi faire. Rédiger des mails, résumer des réunions, analyser des contrats, créer des images, trier des CV, travailler sur des fichiers clients : les usages réels sont rarement ceux qu'on anticipe.

Pour chaque usage relevé, notez trois choses, et trois seulement.

• Quelles données sont envoyées à l'outil
• Quel outil, et avec quel type de compte : un compte personnel gratuit et un compte professionnel n'offrent ni les mêmes garanties ni le même sort aux données
• Ce qui se passe si l'intelligence artificielle se trompe — et cela arrive beaucoup plus souvent qu'on ne le croit

Cette liste fait apparaître d'elle-même deux familles : des usages anodins, et d'autres qui méritent une vraie attention. Votre charte n'a pas à traiter les deux de la même façon.

Interdire ou encadrer ?

C'est la question qui revient le plus souvent dès qu'un dirigeant découvre que ses équipes utilisent l'IA. Vous pouvez évidemment décider que certains outils ou certains usages ne sont pas autorisés chez vous. Mais si vos équipes s'en servent déjà pour rédiger, résumer, préparer des présentations ou analyser des informations, une interdiction générale déplace le problème plutôt qu'elle ne le règle : certains continueront, avec leur compte personnel, et sans vous le dire.

Je commence donc toujours par regarder les usages réels avant de décider de ce qui est autorisé, de ce qui exige des précautions particulières, et de ce qui est interdit. Et j'écris pourquoi. Une règle sur l'IA est beaucoup plus facile à respecter quand les équipes comprennent le risque qu'elle cherche à éviter.

Les cinq règles minimales

Si vos salariés utilisent l'intelligence artificielle dans leur travail, vous leur devez au moins ces cinq règles. Elles tiennent sur une page, et elles couvrent l'essentiel des incidents que je vois arriver.

• On ne transmet pas de document confidentiel ni de données personnelles sans savoir si on y est autorisé
• On vérifie toujours les réponses : une IA peut répondre avec beaucoup d'assurance et se tromper complètement
• On utilise les outils autorisés par l'entreprise, pour éviter que chacun ouvre son compte de son côté, avec des conditions différentes d'un salarié à l'autre
• Dès que l'IA intervient sur un sujet sensible — un recrutement, un contrat, une décision qui concerne un client — on garde une vraie validation humaine
• En cas de doute, on demande avant d'envoyer

Cela paraît basique. C'est exactement pour cette raison que ça marche : une règle qu'on retient est une règle qu'on applique.

Les trois usages à regarder en priorité

Si je devais examiner demain la façon dont une entreprise utilise l'IA, je vérifierais trois choses avant toutes les autres.

• Tout ce qui implique des données sensibles ou confidentielles : contrats, fichiers clients, informations financières, données RH. Que sort-il de l'entreprise, vers quel outil, et dans quelles conditions
• Tout ce qui concerne une décision sur une personne : recrutement, évaluation, prime, sanction. Dès que l'IA influence ce type de décision, la place laissée à l'humain doit être examinée de près
• Les IA qui peuvent agir directement : envoyer un mail, modifier un fichier, accéder à un logiciel, déclencher une action. Plus vous donnez de capacité d'action, plus vous devez savoir précisément jusqu'où elle peut aller

Regardez ces trois usages chez vous et vous aurez déjà une très bonne idée de vos priorités de gouvernance.

Ce qui donne une valeur juridique à la charte

Un document affiché sur l'intranet n'engage personne. Pour qu'une règle soit opposable à un salarié, il faut qu'elle ait suivi le bon chemin, et ce chemin dépend de ce que la charte contient.

Dès que le document pose des obligations générales et permanentes en matière de discipline, il est traité comme une adjonction au règlement intérieur : l'article L. 1321-5 du code du travail l'énonce pour les notes de service et tout autre document comparable. Il suit alors le régime du règlement intérieur, avec consultation du comité social et économique, transmission à l'inspection du travail et dépôt au greffe du conseil de prud'hommes.

Une charte purement pédagogique, qui recommande sans sanctionner, échappe à cette procédure, mais elle ne permet pas non plus de reprocher grand-chose à celui qui ne l'a pas suivie. Il faut choisir en connaissance de cause : un document qui prétend sanctionner sans avoir suivi la procédure cumule les inconvénients des deux.

Et si la charte encadre des outils qui permettent un contrôle de l'activité des salariés, le CSE doit être informé et consulté avant la mise en œuvre, en application de l'article L. 2312-38.

La formation n'est pas une option

L'article 4 du règlement européen sur l'intelligence artificielle impose depuis le 2 février 2025 aux fournisseurs comme aux déployeurs de prendre des mesures en faveur de la maîtrise de l'IA par leur personnel, en tenant compte de son niveau technique, de son expérience et du contexte d'utilisation. Le paquet de simplification de juillet 2026 en a assoupli la formulation, et a précisé que l'obligation n'impose pas de garantir un niveau donné pour chaque individu.

L'obligation demeure, et elle est le prolongement naturel de la charte : un document que personne n'a expliqué ne produit pas de comportement. Une session courte, par métier, sur ce qui est permis et pourquoi, vaut mieux qu'une charte signée sans être lue.

Quand l'incident a déjà eu lieu

Un salarié vient vous dire qu'il a envoyé un document confidentiel à une intelligence artificielle : un contrat, un fichier client, une présentation interne. Le premier réflexe n'est pas de le sanctionner, c'est de comprendre.

• Que contenait exactement le document, et quel outil a été utilisé
• Avec quel type de compte, et ce que le fournisseur prévoit sur l'utilisation et la conservation des données
• Si des données personnelles ou des informations protégées figuraient dans ce qui a été transmis
• Et seulement ensuite : le risque réel, et les mesures à prendre, violation de données comprise si des données personnelles sont concernées

Ne vous contentez pas de lui demander de supprimer la conversation en pensant que l'affaire est close : elle ne l'est pas. Et retenez surtout d'où vient l'incident. Si vos salariés utilisent l'IA tous les jours sans que personne ne leur ait jamais dit quels documents ils peuvent lui confier, ce genre de situation finit toujours par arriver.