Charte d'usage de l'IA en entreprise : le modèle à adapter

Charte d'usage de l'IA en entreprise : le modèle à adapter

Dans la plupart des entreprises, l'IA générative est arrivée avant les règles. Des collaborateurs s'en servent tous les jours, souvent avec des comptes ouverts à titre personnel, et personne n'a jamais écrit ce qui est permis. Quand la direction s'en aperçoit, sa première réaction est presque toujours la même : interdire.

C'est la seule décision qui ne fonctionne pas. Un outil accessible depuis un navigateur, gratuit, et qui fait gagner du temps sur des tâches pénibles ne s'interdit pas : il se déplace. L'usage continue, hors de vue, dans l'environnement le moins protégé qui soit.

Une charte d'usage sert exactement à ça : rendre l'usage visible et le cadrer, plutôt que de le pousser dans l'ombre. Voici ce qu'elle doit contenir, ce qu'elle ne doit jamais contenir, et un modèle à reprendre tel quel.

Une interdiction déplace l'usage, une charte le rend gouvernable

Le raisonnement qui mène à l'interdiction est compréhensible : on ne sait pas ce qui sort, donc on ferme. Le problème est que l'on ne ferme rien du tout.

Ce qu'on obtient, c'est un usage qui se poursuit sur des comptes personnels, hors du contrat d'entreprise, hors des paramètres de confidentialité qu'un compte professionnel apporte, et sans aucune trace. Une interdiction non contrôlable ne réduit pas le risque, elle le rend invisible, ce qui est strictement pire : on ne peut plus ni le mesurer ni le corriger.

Une charte fait l'inverse. Elle dit ce qui est autorisé, avec quels outils, sur quelles données, et avec quelles vérifications. Elle donne aux collaborateurs une réponse à la question qu'ils se posent réellement, « est-ce que j'ai le droit de mettre ça là-dedans ? », au lieu de les laisser trancher seuls, projet par projet.

Un mot de prudence avant d'aller plus loin : une charte n'est pas une mise en conformité. Elle est l'une des pièces qui documentent votre démarche au titre de l'article 4 de l'AI Act, aux côtés de l'inventaire de vos usages et de la trace de vos actions de formation. Elle ne les remplace pas, et à elle seule elle ne prouve pas grand-chose.

Les six sections qui doivent y figurer

Une charte utile tient en trois ou quatre pages. Au-delà, elle n'est plus lue, et une charte non lue ne produit aucun effet.

Le périmètre. Quels outils sont concernés, quels usages professionnels, et qui est visé : salariés, alternants, prestataires, intérimaires. C'est la section la plus courte et la plus souvent bâclée : une charte qui ne dit pas si elle s'applique aux prestataires laisse ouverte la question la plus sensible.

Les outils mis à disposition. Lesquels l'entreprise fournit, comment on y accède, et à qui s'adresser pour obtenir un compte. Cette section est le cœur du dispositif : sans compte professionnel disponible, tout le reste de la charte est théorique.

Les données. Ce qui peut être confié à un outil d'IA et ce qui ne doit pas en sortir. C'est le point dur, on y revient plus bas.

La vérification. Ce qui doit être relu avant d'être utilisé, et par qui. Une réponse produite par une IA est plausible avant d'être exacte : la charte doit dire explicitement qui porte la responsabilité de ce qui sort, et la réponse est toujours la personne qui l'utilise.

La transparence. Dans quels cas il faut signaler qu'un contenu a été produit avec l'aide d'une IA : vis-à-vis d'un client, dans un livrable, dans une communication externe. Les pratiques varient énormément d'une entreprise à l'autre, et l'absence de règle crée des situations gênantes.

Le fonctionnement. À qui poser une question, comment signaler un incident, et à quelle fréquence la charte est revue. Sans cette section, le document meurt le jour de sa diffusion.

Ce qui ne doit jamais y figurer : les interdictions que personne ne peut contrôler

C'est l'erreur la plus fréquente, et elle vide la charte de son autorité.

Une règle qu'aucun dispositif ne permet de vérifier n'est pas une règle, c'est un vœu. « Il est interdit de saisir des informations confidentielles dans un outil d'IA » n'apprend rien à personne : le collaborateur ne sait pas où passe la limite, et l'entreprise n'a aucun moyen de savoir si elle a été franchie. Le résultat est une charte que tout le monde signe et que personne n'applique, et, le jour où un incident survient, un document qui ne protège personne.

Trois formulations à éviter, parce qu'elles reviennent presque à chaque fois :

Les listes d'outils interdits, qui sont périmées en trois mois et qui déplacent la conversation sur les noms de produits plutôt que sur les usages. Les interdictions absolues sans alternative, qui poussent l'usage vers les comptes personnels. Et les sanctions disproportionnées annoncées en tête de document, qui transforment un cadre en menace et dissuadent exactement ce qu'on cherche à obtenir : que les collaborateurs signalent leurs usages.

La bonne façon de formuler une règle est de la rendre décidable par la personne qui la lit, seule, en trois secondes.

Le point dur : ce qui peut sortir de l'entreprise

C'est la section que tout le monde attend et que presque personne n'écrit correctement.

L'approche par liste exhaustive ne tient pas : il est impossible d'énumérer tous les types de documents qu'une entreprise manipule. L'approche qui fonctionne est une classification simple, en trois niveaux, que chacun peut appliquer sans arbitrage.

Ce qui circule librement : les documents déjà publics, les contenus internes sans caractère sensible, les brouillons ne contenant ni nom, ni chiffre confidentiel, ni élément identifiant.

Ce qui circule après retrait des éléments identifiants : un compte rendu dont on a retiré les noms, un tableau dont on a neutralisé les valeurs, une trame de contrat vidée de ses parties. C'est le cas le plus fréquent en pratique, et c'est celui qu'il faut expliquer avec un exemple concret plutôt qu'avec une définition.

Ce qui ne sort jamais : données personnelles de clients ou de salariés, éléments couverts par un accord de confidentialité, informations financières non publiées, données de santé, identifiants et secrets techniques.

Deux précisions rendent cette section applicable. La première : la règle dépend de l'outil, pas seulement de la donnée : un compte professionnel avec engagement contractuel de non-réutilisation des données n'ouvre pas les mêmes possibilités qu'un compte gratuit. La seconde : en cas de doute, la charte doit nommer quelqu'un à qui poser la question. Un doute sans destinataire se résout toujours dans le sens de l'usage.

Qui l'écrit, qui la valide, qui la fait vivre

Une charte écrite par une seule fonction échoue de façon prévisible.

Rédigée par la seule direction des systèmes d'information, elle interdit trop et ignore les usages métier réels. Rédigée par les seules ressources humaines, elle reste au niveau des principes et ne dit rien d'utilisable. Rédigée par un cabinet extérieur sans atelier interne, elle est juridiquement irréprochable et sans effet, parce qu'elle ne parle d'aucune tâche que quelqu'un reconnaît.

Ce qui fonctionne : un petit groupe qui réunit un représentant métier par service concerné, la DSI, les RH, et un porteur côté direction. Deux ateliers suffisent : un pour cartographier les usages réels, un pour trancher les règles. La direction valide et diffuse, en disant elle-même pourquoi le document existe.

C'est ce que nous faisons dans nos ateliers direction, trois heures et demie avec le comité de direction, dont une séquence entière consacrée à la politique d'usage et à la gouvernance de l'IA. Le reste de la matinée traite ce qui la rend applicable : le choix des solutions, les risques de sécurité et de conformité, et la priorisation des cas d'usage.

Deux points de procédure à ne pas manquer. Si votre entreprise compte au moins cinquante salariés et que la charte accompagne le déploiement d'un outil d'IA, la question de la consultation du comité social et économique se pose : nous l'avons traitée dans notre article sur les deux obligations qui se cumulent. Et la diffusion doit laisser une trace : c'est elle qui compte dans un dossier de preuves, pas l'existence du document.

Enfin, une charte se revoit. Une fois par an au minimum, et à chaque déploiement d'un nouvel outil. Une charte qui date de dix-huit mois dans une entreprise dont les usages ont doublé décrit une autre entreprise que la vôtre.

Le modèle, à copier et à adapter

Aucun formulaire, aucune adresse email à laisser. Le texte ci-dessous est un point de départ à reprendre et à modifier. Ce n'est pas un document juridique opposable, et il doit être relu par le conseil de votre entreprise avant diffusion.

CHARTE D'USAGE DE L'INTELLIGENCE ARTIFICIELLE · [Nom de l'entreprise]

Version [n°] · [date] · Revue prévue : [date]

1. Objet et périmètre

La présente charte définit les conditions d'utilisation des outils d'intelligence artificielle générative dans le cadre de l'activité professionnelle de [entreprise]. Elle s'applique à [salariés / alternants / stagiaires / prestataires / intérimaires] et couvre l'ensemble des usages professionnels, quel que soit l'appareil utilisé.

2. Outils mis à disposition

[Entreprise] met à disposition les outils suivants : [liste]. L'accès s'obtient auprès de [service / personne]. L'utilisation d'outils non fournis par l'entreprise pour un usage professionnel est [autorisée sous conditions / soumise à validation] : [préciser].

3. Données

Peuvent être utilisées librement : les informations déjà publiques et les contenus internes non sensibles.

Peuvent être utilisées après retrait des éléments identifiants : [exemples propres à l'entreprise].

Ne doivent jamais être transmises : les données personnelles de clients, de salariés ou de candidats ; les informations couvertes par un accord de confidentialité ; les données financières non publiées ; les données de santé ; les identifiants, mots de passe et secrets techniques.

En cas de doute, la question se pose à [personne / service] avant toute transmission.

4. Vérification et responsabilité

Tout contenu produit avec l'aide d'un outil d'IA est vérifié avant utilisation par la personne qui le produit. Cette vérification porte notamment sur les chiffres, les références réglementaires ou normatives, les citations et les noms propres. La responsabilité du contenu diffusé demeure celle de son auteur.

5. Transparence

[À adapter] Les contenus destinés à un usage externe et produits avec l'aide d'un outil d'IA font l'objet d'une mention dans les cas suivants : [préciser]. Aucune mention n'est requise pour [préciser].

6. Fonctionnement et évolution

Les questions relatives à la présente charte sont adressées à [personne / service]. Tout incident (transmission involontaire d'une donnée sensible, résultat manifestement erroné utilisé) est signalé à [personne / service] sans délai et sans conséquence disciplinaire pour la personne qui le signale.

La charte est revue au minimum une fois par an, et à chaque déploiement d'un nouvel outil.

Diffusée le [date] par [canal]. Prise de connaissance : [modalité].

Ce que nous voyons en atelier

Trois choses reviennent presque systématiquement quand nous construisons une charte avec une entreprise.

La première : la découverte du parc réel. La cartographie des usages remonte toujours des outils que la direction ne savait pas utilisés, et le plus souvent sur des comptes personnels. Ce n'est pas de la mauvaise volonté : c'est l'absence d'alternative fournie.

La deuxième : la section « données » est celle qui prend le plus de temps, et le débat ne porte jamais sur les cas extrêmes. Personne ne discute des données de santé. Ce qui se discute pendant une heure, ce sont les cas intermédiaires : un compte rendu de réunion interne, un tableau de suivi commercial, un cahier des charges client.

La troisième : la clause de signalement sans conséquence disciplinaire est celle qui change le plus le comportement. Sans elle, un collaborateur qui a transmis un document sensible ne le dira jamais, et l'entreprise l'apprendra trop tard ou jamais.

C'est ce travail que nous menons en mission de conseil, avec les équipes concernées plutôt qu'à leur place. Il s'articule avec nos parcours de formation à l'IA, qui traitent la même question côté usages, et avec la mise en place d'assistants et d'agents configurés pour l'entreprise, qui rendent la charte beaucoup plus simple à appliquer puisqu'ils déplacent l'usage vers un environnement maîtrisé.

Vous voulez construire la vôtre avec vos équipes ? Parlons-en.