Charte d'utilisation de l'IA en entreprise : modèle pour PME (AI Act)
Pourquoi une charte IA, si elle n'est pas obligatoire ?
Dans une PME, l'IA arrive rarement par une décision de la direction. Elle arrive par un salarié qui ouvre ChatGPT pour reformuler un e-mail, un commercial qui fait résumer un appel d'offres, une assistante qui traduit un contrat. Personne n'a rien décidé, et pourtant l'entreprise est devenue « déployeur » au sens de l'AI Act (article 3, point 4) dès que l'outil sert à son activité professionnelle.
Ce statut entraîne une obligation déjà en vigueur : l'article 4 demande aux déployeurs de prendre des mesures pour que les personnes qui utilisent l'IA pour leur compte en aient une compréhension suffisante. L'accord Digital Omnibus, validé par le Conseil de l'UE le 29 juin 2026, en a assoupli la formulation (il s'agit de soutenir cette montée en compétence plutôt que de garantir un niveau donné), mais la responsabilité reste celle de l'employeur.
Le texte ne dit pas comment s'y prendre. Une charte présente trois avantages concrets :
- Elle se prouve. Une charte datée, remise et expliquée, montre qu'une mesure a été prise. Une consigne orale ne laisse aucune trace.
- Elle traite les vrais risques d'une PME, qui sont rarement « haut risque » au sens du règlement : fuite de données clients, texte faux envoyé à un client, contenu publié sans mention.
- Elle coûte une heure. Un modèle complet figure plus bas ; il suffit de l'adapter.
Ce que l'AI Act exige vraiment d'une PME utilisatrice
Une PME qui utilise des outils d'IA du marché sans les développer est déployeur, pas fournisseur. Voici les obligations qui la concernent, avec leur date d'application :
| Obligation | Article | Depuis / à partir du | Ce que la charte doit couvrir |
|---|---|---|---|
| Littératie IA du personnel | Art. 4 | 2 février 2025 | Former, expliquer les limites des outils, désigner un référent |
| Pratiques interdites (dont la reconnaissance des émotions au travail) | Art. 5 | 2 février 2025 | Lister les usages exclus |
| Signaler les hypertrucages et certains textes publiés | Art. 50, § 4 | 2 août 2026 | Règle de mention « généré par IA » |
| Obligations du déployeur d'un système à haut risque (recrutement, crédit, éducation…) | Art. 26, annexe III | 2 décembre 2027 | Interdire ces usages sans validation préalable |
L'échéance du haut risque de l'annexe III était fixée au 2 août 2026 ; l'accord Digital Omnibus l'a reportée au 2 décembre 2027. Les articles 4, 5 et 50 n'ont pas été reportés. Détail dans notre calendrier de l'AI Act.
Les 8 rubriques d'une charte IA efficace
1. Le périmètre
À qui s'applique la charte (salariés, stagiaires, indépendants qui travaillent pour l'entreprise) et quels outils elle vise : assistants conversationnels, traduction, génération d'images, fonctions d'IA intégrées à la messagerie ou au CRM.
2. La liste des outils autorisés
Une liste courte, avec pour chacun le compte à utiliser. Le point clé : un compte professionnel géré par l'entreprise plutôt qu'un compte personnel gratuit, dont les conditions d'utilisation sur la réutilisation des données sont en général moins protectrices. Tout nouvel outil passe par le référent avant usage.
3. Les données qu'on ne saisit jamais
C'est la rubrique qui évite le plus de dégâts. Le RGPD reste pleinement applicable : minimisation des données (article 5), contrat avec le prestataire qui traite les données pour vous (article 28), sécurité (article 32). En pratique : pas de données de santé, pas de coordonnées bancaires, pas de mots de passe, pas de documents couverts par un accord de confidentialité, et des noms de clients remplacés par des initiales ou des rôles.
4. La relecture humaine obligatoire
Un outil d'IA générative peut produire un texte faux avec assurance. La charte pose une règle simple : rien de produit par l'IA ne part chez un client, un fournisseur ou une administration sans relecture par la personne qui l'envoie, et qui en reste responsable.
5. Les mentions de transparence
Depuis le 2 août 2026, l'article 50, paragraphe 4, impose au déployeur d'indiquer qu'une image, un son ou une vidéo réaliste a été généré ou manipulé par IA (hypertrucage), et de signaler un texte généré par IA publié pour informer le public sur des questions d'intérêt public, sauf s'il a fait l'objet d'une relecture humaine sous responsabilité éditoriale. Un e-mail commercial relu n'est pas concerné ; un visuel réaliste d'un faux client sur votre site l'est. Voir notre guide sur l'article 50.
6. Les usages interdits ou soumis à validation
Deux niveaux. Interdit : tout ce que l'article 5 prohibe depuis le 2 février 2025, notamment déduire les émotions d'un salarié ou d'un candidat sur le lieu de travail. Soumis à validation de la direction : tout usage qui touche une décision sur une personne (trier des CV, évaluer un salarié, accorder un crédit), car ces cas relèvent du haut risque de l'annexe III. Notre guide AI Act et recrutement par IA détaille le cas des RH.
7. Le référent et la formation
Une personne nommée, même à temps très partiel, qui tient la liste des outils, répond aux questions et organise une courte sensibilisation à l'arrivée de chaque salarié puis une fois par an. C'est cette sensibilisation, datée et tracée, qui documente l'article 4.
8. Les incidents
Que faire si quelqu'un a saisi une donnée sensible ou envoyé un texte erroné : prévenir le référent le jour même, sans sanction automatique. Une charte qui punit toute erreur pousse à les cacher. Si des données personnelles ont fuité, la procédure de violation de données du RGPD s'applique (article 33).
Votre usage de l'IA est-il à risque limité ou à haut risque ?
Le diagnostic gratuit (2 minutes, sans inscription) vous dit si l'AI Act s'applique à vous et à quel niveau, avant de rédiger votre charte.
Modèle de charte IA à copier (version courte)
Le modèle ci-dessous tient sur une page. Remplacez les éléments entre crochets.
Comment la déployer en une semaine
- Jour 1 : faire l'inventaire des outils d'IA réellement utilisés (posez la question à l'équipe, la réponse surprend souvent).
- Jour 2 : adapter le modèle ci-dessus et nommer le référent.
- Jour 3 : en France, si l'entreprise a un comité social et économique (CSE) dans une entreprise d'au moins 50 salariés, l'introduction de nouvelles technologies relève de son information et de sa consultation (Code du travail, article L2312-8) : prévoyez-le avant la diffusion.
- Jour 4 : présenter la charte en 30 minutes à l'équipe, avec deux exemples concrets de ce qu'il ne faut pas faire.
- Jour 5 : faire signer ou accuser réception, et conserver la liste datée des participants. C'est votre trace au titre de l'article 4.
Les erreurs fréquentes
- Interdire l'IA en bloc. Les salariés l'utilisent alors sur leur téléphone, avec un compte personnel, sans aucune règle. C'est le pire scénario pour vos données.
- Copier une charte de grand groupe. Vingt pages que personne ne lit ne documentent rien. Une page lue vaut mieux.
- Oublier les fonctions d'IA intégrées. La rédaction assistée de votre messagerie ou le résumé automatique de votre visioconférence sont aussi des systèmes d'IA.
- Écrire une date fausse. Beaucoup de modèles en ligne annoncent encore le 2 août 2026 comme échéance du haut risque. Elle est au 2 décembre 2027 depuis l'accord Omnibus.
Verdict : une page, une réunion, une trace
Pour une PME qui utilise ChatGPT, Copilot ou un traducteur automatique, la charte IA est la mesure la plus rentable : une heure de rédaction, une réunion de trente minutes, et vous documentez l'obligation de littératie de l'article 4 tout en fermant les vraies fuites (données clients, textes non relus, visuels non signalés). Rien n'est urgent au point de paniquer ; prenez de l'avance tant que les usages sont encore simples à recenser.
Questions fréquentes
Une charte IA est-elle obligatoire pour une PME ?
Non, aucun texte n'impose une charte en tant que telle. Mais l'article 4 de l'AI Act oblige depuis le 2 février 2025 toute entreprise qui utilise l'IA à prendre des mesures pour que son personnel en ait une compréhension suffisante. Une charte expliquée à l'équipe et datée est le moyen le plus simple de le documenter.
Que doit contenir une charte d'utilisation de l'IA ?
Le périmètre, la liste des outils autorisés, les données à ne jamais saisir, la relecture humaine obligatoire, les mentions de transparence de l'article 50, les usages interdits ou soumis à validation, le référent IA et la formation, et la conduite à tenir en cas d'incident.
Les salariés peuvent-ils utiliser ChatGPT avec un compte personnel ?
C'est déconseillé. Un compte professionnel géré par l'entreprise permet de contrôler les conditions de traitement des données et de conclure le contrat de sous-traitance exigé par l'article 28 du RGPD. La charte doit désigner les comptes à utiliser.
Faut-il signaler qu'un texte a été écrit avec l'IA ?
Pas systématiquement. Depuis le 2 août 2026, l'article 50, paragraphe 4, impose de signaler les hypertrucages (image, son ou vidéo réalistes générés ou manipulés) et les textes générés par IA publiés pour informer le public sur des questions d'intérêt public, sauf relecture humaine sous responsabilité éditoriale. Un e-mail commercial relu n'est pas concerné.
La charte IA doit-elle être présentée au CSE ?
En France, dans les entreprises d'au moins 50 salariés, le comité social et économique est informé et consulté sur l'introduction de nouvelles technologies (Code du travail, article L2312-8). Le déploiement d'outils d'IA et de leur charte d'usage relève en principe de cette consultation.
Passez de la charte à la conformité complète
Le diagnostic gratuit qualifie votre niveau de risque. Le kit complète la charte : registre d'inventaire des outils d'IA, modèles de notices de transparence et attestation de formation « littératie IA ».
Sources : Règlement (UE) 2024/1689 (AI Act), article 3 (point 4), articles 4, 5, 26, 50 et 113, annexe III, consultés le 15 octobre 2026 ; Gibson Dunn, analyse de l'accord Digital Omnibus (report de l'annexe III au 2 décembre 2027, article 50 non reporté, article 4 reformulé) ; accord Digital Omnibus, feu vert du Conseil de l'UE du 29 juin 2026 ; RGPD, articles 5, 28, 32 et 33 ; Code du travail, article L2312-8 (Légifrance).