Modèle de charte d'usage de l'IA générative pour PME, article par article

Dans la plupart des PME, l'IA générative est déjà là. Un commercial reformule ses mails avec ChatGPT, une assistante résume des comptes rendus, un technicien demande à un outil gratuit d'expliquer une notice. Selon une étude Salesforce citée par le Journal du Net en juillet 2026, 58 % des salariés français qui utilisent l'IA générative au travail le font sans cadre défini par leur employeur.

Le risque n'est pas l'outil lui-même. C'est le fichier clients collé dans un service grand public, le contrat confidentiel envoyé pour « résumer », la réponse inventée envoyée telle quelle à un client. Une charte d'usage sert à poser des règles simples sur ce qui se fait déjà, plutôt qu'à l'interdire en vain. La CNIL recommande d'ailleurs d'encadrer ces usages par des « politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ».

Ce modèle a été écrit pour une PME qui utilise des outils d'IA sans en développer : il ne remplace pas un avis juridique, mais il couvre l'essentiel en deux à trois pages.

Le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689, dit AI Act) distingue les fournisseurs, qui développent un système d'IA, et les déployeurs, qui l'utilisent sous leur propre autorité dans un cadre professionnel. Une PME qui utilise ChatGPT, Copilot ou un agent installé par un prestataire est un déployeur.

Pour un déployeur qui n'utilise pas d'IA à haut risque, l'obligation centrale est l'article 4, sur la maîtrise de l'IA. Il s'applique depuis le 2 février 2025. Depuis l'omnibus IA entré en vigueur en juillet 2026, la Commission européenne le résume ainsi : les fournisseurs et les déployeurs prennent des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel, sans qu'un niveau précis soit imposé. La Commission précise qu'aucun certificat n'est exigé, qu'aucun format imposé n'est prévu, et qu'une entreprise peut garder une trace interne des actions menées. Le contrôle relève des autorités nationales depuis le 2 août 2026, avec des sanctions qui doivent rester proportionnées au cas.

Une charte n'est donc pas exigée en tant que telle par l'AI Act. C'est en revanche un moyen simple et daté de montrer que vous avez pris des mesures : des règles écrites, un référent, un inventaire des outils, des temps d'échange avec les équipes. Les obligations lourdes visent les systèmes à haut risque (recrutement, notation de crédit, biométrie…), reportées au 2 décembre 2027 et au 2 août 2028 selon le cadre réglementaire publié par la Commission. Si vous utilisez l'IA pour trier des candidatures, demandez un avis juridique.

Enfin, l'AI Act ne remplace pas le RGPD. La CNIL le rappelle : un déployeur qui traite des données personnelles est le plus souvent responsable de traitement au sens du RGPD. C'est pourquoi l'article 3 du modèle porte sur les données.

Le texte de chaque article figure en liste, prêt à recopier. Les passages entre crochets sont à remplacer par vos informations. Supprimez ce qui ne vous concerne pas : une charte courte et lue vaut mieux qu'une charte complète et ignorée.

Cet article dit à quoi sert la charte et à qui elle s'applique. Incluez les intérimaires, les stagiaires et les prestataires qui travaillent sur vos dossiers : la Commission européenne range dans la maîtrise de l'IA les personnes qui agissent sous votre responsabilité, pas seulement vos salariés.

La règle la plus efficace est une liste courte d'outils autorisés, plutôt qu'une liste d'interdits qui sera toujours en retard. Distinguez les outils souscrits par l'entreprise (comptes professionnels, contrat signé, réglages de confidentialité maîtrisés) et les outils grand public utilisés avec un compte personnel. Si vos équipes ont besoin d'interroger vos documents internes, un assistant interne qui répond à partir de vos documents peut remplacer les copier-coller dans un outil grand public.

C'est l'article le plus important. La CNIL demande de « ne jamais partager d'informations confidentielles telles que des données personnelles » avec un service grand public, et de ne soumettre que des informations que l'on est autorisé à partager. La raison est simple : selon les conditions du service, ce que vous saisissez peut être conservé, consulté ou réutilisé par le fournisseur.

Un outil d'IA générative peut produire un texte faux avec assurance. La CNIL conseille de « ne jamais reproduire telles quelles les sorties de ces systèmes » et de vérifier qu'elles sont exactes. C'est la règle que nous appliquons aussi à nos propres agents : l'agent prépare, une personne valide.

La transparence a deux faces. Vis-à-vis de l'extérieur, l'AI Act prévoit que les hypertrucages (deepfakes) et les textes publiés pour informer le public sur des questions d'intérêt public soient signalés comme générés ou modifiés par l'IA, avec des exceptions prévues par le texte, notamment quand un humain a relu et assume la responsabilité éditoriale. En interne, la transparence permet surtout au référent de savoir ce qui se fait.

Les contenus produits par l'IA peuvent reprendre des éléments protégés, et ce que vous saisissez peut contenir des informations qui ne vous appartiennent pas. Cet article rappelle des réflexes de prudence ; pour un enjeu important (logo, slogan, contenu publié à grande échelle), un conseil en propriété intellectuelle est préférable.

Un compte d'IA professionnel contient l'historique de toutes les demandes faites : c'est un dossier sensible. Les règles de sécurité habituelles s'y appliquent, avec deux points propres à l'IA : les connexions à d'autres logiciels et les historiques partagés.

L'inventaire est le document vivant de la charte. Il dit quels outils sont utilisés, par qui, pour quoi, avec quelles données. Il sert aussi de trace des mesures prises au titre de la maîtrise de l'IA, ce que la Commission européenne admet sous la forme d'un registre interne.

Dans une PME, le référent n'est pas un poste mais un rôle : souvent le dirigeant, un responsable administratif ou la personne la plus à l'aise avec ces outils. L'important est qu'un nom soit écrit et que chacun sache à qui s'adresser.

Une charte écrite en 2026 pour des outils qui changent tous les trois mois doit prévoir sa propre mise à jour. Une revue annuelle suffit, plus une revue à chaque changement important : nouvel outil souscrit, nouvel agent installé, incident.

Une charte qui dort dans un dossier partagé ne protège personne. Trois habitudes suffisent dans une PME. D'abord, un exemple par mois : le référent partage un usage réussi et un piège évité, tirés de votre activité. Ensuite, un passage en revue de l'inventaire chaque trimestre, car les logiciels que vous payez déjà ajoutent des fonctions d'IA sans vous demander votre avis. Enfin, un atelier d'une demi-journée sur vos vrais dossiers, plus utile qu'un discours général sur l'IA.

Si vous préférez être accompagné, nous construisons la charte et l'inventaire avec vous dans le cadre du diagnostic IA, ou séparément avec notre offre charte IA entreprise et inventaire des outils. Les ateliers d'équipe sur vos vrais dossiers prennent le relais pour que chacun sache appliquer les règles. Nous ne sommes pas juristes : pour un avis juridique engageant, nous vous orientons vers un professionnel du droit.