Charte IA en entreprise : comment la rédiger (méthode et modèle de plan)

Une charte IA en entreprise est le document interne qui dit quels outils d’IA vos équipes peuvent utiliser, avec quelles données, pour quels usages, et à qui poser la question. Aucun texte ne l’exige sous ce nom, mais la CNIL la recommande et elle aide à tenir des obligations bien réelles : l’AI Act, le RGPD et, pour la partie disciplinaire, le droit du travail. Voici la méthode, du premier atelier à la mise à jour. À jour au 17 octobre 2026.

Elle naît souvent d’une découverte. En décembre 2025, la DGSI relate dans son Flash ingérence économique n° 117 un cas anonymisé : dans une multinationale française, des salariés faisaient régulièrement traduire des documents confidentiels par un outil d’IA grand public étranger, sans l’aval de leur hiérarchie. L’entreprise a orienté les équipes vers un outil payant qu’elle avait acheté, et monté un groupe de travail pour définir des règles d’usage : le début d’une charte.

L’essentiel

• Aucun texte n’impose une « charte IA », mais la CNIL la recommande, et elle aide à tenir l’article 4 de l’AI Act et le RGPD.
• Dans une entreprise d’au moins 50 salariés, le CSE peut intervenir de deux façons distinctes : la procédure du règlement intérieur, et la consultation sur les nouvelles technologies.
• Une bonne charte tient en 2 à 4 pages : outils, données, usages, vérification, formation, gouvernance, révision.
• Elle ne suffit pas seule : il faut l’expliquer, former, et la remettre à jour.

Qu’est-ce qu’une charte IA en entreprise ?

C’est un document court et lisible qui répond à quatre questions : quels outils, pour quelles données, faut-il dire qu’on a utilisé l’IA, et à qui s’adresser en cas de doute. Elle concerne toutes les personnes qui travaillent pour l’entreprise, pas seulement les équipes techniques.

La CNIL parle de « politiques ou chartes internes », l’État de « guide d’usage ». La charte informatique encadre l’usage des ressources informatiques en général ; la charte IA traite des outils d’IA, des données saisies dans les prompts, de la vérification des résultats et de la transparence.

Elle peut être un document autonome, une annexe du règlement intérieur ou un chapitre de la charte informatique. Aucune loi ne la définit : sa forme, et surtout son contenu, décident de la procédure à suivre.

Pourquoi rédiger une charte IA maintenant ?

Parce que l’usage est déjà là, que les incidents viennent de personnes pressées plus que malveillantes, et que la CNIL, l’ANSSI et l’AI Act (le règlement européen sur l’IA) attendent un encadrement.

L’IA est déjà utilisée, avec ou sans cadre

Trois enquêtes récentes, aux populations différentes, qui ne se comparent pas entre elles :

• Kantar pour Master the Monster (étude commanditée, relayée en juin 2026 par The Media Leader FR) : 46 % des actifs français utilisent au travail des outils d’IA qu’ils ont choisis eux-mêmes, en dehors de tout cadre fourni par leur employeur.
• OpinionWay pour Cegid (500 salariés de bureau en France, enquête en ligne de mai-juin 2026, communiqué de l’éditeur) : 67 % des salariés qui utilisent l’IA déclarent recourir à des outils que leur entreprise ne fournit pas ; 63 % des salariés interrogés déclarent que leur entreprise n’a mis en place aucune formation aux outils d’IA.
• YouGov pour Microsoft France (657 cadres et dirigeants du secteur privé, janvier 2026, étude publiée par Microsoft) : 61 % des utilisateurs de l’IA en entreprise passent par des comptes personnels pour des IA génératives, au moins chaque semaine.

Côté entreprises, selon l’Insee, 18 % de celles de 10 salariés ou plus (secteurs marchands hors agriculture et finance) déclaraient utiliser l’IA en 2025, contre 10 % en 2024.

Les incidents viennent de personnes qui veulent aller plus vite

Au printemps 2023, peu après l’autorisation de ChatGPT dans la division semi-conducteurs de Samsung, des ingénieurs y ont collé du code source pour corriger une erreur, et le contenu d’une réunion enregistrée pour en tirer un compte rendu, selon la presse coréenne relayée par Gigazine. Le 2 mai 2023, Samsung confirmait une note interdisant temporairement les outils d’IA générative. C’est une perte de maîtrise des données : leur passage à des tiers n’est pas établi. Les règles sont venues après.

Ce que demandent la CNIL, l’ANSSI, le RGPD et l’AI Act

Une charte relève de la recommandation, et elle aide à tenir des obligations légales.

L’article 4 a été réécrit par le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA, publié au Journal officiel de l’UE le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026. Fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte », en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d’usage. L’obligation ne les contraint pas « à garantir un niveau spécifique de maîtrise de l’IA par un individu ».

Selon les questions-réponses de la Commission européenne sur l’article 4, mises à jour le 27 juillet 2026, aucun certificat n’est nécessaire : l’organisation peut tenir un registre interne de ses formations ou autres actions. Une entreprise dont les salariés utilisent ChatGPT pour traduire ou rédiger est dans le champ. Les autorités nationales de surveillance du marché contrôlent depuis août 2026 ; les sanctions dépendent du droit national.

Qui rédige la charte IA, et avec qui ?

Un petit groupe porté par la direction. La CNIL conseille d’impliquer dès le début le DPO (délégué à la protection des données), le responsable des systèmes d’information, le RSSI et les responsables métiers.

Quand le CSE intervient (entreprises d’au moins 50 salariés)

Deux déclencheurs distincts, qui peuvent s’appliquer à la même charte.

Premier déclencheur : le règlement intérieur. Il est obligatoire dans les entreprises ou établissements d’au moins 50 salariés, douze mois après le franchissement du seuil (article L. 1311-2), et fixe les règles générales et permanentes de discipline (article L. 1321-1). Selon l’article L. 1321-5, les notes de service et autres documents qui comportent de telles obligations sont, lorsqu’il existe un règlement intérieur, considérés comme des adjonctions à celui-ci. Si votre charte pose des obligations sanctionnables, suivez donc la procédure de l’article L. 1321-4 :

• avis du CSE avant l’introduction du texte ;
• publicité auprès des personnes concernées ;
• en même temps, communication à l’inspection du travail, avec l’avis du CSE ;
• entrée en vigueur un mois au moins après les formalités de publicité.

Selon la fiche du ministère du Travail sur le règlement intérieur, le dépôt au greffe du conseil de prud’hommes n’est plus exigé depuis le 28 mai 2026 (loi n° 2026-403 du 26 mai 2026), même si l’article R. 1321-2 figure encore dans le code, en attendant sa refonte ou son abrogation. L’enjeu est concret : selon la Cour de cassation (9 mai 2012), l’employeur qui ne peut justifier de ces diligences ne peut pas reprocher à un salarié un manquement au règlement ou à une note de service.

Second déclencheur : l’introduction de nouvelles technologies. Selon l’article L. 2312-8, le CSE est informé et consulté sur l’introduction de nouvelles technologies. La cour d’appel de Paris l’a appliqué le 21 mai 2026, en appel d’une ordonnance de référé (une procédure rapide, qui ne tranche pas le fond). Un groupe de presse avait déployé un assistant de rédaction interne, puis autorisé l’usage de ChatGPT en l’encadrant par une charte des outils numériques, sans consulter le CSE. La cour a confirmé la suspension : autoriser l’outil et en encadrer l’usage par une charte, c’est décider d’introduire une nouvelle technologie, même si des salariés s’en servaient déjà d’eux-mêmes. Nous n’avons pas pu lire la décision et nous appuyons sur les commentaires d’avocats (Village de la Justice, Schmitt Avocats). La charte peut donc être elle-même l’acte qui déclenche la consultation.

Pour trancher :

• Obligations sanctionnables : procédure du règlement intérieur.
• Autorisation ou déploiement d’outils qui changent la façon de travailler : information-consultation sur les nouvelles technologies.
• Journalisation ou contrôle de l’usage : consultation préalable du CSE (article L. 2312-38) et information des personnes concernées (article L. 1222-4).
• Simple rappel de règles existantes : pas d’adjonction au règlement intérieur, mais les équipes doivent en être informées.
• Moins de 50 salariés : pas de règlement intérieur obligatoire. L’opposabilité de la charte et la possibilité de sanctionner sont à vérifier avec un avocat.

Dans tous les cas, faites valider la démarche par un avocat en droit social.

Des chartes publiques pour s’inspirer

• Le Guide d’usage de l’IA pour les agents publics de l’État (DINUM, DITP, DGAFP, juin 2026, version diffusée par un syndicat) : cinq principes, et l’idée d’associer les représentants du personnel aux règles d’usage.
• La charte du Conseil d’État (17 décembre 2025) : sept principes.
• La charte de l’Ille-et-Vilaine (2025), rédigée par 24 agents volontaires.
• Le modèle du centre de gestion des Côtes-d’Armor (2025), soumis au comité social territorial avant publication.

Le plan type d’une charte IA (à copier)

Une charte IA utile tient en douze rubriques, sur 2 à 4 pages, plus une page de synthèse. Rédigez-la en français (article L. 1321-6), datez-la et numérotez ses versions. Chaque rubrique a une clause d’exemple, à adapter.

1. Objet et champ d’application. Qui (salariés, stagiaires, prestataires) et quels outils (chatbots, assistants intégrés, extensions, prise de notes). « La charte s’applique à toute personne qui utilise un outil d’IA pour l’entreprise, y compris les fonctions d’IA des logiciels. »
2. Principes. Deux ou trois idées simples. « L’IA vous assiste, vous restez responsable de ce que vous produisez. »
3. Outils autorisés. Trois niveaux (autorisé, sous conditions, interdit), par outil et par compte ou abonnement, pas par marque : c’est le contrat qui change tout. Cybermalveillance.gouv.fr conseille d’utiliser exclusivement le service d’IA souscrit par l’employeur. « Outil X avec votre compte professionnel : autorisé. Compte personnel, même payant : non. »
4. Données. Ce qui n’entre jamais dans un outil grand public : données personnelles de tiers, secrets, chiffres non publiés, code, identifiants. « Pourriez-vous publier ce texte sur notre site ? Si non, il ne va pas dans un outil grand public. »
5. Usages interdits ou encadrés. Par exemple la reconnaissance des émotions sur le lieu de travail, interdite par l’article 5 de l’AI Act depuis le 2 février 2025 (sauf raisons médicales ou de sécurité). « Aucune décision concernant une personne n’est prise sur la seule base d’un résultat d’IA. »
6. Vérification et responsabilité. La CNIL recommande de ne jamais reproduire les sorties telles quelles. « Vérifiez les faits et les sources avant d’utiliser un résultat. »
7. Transparence. L’article 50 de l’AI Act, applicable depuis le 2 août 2026, vise surtout les deepfakes et les textes générés par IA publiés pour informer le public sur des sujets d’intérêt public : le reste est un choix de l’entreprise. « Pour un document destiné à l’extérieur, indiquez à votre responsable que l’IA a été utilisée. »
8. Propriété intellectuelle et confidentialité client. « Les informations d’un client ne sont saisies dans un outil d’IA que si le contrat le permet. »
9. Formation et accompagnement. Qui forme, quand, et comment on en garde la trace (article 4). « Toute personne qui utilise un outil autorisé suit la formation prévue pour son rôle. »
10. Gouvernance. Un point de contact nommé, la marche à suivre pour demander un outil et signaler un incident. Le RGPD impose de notifier certaines violations de données à la CNIL dans les 72 heures (article 33), parfois aussi aux personnes concernées (article 34). « Une fuite possible se signale tout de suite à [contact] : ne cherchez pas à réparer seul. »
11. Contrôles et sanctions. Seulement si la procédure du règlement intérieur est suivie, avec des sanctions proportionnées. « Le non-respect de la charte peut donner lieu aux sanctions prévues par le règlement intérieur. »
12. Révision. « Version 1.0 du [date]. Responsable : [nom]. Revue au moins une fois par an et à chaque changement d’outil majeur. »

Comment déployer une charte IA ?

En sept étapes, la rédaction n’étant que la troisième.

1. Inventorier les usages réels. Interrogez les équipes : la CNIL conseille de partir d’un besoin concret.
2. Choisir et contractualiser les outils. Comptes professionnels, contrat de sous-traitance si des données personnelles sont en jeu, réglages de confidentialité.
3. Rédiger court, à partir du plan ci-dessus.
4. Consulter le CSE dans les cas décrits plus haut.
5. Diffuser. Intranet, présentation par les managers, accueil des nouveaux arrivants. Un accusé de réception aide à prouver l’information, mais ne remplace pas la procédure du règlement intérieur quand elle s’applique.
6. Former, par rôle et en petits formats.
7. Ouvrir un canal de questions, pour que les doutes remontent avant les incidents.

Pourquoi l’envoyer par mail ne suffit pas

Selon la Commission européenne, s’en remettre aux notices d’utilisation ou demander au personnel de les lire « pourrait être inefficace » (traduction libre de « might be ineffective »). La CNIL recommande de former les utilisateurs de façon adaptée et de mener des contrôles réguliers.

C’est le rôle de Tokko : des cours de 5 minutes sous forme de conversation, sur le web et dans Slack, avec le programme Essentiels et les thèmes du catalogue. Vous pouvez d’abord jouer un cours de 5 minutes, sans inscription. Le rapport de formation de l’article 4, exportable en PDF ou en CSV, documente qui a été formé et quand : de quoi tenir le registre interne que la Commission suggère, sans l’imposer.

Comment faire vivre la charte IA ?

En la révisant à date fixe et à chaque changement qui touche aux outils, aux contrats ou à la loi.

• Un nouvel outil ou un changement d’abonnement.
• Une fonction d’IA ajoutée à un logiciel déjà utilisé : en février 2026, le Parlement européen a désactivé par précaution les fonctions d’IA intégrées aux appareils de travail des députés (d’après la base d’incidents de l’OCDE).
• Un changement de loi : le Digital Omnibus de juillet 2026 a réécrit l’article 4 de l’AI Act.
• Un incident.

Suivez quelques indicateurs : demandes de nouveaux outils, questions au point de contact, formations suivies, incidents. L’ANSSI recommande aussi une revue régulière des droits des outils d’IA sur les applications métier (R35). Pour suivre qui a suivi quoi, et relancer, il faut un outil de suivi.

Modifier des clauses disciplinaires, c’est refaire les étapes de l’article L. 1321-4 : regroupez les changements.

Par où commencer cette semaine ?

• Cette semaine : listez les outils d’IA réellement utilisés en interrogeant les équipes, et constituez le groupe de travail.
• Ce mois-ci : rédigez une première version à partir du plan type, puis vérifiez avec votre juriste si le CSE doit intervenir.
• Ensuite : prévoyez la formation avant la diffusion. Vous pouvez créer un compte gratuit (jusqu’à 5 personnes), ou parler à l’équipe si vous êtes plus nombreux.

À jour au 17 octobre 2026. Cet article est informatif et ne remplace pas un conseil juridique.

Questions fréquentes

Une charte IA est-elle obligatoire ?

Non, aucun texte n’impose un document appelé « charte IA ». Mais la CNIL la recommande, l’article 4 de l’AI Act oblige à prendre des mesures pour la maîtrise de l’IA du personnel, et le RGPD impose de sécuriser les données et de pouvoir le démontrer.

Faut-il consulter le CSE pour une charte IA ?

Dans une entreprise d’au moins 50 salariés, deux cas peuvent l’imposer. Une charte qui crée des obligations sanctionnables suit la procédure du règlement intérieur. Une charte qui autorise un outil comme ChatGPT peut aussi déclencher la consultation sur les nouvelles technologies, comme l’a jugé la cour d’appel de Paris en mai 2026. À valider avec un avocat en droit social.

Une charte IA est-elle opposable si les salariés l’ont signée ?

La signature n’est pas ce qui la rend opposable. Quand la charte complète le règlement intérieur, c’est le respect de la procédure de l’article L. 1321-4 qui compte : sans elle, l’employeur ne peut pas reprocher un manquement (Cour de cassation, 9 mai 2012). Un accusé de réception reste utile pour prouver l’information.

Faut-il une charte IA si l’on a déjà une charte informatique ?

Pas forcément un document séparé : un chapitre IA dans la charte informatique peut suffire. Mais si celle-ci est annexée au règlement intérieur, y ajouter des obligations revient à la modifier : avis du CSE, publicité, inspection du travail.

Une charte suffit-elle pour respecter l’AI Act ?

Non. L’article 4 demande des mesures adaptées aux rôles et aux usages. Pour la Commission européenne, faire lire des instructions peut ne pas suffire ; garder une trace des formations est utile, sans certificat obligatoire.