Charte IA en entreprise : RGPD et règlement européen
Ce qu'une charte d'usage de l'IA doit trancher, les textes qui s'appliquent déjà, et la grille qui dit quelles données peuvent sortir de l'entreprise.
Une charte IA dit quels outils sont autorisés, quelles données ont le droit d'y entrer, ce qui doit être relu par un humain avant de sortir, et qui répond en cas de problème. Elle s'appuie sur des textes déjà en vigueur : le RGPD, le règlement européen sur l'intelligence artificielle, le code du travail.
Dans la plupart des entreprises, l'usage de l'IA a commencé sans décision. Quelqu'un a collé un contrat client dans un assistant pour en avoir le résumé, quelqu'un d'autre a fait relire une lettre de licenciement, un troisième a demandé une analyse d'un fichier de prospects. Personne n'a rien signé, et rien n'était interdit.
Une charte remet une décision là où il n'y en avait pas. Elle tient en trois pages, et elle sert à dire à chacun ce qu'il a le droit de faire, pour qu'il arrête d'arbitrer seul.
Les textes qui s'appliquent déjà
Le RGPD, pour les données des personnes
Dès qu'une donnée permet d'identifier quelqu'un, un nom dans un compte rendu, une adresse dans un fichier, un CV, le règlement général sur la protection des données s'applique, quelle que soit l'interface utilisée. Il impose une base légale, une information des personnes concernées, une durée de conservation, et la minimisation : on n'envoie que ce qui est nécessaire à la tâche.
La CNIL détaille les points de conformité attendus dans IA : comment être en conformité avec le RGPD.
Le règlement européen sur l'IA, pour le système lui-même
Le règlement (UE) 2024/1689 encadre les systèmes d'intelligence artificielle selon leur risque. Son application a commencé le 2 février 2025, par des dispositions qui touchent directement une entreprise utilisatrice.
D'abord une liste de pratiques interdites. Parmi elles, la reconnaissance des émotions sur le lieu de travail, hors raisons médicales ou de sécurité. Un outil qui prétendrait mesurer l'engagement d'un candidat à sa voix ou à son visage est hors la loi, quel que soit son niveau de performance.
Ensuite l'obligation de maîtrise de l'IA, sur laquelle nous revenons plus bas.
Le code du travail, pour l'organisation
L'introduction d'une technologie nouvelle qui modifie l'organisation du travail, les conditions de travail ou les postes relève de l'information-consultation du comité social et économique. Un déploiement d'assistants à l'échelle d'un service entre dans ce cadre.
Le point se traite en amont, parce que repris après coup il transforme un outil utile en sujet de conflit.
La grille de décision : ce qui peut sortir, ce qui reste
C'est la partie de la charte que les équipes liront vraiment. Elle se construit par catégorie de données, avec une réponse par ligne.
| Catégorie | Exemple | Règle |
|---|---|---|
| Publique | Documentation, contenu déjà en ligne | Libre |
| Interne non sensible | Compte rendu de réunion interne, note de méthode | Autorisé sur les outils validés |
| Personnelle | CV, évaluation, dossier client nominatif | Sur outil sous contrat, avec base légale et information des personnes |
| Sensible ou protégée | Données de santé, données bancaires, secret des affaires, code source client | Interdit hors environnement dédié |
Une grille de ce type se rédige en une réunion. Ce qui prend du temps, c'est la ligne du bas : décider quels dossiers relèvent du secret des affaires demande de trancher, pas de recopier un modèle trouvé en ligne.
Deux réglages techniques se vérifient avant de publier. L'offre utilisée conditionne le traitement, parce qu'une offre professionnelle ou une interface programmatique n'entraîne pas les mêmes engagements contractuels qu'un compte grand public : le contrat se lit avant d'écrire la règle. Et la réutilisation des saisies pour l'entraînement se désactive là où le fournisseur le permet, réglage à contrôler sur les comptes existants, pas seulement sur les nouveaux.
L'obligation de maîtrise de l'IA, et ce qu'elle demande
Depuis le 2 février 2025, l'article 4 du règlement européen impose aux organisations qui fournissent ou déploient des systèmes d'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Le texte a été réécrit par le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026 : l'obligation subsiste et se lit désormais comme une obligation de moyens. Le texte consolidé est consultable sur l'explorateur du règlement.
La maîtrise de l'IA y est définie comme les compétences, connaissances et la compréhension permettant un déploiement éclairé des systèmes d'IA, ainsi qu'une conscience des opportunités, des risques et des préjudices possibles.
Pour une direction, cela se traduit par un dispositif démontrable : sessions datées, personnes formées, contenu couvrant les limites et les risques, et un point de suivi. C'est ce que produit une formation inscrite au plan de développement des compétences, et l'une des raisons de l'y inscrire plutôt que d'improviser en interne.
Le cas particulier des assistants connectés
Un assistant branché sur la messagerie, le CRM ou la base documentaire change la nature du sujet. Il va chercher, dans plusieurs systèmes, des données que personne ne lui a explicitement confiées.
La CNIL a consacré une note à cette évolution le 20 juillet 2026, IA agentique et données personnelles : équation à inconnues multiples pour les utilisateurs. Elle y relève l'imprévisibilité des flux de données entre sources connectées, l'effet des mémoires persistantes sur le profilage, et la difficulté à identifier les responsabilités quand la décision se répartit entre plusieurs acteurs.
La conséquence tient en une ligne de la charte : une connexion à un système métier se déclare, se documente et se limite à des actions nommées. Le détail de cette mise en place figure dans connecter une IA à son CRM.
La trame d'une charte utilisable
Le périmètre ouvre le document : qui est concerné, quels usages professionnels sont visés, ce qui relève de l'usage personnel.
Viennent ensuite les outils autorisés, nommés, avec le type de compte à utiliser, parce qu'une liste ouverte ne décide rien. Puis la grille de données du tableau plus haut, adaptée à vos catégories.
La relecture humaine est déclarée obligatoire sur ce qui sort de l'entreprise ou engage une décision concernant une personne : offre, courrier client, réponse à un candidat, évaluation. La traçabilité suit, c'est-à-dire la règle qui veut que ce qui a été produit avec assistance se signale en interne, pour rendre la vérification possible plus tard.
Restent le référent, nommé, à qui poser une question avant d'agir plutôt qu'après, et la date de revue. Le paysage bouge vite, et une charte sans date de relecture est périmée l'année suivante sans que personne s'en aperçoive.
Pourquoi une charte IA ne se copie pas
Un modèle téléchargé et adapté en une heure produit l'un de ces deux résultats. Trop permissif, il autorise sans le savoir des envois que le RGPD n'autorise pas. Trop restrictif, il interdit ce que tout le monde fait déjà, et chacun continue depuis son compte personnel, hors de toute traçabilité. Le second cas coûte le plus cher, parce que l'entreprise croit alors le sujet traité.
Écrire une grille de données qui tienne suppose de savoir ce qu'un fournisseur fait des saisies selon l'offre souscrite, ce qu'un modèle retient d'une conversation, et ce qu'une mémoire persistante reconstitue au fil des mois. Ces notions sont techniques, elles s'expliquent sans jargon, et ce sont elles qui rendent la charte défendable devant un délégué à la protection des données comme devant les équipes.
L'article 4 ajoute une raison. Le règlement attend des mesures prises pour développer la maîtrise de l'IA du personnel : un courriel de diffusion n'en est pas une, un dispositif daté avec des personnes formées en est une. Il s'inscrit au plan de développement des compétences, où l'OPCO le prend en charge.
L'initiation à l'intelligence artificielle tient en une journée et vise ce niveau de compréhension : ce que la technologie sait faire, ce qu'elle ne sait pas faire, ce que la réglementation impose. C'est le format d'un comité de direction qui doit trancher avant de publier. IA générative consacre un module au cadre légal et à l'usage responsable, appliqué aux productions réelles des participants, et IA pour les RH traite la fonction la plus exposée, puisque les décisions y touchent aux personnes. Pour une organisation qui inscrit l'IA dans une démarche de responsabilité plus large, la formation RSE apporte le cadre de reporting et les critères qui reviennent en appel d'offres.
Une fois la charte publiée, ce sont les indicateurs de mesurer l'adoption de l'IA dans son entreprise qui disent si elle est appliquée ou contournée.
