La charte d'usage de l'IA est un document remis et signé par chaque collaborateur ayant accès à des outils d'IA générative en entreprise. Elle a quatre fonctions :

1. Pédagogique. Expliquer ce qu'est l'IA, ses risques, les usages attendus et non attendus. C'est souvent le premier contact structuré du collaborateur avec ces enjeux.

2. Juridique. Donner une base claire à des sanctions disciplinaires en cas de non-respect. Un manquement à une règle non communiquée est difficilement sanctionnable ; un manquement à une règle signée est sanctionnable.

3. Conformité. Matérialiser l'effort de l'entreprise au titre de l'article 4 de l'AI Act (IA literacy) et de l'article 32 RGPD (mesures organisationnelles de sécurité). Document opposable aux contrôles.

4. Culturelle. Signaler que l'IA n'est pas un sujet périphérique mais un enjeu structurel pris au sérieux par l'entreprise. Contribue à la culture HSE / éthique / conformité.

La charte est distincte :

• du règlement intérieur (qui peut y renvoyer)
• de la politique de sécurité informatique (PSI / PSSI)
• de la charte informatique classique (qu'elle complète)

Elle peut être intégrée à la charte informatique existante (annexe IA) ou être un document autonome. Les deux pratiques se rencontrent.

Une charte IA bien faite tient en 3 à 8 pages. Plus longue, elle ne sera pas lue. Plus courte, elle manque de précision. Le ton doit être clair, opérationnel, illustré d'exemples — pas un texte juridique de 30 pages que personne ne lit.

Plan recommandé :

Partie 1 — Préambule et définitions.

• Objectif de la charte
• Champ d'application (collaborateurs, prestataires, intérimaires)
• Définitions essentielles : IA générative, prompt, hallucination, données confidentielles
• Articulation avec autres documents (règlement intérieur, charte informatique, RGPD…)

Partie 2 — Outils autorisés et interdits.

• Liste explicite des outils autorisés (Microsoft Copilot Enterprise, ChatGPT Enterprise…)
• Liste des outils interdits (versions gratuites des LLM, outils non validés)
• Procédure pour demander l'ajout d'un outil à la liste blanche

Partie 3 — Règles d'usage.

• Données qui ne doivent JAMAIS être saisies (PII, sensibles, confidentielles, secrets, IPR, M&A…)
• Vérification systématique des sorties critiques
• Mention explicite du recours à l'IA dans certains livrables (selon politique entreprise)
• Interdiction du contournement (utilisation d'outils personnels sur appareils pro, contournement DLP, etc.)

Partie 4 — Cas particuliers.

• RH : interdiction de décision purement automatisée, supervision humaine effective
• Communication externe : règles spécifiques (mention IA, vérification factuelle)
• Production de code : revue humaine systématique, vérification licences
• Données client : engagements contractuels à respecter

Partie 5 — Procédures.

• Signalement d'incident (mail dédié, numéro, intranet)
• Demande d'aide ou de clarification
• Référent IA dans l'entreprise

Partie 6 — Conséquences en cas de manquement.

• Sanctions disciplinaires possibles selon gravité (avertissement, blâme, mise à pied, jusqu'au licenciement)
• Sanctions civiles et pénales applicables (RGPD, secret professionnel, propriété intellectuelle)
• Procédure interne en cas de manquement

Partie 7 — Acceptation.

• Engagement individuel à respecter la charte
• Signature électronique (via SIRH, plateforme RH, ou support papier scanné)
• Date et révision

La charte doit être signée à l'entrée dans l'entreprise (intégrée au parcours d'onboarding) et re-signée à chaque mise à jour majeure. Conservation : pendant toute la durée du contrat + 5 ans en archive RH.

Pendant que la charte vise les collaborateurs, le registre des usages IA est un document de gouvernance interne tenu par le DPO ou un référent IA. Il cartographie l'ensemble des systèmes d'IA utilisés dans l'entreprise.

Contenu type pour chaque système IA :

• Identification : nom du système, fournisseur, version, date de mise en service
• Description fonctionnelle : ce que fait le système, données traitées, sorties produites
• Cas d'usage : départements concernés, fréquence, volumes
• Classification AI Act : interdit / haut risque (annexe III ou I) / limité (article 50) / minimal
• Base juridique RGPD si données personnelles : article 6 (a-f), article 9 si données sensibles
• AIPD réalisée ou non, référence du document
• FRIA si haut risque
• Transferts hors UE et base juridique (DPF, SCC)
• Information et consultation CSE effectuée le [date]
• Mesures de sécurité spécifiques mises en place
• Référent opérationnel (responsable métier) et juridique (DPO ou équivalent)
• Contrat avec le fournisseur : référence, date, validité
• Date prochaine revue

Ce registre est vivant : mis à jour à chaque ajout ou modification d'un système IA. Audité annuellement par le DPO.

Format : tableur Excel ou Google Sheets pour les petites organisations ; outil dédié de gestion de la conformité (OneTrust, TrustArc, Witness AI…) pour les plus grandes structures. La fonctionnalité « registre des activités de traitement » des solutions RGPD existantes peut être étendue pour inclure l'IA.

Le registre IA complète le registre des activités de traitement RGPD (article 30) — il ne s'y substitue pas. Les deux registres sont à tenir.

Utilité pratique : (1) visibilité globale du parc IA pour les décideurs, (2) base pour les contrôles internes et externes, (3) support pour les revues de conformité, (4) élément de réponse à toute demande d'autorité (CNIL, DGCCRF, futures autorités AI).

Pour une entreprise qui démarre la mise en conformité IA, un planning 90 jours est réaliste :

Jours 1-15 — Cadrage.

• Désigner un référent IA (souvent DPO ou DSI ou conseil juridique externe)
• Constituer un comité IA pluridisciplinaire (DSI, DPO, RSSI, RH, métiers, communication)
• Audit initial des outils déjà utilisés (officiel + shadow AI)
• Veille réglementaire (AI Act, RGPD, jurisprudence récente)

Jours 16-45 — Choix d'outils.

• Définition des besoins par département
• Sélection des outils (RFP si nécessaire, démonstrations, POC)
• Négociation contractuelle (DPA, SLA, indemnisation)
• Validation juridique et budget

Jours 30-60 — Documentation.

• Rédaction de la charte IA (avec aide juridique si besoin)
• Constitution du registre des usages initial
• AIPD pour les usages à risque élevé
• Information et consultation du CSE

Jours 45-75 — Déploiement.

• Configuration technique (SSO, MFA, DLP, journalisation)
• Pilote sur un département volontaire (3-4 semaines)
• Recueil retours, ajustements
• Préparation de la formation

Jours 60-90 — Formation et généralisation.

• Communication interne (intranet, town hall, mails)
• Formation par profil métier (utilisateurs courants, managers, techniques, juridiques)
• Signature de la charte par les collaborateurs
• Ouverture des accès
• Mise en place des indicateurs de pilotage

Ce planning compresse ce qui peut être fait. Dans la réalité, beaucoup d'entreprises mettent 6 à 12 mois. Mais 90 jours est faisable avec engagement de la direction et ressources allouées.

Le parrainage de la direction générale est essentiel. Sans portage hiérarchique fort, le projet patine ou est court-circuité par les achats départementaux non gouvernés.

La charte et le registre IA ne sont pas figés. Ils doivent vivre.

Mises à jour récurrentes :

• Charte : revue annuelle minimum, plus si évolution majeure (nouvel outil, jurisprudence importante, refonte AI Act ou RGPD)
• Registre : mis à jour à chaque ajout/modification d'outil, revue trimestrielle complète, audit annuel par DPO
• Liste blanche d'outils : revue trimestrielle
• AIPD : revue à chaque évolution significative du traitement

Triggers de mise à jour :

• Évolution réglementaire (nouvelle ligne directrice CNIL, jurisprudence, refonte texte)
• Nouveau cas d'usage métier
• Nouvel outil intégré
• Incident de sécurité ou conformité
• Retour d'expérience des utilisateurs
• Audit interne ou externe

Amélioration continue. Le comité IA se réunit régulièrement (trimestriel typique) pour :

• Suivre les indicateurs (adoption, incidents, coûts)
• Examiner les nouveaux outils émergents
• Traiter les demandes d'extension d'usages
• Analyser les incidents et tirer les leçons
• Anticiper les évolutions réglementaires

Le marché IA évolue à un rythme inédit : nouveaux modèles tous les 6-12 mois, nouvelles fonctionnalités tous les mois, nouvelles offres entreprise régulièrement. Sans veille structurée, l'entreprise prend du retard sur les concurrents qui s'adaptent. Le référent IA et le comité sont là pour maintenir cette agilité.

Pour les PME qui n'ont pas les ressources d'une grande direction juridique et DPO interne, une version simplifiée du dispositif reste possible et nécessaire :

Charte IA simplifiée — 2 à 4 pages. Contenu : outils autorisés (1 page), règles de base (1 page), procédures et sanctions (1 page). Téléchargeable depuis l'intranet ou diffusée par mail. Signée à l'entrée et à chaque mise à jour.

Registre IA simplifié — tableur unique. Une ligne par outil avec colonnes essentielles : nom, fournisseur, cas d'usage, classification AI Act, contrat, AIPD si nécessaire, référent. Quelques lignes pour la majorité des PME, ce n'est pas insurmontable.

Référent IA unique. Souvent le dirigeant pour les TPE, le DSI ou le RAF pour les PME. Une seule personne qui coordonne le sujet, avec appui externe ponctuel (avocat, expert RGPD freelance, organisme de formation).

Conseil externe à la demande. Plutôt que d'embaucher un DPO interne, beaucoup de PME externalisent à un DPO à temps partagé ou à un avocat spécialisé. Coût modéré (3 000-15 000 €/an selon volumétrie). Mutualisation possible via syndicats professionnels.

Solutions clés en main. Plusieurs éditeurs proposent des packs « conformité IA pour PME » incluant charte modèle, registre type, formation e-learning, accès expert. Coût ~2 000-10 000 € selon ampleur. Intéressant pour démarrer.

Formations en ligne gratuites comme celle-ci, INRS, CNIL, Bpifrance — à utiliser comme base, à compléter par formation interne adaptée aux outils choisis.

La conformité graduée est acceptée par la CNIL : une PME n'a pas les mêmes obligations qu'un grand groupe. Mais elle a quand même des obligations. La proportionnalité ne signifie pas l'absence d'effort.

Conseil : démarrer maintenant, même imparfaitement, plutôt que d'attendre une configuration idéale. Un dispositif existant et opérationnel de 50% de couverture protège mieux qu'un dispositif idéal mais inexistant. Itérer progressivement.