En bref. Une charte IA d’entreprise dit, en deux pages, quels outils votre équipe peut utiliser, quelles données ne doivent jamais y entrer et qui relit ce que l’IA produit. La CNIL recommande d’encadrer l’usage de l’IA générative « par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits », selon ses questions-réponses sur l’IA générative publiées le 18 juillet 2024 et consultées en octobre 2026. Voici un modèle en neuf articles pour une entreprise de 1 à 20 personnes, chaque clause suivie de sa raison d’être et de sa source, puis la façon de l’adopter selon votre taille.
Vous cherchiez une charte IA en PDF ou un exemple à reprendre : le modèle est rédigé directement dans cette page. Copiez les encadrés dans votre traitement de texte, puis exportez en PDF si vous le souhaitez. Les commentaires sont pour vous, pas pour le document final.
Pourquoi une charte, même dans une équipe de trois
Dans une TPE, l’IA est rarement arrivée par une décision. Elle est arrivée par un téléphone. Le chef d’équipe dicte son compte rendu de chantier à un assistant vocal. L’assistante colle le relevé bancaire du mois dans un outil pour accélérer le rapprochement. Vous-même, le soir, vous demandez à ChatGPT de remettre au propre un devis, avec le nom, l’adresse et le téléphone du client dedans. Personne n’a mal fait. Mais personne n’a décidé non plus de ce qui pouvait sortir de l’entreprise.
Une charte remet de l’ordre sans tout interdire. Elle répond à trois questions : avec quels outils, avec quelles données, sous quel contrôle. Chaque clause du modèle s’appuie sur un texte : RGPD, AI Act, Code du travail, recommandations de l’ANSSI et de Cybermalveillance.gouv.fr.
Si vous partez de zéro sur le sujet, commencez par notre guide par où commencer avec l’IA en entreprise, puis revenez ici pour poser les règles.
Ce que dit l’article 4 de l’AI Act, mot pour mot
Le règlement européen sur l’IA a été modifié par le règlement (UE) 2026/1744 du 24 juillet 2026. Dans la version consolidée au 27 juillet 2026 publiée sur EUR-Lex, consultée en octobre 2026, l’article 4, paragraphe 1, se lit ainsi :
« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »
Vous êtes « déployeur » au sens de l’article 3 dès que vous utilisez un outil d’IA sous votre propre autorité dans un cadre professionnel. L’article 4, au chapitre I, s’applique depuis le 2 février 2025 (article 113). La dernière phrase en fait une obligation de moyens : une charte et une formation sont des mesures que vous pouvez montrer.
Le détail de cette obligation est traité dans notre article AI Act, article 4 : la formation à l’IA est-elle obligatoire, et le règlement dans son ensemble dans AI Act pour les TPE et PME.
Le modèle de charte IA, article par article
Neuf articles et une annexe, pour une entreprise de 1 à 20 personnes sans service informatique. Remplacez ce qui est entre crochets.
En-tête du document. Charte d’utilisation des outils d’intelligence artificielle de [Nom de l’entreprise], version du [date], référent IA : [prénom, nom, fonction].
Article 1. Objet et champ d’application
La présente charte fixe les règles d’utilisation des outils d’intelligence artificielle, en particulier d’IA générative (rédaction, images, traduction, transcription, assistants intégrés aux logiciels), par toute personne qui travaille pour [Nom de l’entreprise] : dirigeant, salariés, apprentis, stagiaires, intérimaires. Les prestataires qui accèdent à nos données s’y engagent par contrat. Elle s’applique sur les appareils de l’entreprise comme sur les appareils personnels utilisés pour le travail.
Pourquoi cette clause. L’article 4 de l’AI Act vise « leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ». Le stagiaire qui gère vos réseaux sociaux ou le comptable indépendant qui utilise un assistant sur vos pièces entrent dans ce périmètre. Le dirigeant est cité en premier : une règle que le patron ne s’applique pas ne tient pas une semaine.
Source. AI Act, article 4, version consolidée sur EUR-Lex.
Article 2. Outils autorisés
Seuls les outils inscrits dans la liste en annexe peuvent être utilisés avec des informations de l’entreprise. Pour chaque outil, la liste précise le compte à utiliser (compte professionnel au nom de l’entreprise), les usages permis et les réglages obligatoires, notamment la désactivation de l’utilisation des conversations pour entraîner les modèles lorsque l’outil le permet. Toute demande de nouvel outil est adressée à [référent], qui répond sous [8] jours.
Pourquoi cette clause. L’ANSSI rappelle que « dans la majorité des offres, les données envoyées au service sont collectées et utilisées par le prestataire à des fins d’optimisation des modèles ». La CNIL demande de « s’interroger sur son rôle et celui du fournisseur » et de prévoir le contrat adapté : quand l’outil traite des données personnelles pour votre compte, il est votre sous-traitant au sens de l’article 28 du RGPD. Une liste courte avec un délai de réponse vaut mieux qu’une interdiction générale, qui pousse chacun vers son compte personnel.
Source. ANSSI, recommandations de sécurité pour un système d’IA générative (29 avril 2024) ; CNIL, questions-réponses sur l’IA générative ; RGPD, article 28.
Exemple d’annexe, à adapter à vos outils réels :
| Type d’outil | Compte | Usages permis | Réglage obligatoire |
|---|---|---|---|
| Assistant de rédaction (ChatGPT, Claude, Le Chat de Mistral, Copilot…) | Compte professionnel nominatif | Devis anonymisés, courriers, résumés | Entraînement sur les conversations désactivé si l’offre le permet |
| Assistant intégré au logiciel de gestion ou de comptabilité | Compte du logiciel | Catégorisation, relances, tableaux de suivi | Lire le contrat de l’éditeur sur les données |
| Transcription de réunions ou de notes vocales | Compte professionnel | Comptes rendus internes | Prévenir les participants avant d’enregistrer |
| Génération d’images | Compte professionnel | Illustrations, visuels | Mention « créée avec une IA » si l’image peut passer pour réelle |
Article 3. Données interdites
Il est interdit de saisir, coller ou téléverser dans un outil d’IA, sauf outil désigné en annexe pour cet usage : les données personnelles des clients, salariés, candidats et fournisseurs (noms, adresses, téléphones, numéros de dossier) ; toute information sur la santé, les opinions, la religion, l’appartenance syndicale ou la vie privée d’une personne ; les données financières, contractuelles ou juridiques de l’entreprise (relevés bancaires, bilans, contrats, litiges) ; les mots de passe, codes d’accès et clés d’API ; les informations qu’un client ou un fournisseur nous a confiées à titre confidentiel. Avant toute saisie, on anonymise : « Client A », « chantier à [ville] », montants arrondis.
Pourquoi cette clause. L’ANSSI en fait sa recommandation R34 : « Proscrire l’utilisation d’outils d’IA générative sur Internet pour un usage professionnel impliquant des données sensibles ». Les informations de santé ou d’opinion relèvent de l’article 9 du RGPD, dont le traitement est interdit sauf exceptions. La CNIL, de son côté, demande que les utilisateurs ne soumettent « que des informations qu’ils sont autorisés à partager ». Dans la pratique, c’est la relance d’impayé qui pose le plus de problèmes : on colle l’échange complet avec le client, son nom et son adresse. Faites rédiger la relance sur un cas anonymisé, puis complétez à la main.
Source. ANSSI, guide IA générative, section 5.7 et R34 ; RGPD, article 9 ; CNIL.
Article 4. Relecture humaine obligatoire
Tout contenu produit avec l’aide d’une IA est relu par une personne avant d’être envoyé, publié ou utilisé pour décider. Celui qui l’envoie en est responsable comme s’il l’avait écrit seul. Sont vérifiés en particulier : les chiffres, montants, taux de TVA et dates ; les références de lois et de normes ; les noms propres ; tout engagement pris au nom de l’entreprise. Aucune décision concernant une personne (recrutement, sanction, refus d’un client, conditions de paiement) n’est prise sur la seule base d’un résultat produit par une IA.
Pourquoi cette clause. Un assistant écrit avec assurance, y compris quand il se trompe. Pour les sorties générées, la CNIL demande aux utilisateurs de vérifier « qu’elles sont exactes ou de bonne qualité » et « qu’il ne s’agit pas d’un plagiat ». L’article 22 du RGPD donne à chacun le droit de ne pas faire l’objet d’une « décision fondée exclusivement sur un traitement automatisé » qui l’affecte de manière significative. Le devis du soir le montre bien : la mise en page est parfaite, le taux de TVA appliqué aux travaux est faux. C’est vous qui signez.
Source. CNIL, questions-réponses sur l’IA générative ; RGPD, article 22.
Article 5. Transparence vis-à-vis des clients
Nous ne présentons jamais un contenu produit par une IA comme une photo, une vidéo ou un enregistrement réels. Toute image, vidéo ou voix générée ou modifiée par une IA qui pourrait passer pour vraie porte une mention claire, visible dès la première exposition, par exemple « Image créée avec l’aide d’une IA ». Si un client demande si une IA a servi à produire un document qui lui est destiné, nous répondons franchement. Un outil de conversation automatique placé sur notre site ou notre messagerie indique qu’il s’agit d’une IA.
Pourquoi cette clause. L’article 50, paragraphe 4, de l’AI Act, applicable depuis le 2 août 2026 selon l’article 113 de la version consolidée consultée en octobre 2026, dispose : « Les déployeurs d’un système d’IA qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage indiquent que les contenus ont été générés ou manipulés par une IA. » Le paragraphe 5 précise que l’information est donnée « de manière claire et reconnaissable au plus tard au moment de la première interaction ou de la première exposition ». La photo de chantier « améliorée » par une IA est le cas typique à éviter dans une TPE : elle trompe le client sur ce que vous avez réellement livré.
Source. AI Act, articles 50 et 113, version consolidée au 27 juillet 2026.
Article 6. Droits d’auteur
On ne fournit pas à une IA un texte, une photo, un plan ou un logo dont l’entreprise n’a pas les droits, pour le reproduire, le traduire ou le transformer. On ne demande pas à une IA d’imiter l’œuvre d’un auteur identifié ni la marque d’un concurrent. Avant tout usage commercial, on vérifie qu’un contenu généré ne reproduit pas une œuvre, un logo ou un personnage existants. Les éléments durables de notre identité (logo, slogan, charte graphique) sont créés ou retravaillés par une personne.
Pourquoi cette clause. Le Code de la propriété intellectuelle est net : « Toute représentation ou reproduction intégrale ou partielle faite sans le consentement de l’auteur ou de ses ayants droit ou ayants cause est illicite », et la règle vaut aussi pour la traduction, l’adaptation ou la transformation (article L122-4). Faire réécrire par une IA le texte d’un concurrent reste une transformation sans autorisation. L’article L111-1 protège l’auteur d’une « oeuvre de l’esprit » du seul fait de sa création : la protection d’un contenu produit par une IA sans apport créatif humain n’est pas réglée par ce texte. Pour un logo, ne prenez pas le risque d’un élément que vous ne pourriez pas défendre.
Source. Code de la propriété intellectuelle, article L122-4 ; article L111-1 (Légifrance) ; CNIL, sur le plagiat.
Article 7. Sécurité des comptes
Chaque utilisateur dispose de son propre compte professionnel : pas de compte partagé, pas de compte personnel pour le travail. Le mot de passe est propre à ce service, long (12 caractères au moins), conservé dans le gestionnaire de mots de passe de l’entreprise, et la double authentification est activée. Le compte d’une personne qui quitte l’entreprise est fermé le jour de son départ. Tout incident (compte piraté, information envoyée par erreur) est signalé à [référent] le jour même.
Pourquoi cette clause. Cybermalveillance.gouv.fr recommande : « Utilisez un mot de passe différent pour chaque service ». Sa fiche, consultée en octobre 2026, retient un minimum de 12 signes, conseille un gestionnaire de mots de passe et demande d’activer la double authentification lorsque c’est possible. L’article 32 du RGPD vous impose des mesures de sécurité adaptées au risque. Et le signalement le jour même n’est pas une formalité : si des données personnelles ont fuité, l’article 33 du RGPD prévoit une notification à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard » après en avoir pris connaissance, sauf absence de risque pour les personnes.
Source. Cybermalveillance.gouv.fr, bonnes pratiques mots de passe ; RGPD, articles 32 et 33.
Article 8. Formation
Chaque personne qui utilise un outil d’IA pour l’entreprise reçoit, avant son premier usage puis au moins une fois par an, une formation adaptée à son poste : fonctionnement et limites des outils, règles de la présente charte, exemples tirés de nos métiers. Les formations suivies sont notées dans un registre (date, personne, contenu, durée). Le dirigeant suit la même règle.
Pourquoi cette clause. C’est la traduction directe de l’article 4 : les mesures tiennent compte des « connaissances techniques, leur expérience, leur éducation et leur formation » de chacun et du contexte d’utilisation. La CNIL recommande aussi de « familiariser les utilisateurs finaux avec le fonctionnement et les limites de ces systèmes ». Le registre prouve les mesures prises. Pour choisir un format, voir notre guide formation IA pour TPE et PME, et pour le financement du dirigeant, financer la formation du dirigeant.
Source. AI Act, article 4, EUR-Lex ; CNIL.
Article 9. Sanctions et révision
Le non-respect de la présente charte peut donner lieu à une sanction disciplinaire, dans les conditions prévues par le Code du travail [et par le règlement intérieur, s’il existe]. La charte est relue chaque année, ainsi qu’à chaque nouvel outil ou changement des textes applicables. Chaque version est datée et remise à chaque personne concernée.
Pourquoi cette clause. Une sanction est, selon l’article L1331-1 du Code du travail, « toute mesure, autre que les observations verbales » prise après un agissement jugé fautif. Aucune ne peut être prise sans que le salarié soit informé « dans le même temps et par écrit, des griefs retenus contre lui » (article L1332-1). Le règlement intérieur, s’il existe, fixe « la nature et l’échelle des sanctions » (article L1321-1). La CNIL, dans sa fiche sur le cadre des utilisateurs, recommande de donner à une charte informatique une force contraignante en l’annexant au règlement intérieur.
Source. Code du travail, L1331-1, L1332-1, L1321-1 (Légifrance) ; CNIL, définir un cadre pour les utilisateurs.
Comment l’adopter selon la taille de votre entreprise
La bonne forme dépend d’une question : avez-vous un règlement intérieur ? Selon l’article L1311-2 du Code du travail, consulté sur Légifrance en octobre 2026, il est obligatoire dans les entreprises ou établissements employant au moins cinquante salariés, au terme d’un délai de douze mois après que ce seuil a été atteint. En dessous, rien ne vous oblige à en avoir un. Cela ne veut pas dire que votre charte échappe à toute règle.
Ce qui coince : la charte avec sanctions est traitée comme le règlement intérieur
L’article L1321-5 prévoit que les notes de service ou tout autre document comportant des obligations générales et permanentes en matière de discipline, de santé ou de sécurité sont des adjonctions au règlement intérieur lorsqu’il existe, et qu’ils sont « en toute hypothèse » soumis aux mêmes règles. Une charte IA qui prévoit des sanctions entre dans cette catégorie. Par prudence, appliquez-lui donc la procédure de l’article L1321-4 :
- avis du comité social et économique, si votre entreprise en a un ;
- communication à l’inspecteur du travail, avec l’avis du CSE, en même temps que la publicité ;
- une date d’entrée en vigueur postérieure d’un mois aux formalités de publicité, la publicité se faisant « par tout moyen » auprès des personnes qui ont accès aux lieux de travail (article R1321-1) ;
- un texte rédigé en français (article L1321-6).
Le dépôt au greffe du conseil de prud’hommes n’apparaît plus dans l’article L1321-4 depuis la loi n° 2026-403 du 26 mai 2026 (version en vigueur au 28 mai 2026, Légifrance consulté en octobre 2026). Deux limites valent pour tous. L’article L1321-3 interdit les restrictions aux libertés qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché. Et l’article L1222-4 interdit de collecter une information sur un salarié par un dispositif qui n’a pas été porté préalablement à sa connaissance : si vous consultez les historiques de conversation des comptes professionnels, dites-le dans la charte.
| Votre situation | Support conseillé | Ce qu’il faut faire |
|---|---|---|
| Dirigeant seul, sans salarié | Charte pour vous-même et clause dans les contrats des prestataires | Appliquer les articles 2, 3, 5 et 7 à vos propres usages, faire signer la clause aux sous-traitants qui touchent vos données |
| Entreprise de moins de 50 salariés, sans règlement intérieur | Note de service signée par le dirigeant | Remise à chacun contre signature ; si elle prévoit des sanctions, procédure de l’article L1321-4 (CSE s’il existe, inspection du travail, un mois) |
| Nouveau salarié | Clause du contrat renvoyant à la charte | Pour un salarié déjà en poste, un avenant suppose son accord : préférez la note de service |
| Entreprise d’au moins 50 salariés | Annexe au règlement intérieur | Procédure de l’article L1321-4 ; si la charte prévoit un contrôle de l’activité, information et consultation préalables du CSE (article L2312-38) |
Adopter la charte en six étapes
- Faites l’inventaire des outils déjà utilisés, téléphones compris, sans chercher de coupable.
- Choisissez la liste courte : deux ou trois outils sur comptes professionnels, inscrits en annexe.
- Adaptez le modèle à vos cas métier : devis, comptes rendus, réponses aux avis.
- Présentez-la en réunion avec des exemples de votre semaine, et recueillez l’avis du CSE s’il existe.
- Diffusez et faites signer une note de service datée ; si elle prévoit des sanctions, informez l’inspection du travail et attendez un mois.
- Formez et revoyez : registre des formations, date de relecture dans l’agenda.
Pour un artisan, une page suffit. Notre guide IA pour artisans donne des usages à inscrire en annexe.
Les erreurs que nous voyons le plus
- Copier la charte d’un grand groupe. Quinze pages et un comité d’éthique : dans une petite entreprise, personne ne la lira.
- Tout interdire. L’usage ne s’arrête pas, il passe sur les comptes personnels, hors de votre vue.
- Oublier le dirigeant. C’est souvent lui qui colle le plus de données clients dans un assistant, le soir, pour finir ses devis.
- Confondre la charte et la formation. La charte dit quoi faire, la formation apprend à le faire.
Agir, et pouvoir le montrer.
Le Dirigeant Augmenté est notre formation IA des dirigeants de TPE : comptabilité, trésorerie, devis, connexion des logiciels, prospection et cadre juridique, en visio et en e-learning tutoré. Nous l’avons d’abord appliquée chez nous. Nous avons récupéré 44 heures d’administratif par mois. Ce temps est reparti sur le conseil et la création.
Un bloc entier porte sur le cadre juridique et la sécurité, et la formation laisse une trace datée de votre démarche. Commencez par vérifier ce que votre fonds peut prendre en charge.
Questions fréquentes
Une charte IA est-elle obligatoire en entreprise ?
Aucun texte n’impose une charte IA en tant que telle. En revanche, l’article 4 de l’AI Act, applicable depuis le 2 février 2025, demande aux entreprises qui utilisent l’IA de prendre des mesures pour favoriser sa maîtrise par leur personnel. La CNIL recommande d’encadrer l’usage de l’IA générative par des politiques ou chartes internes. La charte est donc la mesure la plus simple à mettre en place et à montrer.
Que doit contenir une charte d’utilisation de l’IA ?
Au minimum : les outils autorisés, les données interdites, la relecture humaine, la transparence envers les clients, les droits d’auteur, la sécurité des comptes, la formation, les sanctions et la révision. La CNIL demande de définir clairement les usages autorisés et les usages interdits. Pour une TPE, deux pages et une annexe listant les outils suffisent.
Faut-il un règlement intérieur pour rendre la charte opposable ?
Le règlement intérieur n’est obligatoire qu’à partir de 50 salariés, au terme d’un délai de douze mois après l’atteinte du seuil (article L1311-2 du Code du travail). En dessous, une note de service signée suffit pour diffuser la charte. Si elle prévoit des sanctions, l’article L1321-5 la soumet aux règles du règlement intérieur : suivez alors la procédure de l’article L1321-4.
Quelle procédure suivre pour une charte qui prévoit des sanctions ?
L’article L1321-4 du Code du travail prévoit l’avis du CSE, la communication à l’inspecteur du travail en même temps que la publicité, et une entrée en vigueur un mois après les formalités de publicité. Depuis la loi n° 2026-403 du 26 mai 2026, le texte ne mentionne plus le dépôt au greffe du conseil de prud’hommes. Le document doit être rédigé en français (article L1321-6).
Peut-on interdire ChatGPT à ses salariés ?
Vous pouvez limiter l’usage aux outils que vous avez choisis et interdire d’y mettre des données sensibles, comme le recommande l’ANSSI dans sa recommandation R34. Une interdiction totale et sans justification se heurte à l’article L1321-3, qui exclut les restrictions non proportionnées au but recherché. En pratique, une liste courte d’outils sur comptes professionnels est plus efficace.
Quelles données ne faut-il jamais mettre dans une IA générative ?
L’ANSSI cite les données personnelles, les données contractuelles, juridiques ou financières de l’entreprise et les secrets comme les mots de passe ou les clés d’API. Les données de santé, d’opinion ou d’appartenance syndicale relèvent en plus de l’article 9 du RGPD. La règle pratique est d’anonymiser avant toute saisie.
Doit-on dire à ses clients qu’on utilise l’IA ?
L’article 50, paragraphe 4, de l’AI Act, applicable depuis le 2 août 2026, impose d’indiquer qu’une image, un son ou une vidéo constituant un hypertrucage a été généré ou manipulé par une IA. L’information doit être claire et donnée au plus tard à la première exposition. Pour le reste, la charte peut prévoir de répondre franchement quand un client pose la question.
Qui est responsable d’une erreur produite par l’IA ?
L’entreprise qui envoie le document, comme pour tout document qu’elle signe. C’est pourquoi la charte impose une relecture humaine avant tout envoi, publication ou décision. L’article 22 du RGPD protège en outre chacun contre une décision fondée exclusivement sur un traitement automatisé qui l’affecte de manière significative.
La charte remplace-t-elle la formation prévue par l’AI Act ?
Non. L’article 4 parle de favoriser la maîtrise de l’IA, en tenant compte des connaissances, de l’expérience et de la formation de chacun. La charte fixe les règles, la formation donne la capacité de les appliquer. Un registre des formations suivies sert de preuve des mesures prises.
À quelle fréquence mettre à jour la charte IA ?
Au moins une fois par an, et à chaque nouvel outil ou changement des textes. L’AI Act a lui-même été modifié par le règlement (UE) 2026/1744 du 24 juillet 2026. Datez chaque version et remettez-la à chaque personne concernée.
