Dans un audit récent, la charte IA de l'entreprise interdisait de confier des données clients à l'IA. Les journaux de l'outil fourni montraient pourtant une équipe qui y résumait chaque semaine ses comptes rendus de rendez-vous clients. Ailleurs, la charte avait été écrite pour encadrer ChatGPT grand public, avant que l'entreprise ne déploie son propre outil, et personne ne l'avait revue. Dans un autre audit, la plupart des personnes interrogées en entretien ne savaient pas ce que disait la charte, voire qu'elle existait.
Une charte IA en entreprise est le document qui dit aux salariés quels outils d'IA ils peuvent utiliser, avec quelles données et sous quelles conditions. Elle complète souvent la charte informatique. Elle ne vaut que si l'on vérifie qu'elle s'applique.
Que mettre dans une charte IA ?
Une charte IA dit ce qui est permis, ce qui ne l'est pas, et comment on le vérifie. Les rubriques qui reviennent dans les chartes que nous lisons :
- les outils d'IA autorisés, et pour quels usages ;
- les données à ne jamais leur confier : données clients, données personnelles, secrets d'affaires, selon le contrat de l'outil ;
- la relecture humaine de ce que l'IA produit, surtout ce qui part à l'extérieur ;
- la règle sur les comptes et les abonnements personnels ;
- la formation prévue, et pour qui ;
- la lecture des journaux d'usage : ce qui est regardé, par qui, à quel niveau de regroupement ;
- à qui poser une question.
Ces rubriques se retrouvent dans la plupart des modèles. La différence se joue sur deux points : d'où partent les règles, et si quelqu'un vérifie qu'elles tiennent.
Avant d'écrire ou de réécrire votre charte IA, regardez l'usage réel
La règle écrite et connue reste rare. Selon le baromètre de Coface publié le 5 octobre 2026 (900 décideurs), 17 % des entreprises ont défini, formalisé et communiqué une politique d'usage de l'IA à leurs collaborateurs. Côté salariés, l'Observatoire de KPMG de juin 2026 (1 000 salariés du privé) trouve 10 % de répondants qui signalent une charte ou un comité éthique IA chez eux. La même enquête relève que 61 % des salariés qui utilisent l'IA passent par des outils grand public, et 19 % par des outils internes.
Une charte qui ne parle que de l'outil fourni laisse donc de côté une bonne part des salariés qui utilisent l'IA. Elle se cale mieux sur ce que font vraiment les équipes :
- Partez des journaux d'usage des outils que vous fournissez (Microsoft 365 Copilot, ChatGPT Enterprise, Claude…). Ils montrent quels usages tournent, dans quelles équipes, avec quels types de contenus.
- Regroupez ces usages par tâche. Les règles se décident tâche par tâche, pas outil par outil.
- Demandez en entretien ce que les journaux ne montrent pas : les outils personnels, les données qu'on n'ose pas confier à l'outil, ce qui manque pour bien travailler. Un questionnaire seul ne rend que ce que chacun veut bien déclarer.
- Écrivez les règles à partir de ce que vous avez vu, et dites aux équipes comment elles seront vérifiées.
Pour situer la charte dans l'ensemble du parc d'outils, voir notre guide sur l'IA en entreprise.
Pourquoi l'utilisation de l'IA ralentit-elle pendant que la charte s'écrit ?
Parce que personne ne sait ce qui est permis. En octobre 2026, le responsable informatique d'un office HLM nous expliquait que, tant que leur charte n'était pas finalisée, l'adoption restait très timide : une partie de ses équipes disait ne pas être intéressée, une autre avait un peu peur de l'outil. Les plus prudents attendent, les autres font sans demander, avec leurs propres outils.
Une version courte, publiée tôt, débloque les premiers : les outils autorisés, les données à ne jamais confier, à qui poser une question. Elle ne couvre pas tout, et la version complète reste à finir avec le juridique, la DPO et la sécurité. Mais elle dit l'essentiel pendant ce temps.
Que se passe-t-il quand la charte interdit ?
L'usage continue ailleurs. Quelques cas que l'on nous a racontés depuis juillet 2026 :
- sur le chantier d'un grand groupe de BTP, la DSI envoie des mails qui demandent d'arrêter et interdisent d'installer l'IA sur les ordinateurs ; les équipes s'en servent sur leur téléphone ;
- dans un cabinet de conseil, les commerciaux les plus jeunes utilisent ChatGPT même si c'est interdit ;
- dans la filiale d'un groupe, des licences prises à titre personnel passent en note de frais, dans une catégorie créée pour ça.
L'interdiction sort l'usage du champ de vision de la DSI, et les données avec lui. C'est la mécanique du shadow AI : quand l'outil fourni ne couvre pas le besoin, ou quand il est interdit, les équipes passent par leurs comptes personnels.
Pourquoi les chartes des débuts de ChatGPT ont-elles vieilli ?
Elles ont été écrites quand l'IA générative arrivait par des comptes grand public, sans contrat d'entreprise, et elles interdisaient ce qui était risqué à ce moment-là. Deux règles de cette époque reviennent souvent :
- aucune donnée de l'entreprise dans l'IA ;
- aucune exploitation des journaux d'usage de l'IA, même pour améliorer les outils internes.
Depuis, beaucoup d'entreprises ont fourni un outil sous contrat, et la charte n'a pas suivi. La première règle réduit l'outil fourni à reformuler des mails, et pousse les usages qui travaillent sur les documents de l'entreprise hors des règles : c'est le cas de l'équipe qui résumait ses comptes rendus clients. La seconde empêche de savoir si la charte est appliquée, et quels usages méritent d'être étendus.
Les changer prend du temps. Une charte qui pose des obligations aux salariés suit en principe la procédure du règlement intérieur, avec l'avis du CSE (voir la partie sur la valeur juridique). Beaucoup restent donc en l'état, et l'écart avec l'usage grandit.
Comment vérifier qu'une charte IA est appliquée ?
Une charte IA se vérifie règle par règle, en confrontant chaque règle à l'usage réel des équipes : les journaux des outils fournis pour ce qui passe par eux, les entretiens pour le reste. Les résultats se lisent par équipe, pour corriger les règles qui ne collent pas au travail, et non pour chercher qui les a enfreintes.
| Ce que dit la charte | Ce qu'on vérifie dans l'usage | Où on le lit |
|---|---|---|
| Les outils autorisés | Quelles équipes utilisent vraiment l'outil fourni, pour quelles tâches, et lesquelles l'ont abandonné | Les journaux de l'outil fourni |
| Les données interdites | Les cas d'usage où ce type de donnée apparaît (clients, ressources humaines, finance), équipe par équipe | Le contenu des échanges, analysé et regroupé par cas d'usage |
| La relecture humaine | Les usages qui produisent un document envoyé à l'extérieur, et la façon dont il est relu | Les entretiens |
| Les comptes personnels | Ce que les journaux de l'entreprise ne voient pas | Les entretiens, les achats (licences remboursées) |
| La formation | L'usage avant et après, équipe par équipe | Les journaux |
Cette lecture demande trois choses. D'abord, que la charte l'autorise : si la vôtre interdit d'exploiter les journaux d'usage, c'est la première règle à revoir. Ensuite, un cadre posé avant de commencer avec la DPO et le CSE, puisque lire ces journaux, et le contenu des échanges pour la ligne des données, est lui-même un traitement de données personnelles. Enfin, des salariés informés à l'avance de ce qui est regardé. Les résultats sont regroupés par équipe : qui a enfreint quelle règle n'entre pas dans la lecture.
Une charte IA est-elle obligatoire ?
Non, à notre connaissance : aucun texte n'impose un document intitulé « charte IA ». L'AI Act demande en revanche aux entreprises qui déploient des systèmes d'IA de prendre des mesures pour la maîtrise de l'IA par leur personnel, et la CNIL recommande une charte ou une politique interne.
Le détail des textes :
- l'article 4 de l'AI Act, applicable depuis le 2 février 2025, a été modifié en juillet 2026. Dans sa version actuelle, les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel », sans être contraints de garantir un niveau donné chez chaque personne ;
- dans ses questions-réponses, la Commission européenne précise qu'aucune formation obligatoire ni aucune structure de gouvernance particulière n'est imposée, et qu'un registre interne des formations et des initiatives suffit à en garder la trace ;
- la CNIL recommande d'encadrer l'usage de l'IA générative « par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ».
Idun Group ne donne pas d'avis juridique : faites relire votre charte par votre juriste.
Quelle est la valeur juridique d'une charte IA ?
Quand elle pose des obligations générales et permanentes aux salariés, notamment en matière de discipline, le Code du travail la traite comme une adjonction au règlement intérieur, dans les entreprises qui en ont un (article L1321-5). Le règlement intérieur est obligatoire à partir de cinquante salariés.
Elle suit alors sa procédure (article L1321-4) : l'avis du CSE, la publicité, la communication à l'inspection du travail, et une entrée en vigueur un mois après. C'est aussi ce qui rend chaque modification plus lente qu'on ne le voudrait.
Quand faut-il revoir la charte IA ?
- Quand l'entreprise déploie un outil sous contrat : les règles écrites pour ChatGPT grand public ne lui correspondent plus.
- Quand l'usage change : un usage qui monte dans une équipe, une règle que plus personne ne respecte. Les journaux d'usage le montrent bien avant les remontées du terrain.
- Au renouvellement des licences, quand on décide qui garde quel outil. Voir une licence active n'est pas une licence utilisée.
- Quand un client ou un donneur d'ordre demande comment vous encadrez l'IA. Un sous-traitant industriel nous disait recevoir de plus en plus de ces questionnaires, et freiner l'usage faute de savoir l'encadrer. Face à un questionnaire, la charte dit ce qui est prévu, et l'usage mesuré dit ce qui se passe.
Notre audit de l'usage réel de l'IA fait cette lecture règle par règle, à partir des journaux existants et d'entretiens avec les équipes.
