À qui s'adresse ce guide. Aux PME et cabinets qui utilisent l'IA générative (Claude, ChatGPT, Gemini) pour des tâches courantes : rédiger, résumer, traduire ou analyser des documents. Le cadre européen s'applique dans toute l'Union ; les références au droit du travail et aux autorités nationales concernent l'Espagne. C'est un modèle à adapter, pas un document valable pour toute entreprise ou tout usage. Si votre entreprise est plus grande, le modèle sert de base, mais il faudra en plus un circuit de validation, une articulation avec les politiques de sécurité et de protection des données et, le cas échéant, une négociation avec les représentants du personnel.
1. Qu'est-ce qu'une charte d'utilisation de l'IA, et à quoi sert-elle ?
Une charte d'utilisation de l'IA (on parle aussi de politique d'usage) est un guide interne qui explique quels outils l'équipe peut utiliser, avec quelles informations et sous quelle supervision.
Dans beaucoup de PME, l'IA n'arrive pas par une décision de la direction. Elle peut arriver parce qu'une personne essaie ChatGPT pour un e-mail délicat, qu'une autre résume un rapport avec Gemini sur son compte personnel et qu'une troisième connecte une application à sa messagerie pour gagner du temps. Personne n'agit de mauvaise foi, mais l'entreprise ne sait pas quelles informations sont sorties ni qui relit ce qui part chez les clients.
Une charte répond à trois questions :
- Avec quels outils ? Ceux que l'entreprise a choisis, avec des comptes professionnels.
- Avec quelles informations ? Selon un feu tricolore simple, que l'équipe peut appliquer sans demander à chaque fois.
- Sous quelle supervision ? Qui relit, qui autorise et à qui s'adresser en cas de doute.
Limites de ce modèle. Le modèle sert de base pour préparer une première version. Il ne remplace pas l'analyse de vos contrats, de vos obligations de confidentialité ni des règles de votre secteur. Si votre entreprise traite des données sensibles ou travaille dans un secteur réglementé, faites-le relire par votre conseil juridique ou votre délégué à la protection des données.
2. Modèle de charte d'utilisation de l'IA pour PME
Copiez le texte et remplacez ce qui figure [entre crochets]. Les exemples sont indicatifs : supprimez ce qui ne s'applique pas à votre entreprise.
CHARTE D'UTILISATION DE L'INTELLIGENCE ARTIFICIELLE — [NOM DE L'ENTREPRISE]
Version [1.0] · Approuvée par [fonction] le [date] · Prochaine révision : [date]
1. Objet et champ d'application
Cette charte explique comment nous utilisons les outils d'intelligence artificielle chez [Entreprise] : avec quels outils, quelles informations et quelle supervision. Elle s'applique à toutes les personnes qui travaillent chez [Entreprise] ou pour elle (salariés, indépendants et collaborateurs externes) lorsqu'elles utilisent l'IA pour des tâches de l'entreprise.
2. Outils autorisés
Pour le travail de l'entreprise, seuls les outils de cette liste sont utilisés, avec le compte indiqué :
| Outil | Offre ou compte | Pour quoi | Responsable |
|---|---|---|---|
| [Ex. : Claude] | [Ex. : offre Team de l'entreprise] | [Rédaction, synthèses, analyse de documents] | [Nom] |
| [Ex. : Gemini] | [Ex. : inclus dans le Google Workspace de l'entreprise] | [Messagerie, documents partagés] | [Nom] |
Aucun compte personnel, gratuit ou payant, n'est utilisé avec des informations de l'entreprise. Pour utiliser un nouvel outil, la demande est faite à [responsable], qui l'examine avant de l'autoriser.
3. Informations utilisables
Les couleurs sont des règles internes de [Entreprise] : certaines correspondent à des obligations légales, d'autres sont des choix de prudence de l'entreprise.
- Vert : utilisable dans les outils autorisés. Informations publiques et textes internes non confidentiels : sans données personnelles, sans secrets d'affaires et sans informations que l'entreprise n'a pas le droit de partager. Un document sans données personnelles n'est pas pour autant librement partageable.
- Orange : uniquement si les trois conditions sont réunies. (1) L'outil est autorisé et configuré selon cette charte ; (2) l'information est nécessaire à la tâche, et seule l'information nécessaire est utilisée ; (3) l'entreprise a le droit de la partager (contrat client, accord de confidentialité, secret professionnel). Exemples : [documents internes, données clients, devis].
- Rouge, jamais : n'est saisi dans aucun outil d'IA. [Mots de passe, clés d'accès et identifiants, y compris de banque en ligne ; numéros complets de cartes de paiement et leurs codes de sécurité].
- Rouge, après analyse : uniquement après un examen spécifique. [Données de santé ou autres catégories particulières de données ; données de mineurs ; dossiers couverts par le secret professionnel ; informations de tiers soumises à confidentialité ; IBAN et autres coordonnées bancaires de clients ou de fournisseurs]. La décision revient à [la direction], après vérification de la base juridique, du contrat avec le fournisseur et de la configuration de l'outil. Une autorisation interne ne remplace pas ces conditions.
4. Usages
4.1. Interdits par la loi. Les usages interdits par le règlement européen sur l'IA, par exemple déduire les émotions des personnes sur le lieu de travail, sauf pour des raisons médicales ou de sécurité.
4.2. Non autorisés chez [Entreprise]. [Ex. : prendre une décision concernant une personne sur la seule base d'une réponse de l'IA ; envoyer à un client un contenu généré sans l'avoir relu ; utiliser l'IA pour déduire les émotions des personnes, dans aucun cas].
4.3. Soumis à validation préalable de [responsable]. [Ex. : recrutement et évaluation des salariés ; tout nouvel usage avec des informations orange].
5. Actions de l'IA
Certains outils peuvent agir à la place de l'utilisateur : envoyer des messages, modifier ou supprimer des fichiers, effectuer des achats ou se connecter à d'autres applications. Chez [Entreprise] :
- connecter un outil d'IA à la messagerie, au stockage en ligne ou à une autre application nécessite l'autorisation de [responsable] ;
- aucun outil n'envoie de message externe, n'effectue de paiement ni ne supprime de fichier sans confirmation préalable d'une personne ;
- [autres règles].
6. Relecture humaine et transparence
Tout contenu produit avec l'IA est relu avant d'être utilisé hors de l'équipe, en particulier les chiffres, noms, dates, citations et références juridiques. La relecture est faite par une personne qui a la compétence nécessaire pour vérifier le contenu. La personne qui l'utilise en est responsable. Nous indiquons qu'un contenu a été généré ou modifié par l'IA lorsque la loi l'exige ou lorsque [Entreprise] le décide : [ex. : images, sons ou vidéos réalistes].
7. Formation, questions et incidents
Chaque personne reçoit une formation adaptée à son poste et aux outils qu'elle utilise [à son arrivée / avant le (date)]. Nous tenons un registre simple : date, personnes et contenu.
Questions : [responsable, canal].
Si une information est partagée sans autorisation (par exemple, une information orange ou rouge dans un outil ou un compte non autorisé), ou si un outil effectue une action imprévue, [responsable] est prévenu immédiatement par [canal].
La liste des outils est revue tous les [6 mois] ; la charte, tous les [12 mois] ou quand la loi ou les outils changent.
Vous voulez la version modifiable ? Écrivez-moi à patrik@coachiapro.com et je vous l'envoie.
3. Comment adapter ses sept rubriques
Champ d'application. Incluez les indépendants et collaborateurs qui travaillent avec des informations de l'entreprise. Selon les questions-réponses de la Commission européenne, les mesures de maîtrise de l'IA de l'article 4 visent aussi les « autres personnes » qui agissent pour le compte de l'organisation, comme des sous-traitants ou des prestataires.
Outils autorisés. La vraie décision n'est pas Claude, ChatGPT ou Gemini, mais compte professionnel ou compte personnel. Les offres entreprise proposent une administration centralisée et des conditions spécifiques sur l'utilisation des données ; les comptes personnels, non. Avant de remplir le tableau, vérifiez les conditions de chaque offre : nous l'expliquons dans IA et données de l’entreprise : est-ce sûr ? et nous comparons les offres dans Claude, ChatGPT ou Gemini.
Feu tricolore. Soyez précis : une interdiction vague (« ne pas saisir d'informations sensibles ») oblige chacun à décider seul de ce qui est sensible. Pour que le feu tricolore fonctionne, chaque couleur a besoin d'exemples tirés de votre propre activité. Et une offre entreprise ne suffit pas pour passer au vert : l'information doit aussi être nécessaire, et l'entreprise doit avoir le droit de la partager.
Usages. Séparez ce que la loi interdit, ce que votre entreprise interdit et ce qui demande une validation. Les mélanger crée de la confusion : le recrutement avec l'IA n'est pas interdit, mais il demande une analyse préalable (voir rubrique 7).
Actions. C'est la rubrique qui devient le plus vite insuffisante. Les outils ne se contentent plus d'écrire : ils se connectent à la messagerie, à l'agenda et aux dossiers partagés, et peuvent agir. La règle utile est simple : l'IA prépare, une personne confirme.
Relecture humaine. Définissez qui relit quoi. Dans une PME, une règle suffit souvent : qui envoie ou signe, relit, avec la compétence nécessaire pour vérifier. Relire ne suffit pas pour valider un calcul ou une référence juridique qu'on ne maîtrise pas : dans ce cas, la relecture revient à quelqu'un qui peut vérifier.
Formation et incidents. Le registre peut rester simple : la Commission précise que l'article 4 n'exige pas de certificat. Un incident typique consiste à coller un document confidentiel dans un compte personnel : l'important est que l'équipe sache qui prévenir, et le fasse sur le moment.
4. Trois situations courantes, et pourquoi elles se décident ainsi
| Situation | Feu | Conditions | Qui valide |
|---|---|---|---|
| Un commercial prépare une proposition pour un client à partir de notes de réunion | Orange | Outil professionnel configuré ; seulement les informations du client nécessaires à la proposition ; aucune donnée d'autres clients ; prix et engagements relus avant l'envoi | Le commercial ; son responsable en cas de conditions particulières |
| Une responsable administrative analyse des factures fournisseurs pour repérer des erreurs | Orange (IBAN et coordonnées bancaires : rouge après analyse, selon la règle interne du modèle) | Offre entreprise configurée ; seulement les données nécessaires ; aucun paiement sans relecture humaine | La responsable administrative |
| Un cabinet résume le dossier d'un client | Rouge, après analyse | Vérifier d'abord le secret professionnel, le mandat du client et les conditions de l'outil | L'associé responsable du dossier |
Pourquoi la proposition commerciale passe à l'orange et pas au vert. Elle contient le nom du client, ses besoins et souvent des prix : des informations confidentielles, même sans données particulièrement sensibles. C'est un usage légitime et utile, mais avec l'outil professionnel et le strict nécessaire. Ce qui ne doit pas y entrer, ce sont les propositions d'autres clients utilisées comme « modèle ».
Pourquoi un responsable ne peut pas autoriser seul n'importe quelle donnée rouge. Saisir des données de santé ou un dossier couvert par le secret professionnel ne dépend pas de la volonté de l'entreprise : cela dépend de l'existence d'une base juridique, de ce que prévoit le contrat avec le fournisseur et de la configuration de l'outil. La signature interne vient à la fin de cette analyse, elle ne la remplace pas.
Pourquoi connecter sa messagerie demande un autre examen que résumer un e-mail. Quand quelqu'un colle un e-mail dans une conversation, il choisit ce qu'il partage. Quand il connecte sa boîte, selon les autorisations accordées et le fonctionnement du connecteur, l'outil peut accéder à des messages et pièces jointes au-delà du contenu choisi pour une tâche, y compris des données de tiers, et parfois agir. Avant d'autoriser une connexion, il faut examiner les autorisations demandées, les conditions du fournisseur et la possibilité de limiter l'accès.
5. Un format d'atelier de 90 minutes pour une première version
Voici le format d'atelier que je propose pour obtenir une première version, pas une charte approuvée et déployée.
- Inventaire (20 min). Chacun dit quels outils il utilise aujourd'hui, avec quel compte et pour quelles tâches. Sans jugement : il s'agit de voir la situation telle qu'elle est.
- Feu tricolore (25 min). On classe les types d'informations de l'entreprise en vert, orange et rouge, avec des exemples concrets.
- Règles (25 min). Outils autorisés, usages soumis à validation, règles pour les actions et pour la relecture.
- Responsables et suite (20 min). Qui approuve le texte, qui répond aux questions, quand l'équipe est formée et quand la charte est revue.
Ensuite : validation par la direction, communication à toute l'équipe, formation adaptée à chaque poste et, le cas échéant, information des représentants du personnel (voir rubrique 7).
6. Ce qu'exige la loi, et ce qu'elle n'exige pas
Quand une entreprise utilise Claude, ChatGPT ou Gemini pour des tâches courantes comme celles de ce guide, elle agit normalement comme déployeur au sens du règlement européen sur l'IA, et non comme fournisseur. Le règlement n'exige pas de document intitulé « charte », mais des mesures qu'une charte aide à organiser.
| Situation | Ce que l'entreprise doit examiner | Référence |
|---|---|---|
| L'équipe utilise l'IA pour rédiger, résumer ou traduire | Des mesures pour favoriser la maîtrise de l'IA des personnes qui l'utilisent, adaptées à leurs connaissances et au contexte. La Commission cite expressément ce cas : il faut informer de risques comme les hallucinations. Traitement des données personnelles conforme au RGPD | Art. 4 du règlement, applicable depuis le 2 février 2025, modifié par le règlement (UE) 2026/1744 |
| Des textes générés par l'IA sont publiés pour informer le public sur des questions d'intérêt public | Indiquer que le texte a été généré par l'IA, sauf s'il a fait l'objet d'une relecture humaine ou d'un contrôle éditorial et qu'une personne en assume la responsabilité éditoriale | Art. 50.4, applicable depuis le 2 août 2026 |
| Des images, sons ou vidéos réalistes sont générés (hypertrucages) | Indiquer qu'ils sont artificiels, avec des règles adaptées pour les œuvres créatives ou satiriques | Art. 50.4 |
| Un chatbot est installé pour répondre aux clients | Vérifier avec le fournisseur que le système informe les personnes qu'elles interagissent avec une IA, et examiner les données qu'il collecte | Art. 50.1 (obligation du fournisseur) et RGPD |
| L'IA sert à recruter ou à évaluer des salariés | Il peut s'agir d'un système à haut risque, avec des obligations pour le déployeur à partir du 2 décembre 2027. Dès aujourd'hui : RGPD (décisions automatisées) et, en Espagne, information du comité d'entreprise | Annexe III, point 4 (dates : règlement (UE) 2026/1744) ; art. 22 RGPD ; art. 64.4.d du Statut des travailleurs espagnol |
| L'IA sert à déduire les émotions des personnes au travail | Interdit, sauf pour des raisons médicales ou de sécurité | Art. 5.1.f, depuis le 2 février 2025 |
Ce que l'article 4 n'exige pas, selon la Commission européenne : un niveau de connaissances précis, la mesure du niveau de chaque personne, des certificats ou une structure de gouvernance particulière. Il exige en revanche des mesures réelles : remettre la charte ne suffit pas à lui seul.
Nouveauté à partir du 2 décembre 2026 : le règlement (UE) 2026/1744 ajoute aux pratiques interdites, entre autres, l'utilisation de systèmes d'IA pour générer des images, vidéos ou sons intimes réalistes d'une personne identifiable sans son consentement.
En Espagne, l'Agence espagnole de supervision de l'intelligence artificielle (AESIA) contrôle l'application du règlement, avec d'autres autorités comme l'Agence espagnole de protection des données (AEPD). Le projet de loi organique sur le bon usage et la gouvernance de l'IA, adopté par le gouvernement en mai 2026, est devenu caduc le 6 octobre 2026, selon son dossier au Congrès des députés (121/000096), après la dissolution des Cortes (décret royal 806/2026 du 5 octobre). Les élections générales ont lieu le 29 novembre 2026 ; il reviendra à la nouvelle législature de le reprendre ou non. En attendant, le règlement européen s'applique directement.
Cette rubrique est informative et ne constitue pas un conseil juridique.
7. Les cas qui demandent un examen spécifique
Ressources humaines. Trier des CV, attribuer des tâches ou évaluer la performance avec l'IA touche aux droits des personnes. Outre le RGPD, en Espagne, le Statut des travailleurs reconnaît au comité d'entreprise le droit d'être informé des paramètres, règles et instructions des algorithmes ou systèmes d'IA qui influent sur les décisions relatives aux conditions de travail, à l'accès à l'emploi et à son maintien, y compris le profilage (art. 64.4.d), et de rendre un avis sur la mise en place de systèmes d'organisation et de contrôle du travail (art. 64.5.f). La procédure dépend du projet : analysez-la avant de le lancer.
Secret professionnel et confidentialité. Les cabinets d'avocats ont des obligations déontologiques propres. Les cabinets de conseil et d'expertise peuvent avoir des obligations de confidentialité par contrat ou par leur réglementation professionnelle, à vérifier au cas par cas. Pour les services professionnels : IA pour les cabinets professionnels.
Données sensibles. Les catégories particulières de données (par exemple, la santé) et les données de mineurs sont deux sujets distincts, chacun avec ses règles. Par défaut : rouge après analyse, avec votre délégué à la protection des données si vous en avez un.
Agents et connecteurs. Un outil connecté à la messagerie ou aux dossiers partagés peut accéder à plus d'informations que celles que l'utilisateur lui montre. Autorisez chaque connexion et vérifiez les autorisations.
8. Erreurs fréquentes
- Tout interdire. Une interdiction totale peut favoriser des usages non autorisés, sur des comptes personnels et sans règles.
- Copier un modèle de douze pages. Un document trop long peut compliquer son application. Mieux vaut un texte court, avec des exemples tirés de l'entreprise.
- Ne pas définir ce qu'est une information sensible. Sans exemples, chacun décide seul.
- Oublier les actions. Une charte limitée à ce que l'on écrit dans le chat devient insuffisante dès que quelqu'un connecte une application.
- Ne pas la réviser. Les outils changent tous les quelques mois ; la liste des outils autorisés doit suivre.
9. Questions fréquentes
Une charte d'utilisation de l'IA est-elle obligatoire ?
Le règlement européen sur l'IA n'exige pas de document portant ce nom. Il exige, depuis le 2 février 2025, des mesures pour favoriser la maîtrise de l'IA des personnes qui l'utilisent (art. 4). Une charte écrite est une façon simple d'organiser ces mesures et d'en garder la trace.
Faut-il informer les représentants du personnel ?
Cela dépend de l'usage. En Espagne, si l'IA intervient dans des décisions qui touchent aux conditions de travail, à l'accès à l'emploi ou à son maintien, le comité d'entreprise a le droit d'être informé (art. 64.4.d du Statut des travailleurs). Dans les autres pays, les règles nationales du droit du travail s'appliquent. À examiner au cas par cas.
Peut-on utiliser la version gratuite de ChatGPT, Claude ou Gemini ?
Pour des informations publiques, cela peut être acceptable si votre charte le permet. Pour des informations de l'entreprise, mieux vaut une offre entreprise, dont les conditions d'utilisation des données et d'administration des comptes sont différentes.
À quel rythme la réviser ?
La liste des outils, tous les six mois à titre indicatif ; la charte complète, une fois par an ou quand la loi, les outils ou les usages changent.
Qui doit l'approuver ?
La direction. La rédaction gagne à se faire avec l'équipe, pour refléter les usages du quotidien.
La charte suffit-elle pour respecter l'article 4 ?
Non. La charte organise l'usage, mais l'article 4 demande des mesures adaptées aux personnes : formation, accompagnement ou ressources selon le poste et les outils.
Nous adaptons cette charte aux outils, aux données et aux tâches de votre équipe, et nous vous aidons à former l'équipe et à l'appliquer. Demandez un appel d'information : 30 minutes, gratuit, et une proposition sur mesure sous 5 jours ouvrés. Vous préférez commencer par la version modifiable du modèle ? Écrivez-moi à patrik@coachiapro.com.
Sources (consultées le 21 octobre 2026)
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, articles 4, 5 et 50 et annexe III — AI Act Service Desk, Commission européenne.
- Règlement (UE) 2026/1744 (omnibus numérique sur l'IA) — EUR-Lex.
- Commission européenne, AI Literacy – Questions & Answers — digital-strategy.ec.europa.eu.
- Statut des travailleurs espagnol (Estatuto de los Trabajadores), article 64 — BOE.
- Gouvernement espagnol, projet de loi organique sur le bon usage et la gouvernance de l'IA — La Moncloa.
- Congrès des députés, dossier 121/000096, situation « Concluido – Caducado » — congreso.es.
- Décret royal 806/2026 du 5 octobre, de dissolution du Congrès des députés et du Sénat — BOE.
- Google Cloud, Office of the CISO, How to craft an Acceptable Use Policy for gen AI (2024) — cloud.google.com.