Charte IA entreprise : le modèle en une page pour une PME

Dans la plupart des PME, l’IA est déjà là. Un commercial reformule ses relances dans ChatGPT, une assistante résume des comptes rendus, quelqu’un a collé un tableau de prix dans un outil gratuit pour en tirer une synthèse. Personne n’a dit si c’était permis. Personne n’a dit non plus que c’était interdit. C’est ce flou, plus que l’outil, qui crée le risque : des données qui sortent sans que personne le sache, et des équipes qui n’osent pas utiliser ce qui leur ferait gagner du temps.

Toute la série Mon IA renvoie à « la règle d’usage en une page ». Cette page la donne en entier, prête à adapter. Elle porte sur le document lui-même ; la question de fond, ce qu’une entreprise peut confier à un outil selon la nature de ses données et les conditions des éditeurs, fera l’objet d’un article à part.

Réponse en bref : une charte IA utile tient sur une page et répond à cinq questions : quels outils sont autorisés (avec quel compte), ce qu’on peut leur confier, ce qui n’y entre jamais, qui relit avant que ça sorte de l’entreprise, et qui appeler en cas de doute. La CNIL recommande exactement ce cadre : des usages autorisés et interdits écrits, des utilisateurs formés, un fournisseur dont on a vérifié s’il réutilise les données. Elle s’écrit en une demi-journée, s’explique en une heure, et se relit tous les trois mois.

Pourquoi une page, et pas un règlement de vingt pages

Bpifrance Le Lab relève que 30 % des dirigeants de PME et ETI qui utilisent l’IA citent les mauvais usages et la confidentialité parmi leurs principales difficultés, autant que les coûts. Le même rapport reprend une étude Salesforce de novembre 2023 : 58 % des salariés avaient déjà utilisé des outils d’IA non approuvés par leur entreprise.

Ces deux chiffres disent la même chose. Le risque ne vient pas d’un manque de règles détaillées, il vient de l’absence de toute règle connue. Un document de vingt pages n’est pas lu ; une page affichée l’est. Ce qu’il faut, c’est qu’un commercial, devant un devis à reformuler, sache en dix secondes s’il peut le coller dans l’outil.

Le cadre légal pousse dans le même sens. La CNIL recommande d’encadrer l’usage de l’IA générative par des politiques ou chartes internes qui définissent les usages autorisés et interdits, et rappelle que c’est en général l’organisme utilisateur qui engage sa responsabilité si son personnel utilise mal l’outil. L’article 4 du règlement européen sur l’IA, applicable depuis le 2 février 2025, demande aux déployeurs de systèmes d’IA de veiller à un niveau suffisant de maîtrise de l’IA chez leur personnel. Une page écrite, expliquée en une heure, est le socle de l’un comme de l’autre.

Le modèle complet, prêt à adapter

Voici la charte telle que je la livre dans un diagnostic. Les crochets sont à remplir ; le reste tient tel quel pour la plupart des PME.

Rubrique	Ce qu’elle dit
1. Pourquoi	L’IA est autorisée chez [entreprise] pour gagner du temps sur les tâches répétitives. Cette page dit comment, pour protéger nos clients, nos données et chacun d’entre vous.
2. Outils autorisés	[Outil A, compte entreprise], [Outil B, intégré au CRM]. Toujours avec le compte fourni par l’entreprise, jamais un compte personnel. Tout autre outil se demande à [nom] avant usage.
3. Ce qu’on peut confier	Rédiger un premier jet, reformuler, résumer, traduire, structurer, préparer une réunion, à partir d’informations publiques ou internes non sensibles.
4. Ce qui n’y entre jamais	Données personnelles de clients, de prospects ou de salariés (noms, coordonnées, santé, salaires) hors des outils autorisés pour cela ; prix, marges et conditions négociées ; contrats, données financières non publiées ; codes d’accès, mots de passe ; tout document marqué confidentiel.
5. Relecture	Tout ce qui sort de l’entreprise (mail client, devis, publication, document contractuel) est relu par la personne qui l’envoie. L’outil propose, la personne décide et signe. Aucune décision qui engage un client ou un salarié n’est prise par un outil seul.
6. En cas de doute	Ne pas saisir, et demander à [nom, téléphone]. Une erreur (donnée saisie par mégarde, réponse fausse envoyée) se signale le jour même à [nom], sans reproche : c’est ainsi que la règle s’améliore.
7. Mise à jour	Relue tous les trois mois par [nom], ou à chaque nouvel outil. Version du [date].

Sept rubriques, une page imprimée. La rubrique 6 compte autant que la rubrique 4 : une règle qui punit l’erreur pousse à la cacher, une règle qui demande de la signaler fait remonter les vrais cas.

Les quatre décisions à prendre avant d’écrire

La page est simple à écrire une fois que quatre décisions sont prises. Ce sont elles qui demandent une demi-journée, avec deux ou trois personnes qui utilisent déjà les outils.

Décision	La question à trancher	Ce que je recommande
Les outils	Lesquels autoriser, avec quel abonnement ?	Un ou deux outils, en version entreprise, dont les conditions excluent l’entraînement des modèles sur vos données. Vérifié sur la page officielle de l’éditeur, daté.
La frontière des données	Où passe la ligne entre « on peut » et « jamais » ?	Partir de vos données réelles : listez cinq documents que les équipes ont envie de coller dans un outil, et tranchez un par un.
La relecture	Qui relit quoi avant que ça sorte ?	Celui qui envoie relit. Une seconde relecture seulement pour ce qui engage juridiquement ou financièrement.
Le référent	Qui répond aux questions, qui tient la page ?	Une personne nommée, avec un nom et un téléphone, pas une adresse générique.

Sur les outils, la CNIL demande de vérifier si le prestataire est susceptible de réutiliser les données fournies, et d’adapter l’usage en conséquence : quand c’est le cas, interdire la saisie de toute donnée personnelle ou de certaines catégories, et s’opposer à la réutilisation quand c’est possible. C’est ce qui sépare la version gratuite d’un assistant de sa version entreprise, et c’est la raison de la rubrique 2 : le compte personnel est exclu, même pour un usage autorisé.

Ce qui fait vivre la charte (et ce qui la tue)

Une charte écrite puis rangée ne change rien. Trois gestes la font vivre :

L’expliquer en une heure, sur des cas réels. La CNIL recommande de former et sensibiliser les utilisateurs, sur les usages interdits comme sur les risques des usages autorisés. Une heure par équipe suffit, avec leurs propres exemples : « ce devis, je peux le coller ? ».
L’afficher là où l’outil s’ouvre. En page d’accueil de l’intranet, épinglée dans la messagerie d’équipe, imprimée près des postes. Elle doit se retrouver en dix secondes.
La nourrir des erreurs. Chaque cas signalé à la rubrique 6 se discute au rituel mensuel et, si besoin, modifie la page. C’est là que la charte devient celle de l’entreprise, pas celle d’un consultant.

Ce qui la tue est tout aussi connu : un texte juridique illisible, une liste d’interdits sans outil autorisé (l’usage passe alors sur les comptes personnels), et une charte que la direction ne respecte pas elle-même.

Verdict

À faire si des salariés utilisent déjà un outil d’IA, avec ou sans accord ; si un premier cas d’usage se prépare ; si un client ou un donneur d’ordres demande comment vous encadrez l’IA ; si personne ne sait dire aujourd’hui quel outil est autorisé.

Inutile si l’entreprise n’utilise aucun outil d’IA et n’en a aucun en projet : une page sur un usage qui n’existe pas ne sera pas lue. Elle redevient utile le jour où le premier abonnement est pris.

Ce que j’en fais

La charte fait partie de chaque diagnostic IA, au quatrième jour, avec le plan à 90 jours : une première version écrite avec les personnes qui utilisent déjà les outils. Pendant la mise en place, elle s’ajuste au premier cas d’usage. Ensuite, la faire vivre est l’une des tâches du pilote IA à temps partagé : relecture trimestrielle, nouveaux outils, cas signalés.

C’est la marche pilotage de l’offre Mon IA, en Mon Consultant, deux à quatre jours par mois. Si les équipes ont l’outil mais ne s’en servent pas, la charte est souvent la pièce manquante : c’est la deuxième raison de l’article sur l’adoption.

FAQ

Une charte IA est-elle obligatoire dans une entreprise ?

Aucun texte n’impose un document intitulé charte IA. La CNIL recommande d’encadrer l’usage de l’IA générative par des politiques ou chartes internes qui disent clairement les usages autorisés et interdits, et rappelle que l’organisme utilisateur engage sa responsabilité en cas de mauvaise utilisation par son personnel. Le règlement européen sur l’IA demande en plus, depuis le 2 février 2025, que les déployeurs veillent à un niveau suffisant de maîtrise de l’IA chez leur personnel. Une page écrite et expliquée est la façon la plus simple de répondre aux deux.

Faut-il interdire ChatGPT dans l’entreprise ?

L’interdiction pure déplace l’usage sans le supprimer : les salariés utilisent leur compte personnel, sur leur téléphone, et l’entreprise ne voit plus rien. Une étude Salesforce de novembre 2023, citée par Bpifrance, relevait déjà que 58 % des salariés avaient utilisé des outils d’IA non approuvés. La charte fait l’inverse : elle désigne les outils autorisés, avec des conditions qui excluent l’entraînement des modèles sur vos données, et dit ce qui n’y entre jamais.

Qui doit écrire et tenir à jour la charte IA d’une PME ?

Une personne nommée, qui connaît les usages réels : le dirigeant la signe, mais il ne la tient pas. Dans une PME, c’est souvent le responsable du premier cas d’usage, le responsable administratif ou un pilote IA extérieur à temps partagé. Elle s’écrit en une demi-journée avec deux ou trois personnes qui utilisent déjà les outils, et elle se relit tous les trois mois, ou à chaque nouvel outil.

Démarrer

Si des outils d’IA circulent déjà dans vos équipes sans règle écrite, dites-moi lesquels et pour quoi faire : je vous réponds sous 48 h avec les premières lignes de votre charte.

Sources

CNIL, « Comment déployer une IA générative ? La CNIL apporte de premières précisions », 18 juillet 2024 : liste d’utilisations autorisées et interdites, formation des utilisateurs, vérification de la réutilisation des données par le prestataire, gouvernance.
CNIL, « Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative » : politiques ou chartes internes, responsabilité de l’organisme utilisateur, informations que les utilisateurs sont autorisés à partager.
Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 4 « Maîtrise de l’IA », applicable depuis le 2 février 2025.
Bpifrance Le Lab, « L’IA dans les PME et ETI françaises, une révolution tranquille », juin 2025, 1 209 dirigeants : mauvais usages et confidentialité cités comme difficulté (30 %), salariés ayant utilisé des outils non approuvés (58 %, étude Salesforce de novembre 2023).

Et dans votre entreprise ?

Mettre l'IA au travail dans votre PME ?

Un diagnostic de quatre jours, trois cas d'usage chiffrés, un seul mis en production en 90 jours. Décrivez votre situation, je vous réponds sous 48 h avec la porte par laquelle entrer.

Discuter de vos projets ➜

Dans la même catégorie

Quels outils IA payer dans une PME : par poste, ce qui suffit, ce qui dort IA & Marketing 12 cas d'usage IA pour le marketing et la vente d'une PME, classés par effort IA & Marketing Vos équipes n'utilisent pas l'IA : les 5 raisons, et la méthode d'adoption qui tient IA & Marketing

ChatGPT utilisé sans cadre dans l'entreprise : la charte IA en une page