Une charte IA en entreprise mal écrite se reconnaît à un symptôme précis : trois semaines après sa diffusion, plus personne n'y fait référence. Elle a été lue en diagonale, jugée décalée par rapport au travail réel, et rangée dans le dossier des documents que l'on ressort en cas d'incident.
La cause est presque toujours la même : le texte a été construit comme une liste d'interdits, à partir de ce que l'entreprise craint. Or une liste d'interdits vieillit très mal. Elle nomme des outils qui changent, elle omet les cas non prévus, et elle laisse le salarié sans réponse pour la seule question qu'il se pose vraiment, à savoir ce qu'il a le droit de faire ce matin, avec le document ouvert sur son écran.
Cet article propose l'approche inverse : partir des usages autorisés, classer les données plutôt que les outils, et écrire un texte court que l'on peut réellement appliquer. Vous trouverez une trame en huit sections, avec pour chacune les formulations qui tiennent dans le temps.
Partir des usages autorisés plutôt que des interdits
Un salarié qui lit « il est interdit de transmettre des informations confidentielles à un système d'intelligence artificielle » n'apprend rien d'exploitable. Il ne sait pas si le compte rendu de la réunion d'hier est confidentiel, ni ce qu'il est censé faire à la place.
Le même salarié qui lit « vous pouvez utiliser l'assistant fourni par l'entreprise pour reformuler, résumer et traduire tout document interne ; les documents marqués sensibles ne doivent y être ni collés ni téléversés » sait exactement quoi faire, et l'interdit devient une conséquence lisible plutôt qu'un mur.
Cette bascule a trois effets mesurables : le texte est plus court, il est plus lu, et il fait baisser l'usage clandestin, parce qu'il ouvre une voie officielle au lieu de fermer une porte. C'est la réponse de fond au problème du shadow AI, qui prospère précisément là où rien n'est écrit.
Charte IA en entreprise : la trame en huit sections
Cette structure tient en trois à quatre pages. Au-delà, le taux de lecture s'effondre.
- Objet et périmètre. À qui s'applique le texte (salariés, stagiaires, prestataires) et à quoi (tout système d'IA générative, qu'il soit fourni par l'entreprise ou non). Une phrase pour dire que le document ne remplace pas les règles existantes de sécurité et de protection des données, il les précise.
- Les outils mis à disposition. La liste des outils fournis, avec pour chacun ce à quoi il sert. C'est la section la plus consultée, et la seule qui doit citer des noms de produits.
- La classification des informations. Trois niveaux, avec des exemples pris dans votre métier. C'est le cœur du document, détaillé plus bas.
- Les usages encouragés. Cinq à dix exemples concrets et bénins : reformulation, résumé, traduction, préparation de plan, génération de tests, aide à la recherche documentaire. Cette section légitime l'outil et évite l'autocensure.
- Les usages soumis à validation. Ce qui n'est pas interdit mais demande un avis : traitement de données personnelles, production de contenus publiés au nom de l'entreprise, aide à une décision affectant une personne, écriture de code destiné à la production.
- Les usages exclus. Courte, cette section. Décision automatisée sur des personnes sans intervention humaine, traitement de données sensibles hors solution dédiée, contournement des contrôles de sécurité, usage à des fins personnelles sur des données de l'entreprise.
- La responsabilité de la production. Le principe qui résume tout : celui qui utilise l'outil reste l'auteur du résultat. Il vérifie les faits, les chiffres, les références et les citations avant toute diffusion.
- Le contact et la mise à jour. Qui répond aux questions, comment demander l'ajout d'un outil, à quelle fréquence le document est révisé.
Classer les données, pas les outils
C'est la décision qui donne au texte sa durée de vie. Une liste d'outils autorisés est périmée en trois mois. Une classification des informations reste valable des années et s'applique automatiquement à tout nouvel outil.
| Niveau | Exemples | Règle d'usage |
|---|---|---|
| Public | Contenus déjà publiés, documentation externe, textes marketing en préparation sans chiffre confidentiel | Usage libre, y compris avec des outils grand public |
| Interne | Procédures, comptes rendus, correspondance courante, présentations internes | Uniquement dans les outils fournis par l'entreprise |
| Sensible | Données personnelles, éléments couverts par un accord de confidentialité, données de santé, informations financières non publiées, code source propriétaire, éléments contractuels | Interdit sauf solution dédiée et validation écrite |
Deux conseils d'application. D'abord, donnez au moins cinq exemples par niveau, pris dans le quotidien de vos équipes : c'est ce qui fait la différence entre un texte compris et un texte interprété. Ensuite, prévoyez la règle par défaut : en cas de doute, on traite l'information comme interne. Sans cette phrase, chaque cas ambigu remonte, et vous créez le goulot d'étranglement que la charte devait éviter.
Les formulations qui tiennent et celles qui meurent en un mois
La différence entre une charte appliquée et une charte oubliée se joue souvent sur quelques tournures.
| Formulation fragile | Pourquoi elle échoue | Formulation qui tient |
|---|---|---|
| « L'usage des outils d'IA est soumis à autorisation préalable de la direction » | Ingérable en volume, contournée dès la deuxième semaine | « Les outils listés en annexe sont utilisables librement dans le cadre défini ci-dessous. Toute demande d'ajout se fait auprès de [contact], réponse sous cinq jours ouvrés » |
| « Il est interdit d'utiliser [nom d'un produit] » | Nomme un produit parmi des dizaines, et sera obsolète | « Les documents de niveau interne ne doivent être traités que dans les outils fournis par l'entreprise » |
| « Les contenus générés par IA doivent être vérifiés » | Trop vague pour être opposable ou appliquée | « Avant toute diffusion, l'utilisateur vérifie les chiffres, les noms, les dates et les références citées, et conserve la source d'origine » |
| « Aucune donnée personnelle ne doit être transmise à une IA » | Interdit de fait la moitié des usages RH et support, donc sera enfreinte | « Le traitement de données personnelles par un outil d'IA relève des mêmes règles que tout autre traitement : il passe par [référent] et figure au registre » |
| « Tout contenu produit avec l'IA doit être signalé » | Inapplicable dès que l'IA est intégrée aux outils bureautiques | « Les contenus publiés au nom de l'entreprise et les livrables clients mentionnent le recours à l'IA lorsque le contrat ou le client l'exige » |
Le fil conducteur : une règle doit être vérifiable et proportionnée. Une règle que personne ne peut contrôler et que tout le monde enfreint affaiblit l'ensemble du document, y compris les sections qui comptent vraiment.
Le volet formation, qui n'est plus optionnel
Une charte n'a d'effet que si les personnes concernées comprennent de quoi on parle. Ce point a pris une dimension réglementaire : le règlement européen sur l'intelligence artificielle impose aux organisations qui déploient ces systèmes de veiller à un niveau suffisant de maîtrise de l'IA chez les personnes qui les utilisent, obligation applicable depuis février 2025.
Traduit en pratique, cela signifie une section courte dans la charte et un dispositif derrière :
- Une sensibilisation d'une heure par équipe, avec des exemples pris dans leur travail réel, plutôt qu'un module générique de trente minutes.
- Trois notions à faire passer absolument : le modèle produit du plausible et pas du vrai, les données envoyées sortent du périmètre de l'entreprise, l'utilisateur reste responsable du résultat.
- Une trace de qui a été formé et quand, qui vous servira le jour où il faudra démontrer la démarche.
Faire vivre le document
Une charte est un objet vivant, et cela se prépare dans le texte lui-même.
- Choisissez le bon véhicule juridique. Une charte purement informative n'est pas opposable de la même façon qu'un document annexé au règlement intérieur. Si vous voulez pouvoir sanctionner un manquement, la procédure applicable au règlement intérieur, information et consultation des représentants du personnel comprises, doit être respectée. Beaucoup d'entreprises préfèrent une note de service pédagogique dans un premier temps, quitte à durcir ensuite.
- Sortez la liste des outils du corps du texte. Placez-la en annexe, avec une date de mise à jour. L'annexe évolue sans repasser par la validation du document principal.
- Fixez une revue trimestrielle avec un responsable nommé. Trente minutes suffisent : nouveaux outils demandés, incidents constatés, questions récurrentes.
- Reliez la charte à la gouvernance. Le texte dit ce qui est permis, il ne dit pas qui décide. Ce partage des rôles relève de la gouvernance de l'IA, et les deux documents doivent se répondre sans se répéter.
- Mesurez l'usage, pas la conformité déclarative. Le nombre de demandes d'ajout d'outils est un bien meilleur indicateur de santé que le nombre de signatures collectées.
Les dix lignes à écrire cette semaine
Si vous n'avez rien aujourd'hui, ne visez pas le document parfait. Publiez une version courte, quitte à l'enrichir. Elle doit répondre à quatre questions : quels outils sont fournis, quelles informations peuvent y entrer, qui vérifie ce qui en sort, à qui l'on s'adresse en cas de doute.
Une charte IA en entreprise utile se juge à un test simple : donnez-la à lire à trois personnes de métiers différents et demandez-leur si elles savent quoi faire du document ouvert sur leur écran. Si les trois hésitent, le problème n'est pas leur attention, c'est votre texte. Reprenez-le en partant de leurs cas réels, et vous obtiendrez en deux itérations un document que les équipes citeront d'elles-mêmes.
Laisser un commentaire