Gouvernance IA · Modèle 2026
Charte IA entreprise : le guide, les 7 étapes et le modèle 2026
Une charte IA d'entreprise est le document interne qui fixe les règles d'utilisation de l'intelligence artificielle au travail : quels outils sont autorisés, ce qui ne doit jamais y être saisi, et qui valide avant qu'une production parte vers un client. Vos collaborateurs s'en servent déjà, souvent via des comptes personnels — la charte transforme cet usage caché en usage assumé, dans un cadre clair. Voici les huit rubriques qu'elle doit contenir, les sept étapes de mise en place au sein de l'entreprise, les erreurs qui la condamnent, et notre modèle à télécharger.
Ce qui se passe sans règle écrite
Pourquoi une charte IA, et pourquoi maintenant
Trois risques distincts, qui ne se traitent pas au même endroit.
Le risque juridique
Le RGPD s'applique déjà à chaque prompt contenant des données personnelles. L'AI Act ajoute ses obligations de transparence (art. 50) au 2 août 2026, puis les exigences « haut risque » de l'annexe III au 2 décembre 2027. La charte opérationnalise ces règles au quotidien.
Le risque social
L'introduction d'un outil d'IA touche l'organisation du travail : le CSE doit être informé et consulté. Une charte co-construite désamorce la défiance — une interdiction pure pousse l'usage dans l'ombre.
Le risque opérationnel
Sans règle écrite, des données clients, du code ou des contrats partent dans des outils grand public sans garantie de non-rétention ni de non-entraînement. La charte fixe la ligne : quelles données, quels outils, quelles vérifications.
Le contenu minimal
Les 8 rubriques d'une charte IA qui fonctionne
Le contenu minimal pour qu'elle soit utile — et utilisée.
Périmètre et outils autorisés
La liste des outils validés par l'entreprise, avec leur configuration (compte professionnel, rétention désactivée) — et la procédure pour en faire ajouter un.
Données interdites de saisie
Données personnelles, données clients, secrets d'affaires, code propriétaire : ce qui ne doit jamais être collé dans un outil non validé, avec des exemples concrets par métier.
Validation humaine obligatoire
Aucune production d'IA ne part vers un client, un candidat ou une administration sans relecture humaine. Qui valide, et comment la validation est tracée.
Transparence externe
Quand et comment signaler qu'un contenu ou une interaction implique une IA : la mention à porter, sur quels supports, et qui en répond — l'obligation de l'article 50 de l'AI Act, applicable au 2 août 2026.
Propriété et réutilisation des contenus
Qui possède les productions générées, ce qui peut être réutilisé publiquement, et les précautions sur le droit d'auteur des sources.
Formation et montée en compétence
Le socle de formation prévu pour chaque service concerné, et le référent à qui poser une question — l'usage confiant s'apprend, il ne se décrète pas.
Signalement des incidents
Fuite de données, réponse erronée à fort impact, biais détecté : à qui le signaler, sous quel délai, sans culpabilisation du déclarant.
Gouvernance et révision
Qui porte la charte, à quelle fréquence elle est revue, et comment les nouveaux outils y entrent. Une charte figée est morte en six mois.
Sept étapes, dans cet ordre
Les 7 étapes pour mettre en place une charte IA au sein de l'entreprise
Rédiger le document est la cinquième étape, pas la première.
L'ordre compte : une charte d'utilisation de l'IA écrite avant la cartographie interdit des usages qui n'existent pas et autorise ceux que personne n'a vus.
Constituer le groupe de travail
Direction, juridique, DPO, informatique, et deux ou trois praticiens par service concerné. Le management de proximité y a sa place : c'est lui qui fera vivre la règle au quotidien, et c'est souvent le dirigeant qui doit arbitrer le premier.
Cartographier les usages réels
Les formels et les informels : comptes personnels, extensions de navigateur, assistants intégrés aux suites bureautiques. L'inventaire honnête est la seule base solide — c'est ce qu'un audit IA produit avant toute rédaction.
Définir les objectifs et la portée
Ce que la charte vise à protéger — propriété intellectuelle, sécurité, confiance des clients — et ce qu'elle ne couvre pas : les systèmes IA déjà embarqués dans vos logiciels métier relèvent d'un registre, pas d'une règle d'usage.
Classer par sensibilité
Quatre catégories suffisent : publiques, internes, confidentielles, personnelles. Pour chacune, quel outil est autorisé. Sans cette grille de sensibilité, la charte reste une déclaration d'intention.
Rédiger en langage clair
Des phrases qu'un salarié applique sans avocat. Chaque interdiction s'accompagne d'une alternative autorisée : une règle sans issue de secours est une règle contournée. C'est là que se joue le respect effectif du texte.
Consulter le CSE, puis former
L'information-consultation d'abord, la formation ensuite. Une charte diffusée sans formation est lue une fois et oubliée ; c'est l'écart le plus fréquent entre une charte signée et une charte appliquée.
Publier, faire signer, réviser
Signature ou accusé de lecture, responsabilité nommée, date de révision inscrite dans le document lui-même. Une revue par semestre, et le registre des systèmes IA mis à jour à chaque nouvel outil.
La pièce qui rend la règle applicable
Quelle donnée dans quel outil : la grille de sensibilité
Publiques
Internes
Confidentielles
Personnelles
En pratique, une règle ne devient applicable qu'au moment où elle nomme la donnée et l'outil. La grille de sensibilité est cette pièce : quatre catégories de contenu, trois destinations possibles, et pour chaque croisement une réponse écrite. Les principes éthiques annoncés en tête de charte — loyauté, non-discrimination, respect de la vie privée — ne descendent dans le quotidien des équipes que par cette grille.
Elle règle aussi les risques liés au contournement : chaque interdiction y ouvre une alternative autorisée — c'est le seul point sur lequel nous n'avons jamais vu d'exception en mission.
C'est enfin ce qui permet de concilier innovation et sécurité sans arbitrer entre les deux : une bonne pratique écrite vaut mieux qu'une interdiction générale, et les pratiques d'un service commercial n'ont pas les mêmes points de fuite que celles d'un bureau d'études.
Ce que nous nous imposons
La charte que nous appliquons à nous-mêmes
Recommander une charte sans en publier une soi-même est une position confortable. JAIKIN publie la sienne : la Charte IA responsable v1.0, en ligne depuis avril 2026, sept engagements que nous inscrivons au contrat plutôt que dans une plaquette.
Deux piliers la structurent. La protection d'abord : pseudonymisation avant tout envoi à un modèle, hébergement dans l'Union européenne, conservation limitée au strict besoin. La souveraineté ensuite : modèles open source exécutés localement pour les usages à faible risque, fournisseurs européens à équivalence fonctionnelle, architectures réversibles — vous récupérez tout en format ouvert, à tout moment.
Six principes opérationnels complètent ces piliers : supervision humaine sur toute décision engageante, explicabilité (prompts documentés, sources citées, scores de confiance exposés), analyse active des biais, conformité RGPD et AI Act avec un référent désigné par mission, sobriété numérique, transparence sur les limites de chaque système. Revue annuelle, signalement ouvert, traitement sous quinze jours.
Ce que l'exercice nous a appris vaut pour la vôtre : une charte n'est crédible que si chacune de ses lignes est vérifiable. « Nous respectons l'éthique de l'intelligence artificielle » n'engage personne. « Vos données ne quittent pas l'Union européenne, et toute exception vous est signalée avant sa mise en œuvre » engage. C'est la différence entre une charte de communication et un cadre de travail.
Ce qui condamne une charte
Les 3 erreurs qui condamnent une charte
La charte-interdiction
Tout interdire ne supprime pas l'usage, il le cache. Le « shadow IA » prospère exactement là où la charte n'offre aucune alternative autorisée.
La charte copiée-collée
Un modèle générique non adapté à vos métiers ne sera pas lu. Les exemples de données interdites doivent parler à vos équipes : devis, dossiers candidats, plans, contrats.
La charte sans pilote
Sans responsable nommé ni date de révision, la charte devient obsolète au premier changement d'outil — et perd toute crédibilité.
Ce que l'AI Act impose vraiment (et quand) Le RGPD s'applique déjà. Les obligations de transparence de l'article 50 (signaler qu'une IA intervient) entrent en application le 2 août 2026. Les exigences des systèmes « haut risque » de l'annexe III — dont l'IA de recrutement — suivent le 2 décembre 2027. Une charte n'est pas une obligation légale en soi : c'est l'outil qui rend ces obligations applicables au quotidien.
Rédiger la règle ne suffit pas. Nous accompagnons des PME et ETI partout en France pour faire déployer cette gouvernance par notre cabinet IA dans les outils et les processus réels, puis pour former les équipes qui l'appliqueront.
Gouvernance et téléchargement
Notre modèle de charte IA, prêt à adapter
Le modèle que nous déployons chez nos clients : onze sections rédigées en langage clair avec les champs à compléter, la grille de sensibilité qui dit quel outil accepte quoi, le registre des systèmes IA à six colonnes, et la clause de transparence de l'article 50 déjà intégrée. PDF prêt à imprimer, envoyé par email — il ne constitue pas un conseil juridique.
Besoin d'une charte adaptée à vos métiers, pas d'un modèle générique ?
Télécharger le modèle de charte IACe qu'on nous demande
Questions fréquentes
Une charte IA est-elle obligatoire ?
Non, aucune loi n'impose une « charte IA » en tant que telle. En revanche, le RGPD s'applique déjà aux données personnelles traitées via l'IA, et l'AI Act impose la transparence (art. 50) au 2 août 2026 puis des exigences renforcées pour les systèmes à haut risque au 2 décembre 2027. La charte est le moyen pratique de rendre ces obligations applicables par vos équipes.
Qui doit rédiger la charte IA dans l'entreprise ?
Un binôme direction + terrain fonctionne le mieux : la direction porte le cadre (juridique, RH, SI), et des utilisateurs réels valident que les règles sont applicables dans leur métier. Le DPO doit relire le volet données. Une charte écrite par une seule fonction — juridique ou IT — finit généralement ignorée.
Faut-il consulter le CSE avant de déployer une charte IA ?
Oui dès que l'introduction de l'IA touche l'organisation du travail, les conditions d'emploi ou la surveillance de l'activité — ce qui est presque toujours le cas. Présenter la charte au CSE avant le déploiement transforme un point de friction en point d'appui : elle montre que l'IA vient outiller les équipes, pas les surveiller.
Que doit contenir une charte IA au minimum ?
Les huit rubriques détaillées plus haut, dans cet ordre — le périmètre d'abord, la gouvernance de révision en dernier. Une charte d'une page qui ne couvre que les interdictions pousse l'usage dans l'ombre.
À quelle fréquence faut-il mettre à jour une charte IA ?
Une revue par semestre est un bon rythme : les outils, les modèles et les échéances réglementaires bougent vite. L'essentiel est de nommer un responsable de la charte et d'inscrire la date de prochaine révision dans le document lui-même.
Quels outils inclure dans une charte IA ?
Trois listes plutôt qu'une : les outils validés par l'entreprise avec leur configuration exacte (compte professionnel, rétention et entraînement désactivés), les outils tolérés sur contenus publics uniquement, et les solutions grand public interdites dès qu'un élément client est en jeu. Ajoutez surtout la procédure pour faire ajouter un outil : sans elle, chaque nouveauté crée un usage hors charte. En pratique, c'est le registre des systèmes IA qui tient ces trois listes à jour.
Quels risques une charte IA doit-elle couvrir ?
Quatre familles. La fuite de données : informations clients ou code propriétaire saisis dans un outil non validé. L'erreur non détectée : une production d'IA envoyée sans relecture humaine. Le risque juridique : RGPD, propriété intellectuelle, mentions de transparence de l'article 50. Le risque social : déploiement sans information du CSE. Pour chaque famille, la charte nomme la responsabilité et le réflexe attendu — c'est ce qui la distingue d'une note de service.
Comment assurer la conformité d'une charte IA au RGPD et à l'AI Act ?
En rattachant chaque règle à l'obligation qu'elle sert : base légale et minimisation pour le RGPD, mention de transparence pour l'article 50. Tenez un registre des systèmes IA — finalité, niveau de risque, responsable, fournisseur : c'est la pièce qui prouve la démarche. Une charte bien faite encadre sans bloquer l'innovation.