Charte IA entreprise : un modèle pour PME, à adapter

Article 1 Champ d'application

• La charte couvre tout outil qui génère du texte, du code, des images, du son ou des décisions à partir d'une instruction : assistants conversationnels, fonctions d'IA intégrées aux logiciels de bureautique, de messagerie, de CRM ou de comptabilité, agents qui agissent dans les outils de l'entreprise.
• Elle s'applique quel que soit l'appareil utilisé, y compris un téléphone ou un ordinateur personnel dès lors qu'il sert à une tâche professionnelle.
• Elle complète le règlement intérieur, la charte informatique et les engagements de confidentialité déjà signés. En cas de contradiction, la règle la plus stricte s'applique.

À adapter avant diffusion. Vérifiez que votre charte informatique existe et qu'elle est à jour : cette charte IA s'y adosse, elle ne la remplace pas.

Article 2 Outils autorisés

• Seuls les outils suivants sont autorisés pour un usage professionnel : [Liste des outils autorisés].
• Ces outils sont utilisés avec le compte fourni par l'entreprise. Les comptes personnels et les versions gratuites grand public ne sont pas utilisés pour le travail.
• Tout nouvel outil, y compris une extension de navigateur ou une fonction d'IA activée dans un logiciel existant, est soumis à [Nom ou fonction du référent IA] avant usage. La réponse est donnée sous cinq jours ouvrés.
• La liste des outils autorisés est tenue à jour par [Nom ou fonction du référent IA] et accessible à tous.

À adapter avant diffusion. Listez les outils avec leur niveau d'abonnement. Avant d'en autoriser un, lisez ses conditions sur trois points : où les données sont hébergées, si elles servent à entraîner les modèles, combien de temps elles sont conservées.

Article 3 Données qui ne passent jamais par un outil d'IA

Quel que soit l'outil, y compris autorisé, les informations suivantes ne sont ni saisies, ni collées, ni téléversées :

• Les données de santé, les données bancaires, les numéros de sécurité sociale, les pièces d'identité.
• Les données personnelles de salariés ou de candidats : dossiers RH, évaluations, bulletins de paie, CV nominatifs.
• Les mots de passe, clés d'API, jetons d'accès et tout secret technique.
• Les contrats, offres commerciales et documents couverts par un accord de confidentialité avec un client ou un fournisseur, sauf accord écrit de ce dernier.
• Les informations financières non publiées de l'entreprise.

À adapter avant diffusion. Ajoutez vos catégories sensibles propres (plans, formules, fichiers clients, données de patients). Pour les autres données personnelles, la règle par défaut : anonymiser avant de saisir (remplacer les noms par des rôles, retirer adresses et numéros).

Article 4 Ce qui sort d'une IA est un brouillon

• Un contenu généré par une IA est relu en entier par la personne qui l'utilise avant d'être envoyé, publié ou intégré à un document. Cette personne en reste l'auteur responsable.
• Les chiffres, les dates, les citations, les références juridiques et les noms propres sont vérifiés à la source. Une IA peut produire une information fausse avec assurance.
• Un contenu généré n'est jamais envoyé à un client sous forme de copier-coller non relu.
• Aucune décision concernant une personne (recrutement, évaluation, sanction, attribution d'un crédit ou d'une remise) n'est prise sur la seule base d'une réponse d'IA.

À adapter avant diffusion. Désignez les documents pour lesquels une double relecture est exigée (devis, contrats, communications officielles).

Article 5 Agents et automatisations

Quand une IA ne se contente pas de répondre mais agit dans les outils de l'entreprise (envoyer un message, modifier une fiche, créer une facture) :

• Chaque automatisation a un responsable nommé, qui connaît ce qu'elle fait et sait l'arrêter.
• Les actions sensibles sont validées par un humain avant exécution : envoi à un client, engagement financier, suppression de données, modification de droits d'accès.
• Les actions exécutées sont journalisées et le journal est consultable par le responsable.
• Une automatisation ne reçoit que les accès strictement nécessaires à sa tâche.

À adapter avant diffusion. Dressez la liste de vos automatisations en service, avec leur responsable et les actions qui exigent une validation. Si vous n'en avez aucune, gardez l'article : il s'appliquera à la première.

Article 6 Transparence

• Un client, un candidat ou un partenaire qui échange avec un assistant automatisé en est informé dès le début de l'échange.
• Les images, sons ou vidéos générés ou modifiés par une IA et diffusés à l'extérieur sont signalés comme tels.
• En interne, on ne présente pas comme un travail entièrement personnel un livrable produit pour l'essentiel par une IA.

À adapter avant diffusion. Rédigez la phrase d'information affichée par vos assistants (site, messagerie, téléphone) et l'endroit où elle apparaît.

Article 7 Propriété intellectuelle

• On ne demande pas à une IA de reproduire une œuvre protégée, une marque ou le style identifiable d'un auteur vivant pour un usage commercial.
• Le code généré est relu avant intégration, et son origine est signalée lors de la revue de code.
• Les contenus de tiers (documents clients, études payantes, bases de données sous licence) ne sont pas téléversés dans un outil d'IA sans vérifier que la licence le permet.

À adapter avant diffusion. Si vous livrez des créations à vos clients (textes, visuels, code), précisez dans vos contrats la part d'assistance par IA et qui détient les droits.

Article 8 Formation et référent

• [Nom ou fonction du référent IA] est le référent IA de [Nom de l'entreprise] : il tient la liste des outils autorisés, répond aux questions d'usage et reçoit les signalements.
• Toute personne qui utilise un outil d'IA dans son travail suit une formation initiale : fonctionnement et limites des outils, règles de cette charte, cas pratiques de son métier.
• Un rappel a lieu au moins une fois par an, et à chaque nouvel outil autorisé.

À adapter avant diffusion. Fixez le format de la formation (durée, qui l'anime) et gardez une trace des personnes formées : c'est ce qui permet de montrer que l'obligation de l'article 4 du règlement européen sur l'IA est prise au sérieux.

Article 9 Incidents et révision

• Toute saisie par erreur d'une donnée interdite, toute réponse d'IA ayant conduit à une erreur envoyée à l'extérieur, tout comportement anormal d'une automatisation est signalé sans délai à [adresse e-mail de signalement].
• Un signalement fait de bonne foi n'entraîne pas de sanction. L'absence de signalement d'un incident connu peut en entraîner.
• Si l'incident concerne des données personnelles, [Nom ou fonction du référent IA] prévient la personne en charge de la protection des données, qui évalue s'il faut notifier la CNIL.
• La charte est relue au moins une fois par an, et à chaque changement d'outil ou de réglementation. La version en vigueur est datée et accessible à tous.

À adapter avant diffusion. Indiquez qui est en charge de la protection des données chez vous (DPO ou dirigeant) et comment la charte est portée à la connaissance des équipes (annexe au règlement intérieur, signature, affichage).