La réponse courte
Une charte IA est un document interne qui fixe les règles d'usage des outils d'intelligence artificielle dans une entreprise. Nous n'avons trouvé aucun texte qui l'impose. L'article 4 du règlement européen sur l'IA s'applique en revanche depuis le 2 février 2025 à toute organisation qui utilise un système d'IA. Dans sa rédaction issue du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, il lui demande de prendre des mesures pour favoriser le développement de la maîtrise de l'IA par son personnel. Une charte expliquée aux salariés en est une. La CNIL recommande d'encadrer l'usage de l'IA générative par une charte interne.
Une charte utile tient en deux pages. Elle répond à quatre questions : quels outils, avec quel compte ; quelles données n'y entrent jamais ; qui relit avant que le document parte ; qui décide quand la charte ne dit rien.
Ce que contient le modèle
Nous avons rédigé chaque article comme il figurera dans votre charte. Vous remplacez ce qui est entre crochets, vous supprimez les consignes en gris, et vous complétez les annexes.
| Article | Ce qu'il fixe |
|---|---|
| 1. Objet et périmètre | Qui est concerné : tout salarié, et toute personne qui utilise un outil d'IA pour le compte de l'entreprise. Ce qu'on appelle un outil d'IA, y compris les fonctions d'IA intégrées aux logiciels de bureautique. |
| 2. Outils autorisés | Seuls les outils de l'annexe 1, avec un compte professionnel. Jamais la version gratuite d'un outil grand public pour un document de l'entreprise. |
| 3. Règle de saisie | Vert, orange, rouge : ce que le salarié saisit librement, ce qu'il anonymise d'abord, ce qu'il ne saisit pas. En cas de doute, le document est rouge. |
| 4. Données interdites | La liste des données qui n'entrent jamais dans un assistant d'usage général, et les quatre conditions pour qu'un outil déployé par l'entreprise traite des données personnelles. |
| 5. Relecture | Tout contenu est relu, chaque référence citée par l'outil est vérifiée à sa source. Le salarié reste responsable de ce qu'il transmet. |
| 6. Information des clients | Où l'entreprise dit à ses clients qu'elle utilise l'IA, et quand un contenu publié porte une mention. |
| 7. Usages exclus | Pas de tri de candidatures, pas d'évaluation d'un salarié, pas de reconnaissance de ses émotions, pas de contrôle de son activité en dehors des outils de sécurité déclarés. |
| 8. Personne qui tranche | Un nom, pas un service. Elle décide des cas imprévus, tient l'annexe 1 à jour et reçoit les signalements d'incident. |
| 9. Formation | Une formation avant l'accès à un outil autorisé, et dans les trois mois pour ceux qui l'utilisent déjà. |
| 10. Valeur et révision | Note de service ou adjonction au règlement intérieur, date d'entrée en vigueur, révision chaque année ou à chaque nouvel outil. |
Nous avons mis dans deux annexes ce qui change souvent. L'annexe 1 liste les outils autorisés, avec le type de compte, les usages permis et l'existence d'un contrat. L'annexe 2 classe les documents de l'entreprise dans les trois couleurs. Nous ne nommons aucun produit dans le corps de la charte : quand vous changez d'outil, vous modifiez l'annexe, pas la charte.
Modèle de charte IA entreprise · Word (.docx) · 4 pages · licence CC BY 4.0
Télécharger le modèle →Le texte des dix articles
Voici le texte du modèle, article par article, tel qu'il figure dans le fichier Word. Les passages entre crochets sont à remplacer, les consignes en italique à supprimer.
Article 1. Objet et périmètre
La présente charte fixe les règles d'usage des outils d'intelligence artificielle dans [l'entreprise]. Elle s'applique à tout salarié, quel que soit son contrat, ainsi qu'aux stagiaires, intérimaires et prestataires qui utilisent un tel outil pour le compte de [l'entreprise], sur un poste professionnel ou personnel. Pour les prestataires et les intérimaires, [l'entreprise] fait figurer le respect de la charte dans le contrat qui la lie à leur employeur.
Est un outil d'intelligence artificielle tout logiciel qui produit du texte, des images, du code, une synthèse ou une recommandation à partir de ce qu'on lui soumet : assistant conversationnel, fonction d'IA intégrée à un logiciel de bureautique ou métier, outil de transcription ou de traduction automatique.
Article 2. Outils autorisés et comptes professionnels
Seuls les outils listés à l'annexe 1 sont autorisés, avec le type de compte qui y est indiqué. Aucun document de [l'entreprise] ne passe par un compte personnel ni par la version gratuite d'un outil grand public. Un salarié qui souhaite utiliser un nouvel outil en fait la demande à la personne désignée à l'article 8.
Article 3. La règle de saisie, en trois couleurs
Avant de soumettre un document ou une information à un outil d'IA, le salarié vérifie sa couleur. L'annexe 2 classe les documents de [l'entreprise] selon cette règle.
- Vert. Ce qui est déjà public : texte de loi, documentation publique, barème officiel, contenu publié par [l'entreprise]. Les tâches qui ne touchent à aucune donnée de l'entreprise. Il utilise librement un outil de l'annexe 1.
- Orange. Ce qui appartient à l'entreprise sans désigner personne : procédure interne, modèle de courrier, trame de compte rendu, e-mail interne. Il retire les noms, les montants et les identifiants, utilise un outil de l'annexe 1, puis fait relire le résultat avant diffusion.
- Rouge. Ce qui permet de reconnaître un client, un salarié ou un tiers ; les données de santé ; les pièces couvertes par un secret professionnel ou par un engagement de confidentialité ; les données stratégiques de l'entreprise. Il ne le saisit dans aucun assistant d'usage général. Seul un outil inscrit à l'annexe 1 pour cet usage, dans les conditions de l'article 4, peut le traiter.
En cas de doute sur la couleur, le salarié traite le document comme rouge et pose la question à la personne désignée à l'article 8.
Article 4. Données qui ne se saisissent jamais
Ne sont jamais saisis dans un assistant d'IA d'usage général, même sous licence professionnelle : [le numéro de sécurité sociale, les coordonnées bancaires, les données de santé, les bulletins de paie, les dossiers disciplinaires, les identifiants et mots de passe, les pièces confiées par un client sous secret, les informations financières non publiées].
Un outil d'IA que [l'entreprise] a déployé pour une tâche définie peut traiter des données personnelles à quatre conditions : il figure à l'annexe 1, un contrat de sous-traitance l'encadre (article 28 du RGPD), l'éditeur ne réutilise pas les données saisies pour ses propres fins, et le traitement est inscrit au registre des traitements (article 30 du RGPD).
Adaptez la liste du premier alinéa à votre métier. Un cabinet d'avocats, un expert-comptable ou une structure de santé y ajoutent les pièces couvertes par leur secret professionnel.
Article 5. Relecture et vérification
Le salarié relit tout contenu produit avec un outil d'IA avant de l'utiliser. Il vérifie à sa source chaque référence que l'outil cite : texte, article, décision, chiffre, citation. Aucun document produit avec un outil d'IA ne part chez un client ou un partenaire sans cette relecture. Le salarié reste responsable de ce qu'il transmet.
Article 6. Information des clients et des tiers
[L'entreprise] indique à ses clients, dans [ses conditions générales / sa lettre de mission / sa politique de confidentialité], qu'elle utilise des outils d'IA et pour quelles tâches. Un contenu publié au nom de [l'entreprise] et produit pour l'essentiel par un outil d'IA porte une mention qui l'indique.
Si vous ne communiquez pas sur ce point, supprimez la seconde phrase plutôt que de la laisser sans l'appliquer.
Article 7. Usages exclus
Aucun outil d'IA ne sert à trier des candidatures, à évaluer un salarié, à prendre une décision individuelle le concernant ni à reconnaître ses émotions. Aucun ne sert à contrôler l'activité d'un salarié, en dehors des outils de sécurité du système d'information inscrits à l'annexe 1. Tout outil permettant un contrôle de l'activité est porté à la connaissance des salariés avant sa mise en œuvre (article L1222-4 du code du travail)[ et soumis à la consultation du CSE (article L2312-38)].
La reconnaissance des émotions sur le lieu de travail est interdite par l'article 5 du règlement européen sur l'IA, sauf raisons médicales ou de sécurité. La consultation du CSE sur les moyens de contrôle s'impose dès qu'il existe un CSE.
Article 8. La personne qui tranche, et les incidents
[Nom, fonction] tranche les cas que la charte ne prévoit pas, tient l'annexe 1 à jour et reçoit les signalements.
Un salarié qui a saisi par erreur une donnée rouge le signale dès qu'il s'en aperçoit à [Nom]. [L'entreprise] demande alors la suppression à l'éditeur de l'outil et évalue, [avec son délégué à la protection des données,] s'il faut notifier la violation à la CNIL, ce qui doit être fait dans les 72 heures (article 33 du RGPD). Elle consigne l'incident dans son registre des violations. Un salarié qui signale de bonne foi une saisie faite par erreur n'est pas sanctionné pour cette erreur.
Article 9. Formation
Chaque salarié reçoit une formation à l'usage de l'IA et à la présente charte avant d'accéder à un outil autorisé. Les salariés qui utilisent déjà un outil la reçoivent dans les [trois] mois qui suivent l'entrée en vigueur de la charte. [L'entreprise] conserve la trace de ces formations.
Article 10. Valeur de la charte et révision
La présente charte [est une note de service / constitue une adjonction au règlement intérieur]. [Si adjonction : elle a été soumise à l'avis du CSE le [date], communiquée avec cet avis à l'inspection du travail, déposée au greffe du conseil de prud'hommes de [ville] et portée à la connaissance des salariés le [date].] Elle entre en vigueur le [date, au moins un mois après le dépôt et la publicité].
La charte est revue chaque année et à chaque ajout d'un outil à l'annexe 1. Les annexes se mettent à jour sans nouvelle adoption de la charte.
Un document qui fixe des obligations générales et permanentes en matière de discipline suit la procédure du règlement intérieur, que l'entreprise en ait un ou non (articles L1321-4 et L1321-5 du code du travail). Sans cette procédure, un manquement à la charte ne peut pas, à lui seul, fonder une sanction. Le CSE existe à partir de onze salariés, le règlement intérieur est obligatoire à partir de cinquante. Faites valider ce point par votre conseil en droit social.
La règle de saisie en trois couleurs
C'est l'article qui sert tous les jours. Nous l'enseignons en formation parce qu'un salarié l'applique en quelques secondes, avant de coller un texte dans un outil.
Ce qui est déjà public : un texte de loi, la documentation publique d'un produit, un barème officiel, un contenu que l'entreprise a publié. Les tâches qui ne touchent à aucune donnée de l'entreprise passent aussi : reformuler un texte générique, chercher des idées, traduire une notice publique.
Ce qui appartient à l'entreprise sans désigner personne : une procédure interne, un modèle de courrier, une trame de compte rendu. Un e-mail interne passe une fois les noms, les montants et les identifiants retirés, dans l'outil que l'entreprise a retenu.
Ce qui permet de reconnaître un client, un salarié ou un tiers, les données de santé, les pièces couvertes par un secret professionnel et les données stratégiques de l'entreprise. Seul un outil inscrit à l'annexe 1, sous contrat et sans réutilisation des données par l'éditeur, peut les traiter.
La ligne rouge se déplace selon le métier. Chez un avocat, une pièce de dossier reste en rouge même anonymisée, parce que les faits suffisent à reconnaître l'affaire. Nous avons écrit deux versions sectorielles de la charte, avec leurs propres formulations : la charte IA d'un cabinet d'expertise comptable et la charte IA d'une collectivité territoriale.
Ce que le modèle ne fait pas à votre place
Notre modèle donne la structure et les formulations. Trois choses ne se téléchargent pas, et ce sont elles qui rendent la charte applicable :
- Classer vos documents. L'annexe 2 n'a de valeur que si elle reprend vos documents réels, service par service. La comptabilité ne range pas une facture fournisseur comme les ressources humaines rangent un entretien annuel.
- Choisir vos outils. Le choix dépend de ce qui est déjà en place (Microsoft 365, Google Workspace ou un logiciel métier), de votre budget et du contrat que l'éditeur accepte de signer. Nous vous donnons les limites de chaque outil, sans prescrire d'achat.
- Faire appliquer la règle. Une charte envoyée par e-mail, sans explication, ne change pas ce qui se saisit dans l'outil. Une charte écrite avec les personnes qui vont l'appliquer décrit leurs usages réels, et ces personnes la défendent ensuite auprès des autres.
Rendre la charte opposable aux salariés
Une note de service suffit pour donner la règle. Si vous voulez pouvoir sanctionner un manquement, la charte suit les formalités du règlement intérieur : un document qui fixe des obligations générales et permanentes en matière de discipline est considéré comme une adjonction à ce règlement (article L1321-5 du code du travail). Ces formalités sont l'avis du comité social et économique, la communication à l'inspection du travail, le dépôt au greffe du conseil de prud'hommes et la diffusion aux salariés par tout moyen (articles L1321-4, R1321-1 et R1321-2). La charte entre en vigueur au moins un mois après ces formalités.
Le règlement intérieur est obligatoire à partir de cinquante salariés (article L1311-2). En dessous, une charte qui fixe des obligations de discipline suit les mêmes formalités (article L1321-5), sans l'avis du comité social et économique si l'entreprise n'en a pas : il n'existe qu'à partir de onze salariés.
Dans une entreprise d'au moins cinquante salariés, le comité social et économique est aussi informé et consulté sur l'introduction de nouvelles technologies (article L2312-8 du code du travail). Le déploiement d'un outil d'IA peut en relever. Consultez-le avant le déploiement, pas après. Demandez à votre conseil en droit social laquelle des deux formes convient à votre entreprise.
Adopter et faire vivre la charte
- Recenser les usages réels : qui utilise quel outil, pour quelle tâche, avec quelles données. Nous partons de ce qui se fait déjà, y compris sans autorisation.
- Remplir les deux annexes avant de signer la charte. Une charte sans annexe 2 laisse chaque salarié décider seul de la couleur de ses documents.
- Présenter la charte : nous conseillons une session de trente minutes avec toute l'équipe. Personne n'est sanctionné pour ses usages passés : la règle vaut à partir de ce jour.
- La réviser chaque année, et à chaque outil ajouté à l'annexe 1.
Les questions qui reviennent sur la charte IA
Une charte IA est-elle obligatoire en entreprise ?
Non. Nous n'avons trouvé aucun texte qui impose une charte IA. L'article 4 du règlement européen sur l'IA s'applique depuis le 2 février 2025 à toute organisation qui utilise un système d'IA. Dans sa rédaction en vigueur depuis le 27 juillet 2026, il lui demande de prendre des mesures pour favoriser le développement de la maîtrise de l'IA par son personnel. Une charte expliquée aux salariés est l'une de ces mesures. La CNIL recommande aussi d'encadrer l'IA générative par une charte interne.
La charte IA doit-elle passer devant le CSE ?
Oui si elle doit pouvoir fonder une sanction : un document qui fixe des obligations générales et permanentes en matière de discipline suit la procédure du règlement intérieur, qui comprend l'avis du comité social et économique (articles L1321-4 et L1321-5 du code du travail). Dans une entreprise d'au moins cinquante salariés, le CSE est en outre consulté sur l'introduction de nouvelles technologies (article L2312-8), dont un outil d'IA peut relever. Une simple note de bonnes pratiques n'a pas besoin de cet avis, mais un manquement à ses règles ne peut pas, à lui seul, fonder une sanction.
Peut-on interdire ChatGPT à ses salariés ?
Oui, l'employeur décide des outils utilisés pour le travail. Nous déconseillons pourtant l'interdiction sans alternative : les salariés qui utilisent déjà un assistant continuent, sur leur téléphone et avec un compte personnel, là où l'entreprise ne voit plus rien. Une charte qui autorise un outil sous licence professionnelle et interdit les comptes personnels protège mieux les données qu'une interdiction générale. Comme toute règle de discipline, l'interdiction ne fonde une sanction que si elle suit la procédure du règlement intérieur.
Quelle différence entre une charte IA et une charte informatique ?
La charte informatique encadre le matériel, la messagerie, les accès et la sécurité du système d'information. La charte IA encadre ce que les salariés soumettent à un outil d'IA et ce qu'ils font du résultat. Les deux peuvent être réunies : la charte IA devient alors un chapitre de la charte informatique, avec la même procédure d'adoption.
Peut-on utiliser un modèle de charte IA tel quel ?
La structure et les formulations, oui : nous avons écrit le nôtre pour cela. Les annexes, non : la liste des outils autorisés et le classement des documents sont propres à chaque entreprise. Une charte adoptée avec des annexes vides laisse chaque salarié décider seul de ce qu'il peut saisir, ce que la charte doit éviter.
Construire la charte en formation
Nos formations se déroulent dans vos locaux, sur une ou deux journées selon le métier. Une formation de deux jours coûte 5 000 € HT (5 250 € HT si les deux jours sont espacés), une formation d'une journée 2 500 € HT : c'est le format des collectivités, des EHPAD et des syndics ; l'industrie et le sur-mesure se font en une ou deux journées. Un atelier de la formation porte sur vos propres documents : les participants les classent dans les trois couleurs, et vous repartez avec le projet de charte de votre structure, l'annexe 2 remplie avec vos documents. Chaque page métier indique la durée, le nombre de participants et le programme ; la liste est sur la page des formations.
Nous concevons et animons la formation ; le volet administratif et le financement OPCO passent par FORM'RH, organisme de formation certifié Qualiopi (n° QUA24120006) au titre des actions de formation.
Cette page propose un modèle de charte et ne remplace pas l'avis de votre conseil en droit social ni celui de votre délégué à la protection des données.
Sources
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, articles 4 et 5, et règlement (UE) 2026/1744 du 8 juillet 2026, article 1er, point 5, sur EUR-Lex.
- Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, 18 juillet 2024.
- Règlement général sur la protection des données, articles 28, 30 et 33, sur le site de la CNIL.
- Code du travail, articles L1311-2, L1321-4, L1321-5, L1222-4, L2312-8, L2312-38 et R1321-1, sur le Code du travail numérique.
- Le règlement intérieur, fiche du ministère du Travail.