Pourquoi encadrer plutôt qu’interdire
Dans la plupart des équipes, la question n’est plus de savoir si l’IA générative sera utilisée, mais dans quelles conditions. L’édition 2024 du Work Trend Index de Microsoft et LinkedIn, fondée sur une enquête menée auprès d’environ 31 000 travailleurs du savoir dans 31 marchés, relevait que 78 % des personnes utilisant l’IA au travail apportaient leurs propres outils. Une interdiction générale ne fait pas disparaître ces usages : elle les rend invisibles, et laisse chacun décider seul de ce qu’il peut confier à un service en ligne. C’est la définition même du shadow AI, déclinaison récente du shadow IT.
L’encadrement est aussi devenu une obligation. Depuis le 2 février 2025, l’article 4 du règlement européen sur l’intelligence artificielle impose aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour soutenir la maîtrise de l’IA de leur personnel. Dans ses questions-réponses sur le sujet, la Commission européenne précise que cela concerne une entreprise dont les salariés utilisent un assistant conversationnel pour rédiger des textes publicitaires ou traduire, et que le contrôle par les autorités nationales a commencé le 2 août 2026. Une charte d’usage, accompagnée d’une formation, est le moyen le plus simple d’y répondre.
Enfin, interdire prive l’équipe de gains réels sur des tâches de rédaction, de synthèse ou de traduction. Le bon objectif n’est pas zéro usage, mais zéro usage risqué.
Cartographier les usages réels de l’équipe
On ne peut pas encadrer ce qu’on ne connaît pas. Avant de rédiger quoi que ce soit, faites l’inventaire, sans esprit de contrôle. Dans une PME, un questionnaire anonyme de cinq questions ou un temps d’échange en réunion d’équipe suffit.
- Quels outils d’IA utilisez-vous, même occasionnellement : assistant conversationnel, transcription, traduction, génération d’images, fonctions intégrées à vos logiciels ?
- Pour quelles tâches ?
- Avec un compte personnel ou un compte fourni par l’entreprise ?
- Quel type d’informations y saisissez-vous ?
- Qu’est-ce qui vous manque : un outil, une formation, des règles claires ?
N’oubliez pas les usages que personne ne déclare parce que personne ne les a choisis : les fonctions d’IA ajoutées par les éditeurs dans les logiciels déjà en place, souvent à l’occasion d’une simple mise à jour. Résumé automatique des réunions dans l’outil de visioconférence, rédaction assistée dans la messagerie, tri des candidatures dans le logiciel de recrutement : passez en revue les consoles d’administration avec la personne chargée de l’informatique, et interrogez les fournisseurs sur ce que font ces fonctions des données traitées.
Classez ensuite chaque usage repéré selon les données qu’il manipule et la décision qu’il appelle. Le tableau ci-dessous est un exemple à adapter.
| Usage repéré | Données manipulées | Décision |
|---|---|---|
| Reformuler un courriel interne | Aucune donnée sensible | Autorisé avec l’outil validé |
| Résumer un contrat client | Informations confidentielles | Autorisé uniquement avec l’outil validé sous contrat d’entreprise |
| Transcrire une réunion d’équipe | Voix et propos des participants | Encadré : information préalable des participants, outil validé, durée de conservation fixée |
| Présélectionner des candidatures | Données personnelles de candidats | Interdit sans validation par la direction, les RH et le DPO : usage à haut risque |
| Rédiger l’évaluation d’un salarié à partir de ses messages | Données personnelles, appréciation individuelle | Interdit |
Données : ce qu’on ne confie jamais à un outil d’IA
La règle de base tient en une phrase : tout ce que vous saisissez dans un outil d’IA en ligne sort de votre système d’information, et ce qu’il en advient dépend du contrat qui vous lie au fournisseur. Avec un compte personnel gratuit, ce contrat est celui que l’utilisateur a accepté seul, sans examen par l’entreprise.
Sauf outil validé dont les conditions contractuelles le permettent expressément, la charte doit interdire de saisir :
- les données personnelles de collègues, de candidats ou de clients, et à plus forte raison les catégories particulières de données au sens du RGPD (santé, opinions politiques, convictions religieuses, appartenance syndicale…) ;
- les informations RH individuelles : évaluations, rémunérations, procédures disciplinaires, arrêts de travail ;
- les informations confidentielles de l’entreprise : prix, marges, stratégie, contrats, projets non annoncés ;
- les informations confiées par des clients ou des partenaires sous obligation de confidentialité ;
- les identifiants, mots de passe, clés d’accès et éléments techniques de sécurité ;
- le code source ou les documents dont l’entreprise n’est pas seule titulaire des droits.
Pour valider un outil, quatre questions doivent trouver une réponse écrite dans ses conditions contractuelles : les données saisies servent-elles à entraîner les modèles du fournisseur ? Combien de temps sont-elles conservées ? Où sont-elles traitées et hébergées ? Qui, chez le fournisseur, peut y accéder ? L’ANSSI, dans ses recommandations de sécurité pour un système d’IA générative publiées le 29 avril 2024, appelle à une posture de prudence lors du déploiement de ces systèmes. L’avis du délégué à la protection des données et du responsable de la sécurité informatique, lorsqu’ils existent, est indispensable avant toute validation. Le chapitre consacré aux outils collaboratifs détaille les critères de choix d’un outil et les règles de sécurité en télétravail.
Vérifier, citer, assumer : la responsabilité reste humaine
Un modèle de langage produit un texte plausible, pas un texte vrai. Il peut inventer une référence juridique, un chiffre, une citation ou une source avec le même aplomb qu’un fait exact : ce sont les « hallucinations ». La charte doit en tirer trois règles.
- Vérifier : toute information factuelle produite avec l’IA (chiffre, date, référence, nom propre) est contrôlée sur une source fiable avant d’être utilisée. Plus l’enjeu est élevé, plus la vérification est poussée.
- Citer : on ne reprend pas tel quel un contenu généré susceptible de reproduire une œuvre protégée, et l’on mentionne l’usage de l’IA lorsque le destinataire peut légitimement s’attendre à le savoir.
- Assumer : la personne qui envoie, publie ou signe un document en est responsable, qu’il ait été rédigé avec ou sans IA. « C’est l’outil qui l’a écrit » n’est jamais une excuse recevable.
Le règlement européen ajoute des obligations de transparence, applicables depuis le 2 août 2026. Les hypertrucages, c’est-à-dire les images, sons ou vidéos générés ou manipulés par l’IA, doivent être signalés comme artificiels lorsque l’entreprise les diffuse. Un texte généré ou manipulé par l’IA et publié pour informer le public sur des questions d’intérêt public doit l’être aussi, sauf s’il a fait l’objet d’un contrôle humain ou éditorial et qu’une personne en assume la responsabilité éditoriale. Ces règles concernent surtout les équipes communication et marketing ; la charte peut les rappeler.
Rédiger la charte : les rubriques indispensables
Visez trois à cinq pages pour la charte d’usage de l’IA : au-delà, elle risque de ne pas être lue. La trame ci-dessous est un modèle éditorial à adapter à votre activité, à vos outils et à votre taille. Elle ne constitue pas un document juridique prêt à l’emploi.
- Objet et périmètre : pourquoi la charte existe, à qui elle s’applique (salariés, intérimaires, stagiaires, prestataires travaillant pour l’entreprise), quels outils elle couvre, y compris les fonctions d’IA intégrées aux logiciels déjà utilisés.
- Outils autorisés : la liste des outils validés, le type de compte à utiliser, la procédure pour demander la validation d’un nouvel outil.
- Usages : autorisés, encadrés (soumis à une condition) et interdits, avec deux ou trois exemples concrets pour chaque catégorie.
- Données : la liste des informations à ne jamais saisir, et ce qui est permis avec l’outil validé.
- Vérification et transparence : contrôle des productions, mention de l’usage de l’IA, responsabilité de l’auteur.
- Décisions concernant des personnes : aucune décision relative à un candidat ou à un salarié (recrutement, évaluation, sanction, promotion) ne repose sur un outil d’IA sans validation préalable par la direction, les RH et le délégué à la protection des données.
- Formation : le socle commun à suivre, les ressources disponibles, les référents à solliciter.
- Incidents : que faire si des données ont été saisies par erreur ou si un contenu erroné a été diffusé, et qui prévenir.
- Gouvernance et révision : qui tient à jour la liste des outils, à quelle fréquence la charte est revue.
Rédigez la charte avec l’équipe plutôt que pour elle : un premier projet soumis à deux ou trois utilisateurs réguliers des outils fait apparaître les cas oubliés et les formulations ambiguës. Complétez-la par une version courte d’une page, cinq à sept règles essentielles, à afficher dans l’espace documentaire et à rappeler lors de l’accueil des nouveaux arrivants.
La forme de la charte a des conséquences. Dans une entreprise dotée d’un règlement intérieur, obligatoire à partir de 50 salariés (article L1311-2 du Code du travail), un document qui fixe des obligations générales et permanentes dans les matières relevant du règlement intérieur, comme la discipline, est considéré comme une adjonction à celui-ci (article L1321-5). Il suit alors la même procédure : avis du comité social et économique, formalités de publicité, communication à l’inspection du travail et entrée en vigueur au plus tôt un mois après ces formalités (article L1321-4). C’est ce qui permet, en pratique, de s’appuyer sur la charte pour sanctionner un manquement. Un simple guide de bonnes pratiques n’a pas cette portée.
Former et partager les bonnes pratiques
Une charte sans formation reste lettre morte. La Commission européenne indique qu’aucun certificat n’est exigé au titre de l’obligation de maîtrise de l’IA, qu’un suivi interne des formations et des actions menées suffit, et que s’en remettre aux seules notices d’utilisation des outils n’est en général pas suffisant. Pour une équipe de PME, un dispositif proportionné comprend :
- un socle commun d’une à deux heures pour tous : fonctionnement et limites des modèles de langage, hallucinations, données interdites, outils autorisés, règles de la charte ;
- des ateliers par métier, sur des cas réels de l’équipe, pour apprendre à formuler une demande, relire une production et repérer ses erreurs ;
- un ou deux référents volontaires, formés plus en profondeur, qui répondent aux questions et font remonter les difficultés ;
- une bibliothèque partagée de requêtes qui fonctionnent, classées par tâche, enrichie par l’équipe ;
- un temps de retour d’expérience régulier, par exemple en fin de réunion mensuelle, où l’on partage aussi les erreurs repérées.
Le manager montre l’exemple en suivant lui-même la formation et en appliquant la charte, y compris la mention de l’usage de l’IA dans ses propres documents. Pour une vision d’ensemble du rôle du manager face à l’IA, voir le chapitre IA et management du guide.
Consulter le CSE et suivre les évolutions
Dans les entreprises d’au moins 50 salariés, le comité social et économique est informé et consulté sur l’introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail (article L2312-8 du Code du travail). Le déploiement d’un outil d’IA à l’échelle d’une équipe ou de l’entreprise entre généralement dans ce champ. Si la charte prend la forme d’une adjonction au règlement intérieur, l’avis du CSE est de toute façon requis. Mieux vaut associer les élus dès la cartographie des usages : ils connaissent souvent des pratiques et des inquiétudes que la direction ignore.
La charte doit ensuite vivre. Prévoyez une revue tous les six mois au moins : les outils changent vite, de nouvelles fonctions d’IA apparaissent dans les logiciels existants, et le cadre juridique évolue. Les obligations du règlement européen relatives aux systèmes d’IA à haut risque utilisés dans l’emploi, par exemple, s’appliqueront à partir du 2 décembre 2027. Notre point juridique sur l’AI Act et les obligations de l’employeur présente le calendrier complet et ce qu’il implique pour les usages RH.