Charte d'usage de l'IA : ce qu'elle doit contenir

À quoi sert vraiment une charte

Une charte d'usage de l'IA remplit trois fonctions distinctes, qu'il est utile de garder en tête au moment de la rédiger. Elle oriente : elle dit au salarié ce qu'il peut faire sans demander. Elle protège : elle démontre, en cas de fuite ou de litige, que l'entreprise avait pris des mesures. Et elle engage : à condition d'avoir été portée à la connaissance des intéressés, elle peut fonder une réaction en cas de manquement.

Une charte qui n'atteint aucun de ces trois objectifs est un document de façade. On le reconnaît à un signe simple : elle ne cite aucun outil et aucune situation concrète.

Les huit rubriques indispensables

1. Le périmètre

Qui est concerné, y compris les stagiaires, les alternants, les intérimaires et les prestataires externes qui interviennent sur vos données. Et sur quels équipements : professionnels seulement, ou également personnels lorsqu'ils servent à travailler.

2. La liste des outils autorisés

C'est la rubrique qui fait la différence. Nommez les outils validés par l'entreprise, avec pour chacun l'usage auquel il est destiné. Un salarié qui dispose d'une solution autorisée n'a plus de raison d'en chercher une ailleurs, et l'essentiel du Shadow IA disparaît de lui-même.

3. Les données interdites de saisie

Formulez-la sous forme de liste fermée et concrète, pas de principe général : données personnelles de salariés et de candidats, éléments de rémunération, données de santé, coordonnées de clients, éléments contractuels non publics, code source propriétaire, documents marqués confidentiels. Une liste que l'on peut relire en dix secondes est une liste que l'on applique.

4. Les usages soumis à validation préalable

Tout ce qui produit un effet sur une personne appelle un accord : présélectionner des candidatures, évaluer une performance, préparer une décision disciplinaire, attribuer des tâches. Indiquez qui valide et sous quel délai, faute de quoi la règle sera contournée par nécessité opérationnelle.

5. La vérification obligatoire des productions

Posez le principe que l'utilisateur reste responsable de ce qu'il diffuse. Un texte généré n'est pas un texte validé. Précisez les cas où une relecture par un tiers est exigée : courrier à un salarié, document contractuel, communication externe, contenu juridique.

6. La propriété intellectuelle

Deux directions à traiter. En entrée, ne pas soumettre à un outil des contenus dont l'entreprise n'a pas les droits. En sortie, rappeler que le statut juridique des productions générées est incertain et évolutif, et qu'il est prudent de ne pas fonder un actif stratégique sur un contenu intégralement généré.

7. La transparence vis-à-vis des tiers

Indiquez dans quels cas un interlocuteur doit être informé qu'il échange avec un système automatisé ou qu'un contenu a été généré. Le règlement européen impose des obligations de transparence sur ce point, et c'est aussi une question de relation client.

8. Le point de contact et la révision

Une personne identifiée à qui poser une question sans passer par sa hiérarchie, et une date de révision. Une charte sans date de révision est périmée dès la première mise à jour majeure d'un des outils qu'elle mentionne.

La faire adopter, pas seulement la publier

Une charte déposée sur un serveur partagé ne produit aucun effet. Trois précautions changent son statut : la présenter en réunion plutôt que la diffuser par courriel, recueillir un accusé de réception nominatif, et l'annexer aux documents remis à l'embauche pour les entrants.

Si la charte comporte des dispositions qui s'apparentent à des règles de discipline ou à des modalités de contrôle de l'activité des salariés, sa mise en place relève d'une procédure plus formelle, avec information et consultation des représentants du personnel lorsqu'ils existent. Ce point mérite d'être arbitré avec un juriste avant diffusion, car il détermine le caractère opposable du document.

Les quatre défauts qui rendent une charte inapplicable

Elle est écrite en termes juridiques. Un salarié ne traduit pas « veiller à la proportionnalité des traitements » en décision concrète. Écrivez les règles à la deuxième personne et à l'impératif.

Elle n'énumère que des interdictions. Une charte qui ne dit jamais ce qui est permis est lue comme une interdiction générale, donc contournée. La colonne des usages autorisés doit être au moins aussi fournie que celle des interdits.

Elle ne prévoit pas le cas urgent. Si obtenir une validation prend une semaine et que le besoin est immédiat, la règle sautera. Prévoyez une voie rapide, avec une traçabilité minimale.

Elle n'est jamais révisée. Une charte qui cite un outil abandonné depuis un an perd toute autorité, y compris sur ses parties encore valables.

Un format qui fonctionne

Deux documents plutôt qu'un. Une charte de trois à cinq pages, qui pose le cadre, les responsabilités et les principes, et qui bouge peu. Et une annexe d'une page, listant les outils autorisés et les usages validés, qui se met à jour sans refaire toute la procédure de diffusion.

Cette séparation résout la principale difficulté pratique : le cadre a besoin de stabilité, la liste des outils a besoin de souplesse.

Ce qu'une charte ne remplace pas

Elle ne remplace pas la cartographie, qui lui donne sa matière : on ne peut pas encadrer des outils qu'on n'a pas listés. Elle ne remplace pas la formation, qui en conditionne l'application. Et elle ne remplace pas l'examen des usages classés à haut risque, notamment côté recrutement, qui appelle un traitement spécifique et documenté.