Études & Réflexions › Charte d'usage de l'IA : un modèle commenté pour une petite entreprise

Article 1. Objet et personnes concernées

Texte proposé. La présente charte fixe les règles d'usage des outils d'intelligence artificielle dans l'entreprise. Elle s'applique à toute personne qui utilise un tel outil pour le compte de l'entreprise : salariés, dirigeants, stagiaires, prestataires.

Pourquoi. Le règlement sur l'IA vise l'organisation qui utilise un outil sous sa propre autorité, et les personnes qui s'en servent pour son compte.

Fondement. Règlement (UE) 2024/1689, article 3, point 4 : le « déployeur » est « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel ».

Article 2. Les outils autorisés

Texte proposé. Seuls les outils inscrits à la liste des outils autorisés s'utilisent pour le travail. La liste dit, pour chacun : son usage, qui l'utilise, les données qu'on peut y mettre, et où ces données sont traitées. Un outil absent de la liste ne s'utilise pas avec des données de l'entreprise.

Pourquoi. On ne protège que ce qu'on connaît. Un outil qui reçoit des données personnelles les traite pour le compte de l'entreprise : il doit présenter des garanties, et ses éventuels transferts hors de l'Union doivent être encadrés.

Fondement. RGPD, article 28, paragraphe 1 : le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». RGPD, article 44 : un transfert vers un pays tiers n'a lieu que si les conditions du chapitre V sont respectées.

Article 3. Les données qu'on ne met pas dans un outil d'IA

Texte proposé. On ne saisit dans un outil d'IA que les données nécessaires à la tâche. On n'y saisit jamais, sauf outil autorisé pour cela : des données de santé, des données sur les opinions, l'appartenance syndicale, l'origine ou les convictions d'une personne ; des données qui permettent d'identifier un client, un salarié ou un candidat quand la tâche peut se faire sans elles ; des informations confidentielles de l'entreprise.

Pourquoi. Ce qui entre dans un outil en sort parfois ailleurs : la règle la plus simple est de ne donner que le nécessaire.

Fondement. RGPD, article 5, paragraphe 1, point c : les données sont « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». RGPD, article 9, paragraphe 1 : régime particulier des données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, et des données génétiques, biométriques et de santé. RGPD, article 32, paragraphe 1, point a : « la pseudonymisation et le chiffrement des données à caractère personnel » parmi les mesures de sécurité.

Article 4. Vérifier avant d'utiliser

Texte proposé. Tout résultat produit par un outil d'IA est relu par la personne qui l'utilise avant d'être transmis, publié ou utilisé pour décider. Elle en reste responsable. Un chiffre, une citation ou une référence se vérifient à leur source.

Pourquoi. Un outil d'IA peut produire un texte faux avec l'assurance d'un texte juste. La relecture humaine est la seule garde qui ne dépend pas de l'outil.

Fondement. RGPD, article 5, paragraphe 1, point d : les données sont « exactes et, si nécessaire, tenues à jour ». Pour un outil à haut risque, règlement (UE) 2024/1689, article 26, paragraphe 2 : les déployeurs « confient le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l'autorité nécessaires ainsi que du soutien nécessaire ».

Article 5. Aucune décision sur une personne laissée à l'outil seul

Texte proposé. Aucune décision qui produit des effets sur une personne (recrutement, évaluation, rémunération, accès à un service, refus d'un client) n'est prise par un outil d'IA seul. Une personne de l'entreprise examine le dossier et décide.

Pourquoi. C'est un droit de la personne concernée, et c'est la règle la plus utile à écrire noir sur blanc.

Fondement. RGPD, article 22, paragraphe 1 : « La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. » Le paragraphe 2 prévoit des exceptions, à examiner seulement si l'entreprise s'en prévaut.

Article 6. Ce qui est publié avec l'aide d'une IA

Texte proposé. Une image, une vidéo ou un son généré ou modifié par une IA, qui pourrait passer pour réel, porte la mention qu'il a été généré par une IA. Un texte publié pour informer le public sur une question d'intérêt public, et rédigé avec une IA, porte la même mention, sauf s'il a été relu et validé par une personne qui en assume la responsabilité éditoriale.

Pourquoi. Le lecteur doit savoir ce qu'il regarde. La règle vaut depuis le 2 août 2026.

Fondement. Règlement (UE) 2024/1689, article 50, paragraphe 4 : les déployeurs d'un système qui génère ou manipule un hypertrucage « indiquent que les contenus ont été générés ou manipulés par une IA » ; pour les textes d'information sur des questions d'intérêt public, l'obligation ne s'applique pas « lorsque le contenu généré par l'IA a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et lorsqu'une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu ». Application : article 113 (2 août 2026).

Article 7. Ce qui est interdit

Texte proposé. L'entreprise n'utilise aucun outil qui déduit les émotions des salariés au travail, qui note les personnes sur leur comportement social, ou qui manipule le comportement d'une personne à son insu. Avant l'achat d'un outil d'analyse des appels, des entretiens ou de « l'engagement », on vérifie ce qu'il fait réellement.

Pourquoi. Ces pratiques sont interdites depuis le 2 février 2025 ; une petite entreprise les rencontre surtout dans des outils achetés pour autre chose.

Fondement. Règlement (UE) 2024/1689, article 5, paragraphe 1 : sont notamment interdits les techniques subliminales ou délibérément manipulatrices (point a), la notation sociale (point c), et les systèmes destinés à « inférer les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement, sauf lorsque l'utilisation du système d'IA est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité » (point f). Application : article 113, point a (2 février 2025). Deux interdictions ajoutées par le règlement (UE) 2026/1744 (images intimes sans consentement, matériel d'abus sexuels sur enfants) s'appliquent à partir du 2 décembre 2026.

Article 8. Apprendre à s'en servir

Texte proposé. Chaque utilisateur reçoit, avant d'utiliser un outil autorisé, une présentation de ce qu'il fait bien, de ce qu'il fait mal et des règles de la présente charte. L'entreprise note qui l'a reçue et la met à jour quand un outil change.

Pourquoi. C'est l'obligation de « maîtrise de l'IA », que le règlement de 2026 a rendue plus souple : il s'agit de prendre des mesures adaptées, pas de garantir un niveau donné pour chacun.

Fondement. Règlement (UE) 2024/1689, article 4, paragraphe 1, tel que remplacé par le règlement (UE) 2026/1744 : les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte » ; « cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

Article 9. Ajouter un outil

Texte proposé. Un nouvel outil s'inscrit à la liste après un examen court : ce qu'il fera, quelles données il recevra, où il les traite, qui l'utilisera, et s'il touche des personnes de façon importante. Si le traitement présente un risque élevé pour les personnes, une analyse d'impact est faite avant l'usage.

Pourquoi. Le bon moment pour poser les garde-fous est avant le premier usage, pas après le premier incident.

Fondement. RGPD, article 25, paragraphe 1 : protection des données dès la conception et par défaut. RGPD, article 35, paragraphe 1 : lorsqu'un traitement, « en particulier par le recours à de nouvelles technologies », est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, le responsable du traitement effectue une analyse d'impact avant le traitement.

Article 10. Les outils RH et les autres usages à haut risque

Texte proposé. Un outil d'IA utilisé pour recruter, trier des candidatures, évaluer ou gérer le personnel est examiné à part : notice d'utilisation du fournisseur, personne chargée du contrôle, conservation des journaux, information des salariés et de leurs représentants avant la mise en service.

Pourquoi. Ces usages relèvent de la catégorie « haut risque », dont les obligations s'appliquent à partir du 2 décembre 2027 : l'échéance laisse le temps de s'y préparer, pas de l'ignorer.

Fondement. Règlement (UE) 2024/1689, annexe III, point 4, et article 26 (obligations des déployeurs d'IA à haut risque), notamment paragraphe 1 (utilisation conforme à la notice), paragraphe 2 (contrôle humain), paragraphe 6 (journaux, conservés au moins six mois) et paragraphe 7 : avant d'utiliser un tel système sur le lieu de travail, « les déployeurs qui sont des employeurs informent les représentants des travailleurs et les travailleurs concernés ». Date : article 113, point c, tel que remplacé par le règlement (UE) 2026/1744 : « du 2 décembre 2027 en ce qui concerne les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III ».

Article 11. En cas d'incident

Texte proposé. Une donnée confiée par erreur à un outil, un résultat qui a causé un tort, un outil qui se comporte anormalement : on le signale tout de suite à la personne désignée par l'entreprise, qui décide des suites.

Pourquoi. Une violation de données personnelles se notifie dans un délai court : chaque heure perdue à hésiter compte.

Fondement. RGPD, article 33, paragraphe 1 : le responsable du traitement notifie une violation à l'autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes.

Article 12. Mise à jour

Texte proposé. La charte et la liste des outils sont revues au moins une fois par an, et à chaque nouvel outil.

Pourquoi. Les outils changent vite ; les textes aussi (le règlement sur l'IA a été modifié en juillet 2026).

Fondement. Aucun article précis : règle de bonne gestion.

Une petite entreprise a-t-elle besoin d'une charte d'usage de l'IA ?

Le règlement sur l'IA n'impose pas de charte. Il demande au déployeur de prendre des mesures pour favoriser la maîtrise de l'IA par son personnel (article 4), et le RGPD s'applique dès qu'une donnée personnelle passe dans un outil. Une charte courte est une manière simple de montrer ces mesures et de les rendre lisibles par tous.

Faut-il consulter le CSE avant d'adopter la charte ?

Si la charte fixe des obligations générales et permanentes de discipline, le Code du travail la soumet aux règles du règlement intérieur (article L1321-5), dont l'avis du comité social et économique et la communication à l'inspecteur du travail (article L1321-4). L'article L1321-5 vise les documents qui comportent des obligations ; le choix de la forme se vérifie avec un conseil.

Que mettre dans la liste des outils autorisés ?

Pour chaque outil : son usage, qui l'utilise, les données qu'on peut y mettre, où ces données sont traitées, et la date de son inscription. La liste se met à jour à chaque nouvel outil, après l'examen court de l'article 9 du modèle.