La charte IA de votre entreprise, et ce que la loi impose

Ce qui se passe pendant que vous hésitez

Une collaboratrice colle un extrait de contrat dans un assistant public pour le résumer. Un comptable y fait relire un courrier qui contient le nom d'un client et son chiffre d'affaires. Personne ne veut mal faire, tout le monde veut aller plus vite, et ces gestes ne laissent aucune trace dans l'entreprise.

Interdire par note de service ne marche pas : l'outil est dans le téléphone de chacun. Une charte ne sert pas à interdire, elle sert à rendre la règle assez claire pour être suivie, et à offrir une alternative interne quand la règle bloque quelque chose d'utile.

Ce que le règlement européen impose déjà

Le règlement européen sur l'intelligence artificielle s'applique par étapes depuis février 2025. Deux obligations concernent toute entreprise qui utilise ces outils, même sans en fabriquer aucun.

La première est la littératie : l'entreprise doit s'assurer que les personnes qui utilisent un système d'IA en son nom ont un niveau de compréhension suffisant de ce qu'elles manipulent. Cette obligation est en vigueur depuis le 2 février 2025 et ne dépend d'aucun seuil de taille. La seconde tient à la transparence : quand un contenu est produit par une machine, cela doit pouvoir se savoir.

S'y ajoute le règlement sur les données personnelles, qui n'a pas changé : envoyer des données de clients vers un service tiers reste un traitement, avec ce que cela demande de base légale et d'information. Une charte qui ne parle que de l'IA sans parler des données personnelles n'a traité que la moitié du sujet.

Les huit points qu'une charte doit trancher

Quels outils sont autorisés, nommément, et lesquels ne le sont pas. Quelles données peuvent y aller et lesquelles ne sortent jamais : identité des clients, pièces comptables, dossiers du personnel, mots de passe et accès.

Ce qui doit être relu par un humain avant de partir vers l'extérieur. Ce qui doit être signalé comme produit par une machine. Qui décide quand un cas n'est pas prévu. Ce qu'on fait d'une réponse fausse, et à qui on la signale. Comment un nouvel outil entre dans la liste des autorisés. Et la date de la prochaine relecture du texte, parce qu'une charte de 2025 parle d'un paysage qui n'existe plus.

Un modèle à adapter, en huit articles

Article 1, objet. Cette charte dit comment l'intelligence artificielle s'utilise chez nous. Elle s'applique à tous, salariés, stagiaires et prestataires, sur tous les appareils, professionnels ou personnels, dès lors que le travail de l'entreprise est en jeu.

Article 2, outils autorisés. Seuls les outils de la liste tenue par [le responsable désigné] sont autorisés pour un usage professionnel. Tout autre outil demande un accord écrit avant le premier usage.

Article 3, données interdites. Ne sortent jamais vers un outil d'IA externe : les noms et coordonnées de clients, les pièces et chiffres d'un dossier, les données du personnel, les identifiants et mots de passe, les documents marqués confidentiels. En cas de doute, la donnée est considérée comme interdite.

Article 4, relecture humaine. Aucun texte produit par une IA ne part vers un client, un partenaire ou une administration sans avoir été lu et validé par la personne qui l'envoie. Elle en reste responsable.

Article 5, transparence. Un contenu substantiellement produit par une IA et destiné à l'extérieur le mentionne. Les réponses automatiques faites au nom de l'entreprise sont signées comme telles.

Article 6, erreurs. Une réponse fausse ou douteuse se signale à [le responsable désigné], qui corrige la source ou retire l'outil de la liste. Personne n'est sanctionné pour avoir signalé une erreur.

Article 7, formation. Chaque personne concernée reçoit une présentation des outils autorisés, de leurs limites et de cette charte, avant son premier usage et à chaque évolution importante.

Article 8, révision. Cette charte est relue au moins une fois par an par [le responsable désigné]. Version [numéro], en vigueur au [date].

Ce qu'une charte ne règle pas

Elle ne remplace pas un outil interne. Tant que la seule façon de faire résumer un document est de le coller dans un service public, la charte sera contournée par des gens pressés et de bonne foi. C'est le sens de ce que nous construisons : un assistant qui travaille sur les documents de l'entreprise, dans une instance qui lui appartient, et qui n'oblige personne à choisir entre la règle et l'efficacité.

Elle ne remplace pas non plus le registre des traitements ni l'analyse d'impact quand elle est requise. Si vos usages touchent des données sensibles ou des décisions qui affectent des personnes, la charte est le début du travail, pas la fin.