Faut-il une charte IA en entreprise ?

Parce que l'IA est déjà dans votre entreprise, que vous l'ayez décidé ou non. Sans règles écrites, chaque salarié décide seul de ce qu'il peut copier-coller dans un assistant IA. Or c'est l'entreprise qui reste responsable des données personnelles de ses clients et de ses salariés.

Une charte répond à quatre besoins à la fois :

• Protéger vos données : c'est le risque le plus concret, et il relève du RGPD.
• Montrer que vous agissez : l'AI Act demande aux entreprises de prendre des mesures pour développer la maîtrise de l'IA de leurs équipes. Une charte, accompagnée d'une courte formation, en est la preuve la plus simple.
• Suivre les recommandations de la CNIL, qui conseille de définir par écrit les usages autorisés et interdits de l'IA générative, et les données à ne pas fournir.
• Informer vos salariés : si vous prévoyez de contrôler l'usage des outils (par exemple via les journaux d'activité), le Code du travail impose de les en informer au préalable. La charte est le bon endroit pour le faire.

Huit rubriques suffisent pour une TPE ou une PME :

1. À qui elle s'applique : salariés, stagiaires, mais aussi prestataires et freelances qui travaillent pour vous.
2. Les outils autorisés : la liste des outils validés, avec des comptes professionnels. Les comptes personnels sont à proscrire pour le travail.
3. Comment faire valider un nouvel outil : à qui s'adresser, sous quel délai.
4. Les données : ce qui peut entrer dans un outil IA, et ce qui ne doit jamais y entrer (voir la règle des trois couleurs ci-dessous).
5. La vérification : l'IA se trompe et peut inventer des faits. Tout contenu produit par une IA est relu par un humain, qui en reste responsable.
6. La transparence : quand faut-il signaler qu'un contenu ou un échange vient d'une IA (assistant sur votre site, images réalistes publiées…).
7. Les usages interdits : prendre une décision sur une personne (recrutement, évaluation) sans contrôle humain, analyser les émotions des salariés, enregistrer une réunion sans prévenir les participants.
8. Le référent IA et la mise à jour : qui répond aux questions, à qui signaler un incident (une donnée sensible envoyée par erreur, par exemple), et quand la charte est revue.

C'est la partie la plus utile au quotidien. Elle doit tenir en un coup d'œil :

Adaptez cette liste à votre activité : une entreprise qui traite des données bancaires ou de santé aura une zone rouge beaucoup plus large.

C'est la question qui revient le plus souvent : peut-on sanctionner un salarié qui ne respecte pas la charte ?

• À partir de 50 salariés, le règlement intérieur est obligatoire. Un document qui impose des obligations générales et permanentes en matière de discipline est considéré comme un ajout au règlement intérieur. Pour pouvoir être opposé aux salariés, il doit suivre la même procédure : avis du CSE, transmission à l'inspection du travail, publicité. Sans ces formalités, la Cour de cassation juge qu'on ne peut pas reprocher au salarié de ne pas l'avoir respecté.
• En dessous de 50 salariés, le règlement intérieur n'est pas obligatoire. La charte peut être diffusée comme une note de service. Faites-la signer par chaque salarié : la signature prouve que chacun en a pris connaissance.

Dans les deux cas, si vous envisagez des sanctions, faites valider la démarche par un avocat en droit social.

1. Faire l'inventaire des outils IA réellement utilisés, y compris sur des comptes personnels.
2. Choisir les outils officiels et ouvrir des comptes professionnels.
3. Adapter un modèle de charte à votre activité, surtout la règle des trois couleurs.
4. La présenter en réunion, avec des exemples concrets tirés de vos métiers.
5. La faire signer, et noter la date de diffusion.
6. Fixer une date de révision : tous les six mois, ou à chaque nouvel outil.

• Copier un modèle sans l'adapter : une charte générique ne répond pas aux vraies situations de vos équipes.
• Tout interdire : les salariés continuent d'utiliser l'IA, mais en cachette, sur leurs comptes personnels. C'est le pire scénario pour vos données.
• Oublier les prestataires et les freelances, qui manipulent souvent vos données.
• Ne jamais la mettre à jour : les outils changent tous les trois mois.