Charte IA en entreprise : modèle commenté, exemples de règles et cas des PME et TPE

Une charte IA est un document interne qui définit ce que vos collaborateurs peuvent faire, ou non, avec les outils d'intelligence artificielle. Elle protège vos données, encadre les usages et donne à vos équipes un cadre clair pour utiliser l'IA en confiance. Sans elle, chacun improvise, et les outils grand public se remplissent d'informations qui n'auraient jamais dû en sortir.

Le sujet est neuf et les repères manquent, surtout en français. Beaucoup de dirigeants sentent le besoin d'encadrer l'IA sans savoir par où commencer, qu'ils dirigent une TPE de douze personnes ou une PME de trois cents salariés. Ce guide donne les raisons d'en rédiger une, un modèle commenté section par section, des exemples de règles directement réutilisables, ce qui rend le document opposable, et ce qui change selon la taille de l'organisation. Il s'appuie sur les chartes que nous co-construisons chez SmartForge dans le cadre de notre accompagnement charte IA d'entreprise, en médico-social, en BTP et dans les services.

Qu'est-ce qu'une charte IA en entreprise ?

Une charte IA est un cadre de référence qui formalise les règles d'utilisation de l'intelligence artificielle au sein d'une organisation. Elle répond à trois questions simples : quels outils sont autorisés, pour quels usages, et avec quelles précautions. Elle s'adresse à tous les collaborateurs, des équipes techniques aux fonctions métier.

Ce document a une valeur double. Pour l'entreprise, il réduit les risques juridiques, réglementaires et réputationnels liés à un usage non maîtrisé de l'IA. Pour les équipes, il lève l'incertitude : un collaborateur qui sait ce qui est permis ose utiliser l'IA, là où le flou pousse soit à l'interdiction totale, soit à l'usage clandestin. La charte transforme une zone grise en terrain balisé.

Pourquoi mettre en place une charte IA en 2026 ?

L'IA générative est déjà dans votre entreprise, que vous l'ayez décidé ou non. Vos collaborateurs utilisent ChatGPT, Gemini ou Claude sur leur navigateur, souvent avec leurs identifiants personnels. Ce phénomène porte un nom : l'IA fantôme, ces usages non encadrés qui échappent à toute supervision. Une charte est la réponse structurée à cette réalité, et c'est aussi ce que recommande la CNIL, qui invite les organismes à encadrer l'usage de l'IA générative par des politiques ou chartes internes définissant clairement les usages autorisés et interdits.

Cinq risques concrets justifient l'effort.

• La fuite de données. Un collaborateur colle un fichier client, un contrat ou un code source dans un outil grand public. Ces données peuvent alimenter l'entraînement du modèle et sortir du périmètre de l'entreprise, sauf à désactiver ce réglage outil par outil.
• La conformité RGPD. Traiter des données personnelles dans un outil IA sans base légale ni encadrement expose l'entreprise à un manquement réglementaire.
• Les erreurs et hallucinations. Une IA produit parfois des réponses fausses présentées avec aplomb. Sans règle de vérification, ces erreurs se diffusent dans des documents officiels.
• La propriété intellectuelle. Le statut juridique des contenus générés et la question des droits sur les données fournies restent des sujets sensibles, à clarifier en interne.
• L'équité et l'image. Un usage non cadré peut produire des contenus biaisés ou inappropriés, avec un risque réputationnel réel.

Trois repères ont bougé en un an, et une charte écrite en 2025 mérite une relecture. Depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA impose une maîtrise suffisante de l'IA chez les utilisateurs. Depuis le 2 août 2026, l'obligation de transparence de l'article 50 s'applique aux contenus générés et les autorités nationales disposent de leurs pouvoirs de sanction, comme nous le détaillons dans notre point sur ce qui s'applique réellement au 2 août 2026. Et le 21 mai 2026, la Cour d'appel de Paris a suspendu l'usage de ChatGPT dans des entreprises de presse, faute de consultation du CSE. La charte est le document qui rattache ces trois obligations à des règles que vos équipes peuvent appliquer.

Au-delà du risque, la charte est un accélérateur d'adoption. Quand le cadre est clair, les équipes avancent plus vite et plus sereinement. C'est la condition pour transformer l'IA en gain de productivité durable, sans laisser la peur ou l'improvisation décider à votre place.

Que doit contenir une charte IA ?

Une charte utile reste courte et lisible. Elle commence par le périmètre et les objectifs : à qui elle s'adresse, ce qu'elle vise, et le principe directeur qui guide tous les usages. Elle liste ensuite les outils autorisés, avec le rappel que toute solution non listée doit être soumise avant usage. Vient le cœur du document, les usages autorisés, encadrés et interdits, idéalement classés par niveau de risque.

S'y ajoutent les règles sur les données, qui disent ce qui peut être saisi dans un outil IA, ce qui ne doit jamais l'être et les précautions d'anonymisation à respecter. La validation humaine pose le principe que l'IA propose et que l'humain décide, en précisant les cas où une relecture est obligatoire. La transparence indique quand et comment signaler qu'un contenu a été produit avec l'aide de l'IA. Les responsabilités, enfin, désignent qui pilote la charte, à qui s'adresser en cas de doute, et comment le document évolue dans le temps.

Si vous ne deviez garder que cinq clauses, gardez celles-ci : la liste des outils autorisés, les données interdites de saisie, la relecture humaine obligatoire avant diffusion, la transparence sur les contenus générés et le nom du référent IA. Tout le reste est du raffinement.

À quoi ressemble un modèle de charte IA ?

Voici la trame que nous utilisons, commentée section par section. Elle tient en sept parties et s'adapte à toute organisation, de la TPE à l'association en passant par la PME et l'ETI. Pour chaque section, vous trouverez ce qu'elle contient, une formulation de départ à adapter, et le piège le plus fréquent. Chaque section est courte : une charte de plus de dix pages n'est pas lue.

1. Préambule et objectifs

Pourquoi l'entreprise se dote d'une charte, et la philosophie d'usage retenue. Une phrase de positionnement suffit, du type : « Nous utilisons l'IA pour gagner du temps sur ce qui compte : notre savoir-faire, nos décisions et la relation avec nos clients. L'IA prépare, l'humain décide. » Le piège est d'ouvrir sur trois pages d'histoire de l'intelligence artificielle que personne ne lira. Le positionnement gagne beaucoup à être formulé par les équipes elles-mêmes, en atelier, plutôt que rédigé par la direction.

2. Champ d'application

Les personnes concernées, les outils visés et le rappel que la charte prime sur les habitudes individuelles. Exemple : « La présente charte s'applique à l'ensemble des collaborateurs, alternants, stagiaires et prestataires intervenant sur nos outils, pour tout usage professionnel d'un outil d'IA, y compris depuis un appareil personnel. » Cette dernière précision compte : l'IA fantôme passe presque toujours par le téléphone ou l'ordinateur personnel.

3. Principes directeurs

Quelques engagements simples : protection des données, validation humaine, transparence, respect du cadre légal. La forme la plus efficace que nous ayons vue est une liste d'engagements à la première personne, écrits et votés par les participants. Dans une charte co-construite en juillet 2026 avec les six entités d'un groupe du BTP, onze engagements ont été rédigés ainsi, par exemple : « Je vérifie ce que l'IA produit, et les sources de mes recherches, avant toute utilisation. » Un engagement que l'on a écrit soi-même se respecte mieux qu'une règle reçue.

4. Outils autorisés

La liste des solutions validées et la procédure pour en faire ajouter une nouvelle. Exemple : « Seuls les outils référencés en annexe sont utilisés avec des données professionnelles, et toujours via un compte fourni par l'entreprise. Toute demande d'ajout passe par le référent IA. » Le piège classique est de figer la liste dans le corps de la charte. Elle date en quelques semaines, et chaque nouvel outil obligerait à réviser le document entier. Mettez-la en annexe, avec sa propre date de mise à jour.

5. Règles d'usage par niveau de risque

La grille verte, orange et rouge décrite dans la section suivante, qui dit en un coup d'œil ce qui est permis, encadré ou interdit. C'est la partie la plus consultée de la charte, et celle qui doit être la plus lisible : un tableau d'une page, avec pour chaque usage encadré la condition qui le rend possible.

6. Gestion des données

Les catégories de données et leur traitement autorisé, avec une règle d'or claire sur les données sensibles. La formulation la plus utile est une liste de ce qui ne se confie jamais à un outil grand public : les données personnelles et RH (noms, coordonnées, salaires, entretiens), les données clients, les données financières de l'entreprise, les études de prix et les marges, les mots de passe et accès, les documents classés confidentiels. Cette liste se construit avec chaque service, parce que les données sensibles d'un bureau d'études ne sont pas celles d'un service RH.

7. Gouvernance et mises à jour

Le référent IA, le canal pour poser une question, et le rythme de révision. Exemple : « Le référent IA est le premier interlocuteur des collaborateurs. La grille des usages et la liste des outils sont revues chaque mois pendant les six premiers mois, puis à un rythme ajusté à l'usage réel. La charte elle-même est relue une fois par an. » Sans référent nommé, la charte n'a pas de propriétaire, et un document sans propriétaire vieillit seul.

Un conseil de structure qui change tout : séparez un socle stable et une partie vivante. Le socle porte le positionnement, les engagements et la gouvernance ; il évolue rarement, sur décision de la direction. La partie vivante porte la grille des usages et la liste des outils ; elle se révise sans rouvrir la charte. Cette organisation est ressortie d'une séance de co-construction où les participants ont constaté que les outils changeaient plus vite que leur capacité à réviser un document validé par la direction. Dans le même esprit, les cas qui font débat le jour de l'atelier (l'accès de l'IA à la boîte mail, le traitement des données de chiffrage) sont listés en annexe comme questions ouvertes, plutôt que tranchés dans la précipitation.

Quels exemples de règles inclure dans une charte IA ?

Le moyen le plus lisible de cadrer les usages est une grille à trois couleurs. Nous l'utilisons dans les chartes que nous co-construisons, car elle se comprend en quelques secondes par tous les collaborateurs.

• Vert, usage libre. Reformuler un texte interne, corriger une orthographe, résumer un document public, générer des idées en atelier, traduire un contenu non confidentiel. Aucun risque sur la donnée, une relecture de bon sens suffit.
• Orange, usage encadré. Travailler sur des données clients anonymisées, rédiger un contenu destiné à publication, analyser un document interne non sensible. L'usage est permis avec une relecture humaine systématique et le respect des règles d'anonymisation.
• Rouge, usage interdit. Saisir des données personnelles sensibles, un contrat confidentiel, un mot de passe ou du code propriétaire dans un outil grand public, ou laisser une IA prendre seule une décision affectant une personne. Ces usages sont proscrits sans solution sécurisée dédiée.

Une grille ne suffit pas : il faut des phrases que le collaborateur peut appliquer sans interpréter. Voici quatre règles rédigées, telles qu'elles apparaissent dans les chartes que nous produisons, à reprendre et à adapter à votre contexte.

Sur les données : « Aucune donnée personnelle de client, de salarié ou de bénéficiaire ne peut être saisie dans un outil d'IA générative grand public. Si le traitement est nécessaire, les données sont anonymisées avant saisie. » Sur la vérification : « Toute information chiffrée, juridique ou factuelle produite par une IA est vérifiée à sa source avant diffusion, en interne comme en externe. » Sur les comptes : « L'usage professionnel de l'IA passe exclusivement par les comptes fournis par l'entreprise. Les comptes personnels sont exclus, y compris pour un usage ponctuel. » Sur le doute : « En cas d'hésitation sur un usage, le collaborateur interroge le référent IA avant d'agir. Aucune sanction ne peut découler d'une question posée de bonne foi. »

Cette dernière règle compte plus qu'il n'y paraît. Une charte qui ne fait qu'interdire pousse les usages dans la clandestinité. Une charte qui ouvre un canal de question fait remonter les cas réels, et c'est ainsi qu'elle reste à jour.

Ce que l'IA ne fait jamais seule

Cette clause n'existait dans aucune charte de 2024. Elle est devenue indispensable depuis que les assistants peuvent agir dans une messagerie, un agenda ou un dossier de fichiers, et que les agents IA entrent dans les entreprises. Quelle que soit la zone de l'usage, l'utilisateur reste responsable de ses actions et de ses livrables. La formulation que nous retenons tient en quatre points : l'IA n'envoie aucun email ni aucune communication d'elle-même, sans validation humaine ; elle ne supprime aucun document ni aucun message ; elle ne modifie aucun document d'entreprise sans contrôle ; elle ne prend aucune décision engageant l'entreprise, un client ou un collaborateur. Un engagement individuel la complète utilement : « Je ne donne à l'IA aucune autorisation de modifier ou de supprimer des données sans mon accord explicite. »

Quelle charte IA pour une PME ?

Dans une PME de 20 à 250 salariés, l'enjeu se déplace de la rédaction vers l'application. Trois contraintes apparaissent à cette taille.

La diversité des usages

Un service commercial, un bureau d'études et un pôle administratif n'ont ni les mêmes outils ni les mêmes données sensibles. Une charte trop générale ne parle à personne. La grille à trois couleurs se décline alors par famille de métiers, avec quelques lignes propres à chaque service, et la liste des données interdites se construit service par service.

Le dialogue social et le règlement intérieur

À partir de onze salariés, l'entreprise est en principe dotée d'un comité social et économique, et la mise à disposition d'un outil d'IA peut relever de l'information-consultation préalable. La Cour d'appel de Paris l'a confirmé le 21 mai 2026 en suspendant l'usage de ChatGPT dans des entreprises de presse (RG 25/13232), une décision que nous avons analysée dans notre article sur la consultation du CSE avant tout déploiement d'IA. La phase pilote n'exonère pas : le tribunal judiciaire de Nanterre l'a jugé dès le 29 janvier 2026. La consultation reste due, et la charte en constitue le meilleur support : un document écrit, précis, qui montre que le cadre a été pensé en amont.

La question de la valeur juridique se pose au même moment. Une charte qui se contente de recommander reste un guide de bonnes pratiques. Dès qu'elle comporte des obligations générales et permanentes en matière de discipline ou de sécurité, l'article L1321-5 du Code du travail la considère comme une adjonction au règlement intérieur, lorsque celui-ci existe. Elle suit alors la procédure du règlement intérieur : avis du CSE, communication à l'inspection du travail, et entrée en vigueur un mois après les formalités de publicité. Le règlement intérieur étant obligatoire à partir de cinquante salariés, c'est à ce seuil que le sujet devient concret. Le découpage en socle stable et partie vivante prend ici tout son sens : le socle, qui porte les obligations, passe par la procédure ; la grille des usages et les exemples pédagogiques, eux, se révisent sans la rouvrir. C'est ce volet social et juridique que notre co-construction de charte IA d'entreprise intègre d'office, parce qu'il conditionne la solidité du document.

La compétence des équipes

L'article 4 du règlement européen sur l'IA impose une maîtrise suffisante de l'IA chez les utilisateurs depuis le 2 février 2025. Une charte diffusée à des équipes qui ne comprennent pas ce qu'est une hallucination ou un modèle entraîné sur les saisies reste un texte mort. Charte et formation des équipes se déploient ensemble, la seconde donnant à la première ses chances d'être appliquée.

Une TPE a-t-elle vraiment besoin d'une charte IA ?

Oui, et le format se simplifie beaucoup. Le risque se mesure à l'usage bien plus qu'à l'effectif : un cabinet de cinq personnes qui traite des dossiers clients dans ChatGPT expose exactement les mêmes données qu'un groupe de mille salariés.

Ce qui change, c'est le volume du document. Sans CSE en dessous de onze salariés, l'obligation de consultation ne s'applique pas, et sans règlement intérieur, la charte prend la forme d'une note de service présentée en réunion, ce qui rend la démarche nettement plus rapide. Les obligations de protection des données et de maîtrise de l'IA par les utilisateurs, elles, demeurent.

Un exemple de charte IA d'une page pour une TPE

Pour une structure de cinq à vingt personnes, une page suffit, organisée en six blocs. Le premier est une phrase de position, du type « nous utilisons l'IA pour préparer, jamais pour décider à notre place ». Le deuxième liste les deux ou trois outils autorisés et précise qu'ils s'utilisent avec un compte professionnel, l'entraînement sur les données désactivé. Le troisième énumère les données qui ne se saisissent jamais : noms et coordonnées de clients, éléments de paie, devis et marges, mots de passe. Le quatrième pose la relecture humaine avant toute diffusion externe. Le cinquième fixe la règle de transparence, par exemple signaler l'usage de l'IA dès que le destinataire pourrait raisonnablement s'y attendre. Le sixième nomme la personne à qui poser une question et fixe une relecture par an.

Le piège classique en petite structure est de tout faire reposer sur le dirigeant, qui devient à la fois référent IA, valideur et unique lecteur du document. Désignez une deuxième personne, même à temps très partiel. Une charte que personne ne relit quand l'outil change vieillit en quelques mois.

Faut-il former les équipes avant ou après la charte ?

Avant, au moins pour le groupe qui va l'écrire. Une charte rédigée par des personnes qui n'ont jamais vu une hallucination ni compris qu'un outil grand public peut apprendre de leurs saisies produit des règles hors sol, soit trop laxistes, soit si restrictives que personne ne les suit. Deux à trois heures de sensibilisation suffisent pour que le groupe de travail parle le même langage : ce que fait réellement un modèle, ce qu'il retient, où partent les données, ce qu'il invente.

C'est la séquence que nous recommandons chez SmartForge : former d'abord, cadrer ensuite, déployer enfin. La formation donne aux équipes les repères pour écrire des règles qui tiennent ; la charte fixe le cadre ; le déploiement d'outils vient une fois le cadre posé. Nos formations IA sont dispensées par un organisme certifié Qualiopi, ce qui ouvre la voie à une prise en charge par votre OPCO pour ce premier temps. Pour cadrer ce volet, notre article sur par où commencer pour former ses équipes à l'IA détaille les étapes.

L'erreur symétrique existe : attendre d'avoir formé toute l'entreprise pour écrire la première ligne. La sensibilisation courte du groupe de travail suffit à lancer la charte. La formation de fond, service par service, accompagne ensuite sa diffusion, et c'est à ce moment que les règles deviennent des réflexes.

Faut-il télécharger un modèle de charte IA gratuit ?

Ces modèles existent, ils sont nombreux, et ils ont une vraie utilité : comprendre la structure attendue et vérifier qu'on n'a rien oublié. Utilisez-les comme une liste de contrôle.

Ils atteignent leur limite dès qu'il s'agit de trancher. Un modèle générique ne connaît ni les outils réellement installés chez vous, ni les catégories de données que vos équipes manipulent, ni votre secteur, ni votre culture interne. Il ne peut donc pas dire si l'analyse d'un dossier usager relève de l'orange ou du rouge chez vous. Or c'est précisément là que se joue l'utilité d'une charte. Un document signé puis rangé dans un tiroir ne protège de rien, et le premier incident le démontre.

Nous ne proposons volontairement aucun modèle type à télécharger, pour cette raison. La trame commentée ci-dessus est publique et réutilisable telle quelle. Ce que nous apportons ensuite, c'est le travail de terrain qui la remplit.

Comment construire et déployer sa charte IA ?

Une charte imposée d'en haut reste lettre morte. La méthode que nous appliquons chez SmartForge repose sur la co-construction, en quatre temps.

1. Les ateliers avec les équipes

Un groupe mixte et représentatif de l'organisation, direction, managers, métiers et fonctions support, traverse une série d'ateliers : attentes et craintes, usages réels, cadrage des usages et des données, positionnement et engagements, conditions de réussite. Nous apportons la méthode et les questions ; les participants formulent eux-mêmes la position de l'organisation sur la place de l'IA et de l'humain.

2. Le questionnaire auprès des collaborateurs

Diffusé en amont ou en parallèle, il recueille les pratiques effectives, souvent éloignées de ce qu'imagine la direction. C'est lui qui révèle l'ampleur de l'IA fantôme et les usages que personne n'aurait cités en réunion.

3. La rédaction sur mesure

Nous transformons la matière produite en une charte adaptée au secteur et aux contraintes : usages autorisés, encadrés et exclus, protection des données, rôles et arbitrages, volet réglementaire (règlement européen sur l'IA, RGPD, consultation du CSE). Cette version de travail est restituée au groupe, amendée, puis stabilisée.

4. La validation par la direction

Présentation à la direction pour validation, puis communication aux équipes. Une charte comprise et portée est prête à être appliquée dès sa diffusion.

Le 7 juillet 2026, les six entités du groupe Lindera ont passé une journée ensemble sur ce format. Ce que les participants ont retenu d'abord, d'après leurs retours, ce sont les échanges entre entités qui ne se croisent pas souvent, et la vision commune qui en est sortie. Cette démarche garantit que la charte colle au terrain et que les équipes se l'approprient, parce qu'elles ont participé à l'écrire. C'est le principe de notre accompagnement charte IA, en journée collaborative ou en dispositif complet : la journée suffit à produire la matière d'une charte ; le dispositif complet pose en plus une stratégie IA d'ensemble et embarque toute la ligne hiérarchique sur plusieurs mois.

Reste à la faire vivre. Une charte validée risque de devenir un document que personne ne relit. Trois compléments l'ancrent au quotidien : les réflexes à retenir, tenus sur une page, une infographie des usages autorisés, encadrés et exclus, et un assistant qui répond aux questions concrètes des équipes à partir de la charte validée, « puis-je reformuler ce compte rendu avec l'IA ? », « puis-je coller cette situation si j'enlève le prénom ? ». Prévoyez aussi une relecture au moins une fois par an, et systématiquement à chaque nouvel outil déployé.

Quelles erreurs rendent une charte IA inutile ?

Quatre erreurs reviennent dans les chartes que l'on nous demande de reprendre.

Rédiger seul dans son bureau

Une charte écrite par la direction ou par le service informatique, sans les équipes, décrit des usages théoriques. Elle interdit ce que personne ne faisait et oublie ce que tout le monde fait déjà. Le questionnaire et les ateliers existent pour cette raison.

Interdire sans former

Une charte qui ne fait qu'interdire déplace les usages vers le téléphone personnel. Chaque interdiction gagne à être accompagnée de l'usage autorisé qui la remplace, et d'une formation qui explique pourquoi.

Tout figer dans un seul document

Une liste d'outils gravée dans le corps de la charte est périmée au premier abonnement souscrit. Sans partie vivante, la charte se révise trop rarement, et les équipes cessent de la consulter parce qu'elle ne reflète plus la réalité.

Diffuser par email et passer à autre chose

Une charte envoyée en pièce jointe est lue par une minorité. Présentez-la en réunion, en commençant par les raisons avant les règles, nommez le référent devant tout le monde, et donnez un support d'une page à garder sous la main.

Par où commencer votre charte IA ?

Commencez par l'inventaire. Pendant une semaine, notez les outils d'IA réellement utilisés dans l'entreprise et les types de fichiers qui y passent. Cette liste, presque toujours plus longue que prévu, contient déjà les trois quarts de votre charte. Le reste consiste à décider, service par service, ce qui bascule en vert, en orange ou en rouge.

Le bon moment pour écrire ce document est maintenant, avant qu'un incident ou une consultation du CSE mal préparée ne vous y oblige. Une charte IA bien faite protège votre entreprise et libère vos équipes en même temps. Elle demande une méthode et une vraie écoute du terrain. Le budget et le calendrier viennent loin derrière.

Pour une TPE, une PME ou une association qui veut cadrer les usages de l'IA sans freiner l'adoption, la charte est le premier document à poser, et le support naturel de vos obligations réglementaires. SmartForge, agence IA basée à Lille, a accompagné plus de 60 entreprises et rendu autonomes plus de 300 collaborateurs, et co-construit des chartes IA sur mesure en journée collaborative ou en dispositif complet, partout en France. Nous cadrons avec vous les usages pour gagner en sécurité, sans freiner l'adoption.

Sources : recommandations de la CNIL sur l'usage des systèmes d'IA générative, règlement européen sur l'IA (articles 4 et 50), Code du travail (articles L1321-4 et L1321-5), arrêts de la Cour d'appel de Paris du 21 mai 2026, et retours d'expérience SmartForge sur 60+ entreprises accompagnées, dont des chartes IA co-construites en médico-social, BTP et services. Mis à jour le 7 septembre 2026.