Interdire toute intelligence artificielle pousse souvent les usages dans l’ombre ; tout autoriser sans cadre expose les données et la responsabilité de l’entreprise. Une charte courte permet de fixer des règles compréhensibles avant de déployer des contrôles plus techniques.
Le modèle ci-dessous constitue une base de travail. Il doit être adapté aux métiers, aux données manipulées, aux outils réellement autorisés et aux obligations propres à l’organisation. Il ne remplace ni une analyse juridique ni les procédures de sécurité existantes.
1. Objet et périmètre
La présente charte encadre l’utilisation des systèmes d’intelligence artificielle par les salariés, dirigeants, prestataires et autres personnes autorisées dans le cadre de leurs activités pour [NOM DE L’ORGANISATION]. Elle s’applique aux services en ligne, fonctions intégrées aux logiciels, assistants, modèles locaux et automatisations utilisant une IA.
Précisez si certains services, filiales ou activités sensibles possèdent des règles supplémentaires. Une charte trop générale devient vite inapplicable.
2. Outils autorisés
Les outils utilisables à titre professionnel sont inscrits dans une liste tenue par [RESPONSABLE]. L’autorisation tient compte du contrat, de la gestion des comptes, du traitement des données, des fonctions d’administration et du besoin métier. Un essai individuel ne vaut pas validation pour l’ensemble de l’entreprise.
Conservez pour chaque outil un propriétaire, une finalité, les catégories d’utilisateurs et une date de révision. Les fonctions d’IA ajoutées silencieusement à un logiciel existant doivent également être examinées.
3. Données interdites ou soumises à validation
Il est interdit de transmettre à un outil non expressément approuvé des secrets d’authentification, données bancaires, documents confidentiels, données personnelles non nécessaires, informations de santé, dossiers RH, code source sensible ou informations couvertes par une obligation de secret. En cas de doute, l’utilisateur s’abstient et contacte [CONTACT].
Complétez la liste selon votre activité. Une anonymisation superficielle ne suffit pas si une personne ou un client reste identifiable par recoupement.
4. Comptes et accès
Les usages professionnels passent par les comptes fournis ou approuvés par l’organisation. Le partage de comptes est interdit. L’authentification multifacteur est activée lorsqu’elle est disponible. Les droits sont retirés lors d’un changement de mission ou d’un départ.
Cette règle évite que des historiques de conversations et documents professionnels restent attachés à un compte personnel impossible à administrer.
5. Validation humaine
Une production générée par IA est considérée comme une proposition à vérifier. L’utilisateur reste responsable de contrôler les faits, calculs, sources, destinataires, droits d’utilisation et conséquences de la décision. Toute action externe sensible — publication, paiement, recrutement, conseil à fort enjeu ou suppression — conserve une validation humaine appropriée.
6. Transparence et traçabilité
L’usage d’une IA est signalé lorsque cette information est nécessaire pour comprendre la production, respecter une obligation ou préserver la confiance du destinataire. Les projets importants documentent l’outil, sa version lorsque pertinent, les données utilisées, les validations et la personne responsable.
Il n’est pas nécessaire de transformer chaque courriel corrigé en rapport d’audit. La traçabilité doit être proportionnée au risque et à l’impact.
7. Propriété intellectuelle et confidentialité
L’utilisateur ne demande pas la reproduction d’un contenu manifestement protégé sans autorisation et vérifie les droits nécessaires avant toute diffusion. Il ne saisit pas d’informations appartenant à un client, un partenaire ou un salarié en dehors du cadre convenu.
8. Incidents et signalements
Toute transmission accidentelle de données, réponse dangereuse, accès non autorisé ou comportement inattendu est signalé sans délai à [CONTACT]. L’utilisateur conserve les éléments utiles sans les diffuser davantage et suit les consignes de réponse à incident.
9. Formation et révision
Les utilisateurs reçoivent une sensibilisation adaptée avant l’accès aux outils concernés. La charte est revue au minimum chaque année et lors d’un changement important d’outil, de réglementation, de données ou de finalité.
Comment déployer ce modèle sans créer un document oublié
- Recenser les usages réels par équipe.
- Choisir trois à cinq règles non négociables.
- Nommer un contact capable de répondre rapidement.
- Former à partir de situations concrètes.
- Faire signer ou accepter la charte selon le cadre RH retenu.
- Contrôler après un mois si les outils et données observés correspondent au texte.
Une charte utile tient sur quelques pages, renvoie vers une liste d’outils maintenue séparément et prévoit un canal de décision rapide. Son objectif n’est pas de prouver que l’entreprise avait écrit des règles, mais de guider une personne au moment où elle hésite.
Article informatif. Les obligations et caractéristiques des services peuvent évoluer : vérifiez les sources officielles et faites valider les situations complexes par un professionnel compétent.
