Rédiger une charte d'utilisation de l'IA en entreprise

Pourquoi une charte IA maintenant

Vos collaborateurs utilisent déjà des outils d'IA générative, souvent avec un compte personnel. Ils rédigent des courriels, résument des contrats, reformulent des présentations. Sans règles écrites, chacun décide seul de ce qu'il confie à l'outil.

Trois raisons poussent à écrire une charte d'utilisation de l'IA en entreprise dès maintenant.

• La responsabilité. Selon la CNIL, c'est en général l'organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel.
• La recommandation de la CNIL. Dans ses questions-réponses de juillet 2024, elle recommande d'encadrer l'usage de l'IA générative par des politiques ou chartes internes qui définissent clairement les usages autorisés et interdits.
• L'AI Act. Son article 4 demande aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. La Commission européenne cite le cas de salariés qui utilisent ChatGPT pour rédiger ou traduire. Nous détaillons ce point dans notre article sur l'article 4 de l'AI Act.

Qui rédige la charte : DSI, RSSI, DPO et direction

Une charte écrite par la seule DSI sera juste sur le plan technique et ignorée sur le terrain. Une charte écrite par les RH sans la DSI promettra des outils qui n'existent pas. Formez un petit groupe :

• la DSI, pour la liste des outils, les comptes et les accès ;
• le RSSI, pour la sécurité et la classification des données ;
• le DPO, pour les données personnelles. La CNIL lui voit un rôle utile dans la gouvernance de ces systèmes, en lien avec le RSSI ;
• les RH et le juridique, pour la place de la charte dans le règlement intérieur ;
• un ou deux responsables métiers, pour vérifier que chaque règle s'applique à un cas réel.

La direction générale signe la charte. Sans cette signature, les managers ne la font pas respecter.

Que mettre dans une charte d'utilisation de l'IA

Sept rubriques couvrent l'essentiel. Gardez des phrases courtes, des exemples et un vocabulaire que comprend un commercial.

1. Les outils autorisés et les comptes

Listez les outils validés, avec le type de compte. La CNIL envisage un service grand public pour des usages non confidentiels, à condition d'utiliser des adresses professionnelles dédiées et, si possible, de désactiver la réutilisation des données par le fournisseur. Tout autre outil passe par une demande à la DSI.

2. Les données qu'on peut confier à l'IA

C'est la rubrique la plus importante. Reprenez la classification de vos données et dites pour chaque niveau ce qui est permis. La CNIL recommande, selon le mode de déploiement, d'interdire certaines données confidentielles, par exemple couvertes par le secret des affaires, ou personnelles. Pour les données de clients ou de salariés et la documentation stratégique, elle juge généralement plus sûr un déploiement maîtrisé, sur site ou encadré par un contrat de sous-traitance.

3. La vérification des résultats

L'IA produit des réponses fausses qui paraissent plausibles. La charte impose de vérifier l'exactitude, le risque de plagiat et les biais avant tout usage. La CNIL cite comme bonne pratique de ne jamais reproduire telles quelles les sorties de ces systèmes.

4. Les usages interdits

Nommez-les sans détour. Par exemple : confier à l'IA une décision sur une personne, produire un avis juridique ou médical sans relecture d'un expert, générer l'image ou la voix d'une personne réelle sans son accord.

5. La transparence

Précisez quand signaler l'usage de l'IA : un document remis à un client, une réponse automatisée, un contenu publié.

6. Le signalement

Donnez un contact unique pour les questions, les erreurs et les incidents, comme une donnée collée par erreur dans un outil non validé. Le DPO ou un référent IA tient souvent ce rôle.

7. La formation et la mise à jour

Indiquez la formation requise avant d'utiliser les outils et la date de la prochaine revue de la charte.

Exemple de règles à adapter

Voici le cœur d'une charte IA, présenté en trois niveaux. Adaptez la liste à vos outils et à votre secteur.

Autorisé avec l'outil validé

• reformuler un texte rédigé par vous, sans nom de client ;
• résumer un document public ou une étude de marché ;
• préparer le plan d'une présentation ou une trame de réunion.

Autorisé avec précaution

• analyser un document interne non confidentiel, après avoir retiré les noms ;
• rédiger un courriel client, relu avant envoi ;
• produire du code, relu et testé par un développeur.

Interdit

• coller un fichier client, une fiche de paie, un contrat de travail ou des données de santé dans un outil non validé ;
• transmettre un document stratégique (offre en cours, projet d'acquisition, résultats non publiés) ;
• laisser l'IA trancher sur un recrutement, une sanction ou un crédit.

Pour des idées d'usages concrets par service, consultez notre article sur ChatGPT en entreprise, métier par métier.

Valeur juridique : règlement intérieur et CSE

Une charte simplement diffusée par courriel a une portée limitée. Pour pouvoir sanctionner un manquement, rattachez-la au règlement intérieur.

L'article L1321-5 du Code du travail le prévoit : quand un règlement intérieur existe, les notes de service et autres documents qui posent des obligations générales et permanentes dans ses matières, dont la discipline, sont considérés comme des adjonctions à ce règlement. La procédure de l'article L1321-4 s'applique alors :

1. soumettre la charte à l'avis du comité social et économique ;
2. accomplir les formalités de publicité et transmettre la charte, avec l'avis du CSE, à l'inspection du travail ;
3. fixer une date d'entrée en vigueur au moins un mois après ces formalités.

Chaque modification de ces clauses suit le même chemin. L'article L1321-3 rappelle enfin qu'une restriction aux libertés des salariés doit être justifiée par la tâche et proportionnée au but recherché. Une interdiction générale de toute IA, sans motif, serait fragile. Faites relire ce volet par votre juriste.

Déployer la charte et la faire vivre

Une charte que personne n'a lue ne protège personne. La CNIL recommande de former les utilisateurs et de mener des contrôles réguliers. En pratique :

• présentez la charte en atelier, sur des cas tirés de chaque métier ;
• mettez à disposition des prompts types, une piste que la CNIL suggère aussi pour orienter vers des usages éprouvés ;
• gardez une trace des formations, utile pour montrer vos efforts au titre de l'AI Act ;
• révisez la charte à chaque nouvel outil et au moins une fois par an.

Notre accompagnement

ANA Studio aide les directions à passer de la charte aux usages. Nous commençons par une conférence d'ouverture, puis un diagnostic des usages avec OrgScan, un court entretien vocal par collaborateur. Viennent ensuite des ateliers pratiques par métier, jusqu'à 35 personnes, où la charte validée par la DSI est appliquée sur de vrais dossiers. Le suivi se fait sur WhatsApp avec ANA Companion.

Nous avons formé plus de 1 000 personnes au digital et à l'IA, dont une centaine de directeurs et dirigeants. Le détail des formats est sur notre page formation IA à Paris. Le prix est fixé sur devis, après un échange de 30 minutes. Retrouvez nos autres guides dans les ressources.

Questions fréquentes