Charte d'usage de l'IA en entreprise : le modèle en dix règles, et ce qui la rend opposable

Une charte d'usage de l'IA est un document interne d'une à deux pages qui fixe les outils autorisés, les données interdites en saisie, la relecture attendue avant toute diffusion et la personne à prévenir en cas de problème. Aucun texte ne l'impose sous ce nom, mais c'est la mesure la plus souvent citée au titre de l'article 4 du règlement (UE) 2024/1689, et la seule qui puisse devenir opposable à un salarié. Encore faut-il l'écrire comme un document de droit du travail, pas comme une note d'intention : c'est exactement là que la plupart des chartes publiées depuis un an perdent toute portée.

Source : code du travail, Légifrance

Ce qu'une charte règle vraiment

Le problème que résout une charte n'est pas juridique, il est quotidien. Une comptable colle un tableau de salaires dans un assistant grand public pour le mettre en forme. Un commercial fait rédiger une réponse à appel d'offres et l'envoie sans la relire. Une alternante publie un visuel généré sans le signaler. Aucun des trois n'a voulu mal faire : personne ne leur avait dit où était la limite.

La charte est la réponse la moins coûteuse à cette situation. Elle ne demande ni logiciel, ni budget, ni comité. Elle demande une décision claire sur quatre points, ce qui est autorisé, avec quelles données, avec quelle relecture, et qui tranche en cas de doute. Tout le reste est du remplissage.

Obligatoire ou pas, la réponse précise

Aucun article du règlement (UE) 2024/1689 n'impose de charte. Son article 4 demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui les utilisent pour leur compte. C'est une obligation de moyens, applicable depuis le 2 février 2025, et la Commission européenne le confirme dans ses questions-réponses sur la littératie IA : il n'existe pas de modèle unique, aucune formation type n'est imposée, et aucun certificat n'est nécessaire. Les organisations peuvent en revanche tenir un registre interne de leurs formations et de leurs actions d'encadrement.

C'est précisément ce qu'est une charte : une action d'encadrement, écrite et datée. Elle n'est pas obligatoire, elle est la pièce la plus facile à produire quand une autorité demande quelles mesures ont été prises. Depuis le 2 août 2026, cette question relève des autorités nationales de surveillance du marché. La CNIL, elle, reste compétente sur les données personnelles au titre du RGPD, ce qui concerne directement la charte puisque les données saisies dans un outil d'IA sont des données comme les autres.

Le point que presque toutes les chartes manquent

Une charte n'a de portée disciplinaire que si elle a été adoptée comme telle. L'article L. 1321-1 du code du travail réserve au règlement intérieur les règles générales et permanentes relatives à la discipline, notamment la nature et l'échelle des sanctions. L'article L. 1321-5 ajoute que les notes de service et tout autre document comportant des obligations générales et permanentes dans ces matières sont, lorsqu'il existe un règlement intérieur, considérées comme des adjonctions à celui-ci.

Autrement dit, la charte IA qui écrit « il est interdit de saisir des données clients dans un outil d'IA non validé » pose une obligation générale et permanente. Elle est une adjonction au règlement intérieur et doit suivre la même procédure, décrite à l'article L. 1321-4 : avis préalable du comité social et économique, communication à l'inspecteur du travail accompagnée de cet avis, dépôt au greffe du conseil de prud'hommes du ressort, publicité par tout moyen auprès des personnes ayant accès aux lieux de travail, et entrée en vigueur au moins un mois après l'accomplissement de ces formalités. Les mêmes règles valent pour chaque modification ultérieure.

Le règlement intérieur est obligatoire à partir de cinquante salariés, au terme d'un délai de douze mois à compter de la date à laquelle ce seuil est atteint. En dessous, il n'est pas imposé. Une charte y garde toute sa valeur d'organisation et de preuve, mais fonder une sanction sur elle seule reste fragile : la voie sûre est d'adopter un règlement intérieur, même facultatif, en suivant la même procédure.

Attention à ne pas confondre deux consultations distinctes du CSE. L'avis sur le règlement intérieur porte sur le texte de la charte. L'information-consultation de l'article L. 2312-8 du code du travail porte, elle, sur le déploiement de l'outil lui-même, et quatre ordonnances de référé rendues entre février 2025 et janvier 2026 ont suspendu des projets d'IA faute de l'avoir menée.

Le modèle en dix règles

Ce modèle tient en une à deux pages. Chaque règle se rédige en deux ou trois phrases, à la voix active, sans conditionnel.

1. Le périmètre.Qui est concerné : salariés, alternants, stagiaires, dirigeants et prestataires travaillant sur vos données. Et quoi : tout système d'IA, y compris les fonctions d'IA déjà intégrées à votre suite bureautique ou à votre CRM, et les outils utilisés depuis un compte personnel dans un cadre professionnel.

2. Les outils autorisés.Une liste nommée, avec la version ou l'offre, car les garanties diffèrent entre une version gratuite grand public et une offre professionnelle. Ajoutez la procédure pour faire ajouter un outil : à qui on demande, sous quel délai, sur quels critères.

3. Les données interdites en saisie.La règle la plus utile de toute la charte. Nommez explicitement ce qui ne doit jamais être collé dans un outil non validé : données personnelles de clients ou de salariés, données de santé, éléments de paie, pièces contractuelles, code source, secrets d'affaires. Le RGPD continue de s'appliquer intégralement aux données saisies dans un prompt.

4. La relecture humaine.Aucune sortie d'IA ne part vers un client, un candidat, une administration ou le public sans avoir été relue par une personne nommée. Précisez qui relit quoi selon l'enjeu, et faites de cette relecture une étape du processus, pas une bonne intention.

5. La transparence. Dites quand un contenu généré doit être signalé comme tel, en interne comme en externe, et comment vos équipes répondent à un client qui demande si une IA a été utilisée. Le règlement impose des obligations de transparence pour les interactions avec une machine et certains contenus générés.

6. Les décisions interdites à l'IA seule.Écartez nommément le tri final de candidatures, l'évaluation des personnes, les décisions disciplinaires, l'accès à un crédit ou à un service essentiel. Ces usages relèvent du haut risque au sens du règlement, dont les règles s'appliqueront en décembre 2027, et le RGPD encadre déjà les décisions entièrement automatisées.

7. Le référent et le signalement.Un nom, pas un service, et une adresse à laquelle signaler un incident : donnée divulguée, réponse aberrante partie chez un client, soupçon de contenu erroné. Précisez que signaler de bonne foi n'expose à aucune sanction, sans quoi personne ne signalera rien.

8. La tenue du registre. La charte pose la règle, le registre des usages en garde la trace. Renvoyez-y explicitement et désignez qui le met à jour quand un outil arrive ou disparaît.

9. La formation et sa preuve.Indiquez qui doit être formé, avec quel niveau d'exigence selon les postes, et sous quel délai après l'arrivée dans l'entreprise. Précisez la preuve conservée : une attestation de formation nominative et datée, rangée avec la charte et le registre.

10. La révision. Une date de version, une relecture annuelle et une clause qui prévoit la mise à jour à chaque nouvel outil. Une charte non datée ne prouve rien, et une charte de 2025 qui ignore vos outils de 2026 se retourne contre vous.

Trois formulations à ne pas écrire

« L'usage de l'IA est interdit dans l'entreprise. »C'est la phrase qui fabrique le shadow AI. L'usage ne disparaît pas, il devient invisible, sur des comptes personnels et sans aucune règle sur les données. Une interdiction générale est aussi l'aveu qu'aucune mesure de maîtrise n'a été prise.

« L'entreprise est certifiée AI Act. »Cette certification n'existe pas. Le règlement ne prévoit aucun certificat pour l'article 4, et la Commission européenne le dit explicitement. Écrivez plutôt ce que vous pouvez prouver : des mesures prises, des personnes formées, des attestations datées.

« Tout manquement sera sanctionné. »Écrite dans un document qui n'a pas suivi la procédure du règlement intérieur, cette phrase n'a aucune portée. Soit vous assumez le volet disciplinaire et vous passez par la procédure, soit vous rédigez une charte d'organisation et vous renvoyez au règlement intérieur existant.

L'adopter en deux semaines

Jours 1 et 2 : la carte.Listez les outils réellement utilisés, factures de logiciels à l'appui, puis demandez à l'équipe sans piège ce qu'elle utilise, même gratuitement. Sans cette étape, la charte interdira des outils que personne n'emploie et laissera passer ceux qui posent problème.

Jours 3 à 5 : le texte.Dix règles, deux pages maximum, une date de version et un nom de référent. Faites-le relire par une personne de chaque service concerné, c'est le meilleur test de clarté qui existe.

Jours 6 à 10 : la procédure.Inscrivez le point à l'ordre du jour du CSE pour recueillir son avis, communiquez le texte et l'avis à l'inspection du travail, déposez-le au greffe du conseil de prud'hommes, portez-le à la connaissance des équipes par tout moyen et fixez l'entrée en vigueur au moins un mois plus tard.

Le jour de l'entrée en vigueur : la formation. Une charte diffusée sans explication est lue par un tiers des destinataires. Une charte présentée en trente minutes, suivie d'un parcours court et d'un QCM, produit à la fois de la compréhension et une preuve datée.

Charte, registre, attestation : les trois pièces

Un dossier de conformité à l'article 4 tient dans trois documents. La charte dit la règle. Le registre des usages dit quels outils sont concernés, avec quelles données et sous quelle responsabilité. Les attestations disent qui a été formé et quand. C'est cet ensemble daté que la Commission européenne décrit lorsqu'elle invite les organisations à conserver une trace interne de leurs formations et de leurs actions d'encadrement.

Sur troie.app, la plateforme de formation de TROIE Studio, chaque parcours sur les usages professionnels de l'IA se termine par un QCM et délivre une attestation de formation nominative, datée et vérifiable en ligne, qui documente la mesure prise au titre de l'article 4 du règlement (UE) 2024/1689 sur la littératie IA, applicable depuis le 2 février 2025 et contrôlable depuis le 2 août 2026. L'abonnement est à 29 euros par mois ou 290 euros par an, avec un essai de 7 jours. Sur le budget à y consacrer, notre comparatif des prix de la formation AI Act situe les offres du marché. À noter, nos formations en ligne ne sont pas finançables par le CPF ni par un OPCO.

Questions fréquentes

Par où commencer

Ouvrez un document, écrivez les trois premières règles, périmètre, outils autorisés, données interdites, et datez-le. Vous aurez la moitié de la charte en une heure. Notre modèle de registre des usages de l'IA fournit la pièce qui l'accompagne, celui sur les exemples concrets de mesures de littératie IA détaille les autres mesures attendues, et notre article sur la consultation du CSE avant un déploiement d'IA décrit la procédure parallèle à ne pas oublier. La page AI Act résume les échéances. Pour situer vos obligations réelles, TROIE Studio propose un audit gratuit de 30 minutes.

Sources : règlement (UE) 2024/1689 (AI Act), article 4 sur la maîtrise de l'IA, EUR-Lex ; questions-réponses sur la littératie IA publiées par la Commission européenne (digital-strategy.ec.europa.eu), pour l'absence de certificat exigé, la tenue d'un registre interne des formations et le contrôle par les autorités nationales de surveillance du marché à partir du 2 août 2026 ; code du travail, articles L. 1311-2, L. 1321-1, L. 1321-4, L. 1321-5, R. 1321-1 et R. 1321-2 (Légifrance et code.travail.gouv.fr), pour le règlement intérieur, les adjonctions et les formalités ; article L. 2312-8 pour la consultation du CSE ; CNIL, fiches pratiques IA et programme de travail 2026 publié le 7 avril 2026, pour l'application du RGPD aux usages de l'IA au travail. Faits vérifiés le 24 août 2026. Cette page est une synthèse pédagogique, pas un conseil juridique.