FR EN
Participerà la BetaParticiper à la Beta

Blog

Co-concevez la charte d'usage de l'IA pour votre organisation

Illustration d'une charte pour une IA sécurisée

Une charte d'usage de l'IA est un document normatif qui fixe les règles, les responsabilités et les limites d'utilisation des outils d'intelligence artificielle au sein d'une organisation. Elle sert à protéger les données sensibles, cadrer les pratiques des équipes et rassurer clients, partenaires et régulateurs. Bien construite, elle s'appuie sur trois références incontournables : le règlement européen sur l'intelligence artificielle, le RGPD et les recommandations de la DINUM pour les agents publics.

En bref:

  • La mise en place d'une charte d'usage de l'IA doit couvrir la responsabilité humaine, la protection des données, la transparence, la sobriété et la formation continue.
  • Il est crucial de documenter chaque déploiement d'outil avec la finalité, les données traitées, le risque et les mesures d'atténuation pour assurer la conformité.
  • La gouvernance régulière, par un comité dédié, permet de suivre l'évolution des outils et d'éviter l'obsolescence du cadre, en vérifiant notamment l'adhésion des équipes.
  • La pseudonymisation opérationnelle des données sensibles en amont des requêtes d'IA limite le risque de fuite d'informations personnelles, tout en facilitant l'usage.
  • L'intégration d'une pseudonymisation dans le flux de travail peut être une mesure technique efficace, renforçant la conformité au RGPD sans entraver la productivité.

Table des matières

Pourquoi lancer une charte d'usage de l'IA maintenant

Une charte ne se rédige pas par précaution administrative. Elle répond à trois objectifs concrets : rester conforme aux textes qui s'accumulent depuis 2024, garder la main sur les risques que l'IA générative fait peser sur les données de l'entreprise, et construire une confiance interne et externe qui manque cruellement dès qu'un salarié colle un contrat confidentiel dans un chatbot public.

Certains signaux doivent déclencher le chantier sans attendre :

  • Le déploiement, même informel, d'outils d'IA générative dans les équipes.
  • La manipulation régulière de données personnelles ou de documents confidentiels.
  • Le recours à des prestataires ou sous-traitants qui utilisent eux-mêmes des IA tierces.

Associer juridique, DSI, RH et représentants métiers dès le départ évite de rédiger un texte théorique que personne n'appliquera.

Les principes que la charte doit absolument couvrir

Le guide interministériel publié par la DINUM structure ses recommandations autour de cinq principes, et ce cadre tient tout aussi bien dans le secteur privé.

1. Responsabilité humaine. Une décision qui affecte une personne ou un contrat ne doit jamais reposer uniquement sur une sortie d'IA, non vérifiée.

2. Protection des données. Aucune donnée personnelle identifiante ne doit transiter par une IA publique non maîtrisée par l'entreprise.

3. Transparence. L'usage de l'IA dans la production d'un contenu ou d'une analyse doit être mentionné, en interne comme vis-à-vis du client.

4. Sobriété. Chaque requête a un coût énergétique ; la charte doit encourager un usage raisonné plutôt que systématique.

5. Formation continue. Les équipes doivent savoir reconnaître une hallucination, un biais ou une fuite de donnée potentielle.

Conseil de pro : Formulez chaque principe comme une règle vérifiable, pas comme une valeur abstraite. « Ne jamais coller un numéro de sécurité sociale dans un prompt » se contrôle ; « respecter la confidentialité » ne se contrôle pas.

Ce que le RIA et le RGPD imposent concrètement à votre charte

Le règlement européen sur l'intelligence artificielle, entré en application en 2024, fixe un cadre harmonisé pour l'Union européenne. Il impose des obligations de documentation technique et de transparence qui pèsent en priorité sur trois catégories :

  • Les systèmes d'IA à haut risque, encadrés par les articles 11 et 13 sur la documentation technique et la transparence.
  • Les modèles d'IA à usage général, visés par l'article 53.
  • Les organisations qui déploient ces systèmes en interne, même sans les développer elles-mêmes.

Le RIA ne se substitue pas au RGPD : les deux textes s'articulent. La CNIL rappelle que l'analyse d'impact relative à la protection des données reste applicable et complémentaire, et recommande de regrouper l'AIPD et l'évaluation des impacts sur les droits fondamentaux dans un même document plutôt que de les dupliquer.

Votre charte doit donc préciser ce qui sera documenté à chaque déploiement d'un outil : la finalité, la nature des données traitées, le niveau de risque et les mesures d'atténuation retenues. Sans cette trace écrite, impossible de démontrer une conformité en cas de contrôle. Le sujet est détaillé dans notre guide sur la confidentialité des contrats et l'intelligence artificielle.

Comment concevoir une charte d'usage de l'IA étape par étape

La co-conception et la cartographie des usages renforcent l'appropriation du texte final, bien plus qu'une charte imposée depuis le sommet de la hiérarchie.

1. Constituez un groupe pluridisciplinaire. Juridique, DSI, RH, un ou deux métiers représentatifs, et si possible un salarié qui utilise déjà l'IA au quotidien.

2. Cartographiez les usages réels, pas seulement les usages officiels. Interrogez les équipes sur les outils qu'elles utilisent déjà, même sans autorisation formelle.

3. Classez la sensibilité des données manipulées par chaque cas d'usage : publiques, internes, confidentielles, à caractère personnel.

4. Définissez trois niveaux d'autorisation pour chaque outil : interdit, soumis à validation, autorisé sans restriction.

5. Rédigez, validez, formez, auditez. Fixez un calendrier réaliste, avec un responsable identifié pour chaque étape.

Concrètement, cette classification produit des résultats de ce type :

  • Interdit : coller des contrats clients ou des dossiers RH dans un chatbot public sans traitement préalable.
  • Soumis à validation : usage d'un assistant de code sur un dépôt interne, avec revue par un pair.
  • Autorisé sans restriction : reformulation de texte générique sans donnée sensible.

La formation et l'audit ne sont pas des options facultatives ajoutées après coup. Sans elles, la charte reste un document PDF que personne ne relit après sa signature.

Les annexes qui rendent la charte réellement applicable

Une charte figée devient obsolète en quelques mois, tant les outils évoluent vite. La solution retenue par plusieurs organisations consiste à séparer les principes, stables, des annexes, révisables :

  • Une cartographie des outils autorisés, classés par niveau de sensibilité des données qu'ils peuvent traiter.
  • Un gabarit d'AIPD simplifié qui couvre à la fois les exigences du RGPD et la documentation attendue par le RIA pour les déployeurs internes.
  • Une fiche d'audit type et une fiche métier décrivant les usages autorisés par service.

Ne jamais ancrer la liste des outils dans le corps même de la charte. Café IA le souligne : gérer cette liste en annexe dynamique évite de republier tout le document chaque fois qu'un nouvel outil apparaît sur le marché.

Des modèles existants pour ne pas partir d'une page blanche

Plusieurs textes publics offrent des formulations directement réutilisables, à condition de les adapter au contexte privé.

Pour une entreprise, l'adaptation consiste surtout à remplacer les références au service public par les circuits de validation internes et à préciser les sanctions en cas de non-respect, absentes des chartes administratives.

Piloter la charte dans le temps : gouvernance et audits

Une charte sans gouvernance associée se périme vite. Confiez son suivi à un comité restreint, comité d'éthique, groupe DSI-juridique ou instance déjà existante, réuni au minimum une fois par trimestre pour examiner les nouveaux outils demandés et les incidents signalés.

Quelques indicateurs simples suffisent à mesurer l'adhésion réelle au texte :

  • Le nombre d'outils validés et ajoutés à la cartographie sur la période.
  • Le nombre d'incidents ou de signalements liés à un usage non conforme.
  • Le nombre d'audits effectués et leur taux de conformité.

Conseil de pro : Un registre centralisé des demandes d'accès aux outils d'IA, couplé à un workflow de validation, transforme la gouvernance en processus traçable plutôt qu'en réunion informelle. C'est souvent ce qui manque le plus dans les chartes qui échouent après six mois.

Prévoyez une clause de révision explicite, tous les six à douze mois, pour intégrer les évolutions technologiques et réglementaires. Le RIA lui-même prévoit une application progressive jusqu'en 2027 selon les catégories de systèmes concernés : une charte figée sur sa version initiale prend du retard mécaniquement.

Pourquoi la pseudonymisation change la donne face au Shadow AI

Pourquoi la pseudonymisation change la donne face au Shadow AI - overview diagram

La plupart des chartes échouent sur un point précis : elles interdisent de coller des données personnelles dans une IA publique, mais ne donnent aux équipes aucun moyen concret de vérifier qu'elles le font. Résultat, le Shadow AI continue en parallèle, dans l'ombre du texte officiel.

Une couche de pseudonymisation appliquée avant l'envoi d'un document à un assistant comme ChatGPT ou Claude comble ce vide opérationnel : elle retire les informations identifiantes sans empêcher l'équipe de travailler normalement. Cela ne dispense pas de la formation ni des règles d'accès, ces trois briques se complètent. Et la pseudonymisation ne protège pas contre un usage volontairement détourné, ni contre les décisions non vérifiées par un humain : elle traite le risque de fuite, pas le risque de jugement.

- Jacques

Sécuriser vos requêtes IA sans changer vos habitudes

Il existe d'autres façons de traiter ce risque : filtrer les accès réseau, bloquer certains domaines, ou former intensivement les équipes à repérer les données sensibles avant chaque requête. Ces approches demandent du temps et ne couvrent jamais tous les cas d'usage.

Safe-doc

Une solution de pseudonymisation peut s'insérer directement dans le flux de travail existant en détectant et pseudonymisant en temps réel nombreux types de données sensibles avant qu'un document ne parte vers une IA externe, sans stockage du contenu traité. Pour une direction juridique ou une DSI qui doit prouver sa conformité au RGPD tout en laissant les équipes utiliser les outils qu'elles connaissent déjà, cela signifie une auditabilité concrète, rapport à l'appui, plutôt qu'une règle sur papier difficile à vérifier. Ce type de garde-fou peut être désigné par votre charte comme mesure technique de référence. Consultez la page dédiée aux fonctions de pseudonymisation, conformité et audit pour voir comment l'intégrer à votre propre cadre d'usage.

Sources

Recommandations