Charte d’utilisation de l’IA : clauses, preuves, AI Act

Une charte d’utilisation de l’IA dit à chaque salarié quels outils d’IA il peut utiliser, pour quelles tâches, avec quelles données, sous quel contrôle et avec quelles conséquences en cas d’écart. En Europe, ce n’est plus un simple recueil de bonnes pratiques : l’AI Act impose déjà la maîtrise de l’IA, interdit certaines pratiques au travail et encadre la transparence, et c’est cette charte que demandera un auditeur ou une autorité. Nous donnons la carte des clauses, les lignes rouges, les preuves à conserver et une méthode en huit étapes.

L’essentiel

• Chaque déploiement compte deux chartes : la politique d’usage du fournisseur du modèle, que l’AI Act fait documenter (annexes XI et XII), et la vôtre, qui ne peut pas autoriser ce que la première interdit.
• Depuis le 2 août 2026, les autorités nationales de surveillance du marché contrôlent l’article 4 : aucun certificat n’est exigé, mais un registre interne des formations est attendu.
• Chaque ligne rouge a une base précise : article 5(1)(f), article 50(4), RGPD, secret des affaires.
• ISO/IEC 42001 (<code>A.9.2</code>) et le NIST AI 600-1 (<code>GV-1.4-002</code>) nomment explicitement la politique d’usage acceptable.
• En France, la charte d’utilisation de l’IA passe par le CSE, consulté sur l’introduction de nouvelles technologies (article L2312-8 du Code du travail).

Charte d’utilisation de l’IA : définition, et pourquoi il y en a toujours deux

Côté employeur, la charte d’utilisation de l’IA est le règlement opérationnel des usages : qui peut utiliser quels outils d’IA, pour quelles tâches, avec quelles catégories de données, sous quelles règles de relecture et de transparence, et avec quelles conséquences en cas de manquement.

Les modèles téléchargeables n’en disent rien, mais le règlement (UE) 2024/1689 emploie déjà la notion. L’annexe XI, section 1, point 1 b), et l’annexe XII, point 1 b), obligent les fournisseurs de modèles d’IA à usage général à mentionner les politiques d’utilisation acceptable applicables dans la documentation technique et dans les informations remises aux fournisseurs en aval (article 53, paragraphe 1, points a et b), obligations applicables depuis le 2 août 2025. Le formulaire de documentation du modèle du code de bonnes pratiques GPAI du 10 juillet 2025 comporte un champ dédié.

Les grands fournisseurs de modèles d’IA générative publient la leur : les Usage Policies d’OpenAI, l’Usage Policy d’Anthropic, que l’éditeur appelle aussi Acceptable Use Policy, ou l’Acceptable Use Policy de Llama chez Meta. Il y a donc toujours deux chartes, celle du fournisseur et celle de l’employeur, et la seconde ne peut pas autoriser ce que la première interdit. La politique du fournisseur a sa place dans le registre des outils et le dossier contractuel, et chacune de ses mises à jour doit déclencher une relecture de votre propre charte d’utilisation de l’IA.

Politique d’IA et charte d’utilisation de l’IA : ne pas confondre

La politique d’IA, souvent appelée charte IA en France, énonce les engagements, les rôles et les principes : c’est le document de la clause 5.2 d’ISO/IEC 42001 et de la mesure <code>A.2.2</code>. La charte d’utilisation de l’IA en est la déclinaison opérationnelle pour les utilisateurs, couverte par les mesures <code>A.9.2</code> (processus pour une utilisation responsable des systèmes d’IA) et <code>A.9.4</code> (utilisation prévue du système d’IA).

L’expression acceptable use policy vient de la sécurité informatique : les règles d’usage du courriel et d’internet, notre charte informatique. L’IA générative l’a remise au premier plan, car chaque salarié dispose d’un outil qui reçoit des données de l’entreprise.

Pourquoi la charte est devenue un document de conformité : dates et chiffres

L’article 4 sur la maîtrise de l’IA s’applique depuis le 2 février 2025 ; l’omnibus numérique l’a réécrit le 27 juillet 2026 et les autorités nationales de surveillance du marché le contrôlent depuis le 2 août 2026. La FAQ de la Commission, mise à jour le 20 octobre 2026, précise qu’aucun certificat n’est nécessaire et qu’il n’existe pas d’approche unique. Exemple directement utile : des salariés qui rédigent des textes publicitaires ou traduisent avec ChatGPT doivent être informés des risques propres à l’outil, comme les hallucinations.

S’y ajoutent trois échéances. L’article 5, paragraphe 1, point f), interdit depuis le 2 février 2025 l’inférence des émotions sur le lieu de travail. L’article 50 s’applique depuis le 2 août 2026 : information des personnes face à un chatbot, marquage des contenus de synthèse (transition jusqu’au 2 décembre 2026 pour les systèmes déjà sur le marché) et règle de l’article 50(4) sur les textes d’intérêt public. L’article 26 s’appliquera aux déployeurs de systèmes d’IA à haut risque à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I), dates issues de l’omnibus.

Les chiffres expliquent l’urgence. Selon l’enquête de Deloitte au Royaume-Uni (terrain de mai à juin 2026, 25 000 actifs), 63 % des actifs britanniques ont déjà utilisé l’IA générative pour leur travail, 12 % chaque jour ; 31 % des utilisateurs le font à l’insu de leur employeur, 46 % utilisent des outils gratuits et 17 % paient eux-mêmes leur outil. Le rapport IBM 2025 sur le coût des violations de données montre le prix de ce vide : 20 % des violations impliquaient de l’IA fantôme, avec un surcoût moyen de 670 000 dollars, et 63 % des organisations touchées n’avaient pas de politique de gouvernance de l’IA ou en élaboraient encore une. Samsung a restreint les outils d’IA générative en mai 2023, après que des ingénieurs ont collé du code source interne dans ChatGPT en avril (TechRadar). Sans charte d’utilisation de l’IA, l’entreprise ne peut ni prévenir ces usages ni prouver qu’elle a agi.

Charte d’utilisation de l’IA : la carte des clauses et des preuves

Notre propre carte : pour chaque section de la charte, la clause qui la suppose et la preuve qu’un auditeur ou une autorité peut demander.

Section de la charte	Clause qui la suppose	Preuve à conserver
Périmètre, rôles, responsable	ISO/IEC 42001 <code>A.2.3</code> et <code>A.3.2</code> ; NIST AI 600-1 <code>GV-1.4-002</code>	Charte signée, historique des versions, matrice RACI
Outils autorisés et niveaux	AI Act, articles 4 et 26(1) ; ISO/IEC 42001 <code>A.9.4</code> et <code>A.4.4</code> ; <code>GV-6.1-010</code>	Registre des outils relié au registre des systèmes d’IA, politique d’usage du fournisseur au dossier
Usages interdits (lignes rouges)	AI Act, articles 5(1)(f) et 50(4) ; ISO/IEC 42001 <code>A.9.2</code> ; <code>GV-1.3-004</code>	Liste des lignes rouges, registre des dérogations
Règles sur les données	RGPD, articles 5 et 32 ; ISO/IEC 42001 <code>A.7</code> et <code>A.9.2</code>	Matrice de classification des données, journaux DLP ou de passerelle
Relecture humaine des résultats	AI Act, article 26(2) et contrôle éditorial de l’article 50(4) ; ISO/IEC 42001 <code>A.9.2</code>	Étape de relecture dans le processus, relecteur nommé
Formation et maîtrise de l’IA	AI Act, article 4 ; ISO/IEC 42001 clause 7.3 et <code>A.4.6</code>	Registre des formations, accusés de lecture
Incidents et alertes	AI Act, article 26(5) ; ISO/IEC 42001 <code>A.3.3</code> et <code>A.8.4</code>	Journal des incidents, canal de signalement
Rythme de révision	ISO/IEC 42001 <code>A.2.4</code> ; <code>GV-6.1-010</code>	Compte rendu de revue annuelle, journal des modifications

Un auditeur ISO/IEC 42001 cherchera <code>A.9.2</code> dans la déclaration d’applicabilité, qui sélectionne et justifie les 38 mesures de l’annexe A réparties en 9 objectifs ; notre boîte à outils ISO 42001 pour l’AI Act détaille ce raccordement. Le Bureau de l’IA et les autorités nationales chercheront le registre de l’article 4. Le profil NIST AI 600-1 (PDF du NIST), déclinaison du NIST AI RMF pour l’IA générative, sert de liste de contrôle : quatre de ses 212 actions, selon notre décompte, nomment l’usage acceptable, dont <code>GV-1.4-002</code> « Establish transparent acceptable use policies for GAI that address illegal use or applications of GAI » et <code>GV-3.2-003</code> « Define acceptable use policies for GAI interfaces, modalities, and human-AI configurations ».

Lignes rouges : ce que toute charte doit interdire, et le texte derrière chaque interdit

Une interdiction sans fondement se négocie ; une interdiction adossée à un article se respecte. Les huit lignes rouges de toute charte d’utilisation de l’IA sérieuse :

• <b>Inférer les émotions de collègues ou de candidats.</b> L’article 5(1)(f) interdit les systèmes d’IA qui infèrent les émotions d’une personne au travail, sauf raisons médicales ou de sécurité. L’amende peut atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial (article 99(3)).
• <b>Saisir des données personnelles dans un outil public.</b> Clients, collègues, candidats : les principes de l’article 5 et l’obligation de sécurité de l’article 32 du RGPD s’appliquent dès la saisie. Notre analyse IA et RGPD approfondit le sujet.
• <b>Coller des secrets d’affaires ou du code source.</b> Un prompt est une transmission d’informations à un tiers, comme l’a rappelé l’épisode Samsung de 2023. La règle relève autant de la sécurité de l’IA que du droit.
• <b>Décider sur des personnes sans relecture humaine.</b> Pour les systèmes à haut risque, l’article 26(2) exige une supervision humaine confiée à des personnes compétentes, formées et dotées de l’autorité nécessaire. L’article 22 du RGPD encadre déjà les décisions entièrement automatisées.
• <b>Publier sans contrôle éditorial ou diffuser des hypertrucages non signalés.</b> L’article 50(4) impose de signaler un texte généré publié pour informer le public sur des sujets d’intérêt public, sauf relecture humaine ou contrôle éditorial sous une responsabilité identifiée, et de déclarer tout hypertrucage. L’amende peut atteindre 15 millions d’euros ou 3 % du chiffre d’affaires (article 99(4)).
• <b>Utiliser des comptes personnels ou des outils non approuvés.</b> Selon IBM, 97 % des organisations victimes d’un incident lié à l’IA manquaient de contrôles d’accès adaptés ; selon Deloitte, 31 % des utilisateurs agissent à l’insu de leur employeur. Voir notre guide sur la gouvernance du shadow AI.
• <b>Sortir de la politique d’usage du fournisseur.</b> La chaîne ouverte par l’annexe XII aboutit chez vous : un usage exclu par le fournisseur ne peut pas être autorisé par votre charte. Le registre des outils renvoie donc à la version en vigueur de chaque politique.
• <b>Oublier les prestataires et consultants.</b> L’action <code>GV-6.1-010</code> du NIST AI 600-1 demande d’étendre la politique d’usage aux prestataires, consultants et autres tiers. Une charte limitée aux salariés laisse sans règle une partie de ceux qui manipulent vos données.

Feux verts : rendre l’usage autorisé explicite

Une charte qui ne fait qu’interdire pousse les usages vers les comptes personnels. La partie la plus utile est souvent celle qui autorise, à condition d’être précise.

• <b>Outils par niveau.</b> Niveau 1 : contrat entreprise avec conditions de traitement des données. Niveau 2 : outil autorisé avec restrictions. Niveau 3 : outil interdit.
• <b>Classes de données par niveau.</b> Public, interne, confidentiel, données personnelles : chaque croisement entre un niveau d’outil et une classe de données reçoit une réponse claire, oui ou non.
• <b>Familles de tâches approuvées.</b> Reformulation, synthèse de documents internes, traduction, aide à la programmation, chacune avec le niveau de relecture qu’elle exige, du contrôle de cohérence à la validation par un relecteur nommé.
• <b>Circuit d’approbation.</b> Qui instruit une demande de nouvel outil (sécurité, DPO, achats), qui décide, et dans quel délai, exprimé en jours. Un délai annoncé et tenu réduit la tentation du contournement.

La CNIL recommande depuis le 18 juillet 2024 d’« encadrer les usages en définissant une liste d’utilisations autorisées et interdites » et de « former et sensibiliser les utilisateurs finaux ». La Commission rappelle, à propos de la maîtrise de l’IA, qu’il n’existe pas de solution unique : la liste dépend de vos métiers et de vos données. Elle se construit à partir de l’inventaire des systèmes d’IA, qui montre ce qui est réellement utilisé, et chaque nouvel outil passe par une due diligence fournisseur avant d’entrer au niveau 1. Les feux verts de la charte d’utilisation de l’IA sont aussi la meilleure réponse aux 46 % de répondants qui, dans l’enquête Deloitte, utilisent des outils gratuits au travail.

La charte d’utilisation de l’IA, preuve de l’article 4 : ce qu’une autorité peut demander depuis le 2 août 2026

Depuis le règlement (UE) 2026/1744 (omnibus numérique sur l’IA, Journal officiel du 24 juillet 2026), l’article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui utilisent des systèmes d’IA pour leur compte, afin d’en assurer, dans toute la mesure du possible, un niveau suffisant. Il n’impose pas de garantir un niveau donné pour une personne en particulier. Un nouveau paragraphe 2 charge la Commission et les États membres d’accompagner les organisations, notamment les PME, et la Commission de publier des exemples pratiques sur la plateforme d’information unique. Un paragraphe 3 prévoit des recommandations du Comité européen de l’IA tenant compte des cadres européens de compétences ; à notre connaissance, aucune n’était adoptée au 26 octobre 2026.

La FAQ confirme qu’un registre interne des formations et autres actions peut être tenu. Le référentiel vivant de pratiques, publié le 4 février 2025 et mis à jour le 10 août 2026, donne des exemples, mais y figurer ne vaut pas présomption de conformité. Le dossier minimal que nous recommandons :

• la charte d’utilisation de l’IA, avec numéro de version, date et responsable nommé ;
• les accusés de lecture, salariés et prestataires ;
• un registre des formations par rôle, adaptées au contexte de chaque fonction, comme le recommande le CIPL (« AI Act Article 4: AI Literacy Best Practices », 8 mai 2025, bonne pratique n° 6) ;
• le registre des outils et une taxonomie commune, que la bonne pratique n° 5 du CIPL associe à un inventaire des cas d’usage évalués ;
• une boucle de retour d’expérience (bonne pratique n° 8).

La clause 7.3 d’ISO/IEC 42001 sur la sensibilisation couvre le même terrain. Côté sanctions, l’article 99(4) ne cite pas l’article 4 parmi les obligations assorties d’un plafond européen : elles relèvent des règles nationales adoptées au titre de l’article 99(1), et la Commission indique que les autorités pourraient imposer des sanctions et d’autres mesures d’exécution.

Représentants du personnel et règles nationales

L’article 26, paragraphe 7, impose aux déployeurs employeurs d’informer les représentants des travailleurs et les travailleurs concernés avant de mettre en service ou d’utiliser un système d’IA à haut risque sur le lieu de travail, selon les règles de l’Union et nationales. Pour l’annexe III, l’obligation s’applique à partir du 2 décembre 2027. En France, le droit du travail n’attend pas cette date.

Le CSE doit être informé et consulté sur l’introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail (article L2312-8 du Code du travail). Un assistant d’IA générative déployé dans un service entre en principe dans ce champ : la charte d’utilisation de l’IA qui l’accompagne lui est présentée avant diffusion. Reste l’opposabilité, souvent négligée. Les grandes entreprises annexent leur charte informatique au règlement intérieur pour que ses prescriptions puissent fonder une sanction disciplinaire ; les règles sur l’IA peuvent suivre le même chemin et la même procédure (avis du CSE, communication à l’inspection du travail). L’ANSSI a publié en 2024 des recommandations de sécurité pour les systèmes d’IA générative, et le comité de gouvernance de l’IA prépare le dossier avec les RH.

Ailleurs, l’Italie impose depuis le décret législatif 104/2022 (article 1-bis du décret législatif 152/1997) d’informer les salariés et les représentants syndicaux de l’usage de systèmes automatisés de décision ou de surveillance. L’Espagne donne au comité d’entreprise, par l’article 64.4 d) du Statut des travailleurs, le droit de connaître les paramètres et règles des algorithmes qui affectent les conditions de travail.

En Allemagne, le tribunal du travail de Hambourg (ArbG Hamburg, 16 janvier 2024, 24 BVGa 1/24) a jugé que des consignes autorisant ChatGPT dans le navigateur via des comptes privés, sans remontée de données vers l’employeur, n’ouvraient pas la codétermination du conseil d’établissement ; une surveillance de l’usage l’aurait réactivée. La logique vaut partout : dès que la charte s’appuie sur des journaux, les règles sur la surveillance des salariés s’appliquent, soit en France l’information préalable (article L1222-4) et la consultation du CSE sur les moyens de contrôle de l’activité (article L2312-38).

Rédiger la charte d’utilisation de l’IA en 8 étapes

1. <b>Inventorier les outils réellement utilisés.</b> Partez des usages réels : questionnaire aux équipes, journaux du proxy, notes de frais. L’IA fantôme fait partie du périmètre ; chaque outil trouvé entre dans le registre des systèmes d’IA.
2. <b>Classer les outils et archiver la politique de chaque fournisseur.</b> Attribuez à chaque outil un niveau : contrat entreprise, autorisé avec restrictions, interdit. Conservez la politique d’usage acceptable du fournisseur et ses conditions de traitement des données, datées et versionnées.
3. <b>Définir les classes de données.</b> Public, interne, confidentiel, données personnelles : pour chaque classe, les niveaux d’outils autorisés. Alignez-vous sur la classification existante plutôt que d’en créer une nouvelle (<code>A.2.3</code>).
4. <b>Écrire feux verts et lignes rouges, chacun relié à une clause.</b> Reprenez la carte des clauses : chaque règle cite son fondement. Une règle sans fondement se justifie ou disparaît.
5. <b>Fixer les règles de relecture et de transparence.</b> Relecture humaine avant tout usage qui touche à une décision sur une personne, contrôle éditorial au sens de l’article 50(4) pour les textes publiés, déclaration des hypertrucages, marquage des contenus générés. Désignez les relecteurs par fonction.
6. <b>Informer ou consulter les représentants du personnel.</b> En France, le CSE est consulté avant la diffusion ; si la charte est annexée au règlement intérieur, la procédure correspondante s’applique. Documentez la date et l’avis rendu.
7. <b>Déployer.</b> Recueillez les accusés de lecture, organisez une formation par rôle et ouvrez le registre de l’article 4. Les prestataires signent la même annexe.
8. <b>Faire appliquer et réviser.</b> Surveillance proportionnée et annoncée, registre des dérogations, circuit de signalement des incidents, revue annuelle au titre de <code>A.2.4</code>. Chaque révision produit une nouvelle version et, si une règle change, un nouvel accusé de lecture.

Pour versionner la charte d’utilisation de l’IA, recueillir les accusés de lecture et la relier au registre des outils, AI Sigil propose un module de gestion des politiques internes.

Questions fréquentes

<b>La charte d’utilisation de l’IA est-elle obligatoire dans l’UE ?</b>

Aucun texte ne l’impose sous ce nom à l’employeur. Mais l’article 4 de l’AI Act oblige les déployeurs à agir sur la maîtrise de l’IA, l’article 5(1)(f) interdit l’inférence des émotions au travail, l’article 50 impose la transparence et le RGPD s’applique à toute saisie de données personnelles. Sans règles écrites, rien de tout cela ne se démontre. Côté fournisseurs de modèles à usage général, les annexes XI et XII exigent en revanche de documenter les politiques d’utilisation acceptable. La charte d’utilisation de l’IA devient ainsi la pièce centrale du dossier.

<b>Quelle différence entre une politique d’IA et une charte d’utilisation de l’IA ?</b>

La politique d’IA fixe les engagements, les rôles et les principes (clause 5.2 d’ISO/IEC 42001, mesure <code>A.2.2</code>) ; la direction la signe. La charte d’utilisation de l’IA est le règlement opérationnel des utilisateurs : outils autorisés, données permises, relecture, transparence, sanctions (mesures <code>A.9.2</code> et <code>A.9.4</code>). La première change rarement ; la seconde évolue à chaque nouvel outil ou nouvelle règle. Les deux se citent mutuellement.

<b>Une charte d’utilisation de l’IA suffit-elle pour l’article 4 de l’AI Act ?</b>

Pas à elle seule. L’article 4 attend des mesures pour développer la maîtrise de l’IA du personnel et des personnes qui agissent pour votre compte. La charte en est une pièce, mais une autorité regardera aussi la formation par rôle, le registre des outils et les retours d’expérience. La Commission précise qu’aucun certificat n’est requis et qu’un registre interne peut être tenu. Une charte diffusée sans formation ni suivi ne prouve pas grand-chose.

<b>Que ne faut-il jamais saisir dans un outil d’IA public ?</b>

Les données personnelles de clients, de collègues ou de candidats, les secrets d’affaires, le code source, les informations financières non publiées et tout document couvert par une obligation de confidentialité. Selon IBM, 65 % des violations liées à l’IA fantôme ont exposé des données personnelles de clients, contre 53 % en moyenne. Règle simple : un outil public ne reçoit que ce que vous accepteriez de voir publié.

<b>Les prestataires et fournisseurs doivent-ils la respecter ?</b>

Oui, dès qu’ils utilisent l’IA pour votre compte ou sur vos données. L’action <code>GV-6.1-010</code> du NIST AI 600-1 demande d’étendre les politiques d’usage acceptable aux prestataires, consultants et autres tiers, et l’article 4 de l’AI Act vise aussi les personnes qui utilisent des systèmes d’IA pour le compte du déployeur. Concrètement : une clause contractuelle, une annexe reprenant les lignes rouges et un engagement sur les outils utilisés, en lien avec la mesure <code>A.10.3</code> d’ISO/IEC 42001 sur les fournisseurs.

<b>À quelle fréquence faut-il la réviser ?</b>

Nous recommandons une revue au moins annuelle et documentée : la mesure <code>A.2.4</code> d’ISO/IEC 42001 demande une revue à intervalles planifiés, et l’auditeur en voudra la trace. La vraie cadence est événementielle : nouvel outil, changement de politique d’un fournisseur, nouvelle échéance (2 décembre 2026 pour le marquage de l’article 50, 2 décembre 2027 pour l’annexe III), incident ou retour du terrain. Chaque modification est versionnée, avec un nouvel accusé de lecture si une règle change.

Conclusion

Les modèles de charte qui circulent listent des rubriques ; ils ne disent ni d’où vient chaque règle, ni ce qu’il faut conserver pour la prouver. En Europe, la charte d’utilisation de l’IA est désormais un document de conformité, placé entre la politique du fournisseur, que l’AI Act fait documenter, et les obligations qui pèsent déjà sur l’employeur : article 4, article 50, RGPD, Code du travail. Une bonne charte se juge à sa traçabilité : chaque ligne rouge reliée à un article, chaque outil au registre, chaque utilisateur à un accusé de lecture et à une formation. Commencez par l’inventaire, présentez le texte au CSE, puis tenez le registre de l’article 4 à jour. Pour la vue d’ensemble, voyez notre approche de la gouvernance de l’IA.