Comment rédiger une charte IA pour une PME ?

Pour rédiger une charte IA utile, partez des tâches déjà assistées par l’IA, puis fixez pour chacune les outils, les données, la validation et le responsable. L’Insee indique que 18 % des entreprises françaises de 10 salariés ou plus de son champ utilisaient au moins une technologie d’IA en 2025. Le cadre doit donc décrire le travail réel, pas un risque abstrait.

Une charte IA est-elle obligatoire pour une PME ?

Aucun texte ne rend obligatoire un document portant précisément le nom de « charte IA ». Une PME doit toutefois appliquer les règles qui concernent ses usages, ses données, ses salariés et son secteur. La charte rassemble une partie de ces décisions dans un format compréhensible par les personnes qui utilisent les outils.

La CNIL recommande d’encadrer l’IA générative par des politiques ou chartes internes qui définissent clairement les usages autorisés et interdits. Elle demande aussi d’examiner les risques, les conditions de réutilisation des données par le fournisseur, les transferts et la sécurité, puis de former les utilisateurs.

L’article 4 de l’AI Act ajoute une obligation de maîtrise de l’IA. Selon la Commission européenne, les fournisseurs et déployeurs prennent des mesures pour soutenir les compétences de leur personnel en tenant compte de son expérience et du contexte d’usage. La version amendée n’impose pas un niveau individuel précis.

Les questions-réponses de la Commission précisent qu’aucun certificat, responsable IA dédié ou comité particulier n’est exigé au titre de cet article. Un registre interne des formations et autres initiatives peut documenter les mesures prises. Une charte peut donc contribuer au dispositif, mais elle ne prouve pas seule la conformité de l’entreprise.

Le besoin progresse avec l’adoption. D’après l’enquête TIC entreprises 2025 de l’Insee, 18 % des entreprises françaises de 10 salariés ou plus des secteurs principalement marchands hors agriculture, finance et assurance déclaraient utiliser au moins une technologie d’IA en 2025, contre 10 % en 2024. Ce chiffre ne mesure pas l’usage individuel de tous les salariés. Il montre que le sujet est déjà opérationnel dans une part croissante des entreprises du champ.

Que faut-il recenser avant de rédiger la charte ?

Recensez des usages précis plutôt qu’une liste de marques. « Utiliser un assistant IA » ne dit pas si la personne reformule un texte public, résume un contrat client ou laisse un agent modifier le CRM. Ces tâches mobilisent des données, des contrôles et des responsabilités différents.

Partez de quelques situations récentes et posez les mêmes questions :

Cette collecte n’a pas besoin de devenir un inventaire technique exhaustif. Elle doit révéler les usages actuels, y compris ceux réalisés avec un compte personnel, et les besoins que les outils officiels ne couvrent pas. Une interdiction générale sans alternative risque de laisser ces besoins invisibles.

Mon approche consiste à partir du processus : entrée, transformation, décision, sortie et exception. La charte devient alors la traduction d’un travail observé. Elle peut évoluer si un outil ou une condition contractuelle change, sans perdre la raison de chaque règle.

Que doit contenir une charte IA courte ?

Une charte courte couvre les décisions stables et indique où trouver les listes qui changent. Elle doit permettre à une personne de savoir si son usage est permis, quelles données elle peut fournir, qui vérifie le résultat et que faire en cas de doute.

Le socle peut contenir huit parties :

1. Objet et périmètre. Personnes, activités et systèmes concernés, y compris les prestataires qui agissent pour l’entreprise.
2. Outils et comptes. Principe d’approbation, interdiction éventuelle des comptes personnels pour des données professionnelles et chemin pour demander un nouvel outil.
3. Données. Catégories permises, interdites ou soumises à examen selon l’outil et son mode de déploiement.
4. Usages. Tâches autorisées, encadrées, en attente d’examen ou interdites.
5. Vérification et transparence. Personne qui relit, sources à contrôler, cas où l’assistance doit être signalée et actions qui restent humaines.
6. Responsabilités. Propriétaire du cadre, responsables des usages et interlocuteurs pour la protection des données, la sécurité ou les questions sociales lorsqu’ils sont concernés.
7. Incident et arrêt. Marche à suivre après une donnée envoyée par erreur, un résultat dommageable, un accès indu ou un comportement inattendu.
8. Formation et révision. Mesures adaptées aux usages, preuve légère et événements qui déclenchent une mise à jour.

Gardez dans une annexe datée les outils approuvés, les usages, les données permises, les conditions et les responsables. La liste peut ainsi changer sans réécrire les principes ni disperser plusieurs versions de la charte.

Comment classer chaque usage dans l’annexe ?

Classez chaque tâche avec son outil, ses données et sa destination. Un même outil peut être autorisé pour reformuler un texte public et interdit pour analyser un dossier nominatif si l’offre, le contrat ou les paramètres ne conviennent pas.

L’exemple reste illustratif. Le statut réel dépend du contexte, de l’outil, de l’offre, des données, des personnes concernées et des règles applicables.

Pour un outil connecté aux logiciels de l’entreprise, ajoutez les droits techniques à l’annexe. Mon guide sur les droits d’un agent IA propose de distinguer lecture, brouillon, écriture limitée et action validée. Une phrase dans la charte ne remplace pas une autorisation configurée dans le système qui exécute l’action.

Pour un usage qui produit ou exécute un résultat important, prévoyez aussi des essais. Le guide Comment tester un agent IA avant sa mise en production ? relie chaque scénario à un résultat attendu, une preuve observable et une gravité. La charte peut exiger ce test sans essayer de décrire tout le protocole.

Comment déployer la charte sans en faire un document oublié ?

Déployez la charte sur des exemples de travail connus par l’équipe. La lecture du document compte moins que la capacité d’un collaborateur à classer son usage, trouver l’annexe et demander une décision lorsqu’un cas sort du cadre.

1. Faites relire l’inventaire par les équipes concernées. Elles repèrent les comptes personnels, fonctions intégrées et besoins absents d’une collecte menée uniquement par la direction.
2. Tranchez les premiers usages. Commencez par les tâches fréquentes et celles dont l’erreur touche un client, un salarié, un candidat, des données confidentielles ou une action dans un logiciel.
3. Publiez un socle et une annexe datée. Chaque personne doit trouver la version qui s’applique, le propriétaire et le moyen de proposer un nouvel usage.
4. Formez à partir de cas réels. Montrez une entrée permise, une entrée à refuser, la vérification du résultat et le chemin de signalement. Adaptez la profondeur au rôle et à la conséquence possible.
5. Conservez une preuve proportionnée. Version de la charte, annexe, décisions sur les usages, personnes formées, supports et incidents suffisent souvent à montrer le travail accompli. La Commission n’impose pas de certificat au titre de l’article 4.
6. Révisez sur événement. Un nouvel outil, une nouvelle connexion, un changement de conditions, un usage à plus forte conséquence ou un incident justifie une revue. Une date fixe peut servir de filet, mais elle ne remplace pas ces déclencheurs.

La charte peut aussi révéler qu’un besoin mérite une solution encadrée. La page IA utile dans votre PME explique comment partir du besoin, définir les limites et garder une validation humaine lorsque la conséquence l’exige.

À retenir

• Partez des tâches, données, sorties et conséquences observées dans l’entreprise.
• Gardez les principes dans une charte courte et les outils et usages dans une annexe révisable.
• Classez chaque usage avec des conditions précises plutôt que d’autoriser ou interdire une marque dans tous les contextes.
• Reliez chaque règle à une validation, un responsable, un chemin d’incident et une preuve légère.
• Adaptez la formation au rôle et au contexte ; aucun certificat universel n’est requis par l’article 4.

Si votre équipe utilise déjà plusieurs outils d’IA, apportez trois usages réels, les outils concernés et un exemple de donnée traitée à un échange gratuit de 30 minutes. Nous pourrons transformer ces situations en premières règles, puis repérer les usages qui demandent un test ou un avis spécialisé.

Écrit par Antoine mazu. J’aide les petites entreprises de services à comprendre et améliorer leurs processus grâce à des solutions adaptées, avec ou sans IA. Basé à Bayonne, j’associe réflexion produit et réalisation technique.

Sources consultées le 2 octobre 2026 : Insee, enquête TIC entreprises 2025, CNIL, questions-réponses sur l’utilisation d’un système d’IA générative, Commission européenne, AI talent, skills and literacy et Commission européenne, AI Literacy Questions & Answers.