Charte IA : vos salariés utilisent déjà l'IA, quelles règles leur donner

Six entreprises sur dix n'ont aucun cadre pour l'IA, et leurs salariés s'en servent déjà, souvent sur des comptes personnels. Une charte seule ne change presque rien : former tout le monde d'abord, puis une règle d'une page et le bon outil.

Delphine Ducarme14 octobre 202614 min de lecture

Un cadenas à code, ouvert, posé sur le clavier d'un ordinateur portable

Six entreprises sur dix n’ont aucun cadre formalisé pour l’usage de l’intelligence artificielle. C’est le constat du Baromètre Data & IA publié le 5 octobre 2026 par Coface et Les Echos Études, auprès de 900 décideurs. Seules 17 % ont défini, formalisé et communiqué une politique à leurs collaborateurs.

Les salariés, eux, n’ont pas attendu. Beaucoup utilisent l’IA dans leur travail. Ils ne se rendent pas compte que les modèles qu’ils utilisent donnent les informations des clients et de l’entreprise à la machine, pour s’entraîner. C’est le cas par défaut dans la version grand public de ChatGPT, par exemple.

Faut-il une charte IA ? Une règle écrite aide. Les chiffres montrent qu’elle ne suffit pas. Mon avis : il est absolument nécessaire que les entreprises forment tous leurs salariés à l’utilisation de l’IA au travail. Le but : qu’ils prennent conscience de la dangerosité d’y mettre des informations personnelles, stratégiques ou de clientèle.

En bref. Une charte IA fixe ce que les salariés peuvent faire avec les outils d’intelligence artificielle, ce qui leur est interdit, et ce qu’ils doivent vérifier. Aucun texte ne l’impose sous ce nom. Le règlement européen sur l’IA demande en revanche à toute entreprise dont les salariés utilisent l’IA de prendre des mesures pour développer leur maîtrise de ces outils. Une règle écrite seule change peu les pratiques : selon une enquête d’IntoTheMinds (2026) auprès de 500 utilisateurs, 74,7 % de ceux dont l’entreprise n’a qu’une charte passent uniquement par des comptes personnels, contre 19,1 % quand l’entreprise fournit un outil et une formation. La règle d’une page, la formation et l’outil vont ensemble.

Vos salariés s’en servent déjà

Selon le Baromètre France Num 2026 du ministère de l’Économie, 40 % des TPE et PME déclarent utiliser au moins une solution d’intelligence artificielle, trois fois plus qu’en 2024. Sur l’ensemble des TPE et PME, 19 % seulement paient une solution. Autrement dit, une bonne partie des usages passe par des versions gratuites.

Ces chiffres sont déclarés par les entreprises. Elles ne voient pas tout. L’institut d’études IntoTheMinds a interrogé en 2026 cinq cents personnes qui utilisent l’IA générative au travail en France :

57,2 % passent uniquement par des comptes personnels pour leur travail
72,8 % en utilisent au moins un
18 % paient leur abonnement de leur poche
Dans les entreprises de 2 à 10 salariés, 67,3 % des utilisateurs ne passent que par leurs comptes personnels

L’enquête a été menée en ligne, avec une marge d’erreur d’environ quatre points, et l’institut vend ses études. Le sens reste clair : plus l’entreprise est petite, plus l’IA y entre par la porte de service, sur le téléphone ou l’ordinateur personnel du salarié.

Ce que deviennent les informations qu’on y colle

Prenons l’outil le plus connu. OpenAI l’écrit dans son centre d’aide : quand vous utilisez ses services destinés aux particuliers, comme ChatGPT, l’entreprise peut se servir de vos contenus pour entraîner ses modèles. Un réglage permet de s’y opposer, dans les paramètres de contrôle des données. Les conversations temporaires ne servent pas à l’entraînement. Les versions destinées aux entreprises, elles, ne servent pas à entraîner les modèles par défaut.

Combien de salariés ont ouvert ce menu ? Combien savent seulement qu’il existe ? Le compte gratuit ouvert un soir pour gagner du temps garde ses réglages d’origine. Chaque outil a ses propres règles : lisez celles de ceux que vos équipes utilisent.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) ne dit pas autre chose dans ses recommandations de sécurité pour l’IA générative (2024). Envoyer des informations à un service grand public, écrit-elle, « revient à déposer ces mêmes informations sur un espace de stockage leur appartenant ». Sa recommandation est nette : « Proscrire l’utilisation d’outils d’IA générative sur Internet pour un usage professionnel impliquant des données sensibles ».

La CNIL va dans le même sens : ne « jamais partager d’informations confidentielles telles que des données personnelles, des données de l’entreprise » avec un service grand public. Et elle rappelle que c’est l’organisme utilisateur, donc l’employeur, qui engage sa responsabilité.

L’exemple le plus cité date d’avril 2023. Des ingénieurs de Samsung avaient collé du code source interne dans ChatGPT. L’entreprise a ensuite interdit l’IA générative sur ses appareils et son réseau, à titre temporaire (The National, d’après Bloomberg). Dans une TPE, le code source s’appelle un fichier clients, un devis en cours, un contrat ou un dossier médical.

Interdire : la fausse bonne idée

Après un tel exemple, la tentation est forte de tout interdire. L’enquête d’IntoTheMinds montre ce qui se passe alors : 69,2 % des salariés soumis à une interdiction utilisent quand même un compte personnel, et 56,9 % craignent d’être repérés. L’usage continue. Il devient seulement clandestin, et plus personne n’en parle.

Le droit encadre d’ailleurs l’interdiction. Le Code du travail n’admet de restrictions aux libertés des salariés que si elles sont « justifiées par la nature de la tâche à accomplir » et « proportionnées au but recherché » (article L1121-1). Interdire de coller des données de clients dans un outil grand public se justifie sans peine. Interdire tout outil d’IA, pour tout usage, sans proposer d’alternative, se défend beaucoup moins bien.

Formation liée · 7 h · En ligne, avec 1 h de visioPoser ses règles d'usage de l'IASavoir ce qu'on peut confier à une IA, et repartir avec ses règles écrites.Voir le module

Une charte seule ne change presque rien

Le chiffre le plus utile de l’enquête d’IntoTheMinds compare ce que les entreprises ont mis en place. Il donne la part des utilisateurs qui passent uniquement par des comptes personnels :

Ce que l’entreprise a mis en place	Utilisateurs uniquement sur comptes personnels
Rien (ni charte, ni formation, ni outil officiel)	75,7 %
Une charte écrite seulement	74,7 %
Une formation, sans outil officiel	47,2 %
Un outil officiel, sans formation	41,2 %
Un outil officiel et une formation	19,1 %

Une charte écrite seule fait passer la part de 75,7 % à 74,7 %. Un point. La charte rangée dans un classeur, chacun l’a signée le jour de son arrivée et ne l’a jamais relue. Elle ressemble à ces notices d’appareil qu’on garde au fond d’un tiroir : on sait qu’elle existe, on ne sait plus ce qu’elle dit.

La formation, elle, fait chuter la part de près de trente points. Avec un outil fourni par l’entreprise en plus, on tombe à moins d’un utilisateur sur cinq. La règle compte, à condition d’être comprise, et d’arriver avec un outil pour la respecter.

Former tout le monde, d’abord

Tous les salariés, y compris ceux qui disent ne jamais s’en servir. Celui qui n’utilise pas l’IA aujourd’hui s’y mettra demain, seul, sur son téléphone, un soir où il sera pressé. Mieux vaut qu’il sache avant quoi ne jamais y mettre.

Une première formation n’a pas besoin d’être longue. Elle répond à quatre questions, avec des exemples tirés de votre métier :

Où vont les informations qu’on tape dans un outil d’IA, selon la version utilisée
Quelles informations ne doivent jamais y entrer, et comment rendre un texte anonyme avant de s’en servir
Comment vérifier une réponse avant de la reprendre
Quels outils l’entreprise fournit, et avec quels réglages

La troisième question compte autant que la première. Une étude de l’Union européenne de radio-télévision et de la BBC (News Integrity in AI Assistants, octobre 2025) a fait évaluer par 22 médias publics, dont Radio France, 2 709 réponses de quatre assistants d’IA sur l’actualité. 45 % contenaient au moins un problème important. Les sources étaient en cause dans 31 % des réponses, l’exactitude des faits dans 20 %.

Le risque porte un nom depuis longtemps. Raja Parasuraman et Victor Riley ont décrit en 1997 (Human Factors) le mauvais usage de l’automatisation : une confiance excessive dans la machine, qui peut faire relâcher la surveillance et biaiser les décisions. La CNIL parle de « biais d’automatisation ». Un salarié formé relit. Un salarié qui ne l’est pas copie, colle, et envoie.

Cette formation répond aussi à une obligation. Depuis le règlement de juillet 2026, l’article 4 du règlement européen sur l’IA demande que les entreprises « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel », sans fixer de niveau à atteindre. La Commission européenne précise qu’aucun certificat n’est exigé : une trace interne des formations suffit. Et pour des salariés qui utilisent ChatGPT, sa réponse tient en une ligne : oui, il faut les informer des risques propres à l’outil, comme les « hallucinations » (les réponses inventées).

Rendre un texte anonyme, et fournir le bon outil

Rendre un texte anonyme s’apprend en dix minutes. On remplace ce qui identifie une personne ou une affaire par ce qui suffit à l’outil pour aider :

Les noms deviennent des rôles (« le client », « la gérante », « le fournisseur »)
Les montants exacts deviennent des ordres de grandeur, ou disparaissent
Les adresses, dates précises et numéros de dossier sortent du texte
Ce qui reste décrit la situation, pas les personnes

Exemple. Avant : « Rédige une relance pour M. Martin, de la boulangerie de la place du marché, qui nous doit 4 280 euros depuis le 12 août sur le devis 2026-118. » Après : « Rédige une relance courtoise mais ferme pour un client professionnel qui a une facture impayée depuis deux mois. » La réponse sera aussi utile. Vous ajouterez le nom et le montant vous-même, dans votre logiciel, au moment d’envoyer.

Reste l’outil. Le tableau plus haut le montre : fournir un outil officiel fait reculer les comptes personnels presque autant que la formation. Chez OpenAI, ce peut être l’une des offres destinées aux entreprises, vues plus haut. À défaut, un compte au nom de l’entreprise, avec le réglage d’entraînement désactivé et vérifié par vous, vaut mieux que dix comptes personnels dont personne ne connaît les réglages. Le coût d’un abonnement se compare au prix d’une fuite de fichier clients.

La règle d’une page

Une fois l’équipe formée, la règle écrite prend son sens : elle rappelle ce que chacun a compris. Elle tient sur une page, avec des mots de votre métier. Voici une trame à adapter.

Ce que vous pouvez faire

Reformuler ou corriger un texte qui ne contient aucune donnée personnelle
Préparer le brouillon d’un courrier, d’une publication ou d’un compte rendu, rendu anonyme
Chercher des idées, un plan, des questions à poser à un client
Résumer un document public (un texte de loi, une étude, une fiche officielle)

Ce que vous ne mettez jamais dans un outil d’IA

Les noms, coordonnées, données de santé ou bancaires des clients et des salariés
Les prix, marges, devis en cours et contrats
Les projets, la stratégie, les fichiers internes
Les mots de passe et codes d’accès

Ce que vous faites toujours

Utiliser l’outil et les réglages fournis par l’entreprise, pas un compte personnel
Vérifier chiffres, noms, dates et textes de loi avant de reprendre une réponse
Relire tout ce qui part chez un client, comme si vous l’aviez écrit vous-même
Demander à [nom de la personne] en cas de doute

La dernière ligne est la plus importante. Une règle sans personne à qui poser la question laisse chacun l’interpréter seul.

Ce que dit le droit

Les règles ci-dessous sont celles en vigueur au 8 octobre 2026.

Le règlement européen sur l’IA appelle « déployeur » toute personne qui utilise un système d’IA sous sa propre autorité, hors usage personnel. Une entreprise dont les salariés se servent de l’IA pour leur travail en fait partie. L’obligation de l’article 4 (la maîtrise de l’IA par le personnel) s’applique depuis le 2 février 2025, dans sa rédaction allégée depuis juillet 2026. Les autorités nationales la contrôlent depuis le 2 août 2026.

Le règlement général sur la protection des données (RGPD) ajoute une règle simple, à l’article 32 : une personne qui agit sous l’autorité de l’employeur et a accès à des données personnelles ne les traite que sur son instruction. Coller un fichier clients dans un outil grand public sort de ce cadre. Encore faut-il que l’employeur ait donné une instruction claire.

Pour pouvoir sanctionner, la règle doit suivre la bonne procédure. Le règlement intérieur est obligatoire à partir de cinquante salariés (article L1311-2). Une note de service qui pose des « obligations générales et permanentes » suit les mêmes règles (article L1321-5) : avis du comité social et économique quand il existe, envoi à l’inspection du travail, entrée en vigueur au moins un mois après les formalités de dépôt et de publicité (article L1321-4). Dans une entreprise d’au moins cinquante salariés, le comité social et économique est aussi consulté sur l’introduction de nouvelles technologies (article L2312-8).

Dans une très petite entreprise, la charte sert d’abord à former et à prévenir. C’est une raison de plus pour commencer par la formation.

Questions fréquentes

Une charte IA est-elle obligatoire ?

Non, aucun texte ne l’impose sous ce nom. Le règlement européen sur l’IA demande en revanche de prendre des mesures pour développer la maîtrise de l’IA par le personnel, et la CNIL recommande d’encadrer les usages par une politique ou une charte interne.

Un salarié peut-il utiliser ChatGPT au travail ?

Aucun texte ne l’interdit. Mais le salarié traite les données de l’entreprise selon les instructions de l’employeur : c’est donc à l’employeur de fixer ce qui est permis, avec quel outil, et avec quelles données.

L’employeur peut-il interdire ChatGPT ?

Oui, si l’interdiction est justifiée et proportionnée au but recherché. Pour pouvoir sanctionner un manquement, la règle doit figurer au règlement intérieur ou dans une note de service soumise à la même procédure. En pratique, une interdiction sans alternative est peu respectée.

Faut-il un certificat de formation à l’IA ?

Non. La Commission européenne indique qu’aucun certificat n’est nécessaire. Garder une trace interne des formations et des consignes données suffit.

À la prochaine réunion d’équipe

Posez une question, sans reproche : « Quels outils d’IA utilisez-vous pour le travail, et pour quoi faire ? » Notez les réponses. Montrez ensuite le réglage d’entraînement de l’outil le plus cité, et fixez la date d’une première formation pour tout le monde. La règle d’une page viendra après, écrite à partir de ce que vous aurez entendu.

Notre formation Utiliser l’IA générative dans son métier part de ces usages réels, métier par métier. Un module consacré aux règles d’usage de l’IA est en préparation dans la famille IA au quotidien.