Pourquoi une PME a besoin d’une charte IA
Vos collaborateurs utilisent probablement déjà des assistants d’IA générative pour rédiger, résumer, traduire ou analyser, souvent avec des comptes personnels. Sans règle, trois risques apparaissent : des données confidentielles ou personnelles envoyées à des services non maîtrisés, des contenus erronés diffusés sans vérification, et des décisions prises sur la base de réponses non contrôlées.
Interdire ne fonctionne pas : l’usage se déplace sur les téléphones personnels. Une charte claire, accompagnée d’outils autorisés, canalise l’usage au lieu de le cacher.
| Risque | Exemple | Réponse de la charte |
|---|---|---|
| Fuite de données | Un fichier clients collé dans un assistant grand public | Liste des données interdites, outils validés |
| Erreur diffusée | Un chiffre inventé repris dans une proposition commerciale | Relecture et vérification obligatoires |
| Décision automatisée | Un tri de candidatures confié à un outil sans contrôle | Validation humaine des décisions sur les personnes |
| Propriété intellectuelle | Un contenu généré reprenant une œuvre protégée | Règles de publication et de vérification |
| Dépendance | Un processus clé reposant sur un outil non validé | Inventaire des outils et responsable désigné |
Les six principes d’une bonne gouvernance de l’IA
- Des outils choisis : une liste courte d’outils validés, avec un compte professionnel, plutôt que des comptes personnels.
- Des données classées : chacun sait ce qu’il peut transmettre, ce qu’il doit anonymiser et ce qu’il ne doit jamais envoyer.
- Un humain responsable : tout contenu ou toute décision issue de l’IA a un responsable humain identifié.
- Une vérification systématique : aucun chiffre, aucune citation, aucune référence juridique issue de l’IA n’est utilisée sans contrôle.
- La transparence : on signale l’usage de l’IA quand le destinataire est en droit de le savoir (client, candidat, salarié).
- Une revue régulière : la liste des outils et la charte sont relues au moins une fois par an.
L’IA prépare, l’humain décide et signe. Si personne ne peut expliquer et assumer un contenu ou une décision, il ne sort pas de l’entreprise.
Données autorisées, à anonymiser, interdites
Le classement des données est le cœur de la charte. Il doit être assez simple pour être appliqué sans réfléchir.
| Catégorie | Exemples | Règle |
|---|---|---|
| Autorisées | Informations publiques, textes génériques, documentation produit publiée | Utilisables avec les outils validés |
| À anonymiser | Chiffres de l’entreprise, comptes rendus internes, cas clients | Remplacer les noms par des codes, arrondir les montants sensibles |
| Réservées aux outils sous contrat | Données financières détaillées, contrats, projets stratégiques | Seulement dans les outils avec engagement contractuel de confidentialité |
| Interdites | Mots de passe, clés d’accès, données de santé, données sociales individuelles, informations d’un tiers sous clause de confidentialité | Jamais transmises |
Pour comparer les offres grand public et professionnelles des principaux assistants, voir le guide ChatGPT et Claude en entreprise : confidentialité des données.
RGPD : ce qui s’applique quand l’IA traite des données personnelles
Dès qu’un outil d’IA traite des données personnelles (salariés, clients, prospects, candidats), le RGPD s’applique comme pour tout autre traitement : finalité définie, base légale, minimisation des données, information des personnes, sécurité, et encadrement des transferts hors de l’Union européenne.
- Inscrire les usages concernés au registre des traitements.
- Vérifier le contrat du fournisseur : rôle de sous-traitant, localisation des données, durée de conservation, usage pour l’entraînement des modèles.
- Encadrer les décisions automatisées : le RGPD prévoit des garanties spécifiques pour les décisions produisant des effets importants sur les personnes.
- Analyser l’impact pour les traitements susceptibles d’engendrer un risque élevé pour les personnes.
La CNIL publie des recommandations sur l’intelligence artificielle. Votre délégué à la protection des données ou votre avocat précisera ce qui s’applique à vos usages.
Le règlement européen sur l’IA (AI Act) : ce qu’une PME doit retenir
Le règlement européen sur l’intelligence artificielle, entré en vigueur en 2024, s’applique de façon progressive. Il classe les systèmes d’IA selon leur niveau de risque : pratiques interdites, systèmes à haut risque (par exemple dans le recrutement ou l’accès à certains services essentiels), obligations de transparence pour certains usages, et règles spécifiques pour les modèles d’IA à usage général.
Pour la plupart des PME, qui utilisent des outils d’IA plutôt qu’elles n’en développent, les points d’attention sont : les usages qui pourraient relever du haut risque (notamment en ressources humaines), la transparence envers les personnes concernées, et la formation des équipes à un usage maîtrisé de l’IA. Le calendrier d’application et les obligations précises évoluent : faites vérifier votre situation par un conseil plutôt que de supposer qu’elle ne vous concerne pas.
Les risques liés à l’IA (fuite de données, erreur, non-conformité, dépendance à un fournisseur) ont leur place dans la cartographie des risques de l’entreprise, avec un responsable et un plan d’action.
Modèle de charte IA à adapter
Ce modèle est un point de départ. Adaptez-le à votre activité et faites-le relire par votre conseil, notamment s’il doit être annexé au règlement intérieur.
- Objet : la charte encadre l’usage des outils d’intelligence artificielle par les salariés et prestataires de l’entreprise.
- Outils autorisés : [liste des outils validés], utilisés exclusivement avec un compte professionnel. Tout nouvel outil est soumis au responsable IA avant usage.
- Données : il est interdit de transmettre des identifiants, des mots de passe, des données de santé, des données sociales individuelles ou des informations confidentielles de tiers. Les données internes sont anonymisées avant usage, sauf dans les outils sous contrat validés.
- Vérification : tout chiffre, citation, référence juridique ou fait issu d’un outil d’IA est vérifié dans une source fiable avant utilisation.
- Relecture et responsabilité : tout contenu destiné à l’extérieur est relu par une personne qui en assume la responsabilité.
- Décisions sur les personnes : aucune décision concernant un salarié, un candidat ou un client n’est prise sur la seule base d’un outil d’IA.
- Transparence : l’usage de l’IA est signalé lorsque le destinataire est en droit de le savoir.
- Propriété intellectuelle : les contenus générés destinés à la publication sont vérifiés pour éviter de reproduire des œuvres protégées.
- Incidents : toute transmission de données par erreur est signalée sans délai à [nom du responsable].
- Revue : la charte et la liste des outils sont revues chaque année par [nom du responsable].
Déployer la charte en quatre semaines
| Semaine | Action | Résultat |
|---|---|---|
| 1 | Recenser les usages réels (questionnaire anonyme court) | Liste des outils et des usages existants |
| 2 | Choisir les outils validés, classer les données | Liste d’outils et tableau des données |
| 3 | Rédiger la charte, la faire relire | Charte d’une à deux pages |
| 4 | Présenter en réunion, former sur des cas concrets | Équipes informées, référent identifié |
Pour les outils reliés à vos données (assistants connectés à vos logiciels), appliquez le moindre privilège : accès en lecture seule quand c’est suffisant, personnels, révocables et tracés. C’est le principe du serveur MCP de usepilot, en lecture seule, qui permet d’interroger vos indicateurs depuis un assistant comme Claude Desktop sans exporter vos fichiers. Pour les usages de l’IA côté direction, voir aussi l’IA pour le dirigeant de PME.
Tableau de bord, objectifs budget / réel, trésorerie, risques et rapports mensuels, avec un conseiller IA. Essai gratuit 14 jours, sans carte bancaire.
Questions fréquentes
Une charte IA est-elle obligatoire en entreprise ?
Aucun texte n’impose en tant que tel un document appelé « charte IA ». Mais le RGPD, le règlement européen sur l’IA et l’obligation de sécurité des données imposent d’encadrer les usages. Une charte est le moyen le plus simple de le faire et de le prouver.
Que doit contenir une charte IA ?
Les outils autorisés, les données interdites ou à anonymiser, la règle de vérification des contenus, la règle de relecture, l’interdiction des décisions automatisées sur les personnes, la procédure en cas d’incident et le nom du responsable.
Peut-on interdire ChatGPT à ses salariés ?
C’est possible, mais souvent contre-productif : l’usage se déplace sur des appareils personnels, hors de tout contrôle. Il est en général plus efficace d’autoriser des outils professionnels validés avec des règles claires.
Le règlement européen sur l’IA concerne-t-il les PME ?
Oui, selon les usages. Les PME qui utilisent l’IA sont surtout concernées par les usages à haut risque, notamment en ressources humaines, par les obligations de transparence et par la formation des équipes. Faites vérifier votre situation par un conseil.
Qui doit porter la gouvernance de l’IA dans une PME ?
Un responsable désigné, souvent le dirigeant, le DAF ou le responsable informatique, appuyé par le délégué à la protection des données s’il existe. Il tient la liste des outils, suit leurs conditions et fait vivre la charte.
Faut-il intégrer la charte IA au règlement intérieur ?
C’est une option pour la rendre opposable aux salariés, mais elle suppose de suivre la procédure applicable au règlement intérieur. Demandez conseil à un avocat en droit social.
Tableau de bord, objectifs budget / réel, trésorerie, risques et rapports mensuels, avec un conseiller IA. Essai gratuit 14 jours, sans carte bancaire.