Charte d'usage de l'IA en entreprise : dix règles qui tiennent en une page

Nous avons lu beaucoup de chartes d'usage de l'IA ces derniers mois. Certaines font douze pages, rédigées par un cabinet, avec des définitions, des considérants et des renvois au règlement européen. Elles ont toutes un point commun : personne dans l'entreprise ne sait ce qu'il y a dedans, à part la personne qui l'a commandée. Une charte que l'on ne peut pas réciter de mémoire n'existe pas. Elle est classée, signée parfois, et l'usage continue exactement comme avant.

Ce que nous proposons ici, c'est l'inverse. Dix règles, une page, un vocabulaire que la personne de l'accueil et le directeur financier comprennent de la même façon. Ce n'est pas une charte au rabais. C'est une charte qui a une chance d'être appliquée, ce qui est la seule chose qui compte. Un modèle téléchargeable et modifiable est disponible sur ce site, à l'adresse /ressources/charte-ia. Ce qui suit explique ce qu'il contient et pourquoi.

Pourquoi une page, et pas douze

Parce qu'une charte est un outil de décision rapide. La situation type, c'est une personne devant son écran, à 17 h 40, avec un contrat de trente pages à résumer avant de partir. Elle a trente secondes pour décider si elle a le droit. Si la réponse est dans un document de douze pages, elle ne le cherchera pas, et elle fera comme d'habitude. Si la réponse tient sur la page affichée au-dessus de son écran, ou en favori dans son navigateur, elle la lira.

Une page force aussi à trancher. On ne peut pas écrire « selon le contexte et sous réserve d'une analyse au cas par cas » dix fois sur une page. Il faut dire oui ou non. C'est inconfortable pour celui qui rédige, et c'est précisément ce qui rend le document utile.

Les dix règles

1. On utilise l'IA, et on le dit

La charte commence par une autorisation, pas par une interdiction. L'entreprise encourage l'usage des outils d'IA pour aller plus vite et mieux travailler. Ce point paraît évident, il ne l'est pas : la plupart des chartes que nous avons lues commencent par la liste de ce qui est interdit, et le message reçu par les équipes est « cachez-vous ». Le résultat, c'est l'usage clandestin sur le téléphone personnel, c'est-à-dire exactement ce que la charte voulait éviter.

2. Un compte d'entreprise, jamais un compte personnel

Tout usage professionnel passe par un compte ouvert et administré par l'entreprise. Pas de compte gratuit avec une adresse privée, pas d'abonnement payé de sa poche. Les offres professionnelles coûtent autour de 25 à 30 € HT par utilisateur et par mois, et ce que vous payez, c'est le contrat : pas d'entraînement sur vos données, un administrateur, la possibilité de fermer un compte le jour d'un départ. C'est la règle la plus importante des dix, et la plus facile à vérifier.

3. Trois couleurs de données

C'est le cœur de la charte, et c'est ce qui la rend lisible. Toute information appartient à l'une des trois catégories.

• Vert : ce qui est public ou le deviendra. Un texte de site web, une plaquette, une offre d'emploi, une question générale. Ça circule vers n'importe quel outil validé.
• Orange : ce qui est interne. Un compte rendu de réunion, un devis sans le nom du client, une procédure, un mail à un fournisseur. Ça circule uniquement vers les outils validés par l'entreprise, sur compte d'entreprise.
• Rouge : ce qui ne sort pas. Les données personnelles (paie, santé, situation familiale, évaluations), les contrats couverts par une clause de confidentialité, les prix d'achat, les secrets de fabrication, les données de vos clients que vous vous êtes engagé à protéger. Ça ne va dans aucun outil d'IA, sauf un outil hébergé chez vous ou explicitement validé pour ça, et de préférence après anonymisation.

Le mérite des couleurs, c'est qu'on peut les apprendre en cinq minutes. Le modèle propose une liste d'exemples par couleur, à adapter à votre métier : dans un cabinet comptable, presque tout est rouge, dans une agence de communication, presque tout est vert.

4. La liste des outils validés est courte et connue

Trois outils, rarement plus, avec leur usage : un assistant conversationnel généraliste, éventuellement un outil de transcription de réunions, éventuellement un assistant intégré à la suite bureautique. La liste dit qui l'a validée et à quelle date. Tout ce qui n'y figure pas n'est pas interdit pour toujours, il est en attente de validation, ce qui est différent.

5. Un nouveau connecteur passe par une validation

Un connecteur, c'est un outil d'IA branché en permanence sur vos données : votre messagerie, votre espace de fichiers, votre CRM. Ce n'est pas une question posée une fois, c'est une porte ouverte tout le temps. Dans une entreprise que nous avons accompagnée, un connecteur branché sur la salle de données avait déclenché une alerte de sécurité interne avant même d'être activé. La règle : on ne branche rien sans une validation écrite, même courte, qui dit à quelles données le connecteur accède, et qui peut le débrancher.

6. L'IA prépare, un humain décide

Rien de ce qu'un outil d'IA produit ne part vers un client, un fournisseur, un salarié ou l'administration sans qu'une personne l'ait lu et assumé. Cette règle vaut pour le mail rédigé en trente secondes comme pour l'automatisation qui prépare des brouillons. La signature reste humaine, et la responsabilité aussi.

7. On relit les chiffres, toujours

Un modèle de langage est très bon pour écrire et médiocre pour compter. Dans une entreprise que nous avons formée, un calcul de TVA faux et un chiffre embelli étaient passés dans des documents parce que la réponse était bien tournée. La règle tient en une phrase : tout chiffre, toute date, toute référence produite par une IA est vérifiée avant usage, à la source.

8. On dit quand ça compte

Pas besoin de signaler qu'un mail a été reformulé. En revanche, quand un document engage l'entreprise (une réponse à un appel d'offres, un rapport, un avis technique), la personne qui le signe sait quelle part a été produite par l'IA et l'a relue en conséquence. Et si un client ou un partenaire pose la question, on répond honnêtement.

9. Un référent, une adresse

Pas un comité, pas une procédure. Une personne nommée, joignable, à qui l'on pose la question « est-ce que j'ai le droit ? » et qui répond dans la journée. Dans une PME, c'est souvent le dirigeant lui-même ou la personne qui s'occupe déjà de l'informatique. Le référent tient aussi la liste des outils validés et note les demandes, ce qui devient au bout de six mois la meilleure source d'idées d'automatisation de l'entreprise.

10. La charte se relit tous les six mois

Les outils changent tous les trois mois, les usages aussi. Une charte datée de plus d'un an est une charte morte. On la relit en une heure, avec le référent et deux ou trois utilisateurs, on ajoute les outils validés depuis, on retire ce qui n'a plus de sens, on change la date.

Comment la faire adopter

Une charte envoyée par mail avec un accusé de lecture n'est pas adoptée, elle est notifiée. Ce qui fonctionne, c'est une heure par groupe, avec les cas réels de l'entreprise : on prend cinq situations vécues (le devis à reformuler, le contrat à résumer, le tableau de paie, la réponse au client mécontent, le compte rendu à mettre au propre) et on les classe ensemble en vert, orange ou rouge. Les désaccords qui apparaissent à ce moment-là sont exactement ce que la charte doit trancher. En sortant, chacun sait, et surtout chacun a compris pourquoi.

Une remarque en passant : cette heure est aussi le meilleur inventaire des usages que vous puissiez faire. Les gens racontent ce qu'ils font vraiment quand on leur demande de classer plutôt que de se justifier.

Ce que la charte ne remplace pas

Elle ne remplace pas vos obligations au titre du RGPD, ni les clauses de confidentialité de vos contrats, ni la réglementation européenne sur l'IA pour les usages qui y sont soumis. Elle ne remplace pas non plus une véritable cartographie de vos données si vous manipulez de la santé, de la défense ou des données de vos propres clients à grande échelle. Elle est le premier étage, celui qui fait que tout le monde parle le même langage. Les autres étages se construisent dessus.

Le modèle est en ligne à l'adresse /ressources/charte-ia, libre d'usage et de modification. Si vous préférez qu'il soit rempli à partir de ce qui se passe réellement chez vous, c'est l'objet de l'audit d'usage de l'IA proposé par IAscension : deux jours, des entretiens individuels par service, et une charte adaptée à votre activité, pour 2 400 € HT.