La plupart des chartes IA que je lis en entreprise ont un défaut commun : elles sont écrites par quelqu'un qui a peur, pour des gens qui ont déjà commencé. Résultat, un document de huit pages, essentiellement composé d'interdictions, que personne n'ouvre et que tout le monde contourne. Une charte utile fait deux pages et produit l'effet inverse : elle donne le droit de faire.
Pourquoi une charte, et pourquoi maintenant
Une charte ne sert pas à protéger juridiquement l'entreprise — ça, c'est le travail d'autres documents et d'autres personnes. Elle sert à supprimer l'hésitation.
Dans une équipe sans cadre écrit, il se passe deux choses en parallèle. Les prudents n'utilisent rien, par crainte de mal faire, et perdent le bénéfice. Les débrouillards utilisent tout, avec leur compte personnel, sur des données qu'ils n'auraient pas dû coller. Les deux comportements viennent du même vide.
La charte comble ce vide. Elle dit : voilà ce que tu peux faire sans demander, voilà ce qui demande un avis, voilà ce qu'on ne fait pas. Trois zones nettes.
La structure qui fonctionne
Je propose toujours le même squelette, en cinq blocs. Il tient sur deux pages, en français ordinaire, sans définition de l'intelligence artificielle en préambule.
1. Les outils autorisés
Une liste nominative. Pas « les solutions d'IA générative validées par la DSI », mais les noms des produits et le compte à utiliser — le compte professionnel de l'entreprise, pas le compte personnel.
Si la liste est courte, dis-le et dis pourquoi. Si un outil manque, indique à qui le demander. Une liste fermée sans porte d'entrée fabrique du contournement.
2. Les données qui n'entrent pas
Le bloc le plus important, et celui qu'il faut rendre concret. Pas de catégories abstraites : des exemples que les gens reconnaissent dans leur journée.
- Données personnelles de clients, de salariés ou de candidats (noms, coordonnées, éléments de dossier).
- Informations couvertes par un accord de confidentialité client.
- Éléments de santé, de rémunération, de procédure disciplinaire.
- Code source ou documents contractuels non publics, selon ton contexte.
Ajoute la parade, pas seulement l'interdit : anonymise avant de coller. Remplacer les noms par « le client », les montants par des ordres de grandeur, ça suffit dans neuf cas sur dix et ça ne dégrade pas la réponse.
3. La relecture humaine
Une règle simple et non négociable : rien ne sort de l'entreprise sans qu'un humain l'ait lu et se le soit approprié. Mail client, devis, publication, réponse à un appel d'offres, compte rendu diffusé.
La formulation compte. « Tu restes l'auteur de ce que tu envoies » passe beaucoup mieux que « toute production doit faire l'objet d'un contrôle ». C'est la même règle, mais la première responsabilise et la seconde infantilise.
4. Les cas qui demandent une validation
Là où on ne décide pas seul. En général : tout ce qui touche à une décision concernant une personne (recrutement, évaluation, sélection de clients), tout ce qui automatise un envoi sans relecture, tout ce qui connecte un outil IA à une base de données de l'entreprise.
Précise qui valide et en combien de temps. Une validation sans délai annoncé est un refus déguisé, et tout le monde le sait.
5. Qui contacter en cas de doute
Un prénom, un canal. Pas une boîte générique. La question « est-ce que j'ai le droit de… » doit trouver une réponse dans la journée, sinon la personne tranchera seule.
Le ton : autoriser explicitement libère plus que le flou
C'est le point sur lequel j'insiste le plus, et celui qui change réellement l'adoption.
Compare ces deux formulations pour dire la même chose :
« L'utilisation d'outils d'IA générative est tolérée dans le cadre professionnel sous réserve du respect des règles de sécurité. »
« Tu peux utiliser ces trois outils pour préparer, reformuler, résumer, traduire et faire relire ton travail. Tu n'as personne à prévenir. »
La première ne débloque rien : « toléré » et « sous réserve » signalent qu'on pourra te le reprocher. La seconde donne un périmètre où la personne sait qu'elle est en sécurité. Et c'est précisément parce qu'elle se sent en sécurité qu'elle viendra poser une question quand elle sortira du périmètre.
Une charte qui n'interdit que trois choses, mais qui les interdit clairement, est mieux respectée qu'une charte qui interdit tout par précaution.
Ce qui rate
Quelques travers que je vois revenir :
- La charte écrite sans les équipes. Elle décrit des usages qui n'existent pas et rate ceux qui existent déjà. Une heure d'atelier avec cinq personnes de métiers différents suffit à corriger le tir.
- Le document figé. Les outils bougent, la liste doit bouger. Note une date de revue dans le texte lui-même.
- La charte diffusée par mail et jamais reparlée. Elle doit être présentée en dix minutes, avec deux exemples concrets, dans une réunion où les gens peuvent réagir.
- Le mélange charte et politique de sécurité. Deux publics, deux documents. La charte s'adresse à tout le monde, elle doit se lire en cinq minutes.
Précision : sur les aspects contractuels, données personnelles et obligations réglementaires, fais valider le texte par un juriste ou ton DPO. Ce que je décris ici est une méthode de rédaction, pas un avis juridique.
Le test à faire avant de diffuser
Donne le brouillon à une personne qui n'a pas participé à l'écriture et pose-lui une seule question : « après l'avoir lu, qu'est-ce que tu as le droit de faire demain matin ? » Si elle répond par une hésitation ou par une liste d'interdits, la charte n'est pas prête. Si elle cite trois usages précis, tu peux diffuser.