Votre entreprise a probablement une charte informatique. Elle explique comment choisir un mot de passe, utiliser la messagerie, protéger son ordinateur ou éviter d’installer n’importe quel logiciel. Très bien. Mais dit-elle ce qu’un salarié peut copier dans ChatGPT, Claude ou Gemini ? Peut-il résumer un contrat avec une IA ? Envoyer un fichier client ? Connecter un assistant IA à son Google Drive ou à sa messagerie ?
Le problème devient urgent. Selon le Baromètre France Num 2026, publié le 28 septembre par la Direction générale des Entreprises, 40 % des TPE-PME françaises utilisent désormais au moins une solution d’intelligence artificielle, contre 26 % un an plus tôt. Chez les PME, cette proportion atteint même 53 %. L’étude repose sur 9 655 entreprises françaises interrogées au printemps 2026.
Pendant ce temps, les règles internes avancent beaucoup moins vite. Une enquête publiée par la CNIL le 3 juillet 2026 montre que moins d’un quart des organisations interrogées disposent d’une politique formelle sur l’IA et que moins d’un tiers ont sensibilisé leurs salariés ou adopté une charte d’utilisation de l’IA.
La réponse courte est donc assez simple : oui, il faut désormais intégrer l’IA à la charte informatique. Mais cela ne signifie pas rédiger un règlement de 42 pages que personne ne lira.
👻 Le Shadow AI est déjà dans l’entreprise
On connaissait le Shadow IT, ces logiciels et services utilisés par les salariés sans validation de la direction informatique.Voici désormais le Shadow AI, ou IA fantôme.
Le principe est identique. Une collaboratrice utilise son compte personnel ChatGPT pour reformuler une réponse client. Un commercial charge une proposition dans Claude pour la résumer. Une responsable marketing analyse une feuille Excel avec Gemini. Un développeur teste un agent de code sans prévenir la DSI. La plupart du temps, l’intention est excellente : aller plus vite.
Le Shadow AI n’est pas un problème de salariés « indisciplinés »
Le problème est ailleurs. L’entreprise ne sait pas forcément quel outil a été utilisé, quelles données lui ont été transmises, sous quel compte, avec quelles conditions contractuelles et ce que le fournisseur peut faire de ces informations. Le phénomène est loin d’être marginal. Dans son AI Report 2026, Netskope indique que 56 % des utilisateurs d’IA observés utilisent uniquement des applications gérées par leur organisation, 14 % mélangent applications professionnelles et personnelles et 30 % utilisent uniquement des applications personnelles.
Autrement dit, 44 % utilisent encore au moins une application IA personnelle. Attention cependant à ne pas transformer ce chiffre en statistique française. Netskope l’établit à partir de données d’utilisation agrégées recueillies auprès d’un sous-ensemble de ses clients entre juin 2025 et juillet 2026.
Le Shadow AI n’est donc pas un problème de salariés « indisciplinés ». C’est souvent le symptôme d’un décalage entre les besoins des équipes et les outils officiellement disponibles. Interdire ChatGPT sans proposer d’alternative risque simplement de déplacer ChatGPT sur le smartphone personnel. Gouvernance : 0. Illusion de sécurité : 1.
🔐 Pourquoi la vieille charte informatique ne suffit plus
Une charte informatique traditionnelle encadre généralement les mots de passe, la messagerie, les logiciels, les supports amovibles, les accès au réseau, le télétravail et les données sensibles. L’IA ajoute une différence fondamentale.
La requête elle-même peut contenir des données de l’entreprise.
Lorsque l’on demande à une IA de résumer un contrat, analyser un fichier clients ou réécrire un compte rendu de réunion, on ne se contente plus d’utiliser un logiciel. On transmet potentiellement des informations à un service externe. L’ANSSI rappelle d’ailleurs qu’envoyer du texte, des images ou des documents à un service d’IA générative tiers revient à transmettre ces informations à l’infrastructure de ce fournisseur. Elle recommande donc une prudence particulière concernant les données personnelles, financières, juridiques, contractuelles, les secrets informatiques ou encore les clés API.
Et le problème ne s’arrête plus au simple chatbot. Les nouveaux assistants peuvent accéder à des documents, une messagerie, un CRM, du code ou d’autres applications. Avec les agents IA et des protocoles comme MCP (Model Context Protocol), la question devient également : à quelles données et quelles actions l’IA est-elle autorisée à accéder ?
📜 Faut-il créer une « charte IA » séparée ?
Pas forcément. C’est même l’un des points intéressants de la fiche publiée par France Num le 16 septembre 2026. Pour une TPE ou une PME disposant déjà d’une charte informatique, France Num recommande plutôt d’intégrer les nouveaux usages de l’IA dans le document existant que de multiplier les textes internes.
Cela paraît beaucoup plus logique. La cybersécurité, les mots de passe, le cloud, l’usage d’un ordinateur personnel et l’intelligence artificielle sont désormais imbriqués. Créer six chartes différentes risque surtout d’obtenir six documents que personne ne connaît.
L’objectif est donc de transformer la charte informatique en charte des usages numériques, dans laquelle l’IA devient un chapitre à part entière.
✅ Les 10 règles IA que j’ajouterais à une charte informatique
| Sujet | Règle concrète à prévoir |
|---|---|
| Outils autorisés | Indiquer les solutions IA autorisées, tolérées et interdites pour un usage professionnel |
| Comptes | Préciser si les comptes personnels peuvent être utilisés ou si un compte professionnel est obligatoire |
| Données | Définir quelles informations peuvent ou ne peuvent pas être envoyées à une IA |
| Documents internes | Interdire le chargement de documents confidentiels dans une solution non validée |
| Données personnelles | Prévoir une validation spécifique lorsqu’un traitement implique des données personnelles |
| Vérification | Imposer une validation humaine avant diffusion ou prise de décision importante |
| Transparence | Déterminer dans quels cas l’utilisation de l’IA doit être signalée |
| Connexions | Encadrer la connexion d’une IA à une messagerie, un Drive, un CRM ou une base métier |
| Incidents | Prévoir une procédure si des données ont été envoyées par erreur ou si l’IA produit un résultat problématique |
| Responsabilité | Rappeler que la personne qui utilise ou diffuse le résultat reste responsable de son usage |
La règle importante est de ne pas écrire simplement : « Les données confidentielles sont interdites dans les IA ». Encore faut-il que tout le monde sache ce qu’est une donnée confidentielle. Une liste de clients ? Oui. Un CV ? Il contient des données personnelles. Un devis ? Potentiellement des informations commerciales. Une capture d’écran d’un logiciel interne ? Elle peut révéler des noms, des données métier ou des informations techniques. Le prompt anodin peut rapidement devenir beaucoup moins anodin.
🚦 Une méthode très simple : données vertes, orange et rouges
Pour une PME, inutile de commencer par une usine réglementaire. Je conseille plutôt de définir trois niveaux.
Vert : utilisable avec une IA autorisée.
Informations publiques, données fictives, textes génériques, informations déjà publiées sur le site de l’entreprise.
Orange : utilisation sous conditions.
Documents internes non sensibles, données anonymisées, informations métier nécessitant une validation ou uniquement utilisables dans une solution professionnelle approuvée.
Rouge : pas dans une IA publique ou non validée.
Données clients nominatives, données RH, informations médicales, contrats confidentiels, secrets commerciaux, mots de passe, clés API, données financières sensibles ou informations stratégiques.
Une classification imparfaite mais comprise de tous sera beaucoup plus utile qu’une politique parfaite que personne ne lit.
🛠️ Mettre à jour sa charte IA, pas à pas
Étape 1 : commencer par observer les usages
Avant d’écrire les règles, demandez aux équipes ce qu’elles utilisent réellement. ChatGPT ? Gemini ? Claude ? Microsoft Copilot ? Perplexity ? Des outils de génération d’images ? Des assistants de code ?
Et surtout : pour faire quoi ? Interroger les utilisateurs permet souvent de découvrir des usages auxquels la direction n’avait jamais pensé.
Étape 2 : identifier les données utilisées
Pour chaque cas d’usage, posez une question simple :Quelles informations sont envoyées à l’IA ? C’est souvent beaucoup plus instructif que de commencer par le nom du modèle.
Étape 3 : établir une liste d’outils approuvés
L’entreprise peut ensuite définir les services utilisables professionnellement et les conditions associées. Il ne s’agit pas de décréter qu’un fournisseur est « sûr » et un autre « dangereux ». ChatGPT, Claude, Gemini, Copilot ou d’autres solutions proposent des offres, paramètres et contrats différents selon les versions.
Un compte grand public et un environnement professionnel administré ne doivent donc pas être considérés comme interchangeables. Les conditions de traitement des données doivent être vérifiées pour l’offre réellement souscrite.
Étape 4 : définir les usages interdits et ceux nécessitant une validation
Tout n’a pas besoin de remonter à la direction. Réécrire un titre commercial ne nécessite probablement pas la même procédure que demander à une IA d’analyser 15 000 dossiers clients. La charte doit donc raisonner par niveau de risque, et pas seulement par outil.
Étape 5 : désigner un responsable
Selon la taille de l’entreprise, cette responsabilité peut être partagée entre direction, informatique, sécurité, juridique, RH et délégué à la protection des données, ou DPO. La CNIL rappelle d’ailleurs que le DPO doit être impliqué lorsqu’un système d’IA traite des données personnelles, sans pour autant devoir devenir automatiquement la personne responsable de toute la gouvernance IA.
Étape 6 : expliquer la charte
Une charte envoyée par e-mail avec « merci d’en prendre connaissance » n’est pas une politique d’usage. L’article 4 de l’AI Act impose depuis le 2 février 2025 aux fournisseurs et organisations qui déploient des systèmes d’IA de prendre des mesures pour développer l’acculturation à l’IA des personnes qui les utilisent pour leur compte. Depuis août 2026, les règles de contrôle correspondantes sont également entrées dans leur phase d’application.
Il faut donc expliquer les risques, donner des exemples et apprendre aux salariés à reconnaître une situation dans laquelle ils doivent demander conseil.
✍️ Un exemple de clause IA à intégrer dans la charte
Les outils d’intelligence artificielle utilisés dans le cadre professionnel doivent faire partie des solutions autorisées par l’entreprise. L’utilisateur ne doit pas transmettre à un service d’IA non autorisé de données personnelles, confidentielles, contractuelles, financières, techniques ou stratégiques appartenant à l’entreprise, à ses clients, partenaires ou collaborateurs.
Tout contenu produit ou analysé à l’aide d’un système d’IA doit faire l’objet d’une vérification adaptée à son usage avant d’être utilisé, diffusé ou intégré dans une décision.
La connexion d’un système d’IA à une messagerie, un espace documentaire, un CRM, une base de données ou une application métier nécessite une autorisation préalable. Toute transmission accidentelle de données sensibles ou tout comportement anormal d’un système d’IA doit être signalé selon la procédure de sécurité de l’entreprise.
Ce texte constitue évidemment une base de travail, pas un modèle juridique universel. Une entreprise devra l’adapter à ses outils, ses métiers, ses données et son organisation.
⚖️ Et juridiquement, la charte est-elle obligatoire ?
Non. France Num rappelle qu’une charte informatique est facultative. La CNIL recommande toutefois son utilisation et conseille de lui donner une force contraignante, par exemple en l’annexant au règlement intérieur.
Dans une entreprise disposant d’un règlement intérieur, son ajout ou sa modification implique de respecter les règles prévues par le Code du travail. Dans les entreprises de 50 salariés et plus, le règlement intérieur est obligatoire et sa modification passe notamment par la consultation du Comité social et économique lorsqu’il existe et par les formalités de dépôt et de diffusion prévues.
La bonne démarche consiste donc à associer selon la taille de l’organisation la direction, les RH, la DSI, le DPO et les représentants du personnel.
En savoir plus
France Num — Charte informatique et usages de l’IA
CNIL — Définir un cadre pour les utilisateurs
Commission européenne — Article 4 de l’AI Act et acculturation à l’IA
IA Pratique — Baromètre France Num 2026 : 40 % des TPE-PME utilisent désormais l’IA
IA Pratique — AI Act : l’Europe passe aux contrôles
#ShadowAI #CharteInformatique #IA #IAGenerative #PME #Cybersécurité #AIAct #RGPD #GouvernanceIA #IAPratique
