Charte IA en entreprise : le modèle 2026 à télécharger (Word) et ce que l’AI Act impose vraiment

Temps de lecture : 9 minutes. Public : dirigeants, DRH, DSI, DPO et responsables qui doivent encadrer l’usage de ChatGPT, Claude, Copilot, Gemini ou Le Chat dans leur entreprise. Modèle Word gratuit à télécharger ci-dessous.

Dans la plupart des entreprises, l’IA générative est déjà utilisée tous les jours. Pas parce que la direction l’a décidé, mais parce qu’un commercial a collé un compte rendu client dans ChatGPT pour en tirer un email, qu’une assistante RH a demandé à Copilot de résumer trois CV, qu’un développeur a fait relire son code par Claude. Aucun de ces gestes n’est un problème en soi. Le problème, c’est qu’ils se font sans règle du jeu, avec des comptes personnels, et que personne ne sait ce qui est sorti de l’entreprise.

Une charte IA règle cette question en une dizaine de pages. Cet article explique ce qu’elle doit contenir en 2026, ce que la réglementation impose réellement (et ce qu’elle n’impose pas), et vous donne un modèle complet, au format Word, à adapter à votre organisation.

1. Pourquoi une charte IA, et pourquoi maintenant

Trois raisons, par ordre d’importance.

La confidentialité. Une version gratuite d’un assistant IA utilise, par défaut, vos conversations pour améliorer ses modèles. Ce qu’un collaborateur y saisit (données clients, éléments de paie, code source, projet de rachat) sort du périmètre de l’entreprise sans contrat, sans journal, sans possibilité de retour. Le risque n’est pas théorique : la CNIL considère qu’une telle saisie de données personnelles est un traitement, et qu’une fuite est une violation de données à lui notifier sous 72 heures.

La qualité et la responsabilité. Les modèles inventent des chiffres, des sources et des références juridiques avec une assurance parfaite. Sans règle de vérification proportionnée à l’enjeu, l’erreur finit dans une proposition commerciale ou un contrat, et c’est l’entreprise qui en répond, pas l’outil.

La réglementation. Le règlement européen sur l’IA (AI Act) s’applique par paliers depuis février 2025. Depuis le 2 août 2026, ses obligations de transparence et son régime de sanctions sont pleinement applicables. Pour une entreprise qui utilise l’IA sans en développer, les obligations restent modérées, mais elles existent, et une charte est le moyen le plus simple de prouver qu’on les a prises en compte.

Il y a aussi une quatrième raison, moins souvent citée : une charte débloque l’usage. Tant que les règles ne sont pas écrites, la moitié des collaborateurs n’osent pas utiliser l’IA et l’autre moitié l’utilise en cachette. Une charte bien faite dit ce qui est autorisé, et c’est souvent plus que ce que les gens imaginent.

2. Ce que la loi impose vraiment en 2026

Beaucoup de contenus sur le sujet mélangent ce qui s’applique aux éditeurs de modèles, aux entreprises qui développent des systèmes d’IA et à celles qui se contentent de les utiliser. Pour une entreprise utilisatrice (un « déployeur » dans le vocabulaire du règlement), voici l’état des textes au 12 septembre 2026.

Date	Ce qui s’applique	Impact pour une entreprise utilisatrice
2 février 2025	Interdiction des pratiques inacceptables (article 5) et entrée en application de l’article 4 sur la maîtrise de l’IA.	Pas de reconnaissance des émotions au travail, pas de notation sociale. Former les collaborateurs qui utilisent l’IA.
2 août 2025	Obligations des fournisseurs de modèles à usage général (GPAI).	Aucun, sauf si vous développez un modèle.
27 juillet 2026	Entrée en vigueur du règlement Omnibus IA (règlement (UE) 2026/1744).	L’article 4 devient une obligation de moyens (« favoriser » la maîtrise de l’IA), sans sanction spécifique. Les échéances haut risque sont reportées.
2 août 2026	Article 50 (transparence) et régime de sanctions applicables.	Informer les personnes qui interagissent avec un chatbot, signaler les images, sons et vidéos générés par IA. Sanctions jusqu’à 35 M€ ou 7 % du CA mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres manquements.
2 décembre 2026	Fin du délai pour les systèmes génératifs déjà sur le marché ; nouvelles interdictions.	Vérifier que vos outils sont conformes à l’article 50.
2 décembre 2027	Systèmes à haut risque de l’annexe III.	Un outil de tri de CV, d’évaluation ou de gestion des salariés devient un système à haut risque : supervision humaine, information des salariés et du CSE, journaux, analyse d’impact.
2 août 2028	Systèmes à haut risque intégrés à des produits réglementés (annexe I).	Machines, dispositifs médicaux, véhicules, jouets.

Trois précisions qui changent la manière d’écrire la charte.

L’article 4 n’est plus une obligation de résultat. Dans sa version initiale, l’AI Act demandait aux entreprises de « prendre des mesures pour garantir » un niveau suffisant de maîtrise de l’IA. Le règlement Omnibus a remplacé cette formule par « favoriser » et a retiré toute sanction directe. Cela ne rend pas la formation facultative : en cas d’incident, la question posée sera « qu’aviez-vous fait pour que vos équipes sachent utiliser ces outils ? », et un registre des actions de sensibilisation est la réponse la plus simple.

Le RGPD s’applique indépendamment de l’AI Act. Saisir le nom d’un client, le CV d’un candidat ou l’évaluation d’un salarié dans un outil d’IA est un traitement de données personnelles. Il faut une base légale, une information des personnes, une inscription au registre des traitements et, pour un outil externe, un contrat de sous-traitance. C’est l’article 4 du modèle (classification des données) qui porte l’essentiel du travail.

Le CSE doit être informé et consulté avant l’introduction d’outils ayant un impact sur les conditions de travail ou permettant un contrôle de l’activité des salariés (code du travail, articles L2312-8 et L2312-38). Une charte annexée au règlement intérieur suit en plus la procédure de celui-ci (consultation du CSE, dépôt au greffe, transmission à l’inspection du travail). C’est ce qui lui donne une valeur disciplinaire.

3. Les 15 articles du modèle, et ce qu’ils règlent

Le modèle est construit pour une entreprise de 10 à 500 personnes qui utilise l’IA générative sans en développer. Nous l’avons rédigé en croisant les meilleures sources publiques disponibles en septembre 2026 : le guide d’usage de l’IA de la DINUM pour les agents de l’État (juin 2026), les questions-réponses de la CNIL sur l’IA générative et sa note de juillet 2026 sur l’IA agentique, les recommandations de sécurité de l’ANSSI et son alerte d’avril 2026 sur les agents IA, les chartes des ministères de la Culture et de l’Éducation nationale, du Conseil d’État, et le modèle adopté par le Barreau de Paris en juillet 2026. Chaque article propose une rédaction par défaut, plutôt prudente, et une note explique les choix à faire. Voici ce que chacun règle.

Article 1. Objet et périmètre

Qui est concerné (salariés, stagiaires, intérimaires, prestataires), quels outils (y compris les fonctions IA intégrées aux logiciels existants et les comptes personnels utilisés au bureau), quelles situations (télétravail et matériel personnel compris). C’est aussi là que se décide l’articulation avec le règlement intérieur et la charte informatique.

Article 2. Principes directeurs

Sept principes qui servent de référence quand une situation n’est pas prévue : responsabilité humaine, confidentialité, vérification, transparence, équité et accessibilité, utilité réelle, préservation des compétences. Le premier est le plus important : l’utilisateur reste l’auteur de ce qu’il produit avec une IA. Le dernier, emprunté à la CNIL, vise le biais d’automatisation : valider par réflexe ce que l’IA propose, jusqu’à ne plus savoir faire sans elle.

Article 3. Outils approuvés, tolérés et interdits

Trois catégories plutôt que deux. « Approuvé » pour les outils sous contrat professionnel dont les données ne servent pas à l’entraînement. « Toléré » pour les versions grand public, limitées aux données publiques. « Interdit » pour le reste, y compris tout outil utilisé via un compte personnel. L’article règle aussi les comptes (compte professionnel, authentification forte, pas de partage), les extensions de navigateur et les abonnements souscrits sans validation, qui sont la source du shadow AI. La liste nominative est en annexe, pour pouvoir la mettre à jour sans faire re-signer la charte.

Article 4. Données : ce qui peut être saisi

Le cœur du dispositif. Un test de base emprunté au guide de la DINUM (« pourrais-je publier cette information sur Internet ? »), puis une classification en trois niveaux (vert, orange, rouge) croisée avec les trois catégories d’outils. Un collaborateur doit pouvoir répondre en dix secondes à la question « est-ce que je peux coller ça ? ». Les données personnelles, les documents RH, les données clients sous clause de confidentialité, les secrets d’affaires et les secrets techniques (mots de passe, clés d’API) sont rouges par défaut, en suivant la liste que l’ANSSI recommande de ne jamais saisir dans un outil en ligne.

Article 5. Vérification et responsabilité

Un niveau de relecture proportionné à l’usage : brouillon personnel, document interne, document externe, décision affectant une personne. Pour ce dernier cas, la règle est simple : l’IA ne décide pas, elle prépare des éléments qu’un humain examine et assume. L’article ajoute des règles spécifiques au code généré (relecture, pas d’exécution automatique, vérification des bibliothèques suggérées) et une liste des situations où l’on renonce à l’IA, inspirée de la charte du ministère de la Culture.

Article 6. Transparence

Ce que l’article 50 de l’AI Act impose depuis août 2026 (chatbots, hypertrucages, contenus publiés) et ce que l’entreprise choisit d’ajouter : une formule de mention normalisée (« contenu rédigé avec l’assistance d’un outil d’IA et vérifié par… », reprise du guide de l’État), les cas qui n’en ont pas besoin (traduction, correction de langue), le signalement aux clients quand une prestation intellectuelle repose largement sur l’IA, l’interdiction d’imiter une personne réelle sans accord.

Article 7. Propriété intellectuelle et confidentialité

Dans un sens, ne pas soumettre à l’IA des contenus dont on n’a pas les droits. Dans l’autre, savoir qu’un contenu généré sans apport créatif humain n’est en principe pas protégeable, et qu’il peut reproduire une œuvre existante. L’article traite aussi du point aveugle le plus fréquent : les fonctions IA activées par l’éditeur dans des outils déjà déployés (résumé de réunion, assistant de messagerie).

Article 8. Agents IA, extensions et automatisations

L’article que les modèles de 2025 n’ont pas. Un agent IA ne répond pas, il agit : il lit et envoie des emails, modifie des fichiers, passe des commandes. En avril 2026, l’ANSSI a alerté sur ces produits installés sur les postes de travail, et la CNIL a publié en juillet une note sur l’IA agentique. Le modèle en tire des règles simples : validation préalable, droits limités au strict besoin et revus chaque mois, liste de ce que l’IA ne fait jamais seule (envoyer un message à un tiers, supprimer un document, payer, créer des droits), tests en environnement isolé, sensibilisation à l’injection de prompt, journalisation.

Article 9. Réunions enregistrées et transcrites

La fonction IA la plus répandue et la moins encadrée. Information des participants et possibilité de s’opposer, interdiction des assistants de prise de notes personnels, pas de transcription des entretiens individuels (recrutement, évaluation, disciplinaire), durée de conservation limitée, relecture du compte rendu avant envoi.

Article 10. Formation et maîtrise de l’IA

La réponse à l’article 4 de l’AI Act : une sensibilisation pour tous dans les trois mois (avec, en option, un accès aux outils conditionné à son suivi), une formation approfondie pour les usages intensifs ou sensibles, un guide de bonnes pratiques, et surtout un registre des actions réalisées avec les preuves (émargements, supports, dates).

Article 11. Signalement des incidents

Quoi signaler (y compris une action non voulue d’un agent ou un compte compromis), à qui, sous quel délai. Avec une clause décisive : un signalement de bonne foi, y compris sur sa propre erreur, ne donne lieu à aucune sanction. Sans elle, les erreurs de saisie ne remontent jamais.

Article 12. Gouvernance et décisions concernant des personnes

Un référent IA nommément désigné, le DPO comme point de contact éthique, un comité qui se réunit à date fixe (30 minutes par trimestre suffisent dans une PME), un registre des usages à enjeu. Et une section dédiée aux décisions RH : aucune décision de recrutement, d’évaluation ou de sanction fondée exclusivement sur un traitement automatisé (article 22 du RGPD), pas de reconnaissance des émotions ni de surveillance au-delà de la loi, et l’identification dès maintenant des outils RH qui relèveront du haut risque en décembre 2027.

Articles 13 à 15. Manquements, revue, adoption

Un renvoi au règlement intérieur et à la procédure disciplinaire du code du travail, avec des sanctions graduées. Une revue annuelle, et des déclencheurs de réexamen d’un outil repris du modèle du Barreau de Paris (changement de propriétaire de l’éditeur, de conditions d’utilisation, d’hébergement). Un article d’adoption qui précise la consultation du CSE, l’adjonction au règlement intérieur et le bloc de signature individuelle.

Quatre annexes complètent le document : le registre des outils (avec la date de validation, les garanties vérifiées et les questions à poser à un éditeur), les repères réglementaires 2025-2030, une liste de contrôle en douze étapes pour déployer la charte, et la liste des sources utilisées.

4. Les erreurs qui rendent une charte inutile

Nous avons accompagné des dizaines d’entreprises sur ce sujet. Les chartes qui ne servent à rien partagent presque toujours l’un de ces défauts.

• Tout interdire. Une charte qui dit « l’usage de l’IA est interdit sauf autorisation » est contournée dès le lendemain, avec des comptes personnels sur des téléphones personnels. Vous perdez la visibilité sans gagner la sécurité.
• Nommer les outils dans le corps du texte. Les outils changent tous les six mois. Si chaque changement impose une nouvelle signature, la charte ne sera jamais à jour. Mettez la liste en annexe.
• Oublier les fonctions IA déjà activées. Le résumé automatique des réunions en visioconférence, l’assistant de la messagerie, la complétion dans la suite bureautique : ces fonctions ont été activées par l’éditeur, pas par vous, et elles transmettent des données.
• Ne pas dire ce qu’on peut coller. Une charte qui parle de « données sensibles » sans les définir laisse chacun décider. La grille vert / orange / rouge avec des exemples concrets est ce qui rend la règle applicable.
• Diffuser par email et considérer que c’est fait. Sans passage par le règlement intérieur ou signature individuelle, la charte a une valeur d’information. Elle fonde difficilement une sanction, et elle ne remplace pas la consultation du CSE quand celle-ci est due.
• Ne pas former. Une charte non expliquée est une charte non lue. Une sensibilisation de deux heures, avec des exemples tirés des métiers de l’entreprise, fait plus pour la confidentialité que dix pages de règles. C’est aussi ce que l’article 4 de l’AI Act attend.
• Ne jamais la revoir. Le calendrier réglementaire court jusqu’en 2030. Fixez une date de revue annuelle dès la première version.

5. Déployer la charte en quatre semaines

Le calendrier ci-dessous correspond à ce que nous voyons fonctionner dans une PME ou une ETI qui part de zéro.

Semaine	Ce qu’on fait	Qui
1	Désigner le référent IA. Recenser les outils réellement utilisés (sondage anonyme de cinq questions, revue des licences, inventaire des fonctions IA activées dans les logiciels existants).	Direction, DSI
2	Classer les outils (approuvé, toléré, interdit). Aligner la grille de données sur le registre RGPD. Adapter les articles 5, 6 et 11 aux métiers.	Référent IA, DPO
3	Relecture juridique. Information et consultation du CSE si elle est due. Choix du mode d’adoption (annexe au règlement intérieur ou signature individuelle).	Direction, conseil, CSE
4	Sensibilisation de tous les collaborateurs concernés (deux heures, avec les cas concrets de l’entreprise). Diffusion, signatures, archivage. Planification de la première revue.	Référent IA, RH

La semaine 4 est celle qui fait la différence. Une charte présentée en réunion, avec des exemples tirés du quotidien des équipes et un temps de questions, est appliquée. Une charte envoyée en pièce jointe est archivée. Un point souvent oublié : la consultation du CSE est due même pour une phase pilote. Le tribunal judiciaire de Nanterre a suspendu sous astreinte, en février 2025, un déploiement d’IA lancé sans elle.

6. Questions fréquentes

Une charte IA est-elle obligatoire ?

Non. Aucun texte n’impose un document intitulé « charte IA ». En revanche, l’AI Act demande de favoriser la maîtrise de l’IA (article 4) et d’assurer la transparence (article 50), le RGPD impose d’encadrer les traitements de données personnelles, et le code du travail impose d’informer et consulter le CSE. Une charte est le moyen le plus simple de tenir ces obligations et de le prouver.

Charte IA ou avenant au règlement intérieur ?

Les deux se combinent. La charte est le document lisible, qui explique et donne des exemples. Pour qu’elle soit opposable aux salariés, elle est annexée au règlement intérieur et suit sa procédure (consultation du CSE, dépôt, transmission à l’inspection du travail). Dans une entreprise sans règlement intérieur (moins de 50 salariés), une signature individuelle est l’alternative.

Faut-il interdire les versions gratuites ?

Pas nécessairement. Le modèle les classe « tolérées » et les limite aux données publiques ou sans enjeu, avec l’entraînement désactivé dans les paramètres. C’est plus réaliste qu’une interdiction, et cela pousse l’entreprise à fournir un outil approuvé à ceux qui en ont besoin.

Quelle longueur pour une charte ?

Entre six et douze pages hors annexes. En dessous, elle ne répond pas aux questions concrètes (que puis-je coller ?). Au-dessus, elle n’est pas lue. Le modèle fait dix-neuf pages avec les annexes et les notes de rédaction, qui sont à supprimer avant diffusion ; le corps de la charte tient en une douzaine de pages, et deux articles (agents, réunions) peuvent être retirés dans une très petite structure.

Le modèle convient-il à un grand groupe ?

Il constitue une base solide, mais un grand groupe aura besoin d’une gouvernance plus étoffée (comité IA formel, procédure d’évaluation des outils, articulation avec les filiales et les politiques groupe) et d’un traitement spécifique des systèmes à haut risque. C’est un travail sur mesure que nous menons en mission.

À quelle fréquence la mettre à jour ?

Le registre des outils (annexe) évolue à tout moment, sans nouvelle signature. Le corps de la charte est revu une fois par an, et aux grandes échéances réglementaires : décembre 2026, décembre 2027, août 2028.

7. Aller plus loin

Le modèle couvre les usages courants. Si vous souhaitez une charte rédigée avec vos équipes, alignée sur vos métiers et votre secteur, et déployée avec une formation qui répond à l’article 4 de l’AI Act, découvrez notre mission charte des usages de l’IA générative ou réservez un échange de 30 minutes.

Sources

• Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act) : eur-lex.europa.eu
• Règlement (UE) 2026/1744 dit « Omnibus IA », entré en vigueur le 27 juillet 2026, modifiant notamment l’article 4 et le calendrier d’application.
• CNIL, recommandations sur le développement des systèmes d’IA et fiche pratique sur l’usage des assistants d’IA générative au travail : cnil.fr
• Code du travail, articles L1222-4, L1321-5, L2312-8 et L2312-38 : legifrance.gouv.fr
• DINUM, DITP, DGAFP, Guide d’usage de l’IA pour les agents publics de l’État, juin 2026 : ia.numerique.gouv.fr
• ANSSI, Recommandations de sécurité pour un système d’IA générative (avril 2024) et alerte CERTFR-2026-ACT-016 sur les agents IA sur les postes de travail (avril 2026) : cert.ssi.gouv.fr
• Barreau de Paris, modèle de charte d’usage de l’IA pour les cabinets, juillet 2026 : avocatparis.org