Ressource gratuite · Modèle Word

Modèle de charte IA : encadrer l’usage de l’IA générative en 15 articles

Un modèle prêt à adapter puis à publier, aligné sur l’AI Act, le RGPD, la CNIL et le code du travail, avec une note pour le rédacteur à chaque article.

📄 Word, 25 pages⚖️ 15 articles et 4 annexes🇪🇺 AI Act et RGPD🆓 Gratuit

Télécharger le modèleVoir les 15 articles

Conçu par Flavien Besset, fondateur de NextStart.AI · version 2 du 26 octobre 2026 · 4 850 professionnels formés · satisfaction 9,4/10

Dans la plupart des entreprises, l’IA générative est déjà utilisée tous les jours. Pas parce que la direction l’a décidé, mais parce qu’un commercial a collé un compte rendu client dans ChatGPT pour en tirer un email, qu’une assistante RH a demandé à Copilot de résumer trois CV, qu’un développeur a fait relire son code par Claude. Aucun de ces gestes n’est un problème en soi. Le problème, c’est qu’ils se font sans règle du jeu, avec des comptes personnels, et que personne ne sait ce qui est sorti de l’entreprise. Pour mesurer ces usages avant d’écrire les règles, le kit Shadow IA propose une enquête anonyme et un plan de sortie sur 90 jours.

Une charte IA règle cette question en une dizaine de pages. Cette page explique ce qu’elle doit contenir en 2026, ce que la réglementation impose réellement (et ce qu’elle n’impose pas), et vous donne un modèle complet, au format Word, à adapter à votre organisation.

Aperçu du modèle : ce que vous recevez

Avant de laisser votre email, voici un extrait de l’article le plus utilisé, celui qui répond à la question « est-ce que je peux coller ça ? ». Version 2, mise à jour le 26 octobre 2026.

Extrait · Article 4

Données : ce qui peut être saisi

Test de base : « Pourrais-je publier cette information sur Internet ? »

VertDonnées publiques ou sans enjeu : outils approuvés et tolérés.

OrangeDonnées internes : uniquement dans un outil approuvé, sous contrat professionnel.

RougeDonnées personnelles, documents RH, données clients confidentielles, secrets d’affaires, mots de passe et clés d’API.

📄 15 articles prêts à adapter

Une rédaction par défaut, plutôt prudente, pour chaque article, des emplacements à compléter surlignés en jaune, et une note pour le rédacteur qui explique les choix à faire.

🤖 L’IA qui agit, déjà couverte

Trois niveaux d’autonomie, les agents créés par les métiers, la délégation de dossiers à Copilot Cowork ou Claude Cowork, et la liste de ce que l’IA ne fait jamais seule.

🗂️ 4 annexes opérationnelles

Registre des outils approuvés, tolérés et interdits, repères réglementaires 2025-2030, liste de contrôle en quatorze étapes, sources officielles (CNIL, DINUM, ANSSI, Barreau de Paris).

Recevoir le modèle complet par email →

1. Pourquoi une charte IA, et pourquoi maintenant

Trois raisons, par ordre d’importance.

La confidentialité. Une version gratuite d’un assistant IA utilise, par défaut, vos conversations pour améliorer ses modèles. Ce qu’un collaborateur y saisit (données clients, éléments de paie, code source, projet de rachat) sort du périmètre de l’entreprise sans contrat, sans journal, sans possibilité de retour. Le risque n’est pas théorique : la CNIL considère qu’une telle saisie de données personnelles est un traitement, et qu’une fuite est une violation de données à lui notifier sous 72 heures.

La qualité et la responsabilité. Les modèles inventent des chiffres, des sources et des références juridiques avec une assurance parfaite. Sans règle de vérification proportionnée à l’enjeu, l’erreur finit dans une proposition commerciale ou un contrat, et c’est l’entreprise qui en répond, pas l’outil.

La réglementation. Le règlement européen sur l’IA (AI Act) s’applique par paliers depuis février 2025. Son régime de sanctions s’applique depuis le 2 août 2025 ; depuis le 2 août 2026, ses obligations de transparence s’appliquent et les autorités nationales en contrôlent le respect, article 4 compris. Pour une entreprise qui utilise l’IA sans en développer, les obligations restent modérées, mais elles existent, et une charte est le moyen le plus simple de prouver qu’on les a prises en compte.

Il y a aussi une quatrième raison, moins souvent citée : une charte débloque l’usage. Tant que les règles ne sont pas écrites, la moitié des collaborateurs n’osent pas utiliser l’IA et l’autre moitié l’utilise en cachette. Une charte bien faite dit ce qui est autorisé, et c’est souvent plus que ce que les gens imaginent.

2. Ce que la loi impose vraiment en 2026

Beaucoup de contenus sur le sujet mélangent ce qui s’applique aux éditeurs de modèles, aux entreprises qui développent des systèmes d’IA et à celles qui se contentent de les utiliser. Pour une entreprise utilisatrice (un « déployeur » dans le vocabulaire du règlement), voici l’état des textes au 26 octobre 2026.

Date	Ce qui s’applique	Impact pour une entreprise utilisatrice
2 février 2025	Interdiction des pratiques inacceptables (article 5) et entrée en application de l’article 4 sur la maîtrise de l’IA.	Pas de reconnaissance des émotions au travail, pas de notation sociale. Former les collaborateurs qui utilisent l’IA.
2 août 2025	Obligations des fournisseurs de modèles à usage général (GPAI).	Aucun, sauf si vous développez un modèle.
27 juillet 2026	Entrée en vigueur du règlement Omnibus IA (règlement (UE) 2026/1744).	L’article 4 est réécrit : prendre des mesures pour « favoriser le développement » de la maîtrise de l’IA, sans obligation de garantir un niveau donné. L’obligation demeure, contrôlée par les autorités nationales depuis le 2 août 2026 selon le régime de sanctions de chaque État membre. Les échéances haut risque sont reportées.
2 août 2026	Article 50 (transparence) applicable et contrôle par les autorités nationales, article 4 compris (le régime de sanctions s’applique depuis le 2 août 2025).	Informer les personnes qui interagissent avec un chatbot, signaler les images, sons et vidéos générés par IA. Sanctions jusqu’à 35 M€ ou 7 % du CA mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres manquements.
2 décembre 2026	Deux nouvelles interdictions (hypertrucages intimes ou sexuels d’une personne identifiable sans son consentement, contenus pédocriminels) ; fin du délai de marquage pour les systèmes génératifs mis sur le marché avant le 2 août 2026.	Interdire ces usages dans la charte et vérifier que vos outils sont conformes à l’article 50.
2 décembre 2027	Systèmes à haut risque de l’annexe III.	Un outil de tri de CV, d’évaluation ou de gestion des salariés devient un système à haut risque : supervision humaine, information des salariés et du CSE, journaux, analyse d’impact.
2 août 2028	Systèmes à haut risque intégrés à des produits réglementés (annexe I).	Machines, dispositifs médicaux, véhicules, jouets.

Trois précisions qui changent la manière d’écrire la charte.

L’article 4 n’est plus une obligation de résultat. Dans sa version initiale, l’AI Act demandait aux entreprises de « prendre des mesures pour garantir » un niveau suffisant de maîtrise de l’IA. Le règlement omnibus (UE) 2026/1744 a remplacé cette formule par « favoriser le développement de la maîtrise de l’IA » et précise qu’il n’y a plus à garantir un niveau spécifique pour chaque personne ; la Commission et les États membres doivent accompagner ces efforts, notamment ceux des PME. L’obligation demeure pourtant : son respect est contrôlé par les autorités nationales de surveillance depuis le 2 août 2026, selon le régime de sanctions fixé par chaque État membre, et la Commission précise qu’aucun certificat n’est exigé, un registre interne des actions adaptées aux rôles suffit. Cela ne rend donc pas la formation facultative : en cas d’incident, la question posée sera « qu’aviez-vous fait pour que vos équipes sachent utiliser ces outils ? », et un registre des actions de sensibilisation est la réponse la plus simple.

Le RGPD s’applique indépendamment de l’AI Act. Saisir le nom d’un client, le CV d’un candidat ou l’évaluation d’un salarié dans un outil d’IA est un traitement de données personnelles. Il faut une base légale, une information des personnes, une inscription au registre des traitements et, pour un outil externe, un contrat de sous-traitance. C’est l’article 4 du modèle (classification des données) qui porte l’essentiel du travail.

Le CSE doit être informé et consulté avant l’introduction d’outils ayant un impact sur les conditions de travail ou permettant un contrôle de l’activité des salariés (code du travail, articles L2312-8 et L2312-38). Une charte annexée au règlement intérieur suit en plus la procédure de celui-ci (consultation du CSE, dépôt au greffe, transmission à l’inspection du travail). C’est ce qui lui donne une valeur disciplinaire.

3. Les 15 articles du modèle, et ce qu’ils règlent

Le modèle est construit pour une organisation qui utilise l’IA générative sans en développer, d’une direction de quelques dizaines de personnes à un groupe de plusieurs milliers. Nous l’avons rédigé en croisant les meilleures sources publiques disponibles en septembre 2026 : le guide d’usage de l’IA de la DINUM pour les agents de l’État (juin 2026), les questions-réponses de la CNIL sur l’IA générative et sa note de juillet 2026 sur l’IA agentique, les recommandations de sécurité de l’ANSSI et son alerte d’avril 2026 sur les agents IA, les chartes des ministères de la Culture et de l’Éducation nationale, du Conseil d’État, et le modèle adopté par le Barreau de Paris en juillet 2026. Chaque article propose une rédaction par défaut, plutôt prudente, et une note explique les choix à faire. Voici ce que chacun règle.

Article 1. Objet et périmètre

Qui est concerné (salariés, stagiaires, intérimaires, prestataires), quels outils (y compris les fonctions IA intégrées aux logiciels existants et les comptes personnels utilisés au bureau), quelles situations (télétravail et matériel personnel compris). C’est aussi là que se décide l’articulation avec le règlement intérieur et la charte informatique.

Article 2. Principes directeurs

Sept principes qui servent de référence quand une situation n’est pas prévue : responsabilité humaine, confidentialité, vérification, transparence, équité et accessibilité, utilité réelle, préservation des compétences. Le premier est le plus important : l’utilisateur reste l’auteur de ce qu’il produit avec une IA. Le dernier, emprunté à la CNIL, vise le biais d’automatisation : valider par réflexe ce que l’IA propose, jusqu’à ne plus savoir faire sans elle.

Article 3. Outils approuvés, tolérés et interdits

Trois catégories plutôt que deux. « Approuvé » pour les outils sous contrat professionnel dont les données ne servent pas à l’entraînement. « Toléré » pour les versions grand public, limitées aux données publiques. « Interdit » pour le reste, y compris tout outil utilisé via un compte personnel. L’article règle aussi les comptes (compte professionnel, authentification forte, pas de partage), les extensions de navigateur et les abonnements souscrits sans validation, qui sont la source du shadow AI. Deux sections ajoutées en version 2 : ce qui distingue vraiment une offre entreprise d’une offre grand public (entraînement, contrat RGPD, gestion des comptes, connecteurs), et une procédure de déclaration sans sanction des usages non autorisés, pour faire sortir le shadow IA de l’ombre. La liste nominative est en annexe, pour pouvoir la mettre à jour sans faire re-signer la charte.

Article 4. Données : ce qui peut être saisi

Le cœur du dispositif. Un test de base emprunté au guide de la DINUM (« pourrais-je publier cette information sur Internet ? »), puis une classification en trois niveaux (vert, orange, rouge) croisée avec les trois catégories d’outils. Un collaborateur doit pouvoir répondre en dix secondes à la question « est-ce que je peux coller ça ? ». Les données personnelles, les documents RH, les données clients sous clause de confidentialité, les secrets d’affaires et les secrets techniques (mots de passe, clés d’API) sont rouges par défaut, en suivant la liste que l’ANSSI recommande de ne jamais saisir dans un outil en ligne. Une section traite le surpartage : un assistant connecté à la messagerie ou aux espaces documentaires retrouve tout ce que l’utilisateur a le droit d’ouvrir, d’où une revue des droits d’accès avant son ouverture.

Article 5. Vérification et responsabilité

Un niveau de relecture proportionné à l’usage : brouillon personnel, document interne, document externe, décision affectant une personne. Pour ce dernier cas, la règle est simple : l’IA ne décide pas, elle prépare des éléments qu’un humain examine et assume. L’article ajoute des règles spécifiques au code généré (relecture, pas d’exécution automatique, vérification des bibliothèques suggérées) et une liste des situations où l’on renonce à l’IA, inspirée de la charte du ministère de la Culture.

Article 6. Transparence

Ce que l’article 50 de l’AI Act impose depuis août 2026 (chatbots, hypertrucages, contenus publiés) et ce que l’entreprise choisit d’ajouter : une formule de mention normalisée (« contenu partiellement généré par IA et vérifié par… », inspirée du système de design de l’État), les cas qui n’en ont pas besoin (traduction, correction de langue), le signalement aux clients quand une prestation intellectuelle repose largement sur l’IA, l’interdiction d’imiter une personne réelle sans accord et celle des hypertrucages intimes. L’article suit les lignes directrices de la Commission européenne de juillet 2026 (icônes européennes, agent qui se présente comme une IA).

Article 7. Propriété intellectuelle et confidentialité

Dans un sens, ne pas soumettre à l’IA des contenus dont on n’a pas les droits. Dans l’autre, savoir qu’un contenu généré sans apport créatif humain n’est en principe pas protégeable, et qu’il peut reproduire une œuvre existante. L’article traite aussi du point aveugle le plus fréquent : les fonctions IA activées par l’éditeur dans des outils déjà déployés (résumé de réunion, assistant de messagerie).

Article 8. Agents IA, extensions et automatisations

L’article que les modèles de 2025 n’ont pas. Un agent IA ne répond pas, il agit : il lit et envoie des emails, modifie des fichiers, passe des commandes. En avril 2026, l’ANSSI a alerté sur ces produits installés sur les postes de travail, et la CNIL a publié en juillet une note sur l’IA agentique. Le modèle distingue trois niveaux d’autonomie (l’assistant qui converse, l’assistant connecté, l’agent qui agit) et en tire des règles simples : validation préalable, droits limités au strict besoin et revus chaque trimestre, déclaration des agents créés par les collaborateurs dès qu’ils sont partagés, dossier de travail dédié pour déléguer un dossier à une IA (Copilot Cowork, Claude Cowork, mode agent), liste de ce que l’IA ne fait jamais seule (envoyer un message à un tiers, supprimer un document, payer, créer des droits), tests en environnement isolé, sensibilisation à l’injection de prompt, journalisation.

Article 9. Réunions enregistrées et transcrites

La fonction IA la plus répandue et la moins encadrée. Information des participants et possibilité de s’opposer, interdiction des assistants de prise de notes personnels, pas de transcription des entretiens individuels (recrutement, évaluation, disciplinaire), durée de conservation limitée, relecture du compte rendu avant envoi.

Article 10. Formation et maîtrise de l’IA

La réponse à l’article 4 de l’AI Act : une sensibilisation pour tous dans les trois mois (avec, en option, un accès aux outils conditionné à son suivi), une formation approfondie pour les usages intensifs ou sensibles et avant tout accès aux fonctions agentiques, un guide de bonnes pratiques, et surtout un registre des actions réalisées avec les preuves (émargements, supports, dates).

Article 11. Signalement des incidents

Quoi signaler (y compris une action non voulue d’un agent ou un compte compromis), à qui, sous quel délai. Avec une clause décisive : un signalement de bonne foi, y compris sur sa propre erreur, ne donne lieu à aucune sanction. Sans elle, les erreurs de saisie ne remontent jamais.

Article 12. Gouvernance et décisions concernant des personnes

Un référent IA nommément désigné, le DPO comme point de contact éthique, un comité qui se réunit à date fixe (chaque trimestre par défaut), un registre des usages à enjeu, agents partagés compris. Et une section dédiée aux décisions RH : aucune décision de recrutement, d’évaluation ou de sanction fondée exclusivement sur un traitement automatisé (article 22 du RGPD), pas de reconnaissance des émotions ni de surveillance au-delà de la loi, et l’identification dès maintenant des outils RH qui relèveront du haut risque en décembre 2027.

Articles 13 à 15. Manquements, revue, adoption

Un renvoi au règlement intérieur et à la procédure disciplinaire du code du travail, avec des sanctions graduées. Une revue annuelle, et des déclencheurs de réexamen d’un outil repris du modèle du Barreau de Paris (changement de propriétaire de l’éditeur, de conditions d’utilisation, d’hébergement). Un article d’adoption qui précise la consultation du CSE, l’adjonction au règlement intérieur et le bloc de signature individuelle.

Quatre annexes complètent le document : le registre des outils (avec la date de validation, les garanties vérifiées et les questions à poser à un éditeur), les repères réglementaires 2025-2030, une liste de contrôle en quatorze étapes pour déployer la charte, et la liste des sources utilisées.

4. Les erreurs qui rendent une charte inutile

Nous avons accompagné une trentaine d’organisations dans leur adoption de l’IA, et la charte revient presque à chaque fois. Les chartes qui ne servent à rien partagent presque toujours l’un de ces défauts.

• Tout interdire. Une charte qui dit « l’usage de l’IA est interdit sauf autorisation » est contournée dès le lendemain, avec des comptes personnels sur des téléphones personnels. Vous perdez la visibilité sans gagner la sécurité.
• Nommer les outils dans le corps du texte. Les outils changent tous les six mois. Si chaque changement impose une nouvelle signature, la charte ne sera jamais à jour. Mettez la liste en annexe.
• Oublier les fonctions IA déjà activées. Le résumé automatique des réunions en visioconférence, l’assistant de la messagerie, la complétion dans la suite bureautique : ces fonctions ont été activées par l’éditeur, pas par vous, et elles transmettent des données.
• Ne pas dire ce qu’on peut coller. Une charte qui parle de « données sensibles » sans les définir laisse chacun décider. La grille vert / orange / rouge avec des exemples concrets est ce qui rend la règle applicable.
• Diffuser par email et considérer que c’est fait. Sans passage par le règlement intérieur ou signature individuelle, la charte a une valeur d’information. Elle fonde difficilement une sanction, et elle ne remplace pas la consultation du CSE quand celle-ci est due.
• Ne pas former. Une charte non expliquée est une charte non lue. Une sensibilisation de deux heures, avec des exemples tirés des métiers de l’entreprise, fait plus pour la confidentialité que dix pages de règles. C’est aussi ce que l’article 4 de l’AI Act attend.
• Ne jamais la revoir. Le calendrier réglementaire court jusqu’en 2030. Fixez une date de revue annuelle dès la première version.

5. Déployer la charte en quatre semaines

Le calendrier ci-dessous correspond à ce que nous voyons fonctionner dans une organisation qui part de zéro.

Semaine	Ce qu’on fait	Qui
1	Désigner le référent IA. Recenser les outils réellement utilisés (sondage anonyme de cinq questions, revue des licences, inventaire des fonctions IA activées dans les logiciels existants).	Direction, DSI
2	Classer les outils (approuvé, toléré, interdit). Aligner la grille de données sur le registre RGPD. Adapter les articles 5, 6 et 11 aux métiers.	Référent IA, DPO
3	Relecture juridique. Information et consultation du CSE si elle est due. Choix du mode d’adoption (annexe au règlement intérieur ou signature individuelle).	Direction, conseil, CSE
4	Sensibilisation de tous les collaborateurs concernés (deux heures, avec les cas concrets de l’entreprise). Diffusion, signatures, archivage. Planification de la première revue.	Référent IA, RH

La semaine 4 est celle qui fait la différence. Une charte présentée en réunion, avec des exemples tirés du quotidien des équipes et un temps de questions, est appliquée. Une charte envoyée en pièce jointe est archivée. Un point souvent oublié : le CSE doit être consulté avant tout déploiement. Un pilote qui équipe un service entier, s’installe dans la durée ou touche les conditions de travail est déjà un déploiement (TJ Nanterre, 14 février 2025, qui a suspendu sous astreinte un déploiement d’IA lancé sans consultation) ; seul un test réellement volontaire, limité dans le temps et le périmètre, peut le précéder (TJ Paris, 10 février 2026).

6. Questions fréquentes

Charte GPT, charte ChatGPT ou charte IA : quelle différence ?

Aucune : c’est le même document. « Charte GPT » et « charte ChatGPT » sont les noms courants, hérités de l’outil le plus connu. Mais une charte limitée à ChatGPT vieillit vite, car les équipes utilisent aussi Copilot, Claude, Gemini, Mistral et les fonctions d’IA intégrées à leurs logiciels. Ce modèle couvre donc tous les outils d’IA générative, avec en annexe un registre qui classe chacun comme approuvé, toléré ou interdit.

Une charte IA est-elle obligatoire ?

Non. Aucun texte n’impose un document intitulé « charte IA ». En revanche, l’AI Act demande de favoriser la maîtrise de l’IA (article 4) et d’assurer la transparence (article 50), le RGPD impose d’encadrer les traitements de données personnelles, et le code du travail impose d’informer et consulter le CSE. Une charte est le moyen le plus simple de tenir ces obligations et de le prouver.

Charte IA ou avenant au règlement intérieur ?

Les deux se combinent. La charte est le document lisible, qui explique et donne des exemples. Pour qu’elle soit opposable aux salariés, elle est annexée au règlement intérieur et suit sa procédure (consultation du CSE, dépôt, transmission à l’inspection du travail). Dans une entreprise sans règlement intérieur (moins de 50 salariés), une signature individuelle est l’alternative.

Faut-il interdire les versions gratuites ?

Pas nécessairement. Le modèle les classe « tolérées » et les limite aux données publiques ou sans enjeu, avec l’entraînement désactivé dans les paramètres. C’est plus réaliste qu’une interdiction, et cela pousse l’entreprise à fournir un outil approuvé à ceux qui en ont besoin.

Quelle longueur pour une charte ?

Entre six et douze pages hors annexes. En dessous, elle ne répond pas aux questions concrètes (que puis-je coller ?). Au-dessus, elle n’est pas lue. Le modèle fait vingt-cinq pages avec les annexes et les notes de rédaction, qui sont à supprimer avant diffusion. L’article sur les réunions transcrites peut être retiré dans une structure qui n’utilise aucun outil de transcription ; l’article sur les agents doit rester, car les principales suites proposent désormais des agents et des connecteurs que chacun peut activer lui-même.

Le modèle convient-il à un grand groupe ?

Il constitue une base solide, mais un grand groupe aura besoin d’une gouvernance plus étoffée (comité IA formel, procédure d’évaluation des outils, articulation avec les filiales et les politiques groupe) et d’un traitement spécifique des systèmes à haut risque. C’est un travail sur mesure que nous menons en mission.

À quelle fréquence la mettre à jour ?

Le registre des outils (annexe) évolue à tout moment, sans nouvelle signature. Le corps de la charte est revu une fois par an, et aux grandes échéances réglementaires : décembre 2026, décembre 2027, août 2028.

7. Aller plus loin

Le modèle couvre les usages courants. Si vous souhaitez une charte rédigée avec vos équipes, alignée sur vos métiers et votre secteur, et déployée avec une formation qui répond à l’article 4 de l’AI Act, découvrez notre mission charte des usages de l’IA générative ou réservez un échange de 30 minutes.

Sources

• Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act) : eur-lex.europa.eu
• Règlement (UE) 2026/1744 dit « Omnibus IA », entré en vigueur le 27 juillet 2026, modifiant notamment l’article 4 et le calendrier d’application.
• CNIL, recommandations sur le développement des systèmes d’IA et fiche pratique sur l’usage des assistants d’IA générative au travail : cnil.fr
• Code du travail, articles L1222-4, L1321-5, L2312-8 et L2312-38 : legifrance.gouv.fr
• DINUM, DITP, DGAFP, Guide d’usage de l’IA pour les agents publics de l’État, juin 2026 : ia.numerique.gouv.fr
• ANSSI, Recommandations de sécurité pour un système d’IA générative (avril 2024) et alerte CERTFR-2026-ACT-016 sur les agents IA sur les postes de travail (avril 2026) : cert.ssi.gouv.fr
• Barreau de Paris, modèle de charte d’usage de l’IA pour les cabinets, juillet 2026 : avocatparis.org