Que doit contenir une charte d'usage de l'IA, en une page, pour votre PME ou votre cabinet ?
Une charte d'usage de l'IA dit à chacun ce qu'il peut faire avec l'IA, avec quels outils, et surtout quelles données ne doivent jamais y entrer. Une page suffit si elle couvre l'essentiel : les outils autorisés et leurs comptes, les données interdites (patients, personnel, contrats, mots de passe), l'obligation de relire tout résultat, une personne de référence et une courte formation. Expliquée à l'équipe, elle aide aussi à montrer que vous avez pris des mesures pour la former, comme le demande l'article 4 du règlement européen sur l'IA.
Le scénario en bref
Exemple, inventé pour illustrer. Dans un cabinet de kinésithérapie fictif, la secrétaire doit résumer le long courrier d'un médecin spécialiste. Elle copie le texte, avec le nom, la date de naissance et le diagnostic du patient, dans un assistant d'IA grand public ouvert dans son navigateur, sur son compte personnel. Le résumé est très bon. Personne ne lui avait dit que c'était interdit, ni pourquoi.
Rien de grave ne se voit ce jour-là. Mais des données de santé sont parties chez un service en ligne que le cabinet n'a pas choisi, sur un compte dont il ne contrôle pas les réglages. Le problème n'est pas l'IA : c'est l'absence de règle claire. Une charte d'une page règle cela.
Pourquoi écrire une charte maintenant
L'IA est déjà au bureau. Selon Eurostat, 20 % des entreprises européennes de 10 personnes ou plus utilisaient au moins une technologie d'IA en 2025, contre 13,5 % un an plus tôt. Ce chiffre ne compte que les usages organisés par l'entreprise. Il ne compte pas l'employé qui ouvre un outil gratuit de son côté pour gagner du temps, et c'est souvent là que se trouve le risque.
Le droit européen pousse dans le même sens. Depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA demande aux organisations qui utilisent des systèmes d'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. Modifié en juillet 2026, il n'exige plus un niveau précis pour chaque personne, mais l'obligation d'agir demeure, et l'Union et les États membres doivent aider en particulier les PME. La Commission européenne le précise dans ses questions-réponses : une entreprise dont les employés utilisent un outil d'IA générative (une IA qui produit du texte ou des images à la demande) pour rédiger ou traduire doit les informer de ses risques, par exemple les « hallucinations », ces réponses inventées mais présentées avec assurance.
| Ce que dit la Commission | Ce que cela veut dire pour vous |
|---|---|
| Pas besoin de certificat | Aucun diplôme à faire passer à vos équipes |
| Garder une trace interne des formations ou des consignes | La charte signée et la date de la séance d'information servent de trace |
| Aucune organisation particulière imposée | Pas de comité : une personne de référence suffit dans une petite structure |
| Contrôle par les autorités nationales depuis le 2 août 2026 | Cette trace peut vous être demandée dès aujourd'hui |
Une charte ne remplace pas la formation, mais elle en est la base : c'est le document que l'on explique en 30 minutes à l'équipe et que l'on garde ensuite à portée de main.
Les huit rubriques d'une charte en une page
Une charte efficace tient sur une page, en phrases courtes. Si elle fait cinq pages, personne ne la lira. Voici les rubriques indispensables, avec une phrase type pour chacune :
| Rubrique | Ce qu'on écrit | Exemple de phrase |
|---|---|---|
| 1. Le principe | L'IA est encouragée, dans un cadre clair | « Utilisez l'IA pour rédiger, résumer, traduire, en respectant les règles ci-dessous. » |
| 2. Les outils autorisés | La liste des outils permis, avec un compte professionnel | « Seuls les outils de la liste, avec votre adresse du bureau. Pas de compte personnel. » |
| 3. Les données interdites | Ce qui ne doit jamais être collé dans un outil d'IA | « Jamais de nom de patient, de dossier médical, de donnée du personnel, de mot de passe. » |
| 4. Anonymiser | Retirer ce qui permet de reconnaître une personne | « Remplacez les noms par “le patient”, “le client”, “le fournisseur”. » |
| 5. Relire | L'IA peut se tromper avec aplomb : une personne vérifie tout | « Rien ne part sans relecture : chiffres, noms, dates, références de lois. » |
| 6. Décider | L'IA propose, une personne décide | « Aucune décision sur un patient, un client ou un employé ne repose sur la seule réponse d'une IA. » |
| 7. Le référent | Une personne à qui poser ses questions et signaler un problème | « En cas de doute ou d'erreur, prévenez [nom] le jour même. » |
| 8. La mise à jour | Une date de révision et une trace de la formation | « Charte lue et expliquée le [date]. Prochaine révision : [date]. » |
Les données : feu vert, orange, rouge
C'est la rubrique la plus importante, et celle que vos équipes retiendront si elle est visuelle. L'idée est simple : plus une information est personnelle ou confidentielle, moins elle a sa place dans un outil d'IA en ligne.
| Couleur | Type d'information | Règle |
|---|---|---|
| Vert | Textes publics, modèles vierges, idées, reformulation d'un texte sans nom | Libre, avec un outil autorisé |
| Orange | Document interne sans donnée personnelle : procédure, offre type, note de service | Outil autorisé et compte professionnel uniquement, après avoir retiré les chiffres sensibles |
| Rouge | Données de patients, données de santé, dossiers du personnel, contrats, données bancaires, mots de passe, chiffres non publiés | Jamais dans un outil d'IA en ligne grand public |
Pour aider chacun à trancher, l'Autorité de protection des données (APD) propose dans sa brochure d'avril 2026 une question très simple : « Si j'étais à table avec des inconnus, me sentirais-je à l'aise de partager ces informations sur moi-même ou sur quelqu'un d'autre ? » Si la réponse est non, l'information ne va pas dans l'outil.
Le cas particulier des cabinets de santé
Dans un cabinet médical, dentaire ou paramédical, la zone rouge est grande. L'APD rappelle que les données concernant la santé sont des données sensibles : leur traitement est en principe interdit, sauf exceptions précises, comme la prise en charge des soins. Coller un dossier de patient dans un assistant d'IA grand public, avec un compte personnel, ne relève pas de la prise en charge des soins.
Retirer le nom ne suffit pas toujours. Une maladie rare, un âge et une commune peuvent suffire à reconnaître quelqu'un. L'APD conseille, quand c'est possible, d'utiliser des pseudonymes ou de masquer les éléments qui permettent d'identifier une personne : noms, adresses, âge. Pour un cabinet, la règle la plus simple reste : aucune information de patient dans un outil d'IA en ligne qui n'a pas été choisi et réglé par le cabinet.
Choisir et régler les outils autorisés
Interdire sans proposer d'alternative pousse les gens à contourner la règle. Mieux vaut choisir un ou deux outils, les régler correctement et les mettre à disposition de tous. Avant de les inscrire sur la liste, posez ces quatre questions :
- Vos conversations servent-elles à entraîner l'outil ? L'APD conseille de vérifier les paramètres de confidentialité, comme l'historique des conversations ou l'entraînement de l'IA, qui sont souvent activés par défaut.
- Qui gère les comptes ? Un compte professionnel, créé avec l'adresse du bureau, peut être fermé quand quelqu'un quitte l'entreprise. Un compte personnel part avec la personne, historique compris.
- Où sont conservées les données, et combien de temps ? La réponse se trouve dans les conditions d'utilisation de l'offre professionnelle. Si elle n'est pas claire, demandez-la par écrit au fournisseur.
- L'outil se branche-t-il à votre messagerie ou à vos dossiers ? Plus un outil a d'accès, plus il faut vérifier qui voit quoi avant de l'activer.
Ces réponses tiennent en une ligne par outil dans la charte : le nom de l'outil, le type de compte, et ce qu'on peut y mettre (vert ou orange).
Rendre la charte valable dans votre entreprise
Une charte que personne ne connaît ne protège personne. Faites-la lire, expliquez-la, et gardez une trace : une signature ou une liste de présence à la séance d'information. Pour les indépendants, stagiaires ou intérimaires qui utilisent vos outils, prévoyez aussi une signature.
Si vous voulez pouvoir sanctionner un manquement, il faut aller plus loin. Le SPF Emploi rappelle que le règlement de travail doit mentionner les pénalités et les manquements qu'elles sanctionnent, et que sa modification suit une procédure. Sans conseil d'entreprise, le projet est affiché et les travailleurs ont 15 jours pour faire leurs remarques dans un registre. S'il y en a, le Contrôle des lois sociales tente de mettre tout le monde d'accord. Une copie du règlement doit ensuite être déposée au Contrôle des lois sociales (en ligne), dans les 8 jours de son entrée en vigueur. Votre secrétariat social peut s'en charger et y intégrer les règles sur l'IA.
La charte modèle, à adapter
Voici une base qui tient sur une page. Remplacez les crochets et retirez ce qui ne vous concerne pas.
- Oui à l'IA pour rédiger, résumer, traduire, reformuler et trouver des idées, avec les outils de la liste : [outil, type de compte].
- Compte professionnel uniquement, créé avec votre adresse du bureau. Pas de compte personnel pour le travail.
- Jamais dans un outil d'IA : nom ou dossier de patient, donnée de santé, donnée du personnel, contrat, coordonnées bancaires, mot de passe, chiffre non publié.
- Anonymisez tout le reste : remplacez les noms par une fonction (« le patient », « le client »).
- Relisez tout avant usage : l'IA peut inventer des chiffres, des noms ou des références. Vous restez l'auteur de ce que vous envoyez.
- L'IA ne décide pas : aucune décision sur une personne ne repose sur sa seule réponse.
- Dites-le quand un document remis à un client ou à un patient a été largement rédigé avec l'IA, si cela peut compter pour lui.
- Pas de nouvel outil (extension de navigateur, application, outil branché à la messagerie) sans l'accord de [référent].
- Une voix ou une vidéo ne suffit pas à prouver une identité : toute demande inhabituelle de paiement ou de données se vérifie par un autre canal, au numéro que vous connaissez déjà.
- Un doute, une erreur, une donnée partie par mégarde : prévenez [référent] le jour même. Une erreur signalée vite se corrige ; une erreur cachée s'aggrave.
Lundi matin : cinq gestes
- Demandez à l'équipe, sans juger, quels outils d'IA chacun utilise déjà et pour quoi faire. Vous partirez de la réalité.
- Choisissez un ou deux outils autorisés et créez les comptes professionnels.
- Adaptez la charte modèle ci-dessus et désignez un référent.
- Présentez-la en 30 minutes en réunion d'équipe, avec des exemples tirés de votre métier, et faites-la signer.
- Notez une date de révision dans six mois : les outils évoluent vite, la charte aussi.
Une charte d'une page ne demande ni budget ni grand projet informatique. Elle permet à vos équipes de profiter de l'IA en toute confiance, et à vous de savoir où vont vos données.
Mettre en place votre charte IA→
Questions fréquentes
Une charte d'usage de l'IA est-elle obligatoire ?
Aucun texte n'impose une charte en tant que telle. Mais depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA demande aux organisations qui utilisent l'IA de prendre des mesures pour que leur personnel apprenne à s'en servir et en connaisse les risques. Une charte expliquée à l'équipe, avec une trace de la séance, est la façon la plus simple de le faire et de le montrer.
Faut-il un certificat de formation à l'IA pour mes employés ?
Non. La Commission européenne précise qu'aucun certificat n'est nécessaire. Garder une trace interne des formations ou des consignes données suffit, par exemple la charte signée et la date de la séance d'information.
Mes employés peuvent-ils utiliser un assistant d'IA grand public gratuit ?
Pour des contenus publics ou sans données personnelles, c'est possible si la charte le prévoit. Pour des données de patients, du personnel ou des documents confidentiels, non : les réglages de ces outils, comme l'historique ou l'entraînement sur vos conversations, sont souvent activés par défaut et l'entreprise ne les contrôle pas. Mieux vaut proposer un outil choisi, avec des comptes professionnels.
Peut-on anonymiser un dossier de patient et l'utiliser avec l'IA ?
Retirer le nom ne suffit pas toujours : une maladie rare, un âge et une commune peuvent permettre de reconnaître quelqu'un. Les données de santé sont des données sensibles, dont le traitement est en principe interdit sauf exceptions. Pour un cabinet, la règle la plus sûre est de ne mettre aucune information de patient dans un outil d'IA en ligne qui n'a pas été choisi et réglé par le cabinet.
Peut-on sanctionner un employé qui ne respecte pas la charte ?
Pour pouvoir sanctionner, les pénalités et les manquements visés doivent figurer dans le règlement de travail, dont la modification suit une procédure prévue par la loi (sans conseil d'entreprise : affichage, 15 jours pour les remarques dans un registre, puis dépôt d'une copie au Contrôle des lois sociales). Votre secrétariat social peut vous aider à y intégrer les règles sur l'IA.