Charte IA : comment encadrer les usages de l'IA chez les clients + modèle

Une charte IA définit les conditions dans lesquelles les collaborateurs d'une entreprise peuvent utiliser des outils d'intelligence artificielle : solutions autorisées, données pouvant être transmises, usages interdits, validation humaine et responsabilités.

Pour un prestataire de services managés, ce document peut devenir un livrable concret à proposer aux clients qui adoptent l'IA sans avoir encore formalisé leurs règles. L'objectif n'est pas d'écrire une politique théorique, mais de donner aux utilisateurs des consignes applicables lorsqu'ils rédigent un prompt, analysent un document ou utilisent un contenu généré par une IA.

La charte doit aussi être cohérente avec les outils mis à disposition. Pour proposer aux clients un environnement dans lequel les usages IA peuvent être administrés plutôt que de laisser les comptes et abonnements se multiplier, Goodweek centralise l'accès à plusieurs modèles avec gestion des utilisateurs, permissions et traçabilité des interactions.

En résumé

• Une charte IA définit les outils, usages et données autorisés ou interdits chez le client.
• Elle doit donner des règles suffisamment précises pour être appliquées sans interprétation à chaque nouveau cas.
• Le prestataire de services managés peut fournir une trame commune, mais celle-ci doit être adaptée aux données, métiers et contraintes de chaque client.
• Le RGPD reste applicable lorsqu'un usage de l'IA implique un traitement de données personnelles. Le règlement européen sur l'IA ajoute ses propres obligations selon les acteurs et les systèmes concernés.
• Une charte ne suffit pas : les utilisateurs doivent connaître les règles et disposer d'outils approuvés pour leurs besoins réels.
• Le modèle proposé en fin d'article permet de partir d'une structure commune et de la personnaliser pour chaque client.

Modèle de charte IA à télécharger

Vous devez formaliser les usages de l'intelligence artificielle chez un client ? 

Téléchargez notre modèle de charte IA prêt à personnaliser : outils autorisés, données sensibles, validation humaine, gestion des incidents et responsabilités.

[Télécharger le modèle de charte IA]

Le document fourni doit être considéré comme une base de travail. Il ne constitue pas une validation juridique ni une garantie de conformité au RGPD ou au règlement européen sur l'intelligence artificielle.

À quoi sert une charte IA chez les clients d'un prestataire IT ?

Une charte IA formalise les règles applicables à l'utilisation professionnelle des systèmes d'intelligence artificielle.

Elle répond notamment à des questions concrètes :

• quels outils peuvent être utilisés ?
• avec quel type de compte ?
• quelles données peuvent être saisies ?
• quels usages nécessitent une validation préalable ?
• quelles informations ne doivent jamais être transmises ?
• quand une sortie générée doit-elle être vérifiée ?
• comment signaler un incident ou demander une exception ?

Le document évite qu'une même situation soit traitée différemment selon l'utilisateur, le service ou le site.

Une charte IA ne doit pas être une interdiction générale

Interdire toute utilisation de l'IA peut sembler simple, mais ne supprime pas le besoin auquel répondent ces outils.

Un collaborateur peut vouloir résumer un document, préparer un email, analyser un tableau ou rechercher plus rapidement une information. En l'absence de solution approuvée, il peut se tourner vers un service accessible depuis son navigateur ou utiliser un compte personnel.

Le problème se rapproche alors du Shadow IT : l'usage existe, mais il échappe au cadre défini par l'organisation.

Pour le prestataire de services managés, l'objectif consiste donc à encadrer les usages utiles et à écarter ceux dont le niveau de risque n'est pas acceptable, plutôt qu'à rédiger une interdiction impossible à appliquer.

Cette démarche peut être intégrée à une offre plus large de gouvernance et conformité cyber, notamment lorsque le prestataire accompagne déjà le client sur ses politiques de sécurité.

Que doit contenir une charte d'utilisation de l'IA ?

Une charte exploitable n'a pas besoin d'être longue. Elle doit surtout couvrir les décisions que les utilisateurs rencontreront réellement.

Le périmètre

La première partie précise :

• les collaborateurs concernés ;
• les entités ou sites concernés ;
• les catégories de systèmes d'IA couvertes ;
• les usages professionnels concernés ;
• les éventuelles exclusions.

Il est préférable de parler de catégories d'outils et de maintenir en parallèle une liste des solutions approuvées. Une charte qui cite uniquement les marques disponibles le jour de sa rédaction devient rapidement obsolète.

Les outils d'IA approuvés

La charte doit indiquer où trouver la liste des solutions autorisées.

Pour chaque outil, le client peut préciser :

• les utilisateurs autorisés ;
• les cas d'usage acceptés ;
• les catégories de données admises ;
• le type de compte à utiliser ;
• les restrictions éventuelles.

Une solution autorisée n'est pas nécessairement autorisée pour tous les usages.

Les usages autorisés

Ils peuvent par exemple inclure, selon le contexte du client :

• reformuler un texte non sensible ;
• produire un premier brouillon ;
• synthétiser une documentation autorisée ;
• rechercher des idées ;
• structurer un compte rendu ;
• traduire un contenu qui ne comporte pas de données interdites.

Ces exemples doivent être adaptés à l'activité du client.

Les usages soumis à validation

Certains usages peuvent nécessiter une validation avant utilisation ou avant diffusion du résultat.

C'est notamment à envisager lorsque l'IA intervient dans :

• une communication adressée à un client ;
• une analyse ayant un impact opérationnel ;
• la génération de code ou de scripts destinés à être exécutés ;
• l'analyse de données internes ;
• une recommandation utilisée pour prendre une décision.

La charte doit alors indiquer qui valide quoi, plutôt que se contenter de demander une "supervision humaine".

Les usages interdits

Les interdictions doivent être explicites.

Exemple :

Il est interdit de saisir dans un outil d'IA non autorisé des mots de passe, clés API, secrets techniques, données personnelles non nécessaires, données clients confidentielles ou documents dont la diffusion à un tiers n'est pas autorisée.

Une règle concrète est plus exploitable qu'une formule comme "ne transmettez aucune information sensible".

Quelles règles prévoir pour les données clients et les informations sensibles ?

Pour un prestataire de services managés, c'est probablement la partie la plus importante à cadrer avec le client.

Un utilisateur peut transmettre des informations à une IA sans considérer son action comme un partage de données. Un copier-coller dans un prompt reste pourtant une transmission d'informations à un service externe lorsque l'outil utilisé est hébergé par un tiers.

Ce classement doit reprendre les règles de confidentialité déjà appliquées chez le client plutôt que créer une nomenclature parallèle uniquement pour l'IA.

Données personnelles : le RGPD continue de s'appliquer

L'utilisation d'un système d'IA ne suspend pas les obligations relatives aux données personnelles.

La CNIL rappelle notamment l'importance de définir les finalités, de limiter les données utilisées à ce qui est nécessaire et de prendre en compte la protection des données dans le choix et la conception des traitements liés à l'IA.

La charte peut donc imposer des principes simples :

• ne transmettre que les données nécessaires ;
• anonymiser ou “pseudonymiser” lorsque cela est pertinent ;
• utiliser uniquement les solutions approuvées pour les données personnelles ;
• demander une validation lorsque le cas d'usage sort du cadre prévu.

Consulter les recommandations de la CNIL sur les systèmes d'IA.

Cette logique s'inscrit plus largement dans la protection des données et la sensibilisation des utilisateurs aux risques numériques. Une règle écrite n'est utile que si les collaborateurs comprennent les situations auxquelles elle s'applique.

Qui doit rédiger et valider la charte IA ?

Le prestataire de services managés peut apporter la méthode, une trame et son expertise technique. Il ne doit cependant pas décider seul des règles applicables à l'entreprise cliente.

Les responsabilités dépendent de son organisation.

Direction

Elle arbitre notamment le niveau de risque accepté et les usages que l'entreprise souhaite développer.

Responsable informatique ou DSI

Il identifie les outils disponibles, les conditions d'accès et les contraintes techniques.

RSSI ou responsable sécurité

Il évalue les risques de sécurité associés aux outils et aux usages concernés.

DPO

Lorsqu'un traitement de données personnelles est concerné, le DPO intervient dans son périmètre de conseil et de contrôle relatif à la protection des données.

Juridique

Il peut être nécessaire pour les questions contractuelles, de confidentialité, de propriété intellectuelle ou de secret des affaires.

Métiers et managers

Ils permettent d'identifier les usages réels. Sans eux, la charte risque de traiter des scénarios théoriques et d'ignorer les besoins qui poussent effectivement les collaborateurs à utiliser l'IA.

Prestataire de services managés

Son rôle peut consister à :

1. fournir une trame ;
2. inventorier les outils concernés dans le périmètre qu'il administre ;
3. traduire les décisions du client en règles techniques lorsque cela relève de ses prestations ;
4. accompagner le déploiement ;
5. intégrer la révision de la charte dans le suivi du client.

Cette méthode permet de transformer la charte en un livrable reproductible sans prétendre que la même politique peut être appliquée à tous les clients.

Charte IA, RGPD et AI Act : que faut-il prendre en compte ?

Une charte IA n'est pas, à elle seule, un dispositif de conformité.

Elle constitue un moyen de formaliser certaines règles d'utilisation. Les obligations applicables dépendent ensuite des données traitées, du système utilisé, du rôle de l'organisation et du cas d'usage.

RGPD

Le RGPD doit être pris en compte lorsqu'un traitement de données personnelles entre dans son champ d'application.

Selon le contexte, cela implique notamment de s'interroger sur :

• la finalité du traitement ;
• les données réellement nécessaires ;
• les destinataires ;
• les durées de conservation ;
• les mesures de sécurité ;
• l'information des personnes ;
• les droits des personnes concernées.

La nécessité d'une analyse d'impact relative à la protection des données, ou AIPD, doit être évaluée selon les critères prévus par le RGPD. Le simple fait d'utiliser une IA ne déclenche pas automatiquement une AIPD.

Règlement européen sur l'intelligence artificielle

Le règlement européen sur l'IA prévoit des obligations différentes selon les systèmes et les acteurs concernés.

Pour une charte interne, un point mérite une attention particulière : la maîtrise des usages et la sensibilisation des personnes qui utilisent les systèmes d'IA.

La charte peut contribuer à cette démarche en précisant les règles et les limites des outils, mais elle ne suffit pas à elle seule à couvrir toutes les obligations susceptibles de s'appliquer.

La charte doit rester cohérente avec les autres politiques

Elle ne doit pas contredire :

• la politique de sécurité ;
• les règles relatives aux données personnelles ;
• les engagements de confidentialité ;
• les règles d'utilisation du système d'information ;
• les procédures de gestion des incidents.

Pour les prestataires qui développent une activité de conformité ou de RSSI externalisé, une plateforme comme Qontrol peut servir à structurer plus largement les démarches de conformité proposées aux clients.

Comment déployer une charte IA chez un client ?

Une charte stockée dans un espace documentaire et jamais relue ne change pas les usages.

Le déploiement doit permettre à un collaborateur de répondre rapidement à trois questions :

Puis-je utiliser cet outil ? Puis-je lui transmettre cette information ? Dois-je faire valider le résultat ?

Commencer par quelques cas d'usage réels

Le prestataire peut identifier avec le client cinq à dix usages déjà observés :

• rédaction ;
• synthèse ;
• traduction ;
• recherche ;
• analyse documentaire ;
• assistance technique ;
• génération de code ;
• préparation d'une réponse client.

Chaque cas est ensuite classé comme autorisé, encadré ou interdit.

Fournir des exemples

Une règle devient beaucoup plus claire avec un exemple.

Au lieu de :

"Ne pas transmettre de données sensibles."

Préférer :

"Ne copiez pas dans un outil non approuvé un ticket contenant le nom du client, ses coordonnées, ses identifiants, un extrait de contrat ou des informations techniques confidentielles."

Former les utilisateurs

La diffusion de la charte doit être accompagnée d'une sensibilisation adaptée aux usages réels.

Cette logique est déjà connue des prestataires qui proposent des programmes de formation à la cybersécurité avec usecure : une politique écrite donne le cadre, tandis que la formation aide les utilisateurs à reconnaître les situations où la règle doit être appliquée.

Prévoir une procédure d'exception

Un collaborateur qui identifie un nouveau cas d'usage doit savoir :

• à qui demander une validation ;
• quelles informations fournir ;
• dans quel délai une réponse peut être donnée ;
• comment l'outil sera ajouté à la liste des solutions approuvées s'il est accepté.

Sans procédure simple, les nouveaux usages risquent de se développer avant leur validation.

Comment maintenir la charte IA à jour ?

Une charte IA datée de deux ans et jamais revue risque de ne plus correspondre ni aux outils ni aux usages.

Il faut donc lui attribuer :

• un propriétaire ;
• un numéro ou une date de version ;
• une date de dernière validation ;
• une fréquence de revue ;
• une procédure de modification.

Quels événements doivent déclencher une révision ?

Une révision peut notamment être nécessaire lorsqu'un client :

• adopte un nouvel outil d'IA ;
• active une nouvelle fonctionnalité générative dans un logiciel existant ;
• autorise un nouveau cas d'usage ;
• constate un incident ;
• modifie sa classification des données ;
• change une règle interne susceptible d'affecter l'utilisation de l'IA.

Le prestataire peut intégrer cette vérification dans une revue périodique du client plutôt que créer un processus indépendant.

Mesurer les questions et les écarts

Les demandes d'exception et les questions remontées par les utilisateurs sont également utiles.

Si la même question revient régulièrement, la règle est peut-être trop vague.

Si un outil non approuvé continue d'être utilisé, il faut comprendre le besoin auquel il répond avant de conclure que le problème vient uniquement du comportement des utilisateurs.

Cette approche rejoint les principes utilisés dans les démarches de sensibilisation continue des utilisateurs : le cadre évolue avec les comportements observés plutôt que de reposer sur une action ponctuelle.

De la charte IA à un environnement réellement gouverné

La charte IA définit les règles. Les outils mis à disposition doivent ensuite permettre aux collaborateurs de les respecter.

Si l'entreprise autorise l'IA mais oblige chaque utilisateur à ouvrir son propre compte auprès d'un service différent, le prestataire conserve peu de visibilité sur les usages effectivement réalisés.

Goodweek répond à cette problématique en proposant aux prestataires de services managés un environnement IA gouverné pour leurs clients. La plateforme centralise l'accès à plusieurs modèles et permet notamment de gérer les utilisateurs, les permissions et la traçabilité des interactions réalisées dans l'environnement.

Cela ne signifie pas que Goodweek "applique automatiquement la charte" ou garantit la conformité du client.

La charte IA définit ce qui est autorisé. Goodweek peut fournir un environnement administré dans lequel certains de ces usages autorisés sont réalisés.

Cette distinction doit rester explicite.

Conclusion 

Une charte IA permet au prestataire de services managés de transformer des usages parfois dispersés en règles compréhensibles par les collaborateurs de ses clients. Elle précise quels outils peuvent être utilisés, avec quelles données et sous quelles conditions de validation.

Sa valeur dépend toutefois de son application : les règles doivent correspondre aux usages réels et les collaborateurs doivent disposer d'alternatives approuvées.

Pour mettre à disposition des clients un environnement centralisé et gouverné pour leurs usages IA, découvrez Goodweek et demandez une démo à BeMSP.

FAQ

Quelle est la différence entre une charte IA et une politique IA ?

Une charte IA est généralement un document opérationnel destiné aux utilisateurs : elle précise les usages autorisés, les interdictions et les règles à suivre au quotidien.

Une politique IA est plus large. Elle peut couvrir la gouvernance, les responsabilités, les processus de validation, les fournisseurs, les risques et les contrôles appliqués par l'organisation.

Faut-il interdire ChatGPT dans une charte IA ?

Pas nécessairement. Une interdiction générale peut être difficile à faire respecter si les équipes ont déjà identifié des usages utiles.

Le plus pertinent est de définir les cas autorisés, les données interdites et les outils approuvés. ChatGPT peut donc être autorisé pour certains usages et interdit pour d'autres selon le cadre choisi par le client.

Une charte IA doit-elle citer les outils par leur nom ?

Pas forcément.

Il est souvent plus simple de maintenir une liste séparée des outils approuvés et de faire référence à cette liste dans la charte. Cela évite de modifier tout le document chaque fois qu'une solution est ajoutée, remplacée ou retirée.

Que faire lorsqu'un collaborateur utilise une IA non autorisée ?

L'usage doit d'abord être qualifié : quel outil a été utilisé, quelles données lui ont été transmises et dans quel contexte ?

Selon le niveau de risque, l'organisation peut ensuite demander l'arrêt de l'usage, vérifier si des données sensibles ont été exposées, documenter l'incident et décider si le besoin métier justifie l'étude d'une solution approuvée.

Une charte IA peut-elle couvrir les outils déjà intégrés dans Microsoft 365 ou d'autres logiciels ?

Oui. La charte ne doit pas se limiter aux assistants accessibles dans un navigateur.

Les fonctions d'IA intégrées à des outils déjà déployés doivent également être prises en compte si elles peuvent traiter des données de l'organisation ou produire des contenus utilisés dans les processus métier.

À quelle fréquence faut-il revoir une charte IA ?

Il n'existe pas de fréquence universelle. Une revue doit surtout être déclenchée lorsque les usages ou les outils changent.

En pratique, le client peut prévoir une revue périodique et une révision anticipée en cas de nouvel outil, incident, évolution réglementaire ou nouveau cas d'usage significatif.

Peut-on utiliser le même modèle de charte IA pour tous les clients ?

Non. Une trame commune peut faire gagner du temps au prestataire de services managés, mais les règles doivent être adaptées au contexte de chaque client.

Le niveau de sensibilité des données, les métiers, les outils déjà déployés et les contraintes contractuelles peuvent modifier fortement les règles à appliquer.