Comment créer une charte d’utilisation de l’IA en entreprise ?

Une charte IA en entreprise répond à ces questions avant qu’elles ne deviennent des incidents. Elle précise les outils et les usages autorisés, les données à protéger, les vérifications attendues et les personnes à contacter en cas de doute. Voici comment la rédiger, avec un modèle à adapter à votre organisation.

Charte IA en entreprise : à quoi sert-elle ?

Une charte IA est un document interne qui fixe les conditions d’utilisation de l’intelligence artificielle au travail. Elle s’adresse aux collaborateurs qui utilisent un assistant, une fonction IA intégrée à un logiciel ou un agent connecté aux outils de l’entreprise. Lorsqu’elle concerne des agents capables d’accéder à des données ou d’exécuter des tâches, elle complète les principes de gouvernance des agents IA.

Son rôle n’est pas d’interdire toute expérimentation. Elle doit permettre à une personne de répondre rapidement à trois questions : Puis-je utiliser cet outil ? Puis-je lui transmettre ces informations ? Qui vérifie le résultat avant qu’il soit utilisé ?

La CNIL recommande d’encadrer l’usage de l’IA générative par une politique ou une charte interne définissant clairement les usages autorisés et interdits. Elle recommande aussi de former les utilisateurs et de vérifier régulièrement que les règles sont comprises et appliquées.

Cette distinction compte pour Swiftask : la plateforme peut aider à appliquer certains choix — gestion des rôles, permissions et suivi des usages — mais elle ne décide pas à la place de l’entreprise quelles données ou quelles tâches doivent être autorisées.

Quelles règles inscrire dans une charte d’usage de l’IA ?

Une règle utile décrit une situation, une décision et la marche à suivre. « Utilisez l’IA de manière responsable » ne dit pas à une équipe commerciale si elle peut analyser un devis client. Une charte doit être assez précise pour guider ce geste.

Définir les outils et les usages autorisés

N’écrivez pas simplement « les outils IA validés par la DSI ». Indiquez où trouver la liste à jour, qui la maintient et comment demander l’examen d’un nouvel outil. Précisez aussi si une fonction IA ajoutée à un logiciel déjà approuvé doit faire l’objet d’une nouvelle vérification.

Une équipe peut, par exemple, être autorisée à reformuler un texte public tout en devant demander une validation avant d’analyser un dossier client. Pour repérer les usages qui échappent déjà aux circuits d’approbation, le guide Swiftask sur le Shadow AI en entreprise apporte un éclairage complémentaire.

Classer les données avant de rédiger les interdictions

La sensibilité d’une donnée et les garanties de l’outil déterminent si un usage est acceptable. Un communiqué déjà public, un fichier de prospects et un contrat confidentiel n’appellent pas la même règle. Évitez donc une formule unique pour tous les outils et toutes les données.

La charte peut distinguer :

• les informations publiques ou préparées pour publication, selon les outils approuvés ;

• les informations internes, utilisables uniquement pour les usages et outils validés ;

• les données personnelles ou confidentielles, à soumettre à l’avis des personnes compétentes avant tout nouvel usage ;

• les secrets et informations particulièrement sensibles, exclus des outils qui n’ont pas été explicitement autorisés pour les traiter.

Associez les fonctions compétentes à cette classification : notamment le DPO lorsque des données personnelles sont concernées, ainsi que le RSSI ou la DSI selon l’organisation, les systèmes utilisés et les risques identifiés. La CNIL rappelle que les précautions dépendent notamment des données saisies, du mode de déploiement et des conditions du fournisseur. La page Swiftask consacrée à la sécurité de l’IA et des données présente les contrôles techniques à examiner en parallèle des règles internes.

Prévoir une vérification humaine proportionnée

Une sortie d’IA est une proposition à examiner, pas une source automatiquement fiable. La charte doit préciser qui vérifie les faits, les références et le ton avant qu’un contenu soit adressé à un client ou intégré à une décision.

Le niveau de contrôle dépend des conséquences possibles. Corriger une première version de texte public n’a pas le même enjeu qu’envoyer une réponse contractuelle ou modifier une fiche client. Pour un agent capable d’agir dans un logiciel métier, décrivez séparément ce qu’il peut lire, préparer et exécuter. Le guide Swiftask sur la gouvernance agentique détaille cette distinction.

Modèle de charte IA à adapter à votre entreprise

Le modèle ci-dessous est une trame de travail, pas une charte juridiquement validée. Remplacez chaque élément entre crochets et faites examiner le texte selon vos activités, vos outils et vos obligations.

1. Objet et périmètre
2. Outils et demandes d’accès
3. Usages permis
4. Données transmises à l’IA
5. Résultats et décisions
6. Agents et connexions aux outils métier
7. Difficultés et incidents
8. Formation et mise à jour

Un exemple de mise en application : si Swiftask est l’un des outils retenus, la charte doit indiquer pour quels usages et quelles catégories de données il est autorisé. La présence d’un outil dans une liste approuvée ne vaut pas permission générale pour toutes les tâches.

Comment mettre la charte IA en application ?

Une charte devient utile lorsque les équipes peuvent appliquer ses règles sans interprétation hasardeuse. Sa publication ne constitue donc pas la dernière étape.

1. Recensez les usages réels. Demandez aux métiers quels outils ils utilisent, quelles tâches ils accomplissent et quelles données ils y saisissent. Traitez les réponses comme une base de travail, pas comme une recherche de fautes.
2. Faites examiner les cas sensibles. Associez la DSI, le RSSI, le DPO, les RH et le juridique selon les usages. Vérifiez aussi, avec les équipes compétentes, les obligations d’information ou de consultation des représentants du personnel qui s’appliquent à votre projet.
3. Testez les règles sur des situations ordinaires. Prenez un devis, un compte rendu de réunion et un document public. Un collaborateur doit pouvoir déterminer, pour chacun, quel outil utiliser et quelle validation demander.
4. Formez les utilisateurs. Montrez les limites des réponses générées, les données à ne pas transmettre et le circuit de signalement. L’article 4 du règlement européen sur l’IA impose aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel, en tenant compte notamment de ses connaissances, de son expérience, de sa formation et du contexte d’utilisation des systèmes concernés. Une charte seule ne suffit donc pas nécessairement à répondre à cette obligation.
5. Alignez les accès sur les règles. Si la charte réserve certains agents ou usages à des équipes, vérifiez que les permissions techniques reflètent cette décision. Swiftask présente sur sa page de gouvernance IA ses fonctions de gestion des accès et de suivi des usages.
6. Révisez à partir des questions reçues. Une exception demandée plusieurs fois peut révéler une règle imprécise ou un besoin métier non couvert. Mettez à jour la charte et la liste des outils ensemble.

Faire vivre les règles, pas seulement le document

Une bonne charte donne aux équipes une réponse exploitable : quel outil utiliser, avec quelles données et sous quel contrôle. Elle reste crédible lorsque les accès techniques, la formation et le traitement des incidents suivent les mêmes règles.

Si votre organisation a défini ces règles et cherche à les traduire en permissions et en suivi des usages, découvrez l’approche de gouvernance IA de Swiftask.