Charte IA : un modèle d’une page utilisable dès aujourd’hui
En bref
Une bonne charte IA tient sur une page et répond à cinq questions : quels outils sont autorisés, ce qui n’y entre jamais, qui contrôle les sorties, comment signaler les erreurs et qui la tient à jour. Ci-dessous, un exemple complet en dix articles à copier et adapter. Il s’adresse à une organisation qui dispose, ou se dote, d’un environnement d’IA à elle ; sans alternative aux outils publics, toute charte reste du papier.
Pourquoi une page
Une charte que personne ne lit ne protège personne. La CNIL a publié des fiches pratiques pour les organisations qui développent ou utilisent de l’IA, et le fond est toujours le même : savoir quelles données entrent, chez qui, et pouvoir le démontrer. Cela demande des règles qu’un collaborateur comprend en deux minutes. Voir Rédiger une charte IA pour la méthode ; cet article donne le texte.
Le modèle
Remplacez [organisation], [environnement d’IA interne] et [point de signalement] par vos propres noms.
- Objet et champ d’application. Cette charte s’applique à toute personne travaillant pour [organisation], prestataires et stagiaires compris, et à tout usage professionnel d’outils d’IA, sur quelque appareil que ce soit.
- Outils autorisés. Pour tout travail impliquant des données de clients, d’usagers, de collaborateurs ou des documents confidentiels, vous utilisez exclusivement [environnement d’IA interne]. Les services d’IA publics ne sont autorisés que pour du matériel public, comme un communiqué ou un rapport publié.
- Ce qui n’entre jamais dans un service d’IA public. Noms et coordonnées de personnes, dossiers, contrats, données financières, code source, mots de passe, décisions internes et tout ce qui relève d’une obligation de confidentialité.
- Contrôle des sorties. La sortie de l’IA est un brouillon. Qui l’utilise en vérifie le contenu et les sources et reste responsable de ce qui sort.
- Décisions concernant des personnes. L’IA ne prend aucune décision sur une personne : ni embauche, ni évaluation, ni attribution, ni refus. L’IA peut préparer ; une personne décide et motive.
- Transparence. Lorsqu’un client ou un usager dialogue avec une IA ou reçoit un texte d’IA non relu, nous le disons.
- Accès et comptes. Vous utilisez votre propre compte professionnel. Pas de compte privé pour le travail, pas de compte partagé, pas d’accès à des sources dont vous n’avez pas besoin pour votre fonction.
- Signalement. Une réponse fausse ayant eu des conséquences, des données dans le mauvais outil ou un soupçon de manipulation sont signalés immédiatement à [point de signalement]. Signaler n’a jamais de conséquence défavorable pour l’auteur du signalement.
- Formation. Chacun suit une courte sensibilisation à l’arrivée et à chaque nouvelle application. La participation est consignée.
- Responsabilité et révision. [Fonction] est propriétaire de cette charte et du registre IA. La charte est revue chaque année et à chaque nouvelle application. Date de la dernière version : [date].
Comment l’adapter
- Secret professionnel. Avocats, notaires, experts-comptables et professionnels de santé ajoutent à l’article 3 leur obligation légale et renvoient aux règles de leur ordre.
- Secteur public. Ajoutez le registre des algorithmes et l’accès aux documents administratifs : les versions intermédiaires sont communicables, et les applications qui touchent les usagers figurent au registre.
- Représentants du personnel. Un environnement d’IA qui enregistre l’usage par collaborateur peut relever de la consultation du CSE. Présentez la charte.
- Registre. L’article 10 renvoie à un registre des applications. Voir Mettre en place un registre IA.
Erreurs fréquentes
- Interdire sans alternative. L’usage migre alors vers le téléphone personnel. Voir ChatGPT est-il conforme au RGPD ? pour comprendre pourquoi l’outil public est le problème, et fournissez d’abord un environnement à vous.
- Dix pages. Plus la charte est longue, moins elle est lue. Mettez les détails en annexe pour la DSI et le DPO.
- Pas de propriétaire. Une charte sans nom en dessous est périmée dans l’année.
- Pas de signalement. Sans point de signalement sûr, vous n’apprenez une erreur que lorsqu’un client appelle.
Comment werqly s’y intègre
L’article 2 du modèle ne fonctionne que s’il existe un environnement à vous au moins aussi bon que les outils publics. werqly le fournit : un nœud dédié avec des modèles open-weight, vos propres documents comme sources, des rôles par équipe et un journal d’audit qui rend les articles 7 et 8 démontrables.
Questions fréquentes
Questions sur ce sujet
Puis-je reprendre ce modèle ?
Oui. Remplacez les noms entre crochets, ajoutez les règles de votre secteur et faites-le relire par votre DPO ou votre juriste. C’est un point de départ, pas un conseil juridique.
Une charte IA est-elle obligatoire ?
Pas en tant que document distinct. Mais le RGPD exige que vous maîtrisiez les traitements et puissiez le démontrer, et l’AI Act exige la maîtrise de l’IA par les collaborateurs. Une charte courte est le moyen le plus simple de montrer les deux.
Faut-il consulter le CSE ?
Si l’environnement d’IA enregistre l’usage par collaborateur et que c’est visible des managers, il peut constituer un dispositif de contrôle de l’activité soumis à information et consultation. Présentez la charte et les paramètres.
À quelle fréquence la réviser ?
Chaque année et à chaque nouvelle application ou nouveau modèle. Indiquez la date de la dernière version dans la charte elle-même, pour que chacun voie si elle est à jour.
Sources
- CNIL — Les fiches pratiques IA
- CEPD — Lignes directrices 07/2020 sur les notions de responsable du traitement et de sous-traitant
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.