Charte IA pour les salariés : le modèle pour PME

Étape 2 : quels outils sont autorisés ?

Tenez une liste des outils autorisés avec l'outil, l'offre, la finalité permise et un responsable. Seuls les outils listés peuvent servir au travail, et uniquement avec un compte de l'entreprise. Avant d'ajouter un outil, vérifiez le contrat : qui traite les données, dans quel pays, avec quel contrat de sous-traitance, et les saisies servent-elles à l'entraînement ? Notre guide IA, e-mail et RGPD montre cette vérification pour les messageries dotées d'IA. Dans sa recommandation sur DeepSeek, la CNPD conseille de manière générale de privilégier des outils conformes au RGPD et à l'AI Act, offrant des garanties claires de sécurité et de confidentialité. Prévoyez une procédure simple de demande pour les nouveaux outils, sinon l'IA fantôme s'installe.

Les fonctions annexes ont aussi leur place sur la liste. Une entreprise qui revendique sa fiche dans ChatGPT accepte par exemple des conditions spécifiques ; voir notre guide revendiquer son entreprise dans ChatGPT.

Étape 3 : que ne faut-il jamais saisir dans ChatGPT et les outils similaires ?

C'est le cœur de la charte. Interdisez clairement ces saisies dans tout outil sans contrat ni autorisation :

• Données personnelles des clients, salariés et candidats : noms, adresses, numéros de téléphone, e-mails, données de paie ou de santé.
• Données clients et contenus de contrats, devis ou tickets qui concernent des personnes ou des conditions confidentielles.
• Secrets d'affaires : prix, calculs de coûts, code source, plans, identifiants.
• Catégories particulières au sens de l'article 9 du RGPD, comme la santé, la religion ou l'appartenance syndicale, qui exigent un examen spécifique même dans un outil autorisé.

La CNPD le dit sans détour dans sa recommandation sur DeepSeek : ne jamais saisir de données personnelles ou confidentielles dans des outils qui n'offrent pas de garanties adéquates. Exigez l'anonymisation avant toute saisie et rappelez l'article 22 du RGPD : une décision produisant des effets importants pour une personne, par exemple sur une candidature, ne doit pas reposer uniquement sur un traitement automatisé. La CNPD le détaille sur sa page consacrée aux obligations RGPD liées à l'IA.

Étape 4 : quand faut-il signaler un contenu généré par IA ?

L'article 50 de l'AI Act s'applique depuis le 02.08.2026, comme le confirme la CNPD dans une annonce d'événement. Selon le texte de l'article, il vise les déployeurs, donc votre entreprise, dans deux cas :

• Hypertrucages : un contenu image, audio ou vidéo généré ou manipulé par IA qui paraît authentique doit être signalé comme tel.
• Textes sur des questions d'intérêt public publiés pour informer le public. Exception : le texte a fait l'objet d'une relecture humaine ou d'un contrôle éditorial, et une personne en assume la responsabilité éditoriale.

L'obligation légale d'étiquetage est donc plus étroite qu'on ne le pense souvent. Un rapport interne ou un texte publicitaire relu n'en relève en général pas. Le marquage lisible par machine incombe aux fournisseurs des outils ; pour les systèmes mis sur le marché avant le 02.08.2026, l'article 111 leur laisse jusqu'au 02.12.2026. Votre charte peut aller plus loin que la loi, par exemple avec une mention maison pour les images IA sur les réseaux sociaux ou pour un chatbot sur votre site. L'essentiel est que chacun connaisse la règle.

Étape 5 : qui est responsable et comment former le personnel ?

Désignez une personne responsable de la charte, souvent la direction ou la personne chargée de la protection des données. Elle tient la liste des outils autorisés, répond aux questions et documente les formations. La Commission admet des formations de profondeur différente selon les connaissances préalables ; la CNPD observe que les entreprises distinguent souvent selon les rôles, avec des formats dédiés aux dirigeants et des contenus approfondis pour les référents IA. Contenu minimal : fonctionnement et limites des outils, hallucinations, protection des données et règles internes. Tenez un registre simple avec date, contenu et participants. Le Repository of AI literacy practices du Bureau de l'IA rassemble plus de 40 initiatives dont s'inspirer, mais selon la Commission, les reproduire ne vaut pas présomption de conformité.

Pour un projet d'IA plus ambitieux avec un accompagnement externe, notre guide SME Packages AI présente la piste de financement.

Étape 6 : comment garder le contrôle et tenir la charte à jour ?

Révisez la charte au moins une fois par an et à chaque nouvel outil. La CNPD suggère de suivre l'effet des mesures de formation avec des indicateurs comme le taux de participation ou la progression des connaissances. Prévoyez comment signaler les manquements et incidents, par exemple des données clients saisies par erreur, et reliez cette procédure à celle des violations de données prévue par le RGPD. Au Luxembourg, le projet de loi n° 8476 ferait de la CNPD l'autorité générale de surveillance du marché pour l'AI Act, aux côtés d'autorités sectorielles comme la CSSF et le CAA. Le 12.11.2026, la Chambre des Députés indiquait que le projet était toujours « en commission ».

Check-list : votre charte est-elle complète ?

• Inventaire des outils d'IA utilisés réalisé ?
• Liste des outils autorisés avec offre, finalité et responsable ?
• Liste claire des saisies interdites ?
• Règle d'étiquetage selon l'article 50 et règles maison ?
• Personne responsable désignée ?
• Registre des formations en place ?
• Procédure de signalement des incidents et date de la prochaine révision fixées ?

Modèle : plan d'une charte d'utilisation de l'IA

Copiez ce plan et complétez chaque point pour votre entreprise.

1. Objet et champ d'application : personnes concernées (salariés, stagiaires, apprentis, indépendants, prestataires), date et version.
2. Définitions : système d'IA, IA générative, données personnelles, informations confidentielles.
3. Principes : l'humain décide, les résultats sont vérifiés, la responsabilité reste à l'utilisateur.
4. Outils autorisés : tableau avec outil, offre, compte, finalité permise, personne de contact ; procédure de demande pour les nouveaux outils.
5. Saisies interdites : données personnelles, données clients, secrets d'affaires, identifiants, catégories particulières de données ; obligation d'anonymiser.
6. Usages interdits : décisions automatisées concernant des personnes sans contrôle humain, toute pratique interdite par l'article 5 de l'AI Act.
7. Qualité et vérification : contrôler faits et chiffres, citer les sources, respecter le droit d'auteur.
8. Étiquetage : cas légaux de l'article 50 (hypertrucages, textes d'intérêt public sans contrôle éditorial) et règles maison.
9. Rôles : responsable de la charte, référent protection des données, encadrement.
10. Formation : formation obligatoire à l'arrivée, sessions de rappel, registre.
11. Incidents : procédure de signalement, délai, lien avec la procédure de violation de données.
12. Contrôle et mise à jour : révision annuelle, révision pour tout nouvel outil, historique des versions.
13. Engagement : signature ou confirmation numérique par le personnel.

Faut-il une charte IA longue ?

Une charte IA n'a pas besoin d'être longue. Pour une PME, deux ou trois pages, une liste d'outils autorisés et un registre des formations suffisent souvent. L'important est qu'elle soit appliquée : vérifier les outils, nommer clairement les saisies interdites, documenter les formations et actualiser les règles chaque année. L'entreprise peut ainsi démontrer qu'elle respecte l'obligation de maîtrise de l'IA de l'article 4 et réduit le risque de violation de données.

Que reste-t-il à clarifier ?

• Nous n'avons pas pu consulter le texte original du règlement (UE) 2026/1744 sur EUR-Lex pour des raisons techniques ; nous nous appuyons sur la version consolidée de l'AI Act Service Desk (état au 27.07.2026) et sur les pages de la Commission.
• L'adoption du projet de loi n° 8476, son calendrier et la manière dont la CNPD contrôlera l'article 4 restent ouverts.
• Les recommandations du Comité IA prévues à l'article 4, paragraphe 3, et les exemples de conformité de la Commission sur la plateforme d'information unique ne sont pas encore publiés.
• Ce guide ne constitue pas un conseil juridique ; nous n'avons pas examiné les aspects de droit du travail, comme le rôle de la délégation du personnel.