Rédiger une charte d'utilisation de l'IA (modèle inclus)

Une charte d'utilisation de l'IA remplit trois fonctions : elle protège vos données et celles de vos clients, elle protège vos employés en leur disant clairement ce qui est permis, et elle constitue une preuve de diligence si un incident survient. La Loi 25 exige d'ailleurs que votre organisation adopte des politiques encadrant le traitement des renseignements personnels — vos usages d'IA en font partie.

Voici comment rédiger une charte qui sera réellement lue et appliquée, puis un modèle complet à adapter.

Les principes d'une charte qui fonctionne

Courte, concrète, datée

Une charte de deux à trois pages, avec des exemples tirés du quotidien de vos équipes, sera lue. Un document juridique de quinze pages ne le sera pas. Datez chaque version : l'IA évolue vite, votre charte aussi.

Permettre autant qu'interdire

Une charte qui ne fait qu'interdire pousse les usages dans l'ombre. Chaque interdiction doit être accompagnée d'une alternative approuvée : « n'utilisez pas votre compte personnel, utilisez le compte d'entreprise fourni ».

Des règles sur les données, pas sur les outils

Les outils changent chaque mois ; les catégories de données, non. Le cœur de votre charte doit définir ce qui peut ou ne peut pas entrer dans un prompt, quel que soit l'outil.

Le modèle de charte

Le texte qui suit est un modèle à adapter à votre contexte. Remplacez les mentions entre crochets, faites-le valider par votre conseiller juridique et par votre responsable de la protection des renseignements personnels.

Article 1 — Objet et portée

La présente charte encadre l'utilisation des outils d'intelligence artificielle générative dans le cadre du travail chez [Organisation]. Elle s'applique à tous les employés, contractuels et stagiaires, sur tout appareil utilisé à des fins professionnelles, y compris les appareils personnels.

Article 2 — Outils approuvés

Seuls les outils suivants sont approuvés pour un usage professionnel : [liste des outils, avec le type de compte requis — par exemple compte d'entreprise avec entraînement sur les données désactivé]. L'utilisation d'un compte personnel pour traiter du contenu professionnel est interdite. Toute demande d'ajout d'un outil se fait auprès de [responsable] et reçoit une réponse sous [délai].

Article 3 — Données interdites de prompt

Il est interdit de soumettre à un outil d'IA, approuvé ou non, les catégories de données suivantes :

• renseignements personnels de clients, d'employés ou de tiers (noms, coordonnées, numéros d'identification, dossiers) ;
• contenus couverts par une entente de confidentialité avec un client ou un partenaire ;
• secrets commerciaux, données financières non publiques, stratégies et listes de prix ;
• identifiants, mots de passe, clés d'accès et configurations de sécurité.

En cas de doute sur la nature d'une donnée, l'employé s'abstient et consulte [responsable].

Article 4 — Anonymisation

Lorsqu'un contenu contient des renseignements personnels, il doit être anonymisé avant toute soumission à un outil d'IA : remplacer les noms par des rôles, retirer les coordonnées et identifiants, généraliser les détails permettant une réidentification.

Article 5 — Validation humaine

Tout contenu produit avec l'assistance d'une IA est relu, vérifié et assumé par son auteur avant diffusion. Les productions d'IA peuvent contenir des erreurs factuelles ; la responsabilité du livrable demeure celle de l'employé et de [Organisation].

Article 6 — Transparence

Les livrables substantiellement produits par IA sont signalés lorsque le contexte l'exige, notamment lorsque le contrat client le prévoit ou que la réglementation l'impose.

Article 7 — Signalement des incidents

Tout envoi accidentel de données visées à l'article 3 vers un outil d'IA doit être signalé sans délai à [responsable de la protection des renseignements personnels]. Le signalement de bonne foi n'entraîne aucune sanction ; il permet de limiter le préjudice et de respecter nos obligations légales, dont la tenue du registre des incidents de confidentialité.

Article 8 — Manquements

Les manquements à la présente charte sont traités selon [la politique disciplinaire en vigueur], en tenant compte de la gravité, de l'intention et de la récidive.

Article 9 — Révision

La présente charte est révisée au minimum [tous les six mois] par [responsable], et à chaque changement significatif d'outil ou de réglementation. Version : [numéro] — Date : [date].

Déployer la charte pour qu'elle vive

La signature d'un document ne change aucun comportement. Trois pratiques font la différence :

• Former sur des cas réels. Une session de trente minutes avec cinq situations tirées du quotidien de vos équipes vaut mieux qu'une présentation générique sur les risques de l'IA.
• Outiller le moment critique. La faute se produit au moment de coller un texte dans un prompt. Des garde-fous techniques à cet instant — détection de renseignements personnels, avertissement, anonymisation en un clic — transforment la charte en réflexe.
• Mesurer l'adoption. Suivez l'usage réel des outils approuvés et les incidents signalés. Une charte que personne n'enfreint jamais est probablement une charte que personne n'applique.

C'est l'approche que nous avons construite dans Kairos Intelligence : la charte définit la règle, la plateforme l'applique au moment du prompt et mesure la conformité dans le temps.