Charte d'utilisation de l'intelligence artificielle générative
Règles applicables à toute personne qui utilise un outil d'IA dans le cadre de son travail.
- Version
- 1.0
- Révision
- tous les 12 mois
1. Objet et champ d'application
Cette charte fixe les règles d'utilisation des outils d'intelligence artificielle générative au sein de l'organisation. Elle s'applique aux salariés, dirigeants, stagiaires, intérimaires et prestataires qui agissent pour son compte, quel que soit l'appareil utilisé. Elle complète, sans les remplacer, les règles existantes de sécurité informatique et de confidentialité.
2. Principes
- Responsabilité humaine — l'IA est un outil ; la personne qui l'utilise reste responsable de ce qu'elle produit, envoie ou décide.
- Confidentialité — on ne confie à un outil que les données qu'il est autorisé à recevoir (section 4).
- Exactitude — tout contenu généré est vérifié avant usage ; l'IA peut se tromper avec assurance.
- Transparence — on ne dissimule pas l'usage de l'IA quand il compte pour le destinataire.
- Respect des personnes et du droit — pas d'usage discriminatoire, intrusif ou contraire à la loi.
3. Outils autorisés
- Microsoft Copilot — dans sa version souscrite par l'organisation, avec un compte professionnel.
Tout autre outil, extension ou fonction d'IA intégrée à un logiciel doit être validé par le référent IA avant usage professionnel. Les versions gratuites ou personnelles d'outils grand public ne sont utilisables que pour des informations publiques.
4. Quelles données, dans quel outil
| Données | Exemples | Outil validé | Outil grand public non validé |
|---|---|---|---|
| Information publique | site web, communiqués, documentation publiée | Autorisé | Autorisé |
| Documents internes non sensibles | procédures, modèles, comptes rendus sans nom ni chiffre | Autorisé | Sous conditions — Après avoir retiré noms, chiffres et références clients. |
| Informations confidentielles | stratégie, finances non publiées, opérations en cours | Sous conditions — Dans le périmètre de diffusion du document d'origine. | Interdit — Aucune garantie contractuelle sur la conservation ni sur la réutilisation des données. |
| Données personnelles | noms, e-mails, téléphones de collaborateurs, clients ou candidats | Sous conditions — Uniquement les données nécessaires à la tâche ; pseudonymiser dès que possible ; jamais de profil ni de décision sur une personne sans contrôle humain. | Interdit — Interdit : aucune base contractuelle pour ce traitement. |
| Données sensibles (art. 9 RGPD) | santé, opinions, appartenance syndicale, biométrie, orientation sexuelle | Sous conditions — Uniquement dans un usage ayant fait l'objet d'une analyse d'impact (AIPD) validée. | Interdit — Interdit en toutes circonstances. |
| Données clients et secret professionnel | dossiers clients, documents sous NDA, pièces couvertes par le secret | Interdit — Non autorisé : les engagements de confidentialité envers les clients priment. | Interdit — Interdit : violerait vos engagements de confidentialité. |
| Secrets et accès | mots de passe, clés d'API, jetons, codes d'accès | Interdit — Jamais, dans aucun outil : un secret collé est un secret compromis. | Interdit — Jamais. |
| Code source propriétaire | code de vos applications, scripts internes | Sous conditions — Sans secret ni clé dans le code collé ; revue humaine avant toute mise en production. | Interdit — Réservé à l'outil validé. |
En cas de doute sur la catégorie d'une donnée, on applique la règle la plus stricte et on demande.
5. Règles d'usage
À faire
À ne pas faire
6. Transparence et contrôle humain
- Tout contenu généré par IA destiné à l'extérieur, ou servant de base à une décision concernant une personne, est relu par une personne compétente avant usage.
- Lorsqu'un contenu diffusé à l'extérieur a été produit pour l'essentiel par une IA, on le signale au destinataire.
- Aucune décision produisant des effets importants pour une personne (recrutement, évaluation, sanction, refus de service) n'est prise sur la seule base d'un traitement automatisé.
7. Propriété intellectuelle et confidentialité
- On ne soumet pas d'œuvre ou de document de tiers dont on n'a pas le droit d'usage.
- On vérifie qu'un contenu généré ne reproduit pas un texte, une image ou un code protégé avant de le réutiliser.
- Les contenus produits dans le cadre du travail restent soumis aux mêmes règles de confidentialité que tout autre document interne.
8. En cas d'incident
- Prévenir immédiatement le référent IA — par exemple si des données personnelles ou confidentielles ont été collées dans un outil non validé.
- Ne pas tenter d'effacer les traces soi-même : noter l'outil, la date, l'heure et les données concernées.
- Lorsqu'une violation de données personnelles présente un risque pour les personnes, l'organisation dispose de 72 heures après en avoir pris connaissance pour la notifier à la CNIL (art. 33 RGPD) : chaque heure de retard compte.
9. Formation
Depuis le 2 février 2025, le règlement européen sur l'IA impose aux organisations qui utilisent des systèmes d'IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA de leur personnel (article 4). L'organisation forme chaque utilisateur avant l'ouverture de son accès, puis à chaque évolution importante des outils, et conserve la trace de ces formations.
10. Gouvernance et révision
- Référent IA : à désigner — valide les outils, répond aux questions, tient le registre des usages.
- Protection des données : un référent est désigné pour les usages impliquant des données personnelles.
- La charte est révisée tous les 12 mois, et à chaque ajout d'outil ou évolution réglementaire significative.
- Le non-respect de la charte peut entraîner la suspension de l'accès aux outils, sans préjudice des règles disciplinaires applicables.
11. Engagement
Je reconnais avoir lu et compris cette charte et m'engage à la respecter.
Modèle généré par l'outil « Charte d'usage de l'IA » d'i-avantage à partir de vos réponses, dans votre navigateur. À adapter à votre contexte et à faire valider par votre DPO ou votre conseil juridique ; selon votre organisation, l'introduction d'une telle charte peut nécessiter l'information des représentants du personnel.