Créer une charte d’utilisation de l’IA générative dans une TPE

Une charte IA n’est ni une interdiction générale ni une autorisation de tout copier dans un assistant. Elle répond à des situations précises : peut-on résumer un contrat client, préparer une réponse, analyser des retours, générer une image ou automatiser un envoi ? Sans règle commune, chacun improvise avec des outils, comptes et données différents. Pour une TPE, une charte de deux pages peut suffire si elle désigne les usages, les limites, les vérifications et la personne qui tranche les exceptions.

1. Utilisez la charte pour rendre les décisions prévisibles

Le guide IA pour indépendant explique des cas d’usage, la formulation d’une consigne et les limites des sorties. La charte répond à une autre intention : donner à plusieurs personnes une règle commune avant qu’elles n’utilisent l’outil. Elle précise qui peut tester, avec quelles données, pour quel résultat et avec quelle validation.

Écrivez son périmètre : salariés, dirigeants, stagiaires et prestataires utilisant un système d’IA pour le compte de l’entreprise. Incluez les assistants de texte, image, audio, transcription, traduction, analyse et fonctions d’IA intégrées dans des logiciels déjà utilisés. Une fonction ajoutée à la messagerie ou au CRM mérite la même analyse qu’un site d’IA ouvert dans le navigateur.

La charte ne remplace ni le contrat du fournisseur, ni le RGPD, ni le règlement européen sur l’IA, ni les obligations sectorielles. Elle traduit ces exigences et les choix de l’entreprise en gestes compréhensibles. Elle ne crée pas à elle seule une conformité. Faites relire les usages sensibles par les compétences juridiques, sociales, sécurité ou métier nécessaires.

2. Partez des usages observés, pas d’une liste théorique

Interrogez l’équipe avec des exemples : « Quel document avez-vous résumé ? », « Quel texte avez-vous envoyé ? », « Quelles informations avez-vous saisies ? », « Qui a vérifié ? ». Un inventaire honnête révèle les bénéfices et les pratiques invisibles. Ne demandez pas les conversations privées ; identifiez les processus et catégories de données.

Pour chaque usage, décrivez l’entrée, la sortie et la décision finale. Résumer des notes non sensibles pour préparer un plan n’a pas le même risque que décider d’un recrutement, répondre automatiquement à une réclamation ou interpréter une situation médicale. Notez la fréquence, les personnes concernées, l’erreur la plus grave possible et la façon de la détecter.

Commencez avec deux ou trois usages faciles à contrôler : reformuler un brouillon sans donnée client, créer une checklist à partir d’un processus interne ou proposer plusieurs titres. Mesurez le temps total, y compris préparation et relecture. L’impression de vitesse ne prouve pas un gain. Les tâches stables et déterministes peuvent relever de l’automatisation classique plutôt que d’un modèle probabiliste.

3. Classez les usages en trois zones simples

La zone verte ne signifie pas « résultat vrai ». L’utilisateur reste responsable de vérifier les faits, les calculs, les droits sur les contenus et l’adéquation au besoin. La zone orange impose une fiche d’usage ou une autorisation : finalité, données, outil, vérification, durée du test et responsable. La zone rouge couvre les risques que la TPE ne sait pas maîtriser ou qui sont incompatibles avec ses engagements.

Évitez les interdictions vagues telles que « ne pas utiliser de données confidentielles » sans exemple. Nommez les catégories : mots de passe, clés, coordonnées bancaires, pièces d’identité, dossiers complets de clients, données de santé, stratégie non publique, documents reçus sous confidentialité et informations concernant des personnes sans nécessité. Ajoutez un canal de question lorsque l’utilisateur hésite.

4. Appliquez le principe : moins de données, moins de risque

Avant de copier un texte, demandez si l’IA est nécessaire et si la même tâche peut être accomplie avec une version anonymisée ou fictive. Retirez noms, coordonnées, numéros, adresses, références de dossier et détails qui permettent de reconnaître une personne. La pseudonymisation ne suffit pas toujours si le contexte permet une réidentification.

La charte doit interdire l’usage d’un compte personnel pour traiter une donnée professionnelle sensible. Elle indique les outils approuvés, les paramètres à vérifier, les conditions de réutilisation des entrées, la localisation ou les transferts pertinents, les durées et la possibilité d’export ou suppression. Appuyez-vous sur le guide RGPD des données clients et sur votre registre des traitements lorsque des données personnelles sont concernées.

Un document accessible publiquement n’est pas automatiquement libre de droits ou réutilisable sans limite. Vérifiez la source, la licence et le droit d’exploiter l’entrée comme la sortie. Ne demandez pas au modèle d’imiter une personne, une marque ou un artiste. Pour une image, un texte ou un code livré à un client, conservez les éléments qui permettent d’expliquer la méthode et les contrôles réalisés.

5. Définissez la validation selon la conséquence de l’erreur

Écrivez qui vérifie quoi. L’auteur peut relire une reformulation courante. Un responsable métier valide une proposition commerciale, une instruction technique ou un calcul. Une personne compétente vérifie une affirmation juridique, fiscale, médicale ou de sécurité. Certaines décisions ne doivent pas être automatisées : refus d’un client, embauche, sanction, diagnostic ou engagement contractuel sans examen humain approprié.

La relecture ne consiste pas à parcourir rapidement un texte fluide. Elle compare aux sources, contrôle noms, chiffres, dates, exceptions, ton et effets sur les personnes. Pour un contenu récurrent, utilisez une checklist. Conservez la source officielle lorsqu’un fait sensible est publié. Si la sortie ne peut pas être vérifiée dans le temps disponible, ne l’utilisez pas.

Définissez aussi le droit d’arrêter. Toute personne doit pouvoir suspendre un usage si elle constate une fuite, une sortie dangereuse, un biais manifeste, un compte compromis ou une dérive de coût. Le signalement décrit l’entrée, la sortie, l’outil, la date et l’action déjà prise sans recopier inutilement des données sensibles.

À partir du 2 août 2026, distinguez fournisseur et déployeur

L’article 50 du règlement européen sur l’IA est applicable depuis le 2 août 2026 et la Commission a publié ses lignes directrices le 20 juillet 2026. Une TPE qui utilise un service tiers est généralement déployeur ; si elle développe un système ou le met sur le marché sous son propre nom, elle peut assumer des obligations de fournisseur. Le fournisseur doit notamment prévoir l’information lors d’une interaction directe avec une IA, sauf si ce caractère est évident, et le marquage détectable de certaines sorties synthétiques. La charte doit donc identifier le rôle de l’entreprise pour chaque outil au lieu d’appliquer une étiquette unique à tous les usages.

Comme déployeur, l’entreprise doit divulguer qu’une image, un son ou une vidéo constitue un deepfake, avec un aménagement approprié pour une œuvre manifestement artistique, satirique ou fictive. Elle doit aussi signaler le texte généré ou manipulé par IA lorsqu’il est publié pour informer le public sur une question d’intérêt public, sauf si ce contenu a fait l’objet d’une revue humaine ou d’un contrôle éditorial et qu’une personne en assume la responsabilité éditoriale. L’information doit être claire au plus tard lors de la première exposition. Cela n’impose pas de marquer chaque brouillon interne ni toute assistance ordinaire : documentez les cas concernés, le responsable et la preuve de la divulgation.

6. Approuvez une petite liste d’outils et de configurations

Le nom du fournisseur ne suffit pas : offre gratuite et offre professionnelle peuvent avoir des conditions, réglages et garanties différents. Pour chaque outil, notez le propriétaire du compte, les utilisateurs, le moyen d’authentification, les données autorisées, les paramètres de conservation, les intégrations, la date de revue et la procédure de sortie. Testez un export et la révocation d’un accès.

Évaluez le besoin réel avec le guide des outils numériques. Limitez les extensions et connecteurs qui peuvent lire toute une boîte mail ou un stockage. Une IA intégrée à un logiciel n’a pas besoin d’accéder à toutes les données « parce que c’est pratique ». Accordez les droits minimaux et retirez-les quand le test se termine.

Prévoyez un budget et un responsable, sinon les comptes personnels se multiplient. L’outil approuvé doit avoir une assistance et une procédure de récupération adaptées à la criticité. Un résultat utile aujourd’hui ne justifie pas une dépendance sans export, sans historique ou sans solution de remplacement.

7. Formez sur les risques et tâches réellement rencontrés

Depuis le 27 juillet 2026, le règlement (UE) 2026/1744 a remplacé l’article 4 du règlement européen sur l’IA. Les fournisseurs et déployeurs doivent prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel et des autres personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation, du contexte d’usage et des personnes concernées. Aucun niveau individuel précis de maîtrise n’est imposé : choisissez des mesures proportionnées aux tâches et aux risques, puis gardez la trace de ce qui a réellement été fait.

Une formation proportionnée explique ce qu’est une sortie probabiliste, comment protéger les données, vérifier une source, reconnaître une instruction malveillante dans un document, signaler un incident et respecter les usages autorisés. Faites travailler l’équipe sur ses propres exemples nettoyés. Un quiz générique ne prouve pas que la personne sait valider un devis, une traduction ou un résumé.

Documentez date, public, objectifs, exemples et mise à jour. La charte, les exercices et l’accompagnement forment un ensemble. Une signature sans explication n’améliore ni les compétences ni les décisions.

8. Modèle de charte IA en dix clauses

Le texte ci-dessous constitue une base courte à copier et à adapter. Remplacez chaque élément entre crochets, faites vérifier les règles sensibles à votre activité et joignez la liste à jour des outils et usages approuvés.

Checklist de personnalisation avant diffusion

1. Objet : aider à utiliser l’IA comme assistance, sans déléguer la responsabilité professionnelle.
2. Périmètre : personnes, outils et activités concernés.
3. Outils approuvés : offres, comptes et propriétaires autorisés.
4. Usages verts : tâches permises et vérification minimale.
5. Usages orange : validation préalable, responsable et durée du test.
6. Usages rouges : données, décisions et comportements interdits.
7. Données : minimisation, anonymisation, secrets et règles contractuelles.
8. Validation : sources, chiffres, droits, ton et validation métier.
9. Transparence : rôle de fournisseur ou déployeur, interactions directes, deepfakes et textes d’intérêt public à signaler selon l’article 50.
10. Incident et revue : canal d’alerte, suspension, journal et date de mise à jour.

Ajoutez une annexe d’une page avec les usages actuellement autorisés. Pour chacun : entrée permise, outil, résultat, vérificateur et preuve attendue. Cette annexe évolue plus facilement que la charte. N’insérez pas de nom de produit dans une règle permanente si l’offre peut changer.

9. Testez la charte sur trois scénarios et révisez-la

Avant diffusion, jouez trois cas : un salarié veut résumer un document client ; un prestataire propose de connecter une IA à la messagerie ; une sortie erronée a été envoyée. La charte permet-elle de décider qui autorise, quelles données retirer, qui vérifie et comment signaler ? Si la réponse exige d’appeler le dirigeant pour chaque brouillon, la règle est trop vague ou trop lourde.

Révisez après un nouvel outil, une intégration, un incident, un changement de contrat ou une évolution des textes. Suivez peu d’indicateurs : usages approuvés actifs, personnes formées, incidents, temps réellement gagné et exceptions ouvertes. Supprimez un usage qui ne produit pas de valeur vérifiable. La charte sert à rendre l’expérimentation responsable, pas à figer une technologie.

Sources officielles et primaires : CNIL et France Num — utiliser l’IA générative dans les TPE et PME ; Commission européenne — questions-réponses actuelles sur la maîtrise de l’IA ; Commission européenne — lignes directrices sur les obligations de transparence de l’article 50 ; EUR-Lex — règlement (UE) 2026/1744 modifiant notamment l’article 4 ; EUR-Lex — règlement européen 2024/1689 sur l’intelligence artificielle. Consultées le 3 août 2026. Le cadre et les orientations évoluent : vérifiez les versions consolidées et les règles sectorielles avant tout usage sensible.

En résumé

Une charte IA efficace part des usages réels, classe les tâches par niveau de contrôle, protège données et secrets, désigne les vérificateurs et organise les incidents. Elle s’appuie sur une liste d’outils approuvés et une formation adaptée. Deux pages opérationnelles, testées et révisées, valent mieux qu’une politique juridique incomprise.