Charte IA en entreprise : 6 sociétés sur 10 sans cadre formalisé (Coface), le modèle en 10 règles

Le 5 octobre 2026, Coface a publié la 3e édition de son baromètre Data & IA, réalisé avec Les Echos Études auprès de 900 décideurs d'entreprises françaises. Sur l'encadrement de l'IA, le constat tient en trois chiffres :

• 35 % des entreprises n'ont aucun dispositif pour encadrer l'IA, et ne prévoient pas d'en créer ;
• un quart de plus réfléchit au sujet, sans avoir encore formalisé de règles ;
• 17 % seulement ont défini, formalisé et communiqué une politique d'usage à leurs collaborateurs.

Au total, six entreprises sur dix n'ont donc pas de cadre formalisé. Le paradoxe, c'est que le premier frein cité par les décideurs est justement la sécurité des données et la conformité réglementaire (41 %). Pour Nesrin Gonin, directrice des services d'information de Coface pour l'Europe de l'Ouest et l'Afrique, les entreprises font confiance à leurs données, mais n'ont pas encore créé « le cadre nécessaire pour exploiter pleinement le potentiel de l'IA ».

Les usages, eux, n'ont pas attendu. Selon la Banque de France, 67 % des entreprises d'au moins 20 salariés déclaraient début 2026 utiliser l'IA générative, le plus souvent de façon limitée ou expérimentale, et 85 % de celles qui l'utilisent s'en servent pour générer du texte. Depuis le 27 juillet 2026, la nouvelle rédaction de l'article 4 de l'AI Act demande pourtant à toute entreprise qui utilise l'IA de prendre des mesures pour favoriser la maîtrise de l'IA par son personnel. Une charte écrite, accompagnée d'une formation, est le moyen le plus simple de le faire, et de pouvoir le montrer.

Interdire l'IA est tentant, et presque toujours inefficace. Selon un sondage OpinionWay pour l'éditeur Cegid, publié en septembre 2026, 67 % des salariés français qui utilisent l'IA passent par des outils que leur entreprise ne leur fournit pas, et 77 % dans les PME, souvent sans le dire à leur employeur. Une interdiction ne fait pas disparaître les usages : elle les rend invisibles, sur des comptes personnels, sans aucune des garanties d'une offre professionnelle.

Sans cadre, quatre risques se cumulent :

• La fuite de données. Un contrat client, un fichier de salariés ou du code source collé dans un outil grand public sort du périmètre de l'entreprise. C'est ce qui a conduit Samsung, en 2023, à interdire les outils d'IA générative comme ChatGPT dans l'une de ses principales divisions, après que des ingénieurs y ont collé du code source confidentiel.
• L'erreur publiée. Un chiffre ou une référence inventés par l'IA, envoyés à un client ou mis en ligne, engagent l'entreprise.
• Le contrat rompu. Beaucoup d'accords de confidentialité interdisent de transmettre les documents d'un client à un tiers, et un outil d'IA en ligne en est un.
• La règle oubliée. RGPD, AI Act, droit du travail : sans document de référence, impossible de montrer ce que l'entreprise a fait pour encadrer les usages.

La charte répond aux quatre en même temps. Elle autorise clairement ce qui est utile, interdit ce qui est dangereux, et sert de base à la formation des équipes.

Nous avons construit ce modèle à partir des recommandations de la CNIL et de l'ANSSI, et de ce que nous voyons en formation. Chaque règle tient en une idée, avec une clause prête à reprendre. Remplacez ce qui est entre crochets, et ajoutez ce qui est propre à votre métier.

01. Une liste d'outils autorisés, tenue à jour

On ne cadre pas ce qu'on ne connaît pas. La liste dit quels outils sont permis, avec quelle offre (gratuite, professionnelle, entreprise), pour quels usages et avec quel niveau de données. Elle couvre aussi ce qu'on oublie : les extensions de navigateur, les applications mobiles et les fonctions d'IA ajoutées en cours de route à un logiciel déjà utilisé.

02. Des comptes professionnels, jamais personnels

Les offres pour particuliers n'apportent pas les garanties d'un contrat d'entreprise. Chez Anthropic, les offres Free, Pro et Max de Claude sont réservées, dans l'Espace économique européen et en Suisse, à un usage ni commercial ni professionnel. Chez OpenAI comme chez Anthropic, les conversations des offres pour particuliers peuvent servir à entraîner les modèles, selon le réglage de l'utilisateur, alors que les offres professionnelles des deux éditeurs n'y servent pas par défaut. Et un compte personnel échappe à toute administration : l'entreprise ne peut ni le paramétrer, ni récupérer les échanges au départ du salarié.

03. Trois couleurs pour les données

Avant de coller quoi que ce soit, chacun doit savoir dans quelle case tombe l'information :

• Vert, les informations publiques : site web, plaquettes, offres d'emploi publiées. Utilisables dans tout outil autorisé.
• Orange, les informations internes non sensibles : procédures, notes, brouillons sans nom de personne. Seulement dans les outils de l'annexe 1, avec un compte professionnel.
• Rouge, tout le reste : données personnelles de clients, de salariés ou de candidats, données de santé, secrets d'affaires, documents couverts par un accord de confidentialité, code source non publié. Interdites, sauf dans un outil validé par écrit pour ce niveau. Les mots de passe et clés d'accès, eux, ne se saisissent jamais (règle 08).

Le bon réflexe, quelle que soit la couleur : remplacer les noms par « client A » ou « salarié B » dès que la tâche le permet. Ce n'est pas une anonymisation : le document reste une donnée personnelle, de niveau rouge.

04. Une relecture humaine avant tout usage

L'IA se trompe avec aplomb : un chiffre faux, une citation déformée, une référence ou une jurisprudence qui n'existe pas. La personne qui utilise un contenu généré le vérifie, et elle en répond, exactement comme si elle l'avait écrit seule.

05. Aucune décision sur une personne par l'IA seule

Recruter, évaluer, sanctionner, accorder ou refuser un service : une personne décide. Le RGPD protège déjà contre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques sur une personne ou l'affectent de manière significative (article 22). Les obligations de l'AI Act pour les systèmes « à haut risque » utilisés pour recruter ou gérer le personnel s'appliqueront, elles, à partir du 2 décembre 2027. Et depuis 2025, les juges l'ont rappelé plusieurs fois : dans une entreprise d'au moins 50 salariés, un outil d'IA qui modifie le travail des salariés se présente au CSE avant d'être déployé (voir la partie 04). Candidats et salariés sont aussi informés à l'avance des méthodes de recrutement ou d'évaluation utilisées à leur égard (articles L. 1221-8 et L. 1222-3 du Code du travail).

06. Dire quand c'est l'IA

Depuis le 2 août 2026, l'article 50 de l'AI Act impose plusieurs règles de transparence. Un assistant conversationnel doit être conçu pour indiquer à ses interlocuteurs qu'ils échangent avec une IA, sauf si c'est évident, une obligation qui pèse sur son fournisseur : l'éditeur de l'outil, ou votre entreprise si elle a développé ou fait développer l'assistant et le met en service sous son nom. L'entreprise qui utilise l'IA pour générer ou modifier une image, un son ou une vidéo réaliste, un hypertrucage, doit le signaler. Il en va de même pour un texte publié pour informer le public sur des questions d'intérêt public, sauf s'il a été relu par un humain et qu'une personne en assume la responsabilité éditoriale. Selon les lignes directrices de la Commission européenne du 20 juillet 2026, cette relecture suppose au minimum de vérifier les faits : une correction d'orthographe ne suffit pas.

07. Respecter les droits des autres, et protéger les vôtres

Un document client couvert par un accord de confidentialité ne se colle pas dans un outil d'IA si le contrat l'interdit. Une image générée peut reproduire une marque, une œuvre ou le visage d'une personne. Et ce que l'IA produit seule ne vous donne aucune exclusivité : selon le rapport de mission présenté au CSPLA le 9 juillet 2026, une production générée sans intervention humaine significative reste hors du champ du droit d'auteur et relève du domaine public, même si OpenAI et Anthropic vous cèdent leurs éventuels droits. Pour un logo, un slogan ou tout livrable que vous voulez pouvoir défendre contre la copie, gardez une vraie part de création humaine, et conservez-en la trace.

08. Sécurité : ni mot de passe, ni agent sans contrôle

Un mot de passe collé dans une conversation y reste. Un e-mail, une page web ou un document peuvent contenir des instructions cachées destinées à l'IA, ce qu'on appelle une injection de requête. Et un agent connecté à la messagerie ou au CRM agit avec vos droits : envoyer, publier, payer ou modifier doit toujours passer par une validation humaine.

09. Former chacun, nommer un référent

L'article 4 de l'AI Act, dans sa version en vigueur depuis le 27 juillet 2026, demande aux entreprises qui utilisent l'IA de prendre « des mesures pour favoriser le développement de la maîtrise de l'IA » par leur personnel, sans exiger un niveau précis pour chaque personne. La formation en est la mesure la plus évidente, et la CNIL la recommande aussi. Le référent IA, lui, fait vivre la charte : il répond aux questions, tient la liste des outils et le registre des usages, et prépare les révisions.

10. Signaler vite, réviser souvent

Une donnée sensible saisie par erreur, un contenu faux publié, une réponse inacceptable d'un assistant, une action imprévue d'un agent : plus le signalement est rapide, plus on limite les dégâts. En cas de violation de données personnelles, l'entreprise la consigne dans un registre interne et, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes, la notifie à la CNIL dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance ; si le risque est élevé, elle prévient aussi les personnes concernées (articles 33 et 34 du RGPD). Et comme les outils changent tous les trimestres, une charte jamais révisée devient vite fausse.

Une charte n'a pas la même force selon la façon dont elle est adoptée. Deux questions se posent : peut-elle fonder une sanction, et faut-il consulter le CSE ?

Une charte qui impose des règles suit le régime du règlement intérieur

Un document qui fixe des obligations générales et permanentes de discipline, de santé ou de sécurité est une « adjonction » au règlement intérieur, et il en suit le régime (article L. 1321-5 du Code du travail). Pour s'imposer aux salariés et permettre une sanction, la charte passe donc par les mêmes étapes que le règlement intérieur (article L. 1321-4) :

• l'avis du CSE, s'il existe ;
• la communication du texte et de cet avis à l'inspection du travail ;
• la publicité auprès des salariés ;
• un délai d'un mois après ces formalités avant l'entrée en vigueur.

Depuis la loi du 26 mai 2026, l'article L. 1321-4 ne prévoit plus de dépôt au greffe du conseil de prud'hommes, mais les articles réglementaires n'ont pas encore été mis à jour : vérifiez la démarche avec votre conseil. Chaque restriction doit aussi rester justifiée par la nature de la tâche et proportionnée au but recherché (article L. 1321-3). Une charte adoptée sans ces formalités garde son intérêt pédagogique, mais elle ne peut pas, en principe, fonder à elle seule une sanction : il faudra prouver une faute autonome, comme la divulgation d'informations confidentielles.

Déployer un outil d'IA : consulter le CSE avant, pas après

Dans les entreprises d'au moins 50 salariés, le CSE est consulté sur « l'introduction de nouvelles technologies » et sur tout aménagement important des conditions de travail (article L. 2312-8). Depuis 2025, les juges des référés l'appliquent aux outils d'IA :

• Tribunal judiciaire de Nanterre, 14 février 2025 : des outils d'IA utilisés en « phase pilote » pendant la consultation du CSE. Pour le juge, ce pilote est déjà une première mise en œuvre, et le déploiement est suspendu.
• Tribunal judiciaire de Créteil, 15 juillet 2025, confirmé par la cour d'appel de Paris le 21 mai 2026 : un groupe de presse professionnelle avait mis à disposition un assistant d'IA maison et autorisé l'accès à ChatGPT par sa charte informatique, sans consulter le CSE. Pour la cour, c'est bien l'introduction d'une nouvelle technologie, même si l'usage est facultatif et que les salariés se servaient déjà de ces outils.
• Tribunal judiciaire de Paris, 10 février 2026 : à l'inverse, un test de Copilot de quatre mois, sur la base du volontariat et sans tâches ni postes ciblés, n'a pas été jugé comme un projet important imposant la consultation.

Ces décisions sont des ordonnances de référé et un arrêt d'appel : la Cour de cassation ne s'est pas encore prononcée. La leçon pour votre charte reste claire : dès qu'elle autorise un outil d'IA, présentez-la au CSE avant de la mettre en œuvre, y compris pour un pilote. Si vous prévoyez de contrôler l'usage des outils, par exemple en consultant les journaux des comptes professionnels, le CSE doit aussi être consulté avant (article L. 2312-38) et les salariés informés (article L. 1222-4). Ne pas consulter le CSE quand la loi l'impose expose au délit d'entrave, puni de 7 500 € d'amende (article L. 2317-1), et surtout à la suspension du projet.

Une charte n'a de valeur que si elle colle aux usages réels et si chacun l'a comprise. L'ordre que nous suivons avec les entreprises que nous accompagnons :

1. Faire l'inventaire des usages. Un questionnaire anonyme de cinq minutes suffit : quels outils, pour quelles tâches, avec quels comptes, et quelles données y passent. Vous découvrirez presque toujours des usages que personne n'avait déclarés.
2. Choisir les outils et les offres. Retenez un ou deux outils, en offre professionnelle ou entreprise, et désignez le référent IA.
3. Adapter le modèle. Complétez les dix règles et les annexes (outils autorisés, niveaux de données, registre des usages, fiche d'incident). Ajoutez une clause qui dit aux salariés ce qui est conservé de leurs échanges, combien de temps et qui peut le lire. Mettez à jour votre registre des traitements, réalisez une analyse d'impact si un outil sert au recrutement, à l'évaluation ou au contrôle des salariés, puis faites relire le texte par votre conseil.
4. Présenter la charte au CSE, s'il y en a un. Dans une entreprise d'au moins 50 salariés, consultez-le avant tout déploiement, pilote compris, et intégrez son délai de réponse à votre calendrier : à défaut d'accord, un mois, deux s'il désigne un expert (article R. 2312-6). Si la charte a valeur de règlement intérieur, ajoutez un mois après les formalités de publicité.
5. Former, puis lancer. Présentez la charte en formation plutôt que par un simple courriel, avec des exemples tirés de vos métiers, et fixez dès le départ la date de la première révision.

C'est le travail que nous faisons en formation. Notre masterclass d'acculturation à l'IA (1 jour, à partir de 450 € HT, soit 540 € TTC, par participant) donne à toutes les équipes les bons réflexes, et notre formation CODIR (2 jours, sur devis) aide le comité de direction à fixer le cadre. Nous pouvons aussi vous aider à adapter ce modèle à vos usages, en atelier, avant sa validation par votre conseil.

NOCODE IA est indépendant des éditeurs cités dans cet article (OpenAI, Anthropic, Microsoft) : ni partenaire, ni revendeur. Cet article donne une information générale, pas un conseil juridique : faites valider votre charte par votre conseil avant de l'adopter.

• Coface : « IA en entreprise : les usages progressent, la gouvernance reste à la traîne », communiqué du baromètre Data & IA (3e édition, avec Les Echos Études), 5 octobre 2026.
• Banque de France : « L'IA s'installe dans les entreprises françaises : une diffusion rapide, mais des gains de productivité encore limités », Bulletin n° 266, 3 septembre 2026.
• OpinionWay pour Cegid : sondage sur l'IA en entreprise, 2 006 salariés de bureau dont 500 en France, septembre 2026.
• Bloomberg : « Samsung Bans Staff's AI Use After Spotting ChatGPT Data Leak », 2 mai 2023.
• Anthropic : conditions des offres pour particuliers (version pour l'EEE et la Suisse) et conditions commerciales ; OpenAI : utilisation des données pour l'entraînement et confidentialité des offres entreprise.
• Union européenne : règlement (UE) 2024/1689 sur l'intelligence artificielle (articles 4 et 50), modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, et lignes directrices de la Commission sur l'article 50, 20 juillet 2026 ; RGPD, articles 22 et 33.
• Code du travail : articles L. 1321-4, L. 1321-5, L. 2312-8, L. 2312-38, L. 1222-4 et L. 2317-1.
• Décisions : cour d'appel de Paris, 21 mai 2026, n° 25/13232 ; ordonnances de référé des tribunaux judiciaires de Nanterre (14 février 2025, n° 24/01457), de Créteil (15 juillet 2025, n° 25/00851) et de Paris (10 février 2026, n° 25/57412), présentées dans la synthèse d'ActuIA du 7 octobre 2026 et recoupées auprès de commentaires d'avocats.
• CNIL : questions-réponses sur l'utilisation d'un système d'IA générative, 18 juillet 2024.
• Rapport de mission présenté au CSPLA : rapport de mission sur le statut des productions de l'IA, présenté le 9 juillet 2026.
• CNIL : « Comment déployer une IA générative ? », 18 juillet 2024, et, avec France Num et la CPME, « Utiliser l'IA générative dans les TPE et PME », novembre 2024.
• ANSSI : « Recommandations de sécurité pour un système d'IA générative », 29 avril 2024.

Cet article donne une information générale, à jour au 7 octobre 2026 : ce n'est pas un conseil juridique. NOCODE IA est indépendant des éditeurs cités. Article rédigé avec l'aide de l'IA à partir des sources ci-dessus. L'image de couverture a été générée par IA pour NOCODE IA.