Cette page décrit ce que doit contenir une charte d'usage de l'IA, point par point. Elle ne remplace pas l'avis d'un juriste, mais elle évite de signer un document creux ou d'en produire un qui ne protège pas.
Le périmètre : quels outils sont autorisés, lesquels ne le sont pas, et pour quels usages.
L'interdiction explicite de saisir des données confidentielles, personnelles ou couvertes par un secret dans un outil non validé.
La règle de vérification : toute production destinée à un tiers doit être relue par un humain avant envoi.
L'obligation de signaler l'usage de l'IA quand le destinataire pourrait légitimement l'ignorer.
Le point de contact interne en cas de doute, et la procédure pour faire valider un nouvel outil.
La sanction en cas de manquement, proportionnée et connue à l'avance.
Utiliser un modèle sans compléter les annexes. Le corps du texte est générique ; ce sont les annexes qui rendent le document opposable.
Reprendre un modèle anglo-saxon traduit. Les notions ne se recouvrent pas et certaines clauses sont sans effet en droit français.
Ne pas dater ni versionner. Un document non daté ne prouve rien sur ce qui était convenu à un moment donné.
Le signer sans le lire parce qu'il vient du prestataire. Vous restez responsable de son contenu.
Complétez d'abord ce qui vous est propre : identités, périmètre, durées, annexes. Une à deux heures, non délégables au modèle.
Faites-le relire si l'enjeu le justifie. Pour un document destiné à des cabinets d'avocats ou à des établissements de santé, la relecture se rentabilise au premier client.
Datez, versionnez, conservez chaque version signée.
Mesurez avant d'acheter. Une semaine d'observation dans votre organisation vaut plus qu'une statistique de secteur.
Commencez petit. Une vingtaine de documents réellement consultés et cinq utilisateurs suffisent à savoir si l'outil s'installe dans les habitudes.
Choisissez ce dont vous pouvez sortir. Un délai de restitution chiffré et l'absence de frais de sortie rendent l'erreur peu coûteuse.
Un système d'IA ne remplace pas une organisation. Si l'information n'a jamais été écrite, il n'y a rien à indexer.
Il ne fait pas le travail à la place des équipes : il supprime le temps de recherche, pas le temps de traitement.
Et il ne sert à rien si une seule personne l'utilise. Nous mesurons l'usage et nous le disons si l'adoption ne prend pas.
Ce document, complété et signé, fait partie de ce que nous remettons au démarrage — sans qu'il faille le demander.
S'y ajoutent le registre des traitements, la liste nominative de nos sous-traitants avec leur localisation, la clause de réversibilité et la documentation de conformité AI Act.
Non. Un document non complété n'a aucune valeur : ce sont les parties spécifiques qui le rendent opposable.
Cela dépend de l'enjeu. Pour un document destiné à des clients réglementés, oui. Comptez quelques centaines d'euros, c'est peu au regard du risque.
À chaque évolution du périmètre ou de la réglementation, et au moins une fois par an.
Les textes européens et les publications de la CNIL font foi. Vérifiez toujours à la source.