1. Ce que l'AI Act exige depuis l'été 2026
Vos équipes utilisent déjà ChatGPT ou Copilot pour rédiger une proposition commerciale, résumer une réunion ou reformuler un email délicat. Tôt ou tard, la question arrive en comité de direction : faut-il une charte IA, et la loi vous y oblige-t-elle ? Le cadre a changé cet été. Voici où il en est en septembre 2026.
1.1 Ce que le Digital Omnibus a changé
Le règlement (UE) 2026/1744, dit Digital Omnibus, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026. Il est en vigueur depuis le 27 juillet 2026. Il réécrit l'article 4 de l'AI Act, celui qui porte sur la maîtrise de l'IA par les équipes. Jusqu'ici, l'entreprise devait « garantir un niveau suffisant » de maîtrise. Désormais, elle doit la « favoriser », avec des mesures adaptées aux outils qu'elle utilise et aux rôles de chacun.
La nuance compte. On passe d'une obligation de résultat à une obligation de moyens. Personne ne vous demandera de prouver que chaque salarié est devenu expert de l'IA. On attend de vous que vous puissiez montrer ce que vous avez mis en place : des règles claires, des équipes informées, des outils encadrés.
Le même texte repousse le calendrier des systèmes d'IA dits « à haut risque ». Pour ceux listés à l'annexe III de l'AI Act, les obligations s'appliqueront à partir du 2 décembre 2027. Dans une PME, les exemples les plus parlants sont un logiciel qui trie les CV ou un outil qui évalue la performance des salariés.
1.2 Ce qui s'applique déjà à votre PME
Deux volets, en revanche, ne sont pas reportés.
Le premier, ce sont les obligations de transparence de l'article 50, applicables depuis le 2 août 2026. Il faut signaler certains contenus générés par IA et informer une personne lorsqu'elle échange avec un robot conversationnel plutôt qu'avec un humain. Une agence de communication qui livre à son client des visuels générés par IA est concernée dès aujourd'hui. Un cabinet qui trierait ses candidatures avec un outil d'IA, lui, entrera dans le régime haut risque fin 2027.
Le second, c'est le RGPD, qui ne bouge pas. Le nom d'un client, son adresse ou le montant de son contrat saisis dans une requête à un outil IA constituent un traitement de données personnelles. Les questions sont les mêmes que pour un fichier envoyé par email : où partent ces données, qui y a accès, combien de temps sont-elles conservées ?
Ce qui a changé
- L'article 4 demande de favoriser la maîtrise de l'IA, et non plus de la garantir. Il s'agit d'une obligation de moyens, adaptée à vos outils et à vos métiers. Le régime haut risque (annexe III) est reporté au 2 décembre 2027
Ce qui ne change pas
- Aucun texte n'impose un document nommé « charte IA ». Le RGPD s'applique à chaque donnée personnelle saisie dans un outil IA. La transparence (article 50) n'est pas reportée et s'applique depuis le 2 août 2026
Alors, une charte IA est-elle exigée ? Aucune loi n'impose un document intitulé « charte IA ». Depuis le Digital Omnibus de juillet 2026, l'AI Act vous demande de favoriser la maîtrise de l'IA par vos équipes, avec des mesures adaptées à vos outils et à vos métiers. Le RGPD, lui, s'applique à chaque donnée personnelle saisie dans ces outils. La charte est la façon la plus lisible de répondre à ces deux exigences, à une condition : chaque règle doit trancher une décision (quels outils, quelles données, qui valide) et correspondre à un contrôle vérifiable.
2. Les six règles qu'une charte IA doit trancher
La charte n'est pas imposée sous ce nom, mais elle reste le document le plus pratique pour montrer à vos équipes et à vos clients ce que vous avez décidé. Encore faut-il qu'elle décide vraiment quelque chose.
La plupart des chartes échouent sur ce point. Elles alignent des principes que personne ne conteste et que personne ne sait appliquer. Comparez :
- Règle floue : « Utilisez l'IA avec discernement. »
- Règle applicable : « Les informations clients ne sont saisies que dans l'assistant IA fourni avec votre compte entreprise. »
La première ne dit à personne quoi faire lundi matin. La seconde se comprend en cinq secondes, et elle se vérifie. Voici les six décisions qu'une charte IA doit trancher.
1. Les outils autorisés. La charte nomme les outils validés et précise qu'ils s'utilisent uniquement avec un compte fourni par l'entreprise. Pas de compte personnel pour un usage professionnel : tout ce qui passe par un compte personnel échappe à l'entreprise.
2. Les données. Trois niveaux, faciles à retenir :
- données publiques (site web, plaquette commerciale, offre d'emploi publiée) : usage libre
- données internes (notes de réunion, procédures, documents de travail) : uniquement dans les outils validés
- données sensibles : jamais, ou sur validation expresse. Sont sensibles les fichiers clients, les données RH et de paie, les éléments financiers, les contrats, les mots de passe et le code informatique.
3. La relecture humaine. Tout contenu qui part chez un client, contient un chiffre ou engage l'entreprise est relu par une personne avant envoi. L'IA sait produire un texte fluide et faux : c'est la relecture qui protège votre signature.
4. Les agents et extensions IA. Aucun outil IA ne se connecte à la messagerie, au stockage partagé ou à l'outil de gestion commerciale sans validation du service informatique. Nous avons détaillé les risques d'un agent IA connecté à vos outils métiers dans un article dédié.
5. La transparence. La charte précise quand signaler qu'un contenu a été produit avec l'IA, en cohérence avec l'article 50 vu plus haut.
6. Le signalement. En cas d'erreur (un fichier collé au mauvais endroit, une application connectée par mégarde), le collaborateur sait à qui s'adresser et sous quel délai.
Enfin, la charte désigne qui tient la liste des outils à jour et à quelle fréquence le document est revu.
Rendre votre charte IA opposable
Une charte bien écrite ne sert à rien si vous ne pouvez pas l'invoquer le jour où une règle est enfreinte. Trois points font la différence :
Une charte simplement diffusée informe, mais ne suffit pas pour sanctionner. Pour la rendre opposable, on l'annexe au règlement intérieur, ce qui suppose l'avis du CSE et une procédure de dépôt (Code du travail, article L1321-4).
Les freelances et prestataires ne sont pas couverts par le règlement intérieur. Pour eux, la charte s'annexe à leur contrat.
Un accusé de lecture individuel vaut mieux qu'un email collectif « valant acceptation ». C'est lui qui prouve que chacun a bien reçu les règles.
3. Pourquoi une charte IA seule ne protège pas vos données
Écrire les bonnes règles est une étape. Les voir respectées en est une autre.
Le problème n'est donc pas seulement l'absence de règles. C'est aussi l'absence de moyens pour les faire tenir.
- Premier angle mort : le Shadow AI, c'est-à-dire les outils IA utilisés sans que l'entreprise le sache, depuis un compte personnel sur un téléphone ou une extension de navigateur installée en deux clics.
- Second angle mort, moins connu : l'assistant IA intégré à votre suite bureautique. Quand vous activez un assistant comme Copilot dans votre messagerie et vos documents, il hérite des droits de l'utilisateur. Il retrouve tout ce que la personne peut ouvrir, y compris ce qui a été partagé trop largement il y a des années. L'image est parlante : il ouvre toutes les portes dont vous avez la clé, même celles que vous aviez oubliées.
Prenons un scénario illustratif. Une PME de 60 personnes active l'assistant IA de sa suite bureautique. Quelques jours plus tard, une assistante lui demande un récapitulatif des augmentations prévues. L'outil retrouve et résume le tableur des salaires de toute l'entreprise, déposé deux ans plus tôt dans un espace d'équipe ouvert à tous. Personne n'a enfreint la charte. L'assistant a fait exactement ce qu'on lui demandait, avec les droits qu'on lui avait laissés.
Une charte ne bloque rien. Elle définit ce que l'on vérifie. La vérification, elle, se joue dans la configuration de vos comptes, de vos partages et de vos postes.
UN ÉCHANGE DE 30 MINUTES ?
Ce service peut-il répondre à votre situation ?
Notre spécialiste analysera votre IT, vous dira ce qui tient et ce qui ne tient pas. Un échange vaut mieux qu'un long texte.
4. À chaque règle de la charte, son contrôle technique
Le regard de Brice CHAPEL, Head of Infrastructure and Security chez OTO Technology
« Écrire “pas de données clients dans un outil non validé”, tout le monde sait le faire. La vraie question arrive le jour où quelqu'un le fait quand même : est-ce que vous le voyez, et est-ce que vous savez couper l'accès ? »
Reprenons les règles de la section 2, une par une, et voyons ce qui les rend vérifiables dans une PME.
- Outils autorisés : des comptes entreprise et un filtre à l'entrée. Chaque collaborateur utilise l'outil IA validé avec son compte professionnel, relié à l'annuaire de l'entreprise, c'est-à-dire la liste centrale des comptes et de leurs droits. Ce compte est protégé par une double vérification à la connexion (MFA) : un code en plus du mot de passe. Le pare-feu, ce vigile placé à l'entrée de votre réseau, filtre les sites IA non validés. Et les journaux de connexion révèlent les applications cloud réellement utilisées, y compris celles que personne n'a déclarées.
- Données sensibles : des étiquettes et des règles anti-fuite. Un document peut porter une étiquette de confidentialité, l'équivalent numérique du tampon « Confidentiel ». Des règles de prévention des fuites s'appuient sur ces étiquettes pour empêcher, par exemple, qu'un fichier RH parte vers une adresse externe. Ces fonctions dépendent de l'abonnement bureautique souscrit : c'est un point à vérifier avant d'écrire la règle.
- Assistant intégré : une revue des droits avant activation. Avant d'allumer un assistant IA dans vos outils bureautiques, on passe en revue les droits de partage des espaces de fichiers et d'équipe. Les liens ouverts « à toute l'organisation » sont supprimés, les dossiers sensibles retrouvent un périmètre restreint. C'est ce travail en amont qui évite le scénario du tableur des salaires.
- Agents et extensions : l'utilisateur ne donne plus seul son accord. Vous connaissez ce bouton « Autoriser » qui ouvre votre boîte mail ou vos fichiers à un service extérieur. On retire aux utilisateurs la possibilité de cliquer seuls : toute connexion d'une application tierce passe par une validation du service informatique. En parallèle, l'inventaire des logiciels et extensions installés sur les postes montre ce qui a été ajouté sans prévenir.
- Relecture et transparence : l'affaire des équipes. Aucun outil ne vérifie de façon fiable qu'un texte a été relu. Ces deux règles reposent sur l'information des collaborateurs et l'exemple donné par les managers, ce qui correspond à l'esprit du nouvel article 4.
Revue : un point régulier sur les usages réels. Les outils IA évoluent sans cesse. Un point entre la direction et l'IT, appuyé sur les journaux de connexion, sert à mettre à jour la liste des outils autorisés et à ajuster la charte.
5. Déployer une charte IA en PME : par où commencer
Tout ce qui précède tient en un ordre de marche. Le piège classique est de diffuser la charte d'abord et de paramétrer ensuite.
- Partir des usages réels. Envoyez un questionnaire anonyme aux équipes et croisez-le avec les journaux de connexion. Les règles s'écrivent sur ce que font vraiment vos collaborateurs, pas sur ce que la direction imagine.
- Décider et rédiger à plusieurs. La direction, les RH, l'IT et le DPO s'il existe tranchent les six règles. La charte s'écrit ensuite avec des exemples par métier : commercial, RH, marketing, comptabilité.
- Paramétrer, puis diffuser. Les contrôles de la section 4 sont en place avant l'envoi du document. Une règle annoncée mais non vérifiée perd sa crédibilité dès le premier contournement.
6. FAQ
Une charte IA est-elle obligatoire en entreprise ?
Aucun texte n'impose un document portant ce nom. L'AI Act demande depuis juillet 2026 de favoriser la maîtrise de l'IA par vos équipes, et le RGPD encadre les données saisies dans ces outils. La charte est le moyen le plus direct de montrer que vous y répondez.
Peut-on sanctionner un salarié qui ne respecte pas la charte IA ?
Oui, si la charte est opposable, c'est-à-dire annexée au règlement intérieur selon la procédure prévue. Une charte seulement diffusée pour information n'a pas cette valeur.
Faut-il interdire ChatGPT en entreprise ?
Une interdiction sans alternative pousse vers les comptes personnels, invisibles pour l'entreprise. Mieux vaut autoriser un outil validé avec un compte entreprise, fixer les données interdites et contrôler que la règle tient.
Qui doit rédiger la charte IA ?
La direction pilote, avec les RH, l'informatique et le DPO s'il existe. La relecture juridique revient à votre DPO ou à votre avocat. L'informatique vérifie, avant la diffusion, que chaque règle peut être contrôlée.
Ce qu'il faut retenir
-
#1Tranchez trois questions dans votre charte, les outils, les données et la validation
-
#2Associez chaque règle écrite à un contrôle vérifiable
-
#3Paramétrez vos contrôles avant de diffuser la charte
-
#4Prévoyez des moyens adaptés à vos usages, comme l'attend l'AI Act depuis juillet 2026
Vous voulez aller plus loin ?
Parlons-en
Head of Infrastructure and Security chez OTO Technology, Brice conçoit depuis 22 ans des infrastructures IT qui allient résilience et vision stratégique. Spécialiste de la cybersécurité, du cloud et des infrastructures IT, il sécurise votre SI, optimise vos coûts et anticipe les risques pour garantir performance et sérénité. Son approche proactive de la gestion des systèmes d'information et sa capacité à aligner technologie et objectifs business en font un partenaire stratégique pour les entreprises qui cherchent à faire de leur IT un véritable moteur de croissance.
