Une charte d’usage de l’IA diffusée par courriel n’autorise aucune sanction. Le véhicule juridique, le circuit de consultation du CSE et le classement des données d’entrée décident de tout.
Une charte d’usage de l’intelligence artificielle n’a pas de valeur en soi : tout dépend du véhicule choisi. Diffusée par courriel, elle informe mais ne fonde aucune sanction. Annexée au règlement intérieur après consultation du comité social et économique, dépôt au greffe du conseil de prud’hommes et transmission à l’inspection du travail, elle devient opposable un mois plus tard. Négociée en accord collectif, elle engage aussi l’employeur. Le contenu compte moins que trois décisions : quelles données peuvent entrer dans un outil, quels usages sont fermés, et qui relit avant que le texte produit ne sorte de l’entreprise.
Un courriel arrive un vendredi soir : « Vous trouverez ci-joint la charte d’usage de l’intelligence artificielle, merci d’en prendre connaissance. » Deux pages, un ton ferme, une liste d’interdictions. Six mois plus tard, un commercial colle l’intégralité d’un contrat client dans un assistant grand public pour en tirer un résumé. La direction veut sanctionner. Elle découvre que la charte, telle qu’elle a été diffusée, ne le lui permet pas.
Le contenu du texte n’était pourtant pas en cause : les interdictions étaient raisonnables et claires. Le problème tient au véhicule. En droit du travail français, un document qui édicte des prescriptions générales et permanentes en matière de discipline obéit à un régime précis, fait de consultation, de dépôt, d’affichage et d’un délai d’un mois. Ce circuit ne se rattrape pas après l’incident.
Une charte utile se construit donc à l’envers : d’abord le statut juridique visé, ensuite les décisions à trancher, la rédaction en dernier. C’est l’ordre suivi ici.
Le mot « charte » ne désigne aucune catégorie juridique. Derrière lui se cachent trois objets très différents, qu’il faut choisir avant d’écrire la première ligne.
| Note d’information | Annexe au règlement intérieur | Accord collectif | |
|---|---|---|---|
| Comment on l’adopte | Décision unilatérale, diffusion simple | Note de service soumise aux formalités du règlement intérieur | Négociation avec les organisations syndicales représentatives |
| Délai avant application | Immédiat | Un mois après dépôt et affichage | Après signature et dépôt |
| Permet de sanctionner le seul non-respect du texte | Non | Oui | Selon la rédaction, souvent via le règlement intérieur |
| Engage l’employeur | Faiblement | Oui, sur les garanties qu’il y inscrit | Oui, avec dénonciation encadrée |
| Modification | Libre | Nouveau passage complet par les formalités | Avenant négocié |
Beaucoup d’entreprises veulent l’autorité du deuxième au prix du premier. Cela ne marche pas. Une charte diffusée par courriel garde une utilité réelle, celle d’informer et de fixer une doctrine interne, mais elle ne crée pas d’obligation disciplinaire nouvelle.
La nuance est importante : l’absence de charte opposable n’immunise pas le salarié. Divulguer une information couverte par le secret des affaires ou transmettre à un tiers les données personnelles de clients reste un manquement à l’obligation de loyauté, sanctionnable en tant que tel. Simplement, l’employeur doit alors démontrer la faute au fond, au lieu de s’appuyer sur une règle écrite et publiée.
Le règlement intérieur est obligatoire à partir de cinquante salariés. Il ne peut porter que sur trois matières : l’hygiène et la sécurité, les règles générales et permanentes relatives à la discipline avec l’échelle des sanctions, et les dispositions relatives aux droits de la défense, au harcèlement et aux agissements sexistes. Une charte IA entre dans la deuxième matière, à condition d’être rédigée comme un ensemble de prescriptions et non comme un guide de bonnes pratiques.
Ce délai d’un mois surprend souvent les directions, qui découvrent qu’un incident survenu trois semaines après la diffusion échappe encore au texte. Il surprend d’autant plus que les outils, eux, changent tous les trimestres. D’où une règle de rédaction : mettre dans l’annexe au règlement intérieur les principes stables (catégories de données interdites en entrée, obligation de relecture, interdiction de décider seul par machine) et renvoyer la liste nominative des outils autorisés à un document annexe, mis à jour sans repasser par tout le circuit.
Le code du travail traite dans le même article deux situations que tout le monde confond. Sur les méthodes et techniques d’aide au recrutement, le comité social et économique est informé préalablement à leur utilisation. Sur les moyens ou techniques permettant un contrôle de l’activité des salariés, il est informé et consulté préalablement à la décision de mise en œuvre. Le second régime est nettement plus exigeant : il suppose un avis rendu, donc un ordre du jour, un délai et un procès-verbal.
Un outil d’IA bascule dans le second régime dès qu’il produit des traces exploitables sur l’activité individuelle : journal des requêtes par utilisateur, tableau de bord d’adoption par équipe, mesure du temps gagné par salarié. Beaucoup de déploiements franchissent cette ligne sans s’en apercevoir, parce que la fonctionnalité de reporting est activée par défaut dans l’offre professionnelle. Les obligations d’information des candidats et de leurs représentants font l’objet d’un traitement séparé dans notre article sur l’usage de l’IA dans le recrutement.
S’y ajoute, dans les entreprises d’au moins cinquante salariés, la consultation sur l’introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail. Un assistant déployé sur l’ensemble des postes, qui change la manière de produire un devis ou une réponse client, relève de cette catégorie. En dessous de cinquante salariés, le CSE conserve une mission générale en matière de santé, de sécurité et de conditions de travail, mais pas ce bloc de consultations.
La question que se pose réellement un salarié devant un assistant n’est pas « ai-je le droit d’utiliser cet outil » mais « puis-je y mettre ceci ». Une charte qui ne répond pas à cette question ne sert à rien. La réponse tient dans un classement à quatre niveaux, à adapter au métier.
| Niveau | Exemples | Règle |
|---|---|---|
| Public | Plaquette commerciale, texte déjà publié, documentation ouverte | Libre sur les outils validés |
| Interne | Notes de travail, comptes rendus sans nom de client, procédures | Autorisé sur les outils sous contrat professionnel uniquement |
| Confidentiel | Contrats, prix négociés, code source, données de clients identifiables | Interdit hors environnement dédié validé par la direction des systèmes d’information |
| Sensible ou réglementé | Données de santé, données d’infraction, dossiers de personnel, éléments couverts par le secret professionnel | Interdit sans analyse d’impact préalable et base légale documentée |
Deux points échappent souvent à la rédaction. Le premier : un document anonymisé à la main reste réidentifiable quand il contient une date, une commune et une fonction. Le second : la conversation elle-même devient une donnée, conservée et parfois relue. Ce que devient une conversation avec un assistant dépend de l’offre souscrite, et les réglages qui permettent de refuser la réutilisation des saisies pour l’entraînement ne sont pas activés par défaut sur les comptes gratuits.
Une interdiction générale se contourne, une interdiction nommée se respecte. Les cas suivants méritent d’être écrits en toutes lettres.
La liste gagne à être courte et illustrée. Les deux premières lignes recoupent l’encadrement européen des systèmes classés à haut risque et l’interdiction de la décision entièrement automatisée posée par le RGPD, tandis que la troisième relève des pratiques d’IA purement et simplement interdites.
Toutes les chartes contiennent la phrase « le salarié reste responsable du contenu produit ». Prise au sérieux, elle implique un dispositif, pas une incantation. Le contrôle humain n’a de sens que si la personne qui relit dispose du temps, de la compétence et de l’information nécessaires pour contredire la machine.
Trois éléments rendent cette relecture réelle. D’abord, un point de contrôle nommé : qui valide quoi, avant quel envoi. Ensuite, une consigne de vérification ciblée sur ce qui casse le plus souvent, à savoir les chiffres, les noms propres, les dates, les références de textes et les citations. Enfin, la conscience que l’assurance du ton ne dit rien de l’exactitude : les inventions d’un modèle de langage sortent avec la même fluidité que les réponses correctes, et une référence juridique fabriquée ressemble trait pour trait à une vraie.
La qualité des sorties dépend aussi beaucoup de la façon dont la demande est formulée. Standardiser quelques consignes internes, en s’appuyant sur l’anatomie d’une consigne qui fonctionne, réduit plus sûrement les erreurs qu’une clause de responsabilité. Un constructeur de consigne permet de fixer un gabarit commun à une équipe, avec le rôle, la tâche, les contraintes et le format attendu.
Depuis février 2025, le règlement européen sur l’IA impose aux fournisseurs et aux déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA à leur personnel et aux personnes qui utilisent ces systèmes pour leur compte. L’exigence est proportionnée : elle tient compte des connaissances, de la formation, du contexte d’utilisation et des personnes concernées. Elle n’en est pas moins une obligation autonome, indépendante du niveau de risque du système utilisé.
Concrètement, une charte accompagnée d’une session d’une heure, d’un mémo sur les erreurs types et d’un point de contact identifié remplit mieux cette exigence qu’un document juridique parfait diffusé sans commentaire. Le calendrier complet des échéances, y compris celles qui concernent les systèmes à haut risque et les modèles à usage général, est détaillé dans notre présentation du calendrier d’application du règlement européen.
Une seconde obligation vise directement le monde du travail : avant de mettre en service un système à haut risque sur le lieu de travail, l’employeur déployeur doit informer les représentants des travailleurs et les travailleurs concernés qu’ils vont y être soumis. Cette information s’ajoute à la consultation du CSE prévue par le code du travail, elle ne la remplace pas.
Une charte organise le comportement des salariés. Elle ne déplace pas les responsabilités qui pèsent sur l’entreprise.
L’employeur reste civilement responsable des dommages causés par ses préposés dans l’exercice de leurs fonctions : un devis erroné envoyé à un client engage l’entreprise, pas le rédacteur. Il reste responsable de traitement au sens du RGPD pour les données personnelles versées dans l’outil, ce qui suppose une inscription au registre des traitements, une information des personnes concernées et, lorsque le risque est élevé, une analyse d’impact. L’éditeur de l’outil est en général sous-traitant, ce qui impose un contrat comportant les clauses prévues par le règlement, la localisation de l’hébergement et le sort des données à la fin du contrat.
Elle ne règle pas non plus la question du matériel personnel, qui obéit à sa propre logique et se traite avec les règles applicables au télétravail et aux données de l’employeur. Ni celle des horaires : un assistant disponible à toute heure ne suspend pas le droit à la déconnexion. Ni celle des réunions enregistrées, dont le régime particulier est décrit dans notre article sur les comptes rendus automatiques de réunion. Enfin, en cas de litige sur un usage, l’autorité compétente n’est pas toujours celle qu’on croit : la répartition entre la CNIL, la DGCCRF et les autorités de surveillance du marché est exposée dans notre article sur qui contrôle l’IA en France.
Avant d’envoyer la charte, posez-lui trois questions. Première question : si un salarié la viole demain, sur quel fondement exact la sanction reposera-t-elle, et ce fondement a-t-il été déposé et affiché ? Deuxième question : un salarié qui la lit sait-il, sans appeler personne, ce qu’il peut coller dans un assistant et ce qu’il ne peut pas ? Troisième question : quelle ligne du texte devra changer quand l’outil changera de nom dans six mois, et cette ligne est-elle bien hors du règlement intérieur ?
Une charte qui répond aux trois tient. Les autres finissent en pièce jointe non lue, invoquée trop tard.
Ce n’est pas une condition de validité si la charte est annexée au règlement intérieur : ce sont l’affichage et le dépôt qui la rendent opposable, pas la signature. Recueillir un accusé de lecture reste utile comme preuve d’information individuelle, notamment pour la partie qui relève du RGPD. En revanche, pour les personnes qui ne sont pas salariées, prestataires, stagiaires, intérimaires, la charte ne s’impose que si elle est reprise dans le contrat de prestation ou la convention de stage.
Non. Le règlement intérieur n’est obligatoire qu’à partir de cinquante salariés, et aucun texte n’impose de charte IA. Mais le RGPD et le règlement européen sur l’IA s’appliquent sans seuil d’effectif, y compris l’obligation de maîtrise de l’IA. Dans une petite structure, une page qui liste les outils autorisés, les données interdites en entrée et le nom du référent suffit souvent, à condition d’être reprise dans le socle de sécurité de la structure.
Oui, sur le matériel et les comptes professionnels : l’employeur choisit les outils de travail. L’interdiction sèche a toutefois un effet mesuré partout où elle a été tentée : les salariés basculent sur leur téléphone personnel et sur un compte gratuit, donc hors de tout contrôle et souvent avec des réglages qui autorisent la réutilisation des saisies. Une liste courte d’outils validés, avec un compte professionnel et une adresse d’entreprise, protège mieux qu’une interdiction que personne ne peut faire respecter.
Non. La consultation n’est pas une codécision : l’employeur reste libre de sa décision après avoir recueilli l’avis, même défavorable. L’absence de consultation, en revanche, constitue une irrégularité qui expose au délit d’entrave et peut faire suspendre le projet en référé. Le CSE dispose par ailleurs d’un délai d’examen et, dans certains cas, de la possibilité de se faire assister d’un expert dont le financement obéit à des règles précises.
Cela dépend de ce qui lui avait été dit. Si l’interdiction figurait dans un texte régulièrement adopté et porté à sa connaissance, le manquement peut justifier une sanction disciplinaire proportionnée à la gravité. Même sans charte, la divulgation d’informations couvertes par le secret des affaires ou de données personnelles de clients reste un manquement à l’obligation de loyauté. La sanction s’apprécie alors sur ce terrain, plus étroit et plus difficile à établir pour l’employeur.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Modèles de langage, IA générative, deepfakes et règlement européen sur l’IA, expliqués sans hype ni panique.