Charte d'usage de l'IA en PME : modèle et étapes

Pourquoi une charte d'usage de l'IA est devenue indispensable en PME

Dans la plupart des PME belges, l'IA est déjà là, même si personne ne l'a décidé. Une assistante commerciale rédige ses réponses clients avec un assistant conversationnel gratuit. Un comptable colle un extrait de fichier dans un outil en ligne pour obtenir une synthèse. Un responsable marketing génère des visuels, un chef d'atelier résume un cahier des charges. Chacun agit de bonne foi, avec l'outil qu'il a sous la main, et personne ne sait exactement quelles données quittent l'entreprise ni qui relit ce qui est produit.

Ce phénomène a un nom : l'usage « sauvage » de l'IA. Il ne vient pas de la malveillance, il vient de l'absence de cadre. Une charte d'usage de l'IA en entreprise répond à un besoin simple : dire à vos collaborateurs, en deux ou trois pages lisibles, ce qui est permis, ce qui est interdit et ce qui exige une validation. Elle protège vos clients, vos données et votre réputation, mais elle rassure aussi vos équipes, qui savent enfin jusqu'où elles peuvent aller sans craindre de se tromper.

Le contexte réglementaire renforce cette nécessité. Selon Eurostat, 20,0 % des entreprises européennes de 10 salariés et plus utilisaient des technologies d'IA en 2025, contre 13,5 % un an plus tôt. L'usage le plus répandu est l'analyse de texte écrit (11,8 % des entreprises), précisément ce que font vos collaborateurs quand ils collent un email ou un contrat dans un outil. La diffusion est rapide, et elle précède presque toujours les règles internes.

Dans cet article, je vous propose une méthode concrète pour rédiger votre charte en une trentaine de jours : ce que le droit européen attend réellement de vous, les six rubriques à traiter, un squelette de document, et les erreurs à éviter. Si vous voulez d'abord situer votre entreprise, lisez aussi notre guide sur l'AI Act pour les PME belges, que cette charte complète sur le plan pratique.

Ce que l'AI Act exige vraiment de votre PME en 2026

Commençons par dissiper un malentendu fréquent : le règlement européen sur l'IA ne vous oblige pas à rédiger une charte. Il vous demande autre chose, et la charte est simplement le moyen le plus économique d'y répondre.

L'article 4 du règlement (UE) 2024/1689 porte sur la « littératie en IA » : les entreprises qui développent ou utilisent des systèmes d'IA doivent agir pour que leur personnel comprenne ce qu'il manipule. Cette disposition s'applique depuis le 2 février 2025. Elle a été assouplie en juillet 2026 : le règlement (UE) 2026/1744, dit « Omnibus IA », publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet, a transformé l'obligation de « garantir » un niveau suffisant de littératie en obligation de prendre des mesures pour soutenir son développement, d'après l'analyse du cabinet White & Case. Le même texte a repoussé les obligations des systèmes à haut risque au 2 décembre 2027 (systèmes de l'annexe III) et au 2 août 2028 (composants de sécurité de produits réglementés).

Deux points méritent votre attention. Premièrement, la Commission européenne précise dans sa foire aux questions sur la littératie en IA qu'aucun certificat n'est nécessaire et qu'aucune formation n'est imposée sous une forme précise : les organisations peuvent tenir un registre interne des formations et autres initiatives. Deuxièmement, les règles de supervision et de sanction s'appliquent depuis le 2 août 2026, par l'intermédiaire des autorités nationales de surveillance du marché. Autrement dit, « on verra plus tard » n'est plus une stratégie tenable.

Une conséquence pratique en découle. Pour démontrer que vous avez pris des mesures proportionnées, il vous faut des traces : un document de référence, une session d'information, un registre des participants. La charte d'usage constitue ce document de référence. Elle ne vous met pas à l'abri de tout, et elle ne remplace pas une analyse juridique de votre situation, mais elle prouve une démarche structurée, ce qui compte beaucoup plus qu'un dossier parfait que personne ne lit.

Un dernier rappel utile : certaines obligations de transparence (article 50) continuent de s'appliquer à partir du 2 août 2026, par exemple lorsque vous mettez à disposition du public un agent conversationnel. Si votre site utilise un chatbot, la charte doit prévoir comment l'utilisateur est informé qu'il parle à une machine.

Les six rubriques d'une charte d'usage de l'IA efficace

Une bonne charte tient en six rubriques. Chacune répond à une question que vos collaborateurs se posent déjà : quels outils, quelles données, qui relit, que dit-on à l'extérieur, que fait-on en cas de problème, et comment l'équipe apprend-elle.

Rubrique 1 : les outils autorisés, tolérés et interdits

Le cœur d'une charte efficace est une liste claire d'outils, classée en trois catégories. Cette approche « feu tricolore » est simple à comprendre et simple à faire respecter.

Les outils autorisés sont ceux que l'entreprise a évalués, paramétrés et, le cas échéant, payés : par exemple une version professionnelle d'un assistant conversationnel avec engagement contractuel de non-réutilisation des données pour l'entraînement des modèles. Pour chaque outil, la charte indique les usages couverts (rédaction, traduction, synthèse, analyse), le responsable de la configuration et le type de compte à utiliser. Les comptes personnels gratuits n'ont rien à faire dans cette catégorie.

Les outils tolérés sont acceptés pour des usages à faible risque uniquement, sans aucune donnée interne ni donnée personnelle : chercher des idées de titres, reformuler un texte public, expliquer un concept. L'intérêt de cette catégorie est d'éviter une interdiction totale que personne ne respecterait. Mieux vaut un cadre réaliste qu'une règle ignorée.

Les outils interdits sont ceux que vous ne pouvez pas évaluer ou dont les conditions d'utilisation sont inacceptables : extensions de navigateur inconnues qui lisent le contenu des pages, applications qui exigent l'accès à toute la boîte mail, services sans mention claire de l'hébergement des données.

Le point d'attention pour une PME est la maintenance de cette liste. Elle doit avoir un propriétaire (souvent le dirigeant ou la personne en charge de l'informatique) et une date de révision, trimestrielle au minimum, car l'offre d'outils évolue vite. Prévoyez aussi une procédure simple pour demander l'ajout d'un outil : un formulaire d'une page et une réponse sous une semaine suffisent à décourager le contournement. Pour comparer les assistants du marché avant de les classer, notre guide pour intégrer ChatGPT en entreprise détaille les critères de choix.

Rubrique 2 : quelles données peuvent entrer dans un outil d'IA

C'est la règle la plus importante de toute la charte, et celle qui prévient les incidents les plus coûteux. Il s'agit de définir trois niveaux de données et de dire, pour chacun, ce qui est permis.

Niveau vert : données publiques ou non sensibles. Texte d'un site web, communiqué de presse, brief marketing sans nom de client, question générale. Ces données peuvent entrer dans tous les outils autorisés et tolérés.

Niveau orange : données internes non personnelles. Procédures, tarifs, cahiers des charges, comptes rendus de réunion anonymisés. Elles ne peuvent entrer que dans les outils autorisés, c'est-à-dire ceux qui offrent des garanties contractuelles sur la confidentialité.

Niveau rouge : données personnelles, données de santé, données financières identifiables, secrets d'affaires, informations couvertes par un accord de confidentialité. Par défaut, elles n'entrent pas dans un outil d'IA, sauf validation écrite préalable et base légale vérifiée. C'est ici que le RGPD rejoint la charte : toute saisie de données personnelles dans un service tiers est un traitement, avec les obligations qui l'accompagnent. Notre article sur l'IA et le RGPD pour les PME belges détaille ce volet.

Un conseil de terrain : illustrez chaque niveau par trois exemples tirés de votre activité. Un artisan citera un devis nominatif (rouge), une grille de prix fournisseur (orange) et la description d'un chantier type sans adresse (vert). Une règle abstraite se retient mal ; un exemple reconnaissable se retient. Ajoutez une phrase de bon sens que chacun peut appliquer en dix secondes : « en cas de doute, je traite comme si c'était rouge ». Pour la partie technique de la protection (accès, hébergement, journalisation), reportez-vous à notre guide sur la sécurité des données avec l'IA.

Rubrique 3 : la validation humaine, ou qui répond du résultat

Un outil d'IA produit un texte plausible, pas un texte vrai. Il peut inventer une référence juridique, se tromper sur un chiffre ou reprendre un ton inadapté. La charte doit donc fixer un principe non négociable : la personne qui utilise un résultat en est responsable, comme si elle l'avait écrit elle-même.

Pour rendre ce principe opérationnel, proposez une échelle de relecture en fonction de l'enjeu. Un brouillon interne que personne d'extérieur ne verra demande une relecture rapide. Un email à un client demande une relecture attentive du fond et du ton. Un document engageant juridiquement l'entreprise (contrat, offre ferme, courrier officiel) ou financièrement (chiffres transmis à une banque ou un comptable) demande une relecture par une seconde personne compétente, et une vérification des sources. Les décisions qui affectent des personnes, en particulier en matière de ressources humaines, ne se prennent jamais sur la seule base d'une sortie d'IA.

Ajoutez trois réflexes à inscrire noir sur blanc : vérifier tout chiffre, toute date et toute citation avant de les reprendre ; ne jamais présenter comme certain un contenu dont on ne peut pas retracer la source ; signaler en interne une erreur détectée, afin que l'équipe apprenne collectivement.

Voici un exemple volontairement hypothétique, qui n'est tiré d'aucun client : une PME de services envoie une offre dont le délai a été « reformulé » par un assistant, qui a transformé « sous réserve de disponibilité » en engagement ferme de livraison sous dix jours. Personne ne l'a relue, car le texte semblait correct. La règle de double lecture sur les documents engageants aurait suffi à détecter l'écart. Ce genre de situation ne relève pas de l'exception : c'est le risque ordinaire d'un usage non encadré.

Rubrique 4 : transparence envers les clients, partenaires et collaborateurs

Une charte ne regarde pas seulement vers l'intérieur. Elle précise aussi ce que vous dites à l'extérieur sur votre usage de l'IA, ce qui participe de la confiance et, dans certains cas, de la conformité.

Prévoyez d'abord un principe général : vous ne cachez pas l'usage de l'IA lorsque l'interlocuteur est en droit de le connaître. Si un agent conversationnel répond aux visiteurs de votre site ou à vos clients, il doit se présenter comme tel. Si des contenus générés sont publiés (images, vidéos, textes d'information), vérifiez les obligations de marquage qui s'appliquent à votre situation et, au minimum, évitez toute présentation trompeuse, par exemple un « témoignage » ou une « photo » qui ne correspond à aucune réalité. Les avis clients, en particulier, ne doivent jamais être inventés ou rédigés par une machine pour paraître authentiques.

Prévoyez ensuite l'information de vos équipes. Dites clairement quels outils sont utilisés, pour quoi, et ce qui est (ou non) journalisé. Si un outil d'IA intervient dans l'organisation du travail, les plannings ou l'évaluation, les règles du droit social et la consultation des représentants du personnel là où elle est requise doivent être vérifiées avant déploiement : cette question dépasse le cadre d'une charte et justifie un avis juridique spécifique.

Enfin, anticipez les demandes de vos clients grands comptes. De plus en plus de donneurs d'ordre posent des questions sur l'usage de l'IA dans leurs questionnaires fournisseurs : quels outils, quelles données, quelle supervision. Une charte à jour vous permet de répondre en une journée plutôt qu'en deux semaines, et de transformer une contrainte en argument commercial. Elle fait de votre PME un partenaire plus crédible qu'un concurrent qui improvise.

Rubrique 5 : incidents, signalement et responsabilités

Aucune charte ne supprime le risque ; elle organise la réaction. Définissez ce qu'est un incident d'IA dans votre entreprise : une donnée confidentielle saisie dans un outil non autorisé, un contenu erroné envoyé à un client, un résultat discriminatoire, une fuite suspectée, un comportement anormal d'un agent automatisé.

Pour chaque type d'incident, la charte indique trois choses : à qui le signaler (une personne nommée, avec un suppléant), dans quel délai (idéalement le jour même) et ce qui se passe ensuite (évaluation, correction, information éventuelle des personnes concernées). L'ambiance dans laquelle s'effectue le signalement compte autant que la procédure : si le collaborateur qui avoue une erreur est sanctionné, les prochaines erreurs resteront cachées. Écrivez explicitement que le signalement de bonne foi n'entraîne pas de sanction, sauf en cas de violation délibérée et répétée de la charte.

Désignez aussi un référent IA. Dans une PME, ce n'est pas un nouveau poste : c'est un rôle confié à une personne qui tient la liste des outils, répond aux questions, centralise les incidents et organise les sessions d'information. Ses coordonnées figurent dans la charte. Dans une très petite structure, ce référent peut être le dirigeant lui-même.

Précisez enfin la portée de la charte : elle s'applique aux salariés, mais aussi aux indépendants, stagiaires et prestataires qui travaillent avec vos outils ou vos données. Un sous-traitant qui utilise un assistant pour traiter vos fichiers sans vous le dire crée un risque que vous portez. Prévoyez donc une clause à intégrer dans vos contrats ou vos bons de commande.

Rubrique 6 : formation, registre et révision

La charte ne vaut que si elle est comprise. C'est ici que se rejoignent le texte de l'article 4 et le quotidien de votre équipe : vous démontrez vos mesures par des actions de sensibilisation adaptées aux rôles.

Une approche proportionnée pour une PME tient en trois temps. D'abord une session de présentation de 60 à 90 minutes pour tous, avec des cas concrets tirés de l'entreprise (ce qu'on peut coller, ce qu'on ne colle jamais, comment relire). Ensuite, des compléments ciblés pour les fonctions exposées : un atelier pour les personnes qui traitent des données de clients ou de salariés, un autre pour celles qui rédigent des offres, un troisième pour la direction sur les risques et les responsabilités. Enfin, un rappel court, deux fois par an, intégré à une réunion existante. Notre article sur la formation des équipes à l'adoption de l'IA développe les formats qui fonctionnent le mieux.

Tenez un registre simple : date, contenu, participants, support utilisé. Un tableau suffit, et il correspond à ce que la Commission décrit comme un registre interne. Conservez aussi les versions successives de la charte, avec leur date et la raison des changements.

Fixez enfin la révision : au moins une fois par an, et à chaque changement important (nouvel outil, nouveau type de données, évolution réglementaire). Le règlement lui-même a déjà évolué en 2026 ; une charte figée devient vite fausse. Inscrivez la date de la prochaine revue dans le document pour qu'elle ne dépende de la mémoire de personne.

Un squelette de charte et un plan sur 30 jours

Voici une structure type, que vous pouvez adapter. Elle tient en deux à trois pages : objet et champ d'application ; principes généraux (utilité, responsabilité, prudence) ; liste des outils autorisés, tolérés et interdits ; règles sur les données (vert, orange, rouge, avec exemples) ; validation humaine selon l'enjeu ; transparence interne et externe ; incidents et référent IA ; formation et registre ; révision et date d'entrée en vigueur ; signature ou accusé de lecture.

Pour la mise en place, un calendrier réaliste sur quatre semaines suffit pour une PME de quelques dizaines de personnes.

Semaine 1 : cartographier. Interrogez vos équipes, sans jugement, sur les outils utilisés et les tâches concernées. L'objectif est de constater la situation réelle, pas de chercher des coupables. Vous découvrirez presque toujours des usages que vous ignoriez, et souvent de bonnes idées à généraliser.

Semaine 2 : décider. Classez les outils, définissez les trois niveaux de données, nommez le référent, choisissez les règles de relecture. Faites valider le projet par la direction et, si possible, par un conseil juridique pour les points sensibles (données personnelles, droit social).

Semaine 3 : rédiger et tester. Écrivez la charte dans un langage simple, puis soumettez-la à deux ou trois collaborateurs de métiers différents. Si une règle suscite des questions, elle est trop floue : reformulez-la.

Semaine 4 : former et déployer. Organisez la session de présentation, recueillez les accusés de lecture, ouvrez le canal de questions et notez la date de la première révision.

Ce plan ne demande pas de budget logiciel. Il demande surtout du temps de direction et de la constance. Et s'il vous manque l'un ou l'autre, c'est précisément le moment de vous faire accompagner : chez Aïves Consulting, nous aidons des PME wallonnes et bruxelloises à auditer leurs usages et à poser ce cadre, dans le cadre de nos missions de conseil et stratégie IA.

Les erreurs à éviter, et par où commencer

Quatre erreurs reviennent souvent. La première est de copier une charte de grand groupe : trente pages de jargon que personne ne lit, sans lien avec votre quotidien. Mieux vaut un texte court que l'on applique qu'un texte long que l'on ignore. La deuxième est de tout interdire : l'interdiction totale pousse l'usage dans l'ombre, hors de tout contrôle, et vous prive des gains réels que l'IA peut apporter. La troisième est de rédiger sans consulter les équipes : une charte imposée d'en haut sera contournée, alors qu'une charte construite avec les utilisateurs sera défendue par eux. La quatrième est de ne jamais la mettre à jour, alors que les outils, les prix et les règles changent plusieurs fois par an. Pour d'autres pièges classiques, voyez notre analyse des erreurs d'intégration de l'IA en entreprise.

Gardez enfin à l'esprit les limites de cet article : il propose une méthode de travail, pas un avis juridique. Les obligations précises dépendent de vos outils, de vos données et de votre secteur, et la réglementation européenne évolue : vérifiez toujours les textes en vigueur et, pour les cas délicats, consultez un juriste.

Par où commencer cette semaine ? Prenez une heure, listez les outils d'IA que vos collaborateurs utilisent déjà, et demandez-vous pour chacun : quelles données y entrent, et qui relit ce qui en sort ? Les réponses vous donneront la moitié de votre charte. Si vous souhaitez un regard extérieur ou un accompagnement pour la rédiger et former vos équipes, contactez-nous pour un premier échange, ou découvrez l'ensemble de nos services et notre approche de l'intégration de l'IA en PME.