En 2025, 26 % des TPE et PME françaises déclaraient utiliser l'intelligence artificielle, contre 13 % un an plus tôt (France Num, baromètre 2025) — un doublement en douze mois, confirmé par Bpifrance qui mesure 55 % de TPE-PME utilisatrices d'IA générative fin 2025 (note de conjoncture, janvier 2026). Au même moment, seuls 43 % des dirigeants de PME et ETI déclaraient disposer d'une stratégie IA structurée (Bpifrance Le Lab, juin 2025), et une part bien plus faible encore a mis par écrit le premier document qui transforme un usage subi en pratique gouvernée : une charte IA. Le paradoxe est là — l'usage progresse deux fois plus vite que le cadre censé l'encadrer. Et quand on cherche un modèle, on ne trouve en ligne que des chartes de ministères, d'universités ou de collectivités, écrites pour des administrations, pas pour une PME de cinquante personnes. Cet article documente ce qu'est réellement une charte IA, les huit clauses qui comptent pour une PME ou une ETI, la méthode pour la rédiger en quelques jours, et la façon dont elle s'articule avec l'AI Act.
Charte IA : de quoi parle-t-on, exactement ?
Une charte IA est un document interne, propre à chaque organisation, qui fixe les règles d'usage de l'intelligence artificielle : quels outils sont autorisés, quelles données peuvent y entrer, qui valide quoi, et quelles responsabilités s'appliquent. Ce n'est ni un contrat, ni une politique de sécurité au sens strict — c'est le cadre de référence que tout collaborateur peut consulter pour savoir ce qu'il a le droit de faire avec ChatGPT, Copilot, Gemini ou n'importe quel autre outil.
Il faut la distinguer de deux objets voisins. Une charte éthique de l'IA — celle que publient les grands groupes ou les institutions — énonce des grands principes : transparence, non-discrimination, respect de la vie privée. Utile, mais abstrait : un commercial qui hésite à coller un fichier client dans un outil gratuit n'y trouvera aucune réponse. Une politique de gouvernance IA, à l'inverse, décrit l'organisation interne : comités, rôles, processus de validation des projets. La charte IA se situe entre les deux : elle est opérationnelle, courte, et s'adresse d'abord aux utilisateurs. C'est le document qui répond à la seule question qui compte au quotidien — « puis-je faire ça, et comment ? ».
C'est aussi, pour une PME ou une ETI, le premier livrable concret d'une démarche de gouvernance. On ne commence pas par un comité IA de douze personnes ou une plateforme de supervision à six chiffres. On commence par écrire, noir sur blanc, ce qui est autorisé et ce qui ne l'est pas — parce que ce document existe rarement, et que son absence coûte plus cher qu'on ne le croit.
Citation à retenir. Une charte IA ne dit pas à vos équipes ce qu'elles ont le droit de penser de l'IA. Elle leur dit ce qu'elles ont le droit d'en faire — et c'est précisément ce qui manque aujourd'hui.
Sur le terrain : ce que révèle l'adoption de 2026
Avant de poser une méthode, il vaut la peine d'écouter ceux qui observent le phénomène de l'intérieur cette année. Plusieurs constats convergents remontent des praticiens qui outillent la gouvernance de l'IA en entreprise.
Le premier est un chiffre qui donne la mesure du retard. Un observateur des risques de l'IA au travail, s'appuyant sur un panel de 2 000 salariés, relève que 49 % d'entre eux utilisent des outils d'IA que leur employeur n'a jamais approuvés — et que près de la moitié les ont directement connectés aux systèmes de l'entreprise, sans le moindre feu vert de la DSI. Le même praticien avance que seule une organisation sur quatre dispose d'une gouvernance IA formelle. Autrement dit : dans la grande majorité des structures, l'usage est massif et le cadre est absent. C'est exactement l'espace qu'une charte vient occuper.
Le deuxième constat porte sur la nature du problème. Un éditeur d'outils de gouvernance résume ce qu'il voit dans les entreprises qu'il accompagne : les collaborateurs utilisent déjà ChatGPT, Claude, Gemini et Copilot au quotidien, mais la plupart des sociétés n'ont aucune stratégie d'adoption réelle — et c'est ce vide qui laisse prospérer le shadow AI avant qu'il ne devienne un problème de sécurité, de conformité ou de budget. Le désordre n'est pas un excès de règles, c'est leur absence.
Le troisième vient du monde des petites structures, souvent les plus exposées parce que les moins outillées. Un praticien qui s'adresse aux dirigeants de TPE et PME décrit l'adoption de l'IA au travail comme un phénomène « sauvage et totalement dérégulé », et pose la question qui devrait ouvrir tout comité de direction : les données de votre entreprise sont-elles, en ce moment même, en train d'entraîner le modèle de quelqu'un d'autre ? Pour une organisation qui n'a ni juriste dédié ni RSSI, la charte est souvent le seul garde-fou réaliste.
Ces signaux pointent tous vers le même endroit : le problème n'est pas technologique, il est organisationnel. Les équipes ont adopté l'IA plus vite que l'entreprise n'a su la cadrer — et le rattrapage commence par un document.
Pourquoi une charte, plutôt qu'une note d'interdiction
La réaction réflexe d'un dirigeant qui découvre l'ampleur des usages est la note de service : « l'usage des outils d'IA non validés est interdit ». C'est compréhensible, et c'est contre-productif. Interdire ne supprime pas l'usage, cela le rend invisible : le collaborateur bascule sur son compte personnel, hors du réseau de l'entreprise, et vous perdez le peu de visibilité qui restait. Nous l'avons détaillé dans notre article sur pourquoi interdire le shadow AI ne marche pas — l'essentiel tient en une phrase : on ne gouverne pas un usage qu'on a poussé dans le noir.
Une charte fait l'inverse. Plutôt que de tout fermer, elle ouvre un chemin balisé : voici les outils que vous pouvez utiliser, voici les données que vous ne devez jamais y mettre, voici qui valide en cas de doute. Elle transforme une interdiction floue et contournée en une autorisation encadrée et suivie. La différence est décisive : une équipe qui sait ce qu'elle a le droit de faire n'a plus besoin de se cacher, et l'entreprise récupère la visibilité qu'elle avait perdue.
Il y a un second bénéfice, plus stratégique. Dans un marché où l'adoption double chaque année, geler l'usage par décret revient à choisir le retard face à des concurrents qui, eux, avancent. La charte permet de capter le gain de productivité tout en maîtrisant le risque — au lieu d'opposer les deux. C'est la position qu'une PME a intérêt à tenir : ni le laisser-faire, ni l'interdiction, mais l'usage cadré.
Ce que le cadre réglementaire impose déjà
On croit souvent qu'une charte IA est facultative. Juridiquement, aucun texte n'oblige nommément une entreprise à en publier une. Mais plusieurs obligations, elles bien réelles, rendent son absence difficile à tenir.
La première vient du règlement européen sur l'intelligence artificielle. Depuis février 2025, l'AI Act impose une exigence de littératie IA (article 4) : toute organisation qui déploie des systèmes d'IA doit s'assurer que les personnes qui les utilisent disposent d'un niveau de compréhension suffisant. Les obligations pour les modèles à usage général montent en puissance à partir du 2 août 2026. Nous avons cartographié ce qui s'applique concrètement aux PME et ETI : une charte est le moyen le plus simple de matérialiser cette littératie et de prouver qu'on a informé ses équipes.
La seconde vient du RGPD. Dès qu'un salarié saisit une donnée personnelle — un nom de client, un CV, un dossier — dans un outil dont le serveur est hors de l'Union européenne, il déclenche un traitement, souvent un transfert, qu'aucune base légale ne couvre. Le RGPD exige que l'entreprise maîtrise ses traitements ; or on ne peut pas encadrer ce qu'on ne connaît pas. La question de la souveraineté des données, que nous abordons dans notre analyse de la souveraineté numérique pour les PME et ETI, se joue ici, au niveau du geste quotidien : une clause de charte vaut mieux qu'un incident.
Citation à retenir. L'AI Act ne vous demande pas une charte. Il vous demande de prouver que vos équipes utilisent l'IA en connaissance de cause — et la charte est la façon la plus économique de le prouver.
Les 8 clauses d'une charte IA qui tient la route
Une charte utile est courte et concrète. Voici les huit clauses qui, pour une PME ou une ETI, font la différence entre un document que personne ne lit et un cadre que les équipes appliquent.
1. Le périmètre et les outils autorisés. La clause la plus importante, et souvent la plus oubliée. Établissez une liste claire : outils validés (comptes professionnels, conditions lues), outils tolérés sous conditions, outils proscrits. Précisez la règle de base — un compte professionnel de l'entreprise, jamais un compte personnel gratuit pour un usage professionnel.
2. Les données interdites en entrée. Nommez explicitement ce qui ne doit jamais être saisi dans un outil d'IA grand public : données personnelles de clients ou de salariés, informations financières non publiques, code source propriétaire, contrats et secrets d'affaires, données de santé. Une liste concrète vaut mille principes abstraits.
3. La confidentialité et le non-entraînement. Exigez que les outils utilisés pour des données professionnelles offrent une option de non-réutilisation des saisies pour l'entraînement, et privilégiez un hébergement européen dès que la donnée est sensible. C'est la clause qui répond directement à la question « nos données entraînent-elles le modèle d'un autre ? ».
4. La vérification humaine et la responsabilité. Posez le principe : l'IA propose, l'humain décide. Aucune décision engageante — un prix, un recrutement, un courrier client, une écriture comptable — ne repose sur une sortie d'IA non relue. Et désignez clairement qui reste responsable de la décision : la personne, jamais l'outil.
5. La transparence et la traçabilité. Précisez quand un contenu produit avec l'aide de l'IA doit être signalé, en interne comme vis-à-vis des clients. L'enjeu n'est pas de tout étiqueter, mais d'éviter qu'un livrable sensible passe pour un travail humain vérifié alors qu'il ne l'est pas.
6. La conformité RGPD et AI Act. Rappelez les obligations qui s'imposent déjà : base légale des traitements, encadrement des transferts hors UE, exigence de littératie. Cette clause ancre la charte dans le droit et lui donne son poids.
7. Les usages encouragés. Une charte qui ne fait qu'interdire pousse au shadow AI. Consacrez une section à ce qui est bienvenu : synthèse de documents non sensibles, brouillons, aide à la rédaction, analyse de données anonymisées. Dire ce qui est permis est aussi important que dire ce qui ne l'est pas.
8. La gouvernance vivante. Désignez un référent IA, prévoyez une revue au moins trimestrielle, et ouvrez un canal pour que les équipes proposent de nouveaux outils. Une charte figée est une charte morte : le marché des outils bouge trop vite pour qu'un document écrit une fois pour toutes reste pertinent six mois.
Ces huit clauses tiennent en deux à quatre pages. C'est la bonne longueur : assez pour couvrir le réel, assez court pour être lu.
Comment écrire votre charte IA en quelques jours
La plupart des chartes ratées le sont pour une raison de méthode : on part des grands principes, du haut vers le bas, en recopiant un modèle trouvé en ligne. La démarche qui fonctionne fait l'inverse — elle part des usages réels, du terrain vers la règle. C'est l'approche bottom-up que nous appliquons dans toutes nos missions, et elle se déroule en cinq temps.
Cartographier les usages réels — un à deux jours. Avant d'écrire la moindre règle, il faut savoir ce que font vraiment les équipes, shadow AI compris. Un tour des départements, quelques entretiens honnêtes (sans posture de contrôle), et l'on découvre en général que l'IA est déjà partout — et que les usages à risque ne sont pas ceux qu'on imaginait.
Classer les données par sensibilité. Trois niveaux suffisent le plus souvent : donnée publique ou anodine, donnée interne, donnée confidentielle ou personnelle. Cette grille détermine mécaniquement ce qui peut aller dans quel outil.
Définir la liste d'outils et les règles par niveau. On croise les usages cartographiés et les niveaux de données pour produire les clauses 1 à 3. C'est ici que la charte devient concrète : des noms d'outils, pas des catégories abstraites.
Écrire court. Deux à quatre pages, un langage compréhensible par un non-juriste, des exemples. Une charte de trente pages en style contractuel ne sera pas lue, donc pas appliquée.
Former, faire signer, nommer un référent. Une charte ne vaut que si elle est portée. Une session courte pour l'expliquer, une signature ou un accusé de lecture, et un référent identifié à qui poser ses questions. C'est aussi ce qui matérialise l'exigence de littératie de l'AI Act — raison de plus pour coupler la charte à un plan d'acculturation des équipes.
Chez Nymphar.AI, ce travail se cadre en atelier : une journée pour cartographier, prioriser et poser l'ossature de la charte sur votre cas réel, plutôt que sur un modèle générique. C'est exactement l'objet de notre démarche d'audit et de cadrage IA — la charte n'est pas un livrable isolé, c'est la première brique d'une gouvernance qui tient.
Citation à retenir. Une bonne charte ne se copie pas, elle se dérive de vos usages. C'est pour ça qu'un modèle de ministère ne protégera jamais une PME : il répond à des risques qui ne sont pas les vôtres.
Les erreurs qui rendent une charte inutile
Cinq pièges reviennent, et chacun suffit à vider une charte de sa valeur.
Copier une charte d'administration ou d'université. C'est le réflexe le plus courant, et le plus contre-productif. Ces chartes sont écrites pour des contextes — service public, recherche, enseignement — dont les risques et les usages n'ont rien à voir avec ceux d'une entreprise commerciale. Le vocabulaire est le même, les enjeux sont différents.
Ne faire qu'interdire. Une charte 100 % défensive envoie un message simple aux équipes : débrouillez-vous ailleurs. Elle produit exactement le shadow AI qu'elle prétend combattre. La clause « usages encouragés » n'est pas un supplément, c'est une condition de survie du document.
Rédiger un texte juridique illisible. Trente pages de conditions générales que personne n'ouvre ne protègent personne. La charte doit être écrite pour être lue par un commercial, un comptable, un chef de chantier — pas par un avocat.
Signer puis oublier. Une charte sans référent, sans revue, sans canal de remontée devient obsolète en un trimestre. Les outils changent, les usages aussi. La gouvernance vivante (clause 8) n'est pas optionnelle.
Écrire une charte déconnectée des outils fournis. Interdire les comptes gratuits sans proposer d'alternative professionnelle, c'est garantir le contournement. La charte doit s'accompagner d'un accès à des outils officiels au moins aussi bons que ceux que les équipes utilisent en douce — sinon elle reste lettre morte.
Combien ça coûte, en combien de temps voit-on un effet ?
Une charte IA est-elle obligatoire ?
Non, aucun texte ne l'impose nommément. Mais l'AI Act exige une littératie IA et le RGPD une maîtrise des traitements : dans les faits, une charte est le moyen le plus simple et le moins coûteux de satisfaire ces deux obligations et de prouver sa diligence en cas de contrôle ou d'incident.
Combien de temps pour rédiger une charte IA ?
En méthode bottom-up, quelques jours suffisent pour une PME : un à deux jours de cartographie, autant pour la rédaction et la validation. C'est l'approche top-down — comité, cabinet, allers-retours juridiques sur plusieurs mois — qui fait durer les choses, souvent pour un résultat moins appliqué parce que déconnecté du terrain.
Qui doit rédiger la charte IA ?
Pas le seul service juridique. Une charte qui tient associe la direction (qui arbitre), la DSI ou le référent technique (qui connaît les outils et les risques), et les métiers (qui connaissent les usages réels). Un petit groupe pluridisciplinaire, réuni une journée, produit un meilleur document qu'un juriste isolé — parce que la matière première, ce sont les usages, pas les principes.
Quant au coût, il tient d'abord au temps interne mobilisé. Un cadrage accompagné représente l'équivalent d'un atelier ; c'est sans commune mesure avec le coût d'un incident de fuite de données ou d'une sanction RGPD. La vraie économie n'est pas dans le prix de la charte, elle est dans les risques qu'elle évite.
La charte n'est pas une fin : gouverner dans la durée
Écrire la charte est le début, pas la conclusion. Le marché des outils d'IA évolue trop vite pour qu'un document rédigé une fois reste juste. Ce qui fait tenir une gouvernance, c'est la boucle : cartographier, cadrer, former, revoir — et recommencer à mesure que de nouveaux usages apparaissent.
C'est pourquoi, chez Nymphar.AI, nous ne traitons pas la charte comme un livrable unique mais comme la première pierre d'un accompagnement continu. L'atelier de cadrage pose l'ossature ; les points réguliers font vivre le cadre au rythme des usages, mois par mois ; et quand une question précise surgit — un nouvel outil, une exigence de conformité, un incident — un expert disponible tranche sans qu'il faille lancer un projet entier. Le lecteur retiendra surtout ceci : une charte n'a de valeur que reliée à une gouvernance qui la fait respecter et évoluer. Le document rassure ; c'est la pratique qui protège.
Pour une PME ou une ETI, la bonne nouvelle est que le point de départ est modeste. Pas besoin d'un comité de douze personnes ni d'une plateforme à six chiffres : une journée pour cartographier vos usages, deux à quatre pages pour poser les règles, un référent pour les faire vivre. Le reste se construit au fil de l'eau — et c'est précisément ce qui rend la démarche accessible aujourd'hui, sans attendre que l'IA soit devenue, faute de cadre, un risque qu'on ne voit plus.
Sources signaux terrain : observations de praticiens de la gouvernance IA et de la sécurité en entreprise, juin-juillet 2026 (liens dans le corps de l'article). Données de marché : France Num (baromètre 2025), Bpifrance Le Lab (juin 2025) et Bpifrance note de conjoncture (janvier 2026), Commission européenne (AI Act).
