Politique d’usage de l’IA en entreprise : modèle et guide
Voir un exemple de dossier rempli (gratuit, 32 pages) →
Neuf clauses, et le piège juridique qui rend la plupart de ces documents inopposables.
À jour au 14 septembre 2026 — Conformité & RGPD
Modèle prêt à compléter. Les neuf clauses décrites ci-dessous existent en modèle : vous saisissez vos informations, le document se met en forme, vous l’imprimez ou l’enregistrez en PDF. l’obtenir gratuitement — le modèle complet
Ou l’essayer d’abord : remplissez le formulaire, le document se compose sous vos yeux →
Une politique d’usage de l’IA utilisable tient sur une page et contient neuf clauses. Les voici, avec ce que chacune doit dire — et le piège juridique qui rend la plupart de ces documents inopposables.
Faites le point en 3 minutes
Dix questions, réponse immédiate, aucune adresse e-mail demandée et rien ne quitte ce site. Vous obtenez la liste de vos points à régler, dans l’ordre.
Ou consultez directement la check-list des 10 points, à cocher et à imprimer.
Pourquoi ce document, et pourquoi maintenant
L’article 4 de l’AI Act s’applique depuis le 2 février 2025 ; l’action des autorités nationales de surveillance est prévue depuis le 2 août 2026 et, en France, leur désignation n’est pas encore définitive. Cet article demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel.
Précision utile, parce qu’elle est souvent mal rapportée : le Digital Omnibus — règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026 — a réécrit cette obligation. Il s’agit désormais de favoriser le développement de la maîtrise de l’IA, sans obligation de garantir un niveau précis.
Ce qui n’a pas changé : l’obligation existe, et aucun standard de preuve n’est établi. C’est précisément ce qui rend une politique écrite intéressante : en l’absence de référentiel officiel, un document daté, diffusé et appliqué est la démonstration de bonne foi la moins coûteuse qui existe.
Charte, politique, note de service : le piège
Commençons par là, parce que c’est l’erreur qui rend inutile la majorité des documents de ce type.
Une « charte IA » qui se contente de recommander n’engage personne. Si vous voulez pouvoir sanctionner un manquement — et c’est tout l’intérêt du document —, vous entrez dans le champ du règlement intérieur.
En droit français, les notes de service qui portent des obligations générales et permanentes en matière de discipline sont considérées comme des adjonctions au règlement intérieur (article L.1321-5 du code du travail). Elles sont alors soumises à la même procédure : avis du CSE, publicité par tout moyen, communication à l’inspection du travail avec cet avis, entrée en vigueur un mois au moins après la publicité. Le dépôt au greffe du conseil de prud’hommes ne figure plus dans la loi depuis la loi n° 2026-403 du 26 mai 2026.
Ce que ça implique concrètement. Dans une entreprise de 50 salariés et plus, une politique IA comportant un volet disciplinaire doit suivre cette procédure pour être opposable. Sautez-la, et la clause de sanction sera écartée le jour où vous en aurez besoin. Sous 50 salariés, le règlement intérieur est facultatif. Mais dès 11 salariés, s’il en existe un, une charte qui impose des obligations doit aussi recueillir l’avis du CSE ; sinon, suivre la même procédure reste le choix le plus prudent (voir Charte IA et CSE : faut-il le consulter, et comment ?). L’information individuelle des salariés reste nécessaire dans tous les cas.
La solution pratique est de séparer les deux registres : un document de cadrage et de formation, diffusé simplement, et un volet disciplinaire court intégré au règlement intérieur selon la procédure.
Les neuf clauses
1. Objet et champ d’application
Qui est concerné : l’ensemble du personnel quel que soit le contrat, stagiaires et intervenants extérieurs inclus. Mentionnez le fondement : article 4 du règlement (UE) 2024/1689 modifié, et obligation générale de sécurité des traitements.
2. Outils autorisés
La liste, avec l’offre précisée — la version entreprise de l’outil, et pas seulement son nom. C’est la nuance décisive : seules les offres professionnelles encadrent contractuellement la non-réutilisation de vos données. Et posez le principe inverse : tout outil non listé est interdit par défaut, y compris en version gratuite.
3. Données dont la transmission est interdite
Trois catégories, avec des exemples tirés de votre activité réelle :
les données personnelles — noms, coordonnées, CV, dossiers de salariés, données de santé, clients identifiables ;
les secrets d’affaires — tarifs, marges, contrats, code source, stratégie, résultats non publiés ;
les données confiées par un client, dont vous n’êtes pas propriétaire.
Ajoutez la phrase qui évite le malentendu le plus fréquent : remplacer un nom par des initiales n’est pas une anonymisation, car le croisement d’une fonction, d’un lieu et d’une période suffit à réidentifier une personne.
4. Usages soumis à validation préalable
Au minimum tout ce qui touche au recrutement, à l’évaluation et à la gestion de carrière — domaines visés par l’annexe III, point 4, du règlement, où les systèmes d’IA sont en principe à haut risque, sauf exceptions de l’article 6, paragraphe 3, et dont le régime complet s’appliquera à partir du 2 décembre 2027.
5. Usages interdits
Indépendamment de toute autorisation interne, l’article 5 du règlement interdit la reconnaissance des émotions sur le lieu de travail à partir de données biométriques — sauf raisons médicales ou de sécurité —, la notation sociale, les techniques subliminales ou manipulatrices, l’exploitation de vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique, et la catégorisation biométrique fondée sur des données sensibles.
6. Obligation de relecture
Le point le plus utile au quotidien, et celui que les salariés retiennent. Graduez l’exigence selon la conséquence d’une erreur, pas selon la longueur du texte :
Interne, document de travail — relecture simple.
Interne, conservé — relecture attentive.
Transmis hors de l’entreprise — chaque fait, chiffre et référence vérifié.
Engageant l’entreprise — vérification complète et relecture par une seconde personne.
Ajoutez la phrase qui fait gagner le plus de temps à vos équipes : interroger l’outil sur sa propre fiabilité ne constitue pas une vérification. Vérifier, c’est consulter la source.
7. Responsable désigné et point de contact
Une personne nommée, une adresse interne. C’est la clause la plus souvent oubliée et la plus importante : une politique sans interlocuteur produit deux comportements, l’usage clandestin et le renoncement. Les deux vous coûtent. Précisez qu’un signalement rapide n’expose à aucune sanction.
8. Manquements
La clause disciplinaire — celle qui relève du règlement intérieur, voyez plus haut. Restez sobre et renvoyez à la procédure existante.
9. Révision
Au moins annuelle, et à chaque évolution réglementaire ou adoption d’un nouvel outil. Sur ce sujet, la date visible sur le document vaut une clause entière : elle démontre que le dispositif est vivant.
Les cinq erreurs qui rendent une politique inutile
Elle fait dix pages. Personne ne la lit, donc personne ne l’applique, donc elle ne démontre rien. Une page appliquée vaut dix pages ignorées.
Elle interdit tout. Une politique purement prohibitive pousse à l’usage clandestin, c’est-à-dire exactement au risque que vous cherchiez à réduire.
Elle ne nomme personne. Voyez la clause 7.
Elle n’a pas de date. Sans date visible, impossible de démontrer l’antériorité du dispositif — qui est précisément ce qui se défend.
Elle est rédigée mais pas diffusée. Un document dans un dossier partagé que personne n’a ouvert ne constitue pas une mesure. Gardez une trace de la diffusion.
Ce qu’une politique ne suffit pas à prouver
Soyons exact : un document seul ne démontre pas grand-chose. Ce qui constitue un dossier défendable, c’est la réunion de trois pièces :
la politique écrite et diffusée — le cadre ;
les attestations de formation — la démonstration que l’obligation de l’article 4 a été prise au sérieux ;
le journal des usages sensibles — une trace montrant que la supervision humaine est exercée, et pas seulement déclarée.
Réunies, datées et cohérentes entre elles, ces trois pièces montrent la démarche engagée, en l’absence de standard officiel.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Écrire les neuf clauses demande une demi-journée et la connaissance de leur contenu exact. Le kit en propose un modèle au texte fixe, que vous complétez avec vos informations, avec les modèles du registre des systèmes d’IA, du journal des usages sensibles et de la note d’information au personnel.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Attestation de conformité AI Act : que répondre à un client qui la demande ? — ce qui existe vraiment, et les cinq pièces à envoyer à sa place.
Sources
Règlement (UE) 2024/1689 sur l’intelligence artificielle, articles 4, 5, 26 et annexe III, modifié par le règlement (UE) 2026/1744
Code du travail, article L.1321-5 — notes de service et adjonctions au règlement intérieur
Règlement (UE) 2016/679 (RGPD)
Gibson Dunn — Report des obligations du haut risque (Omnibus)
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
