Politique d'usage de l'IA en entreprise : modèle et guide
Neuf clauses, et le piège juridique qui rend la plupart de ces documents inopposables.
À jour au 14 septembre 2026 — Conformité & RGPD
Une politique d’usage de l’IA utilisable tient sur une page et contient neuf clauses. Les voici, avec ce que chacune doit dire — et le piège juridique qui rend la plupart de ces documents inopposables.
Pourquoi ce document, et pourquoi maintenant
L’article 4 de l’AI Act s’applique depuis le 2 février 2025, et les autorités nationales en surveillent le respect depuis août 2026. Cet article impose à l’employeur une obligation relative à la compétence de ses équipes face à l’IA.
Précision utile, parce qu’elle est souvent mal rapportée : le Digital Omnibus — règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026 — a transformé cette obligation de résultat en obligation de moyens. Il s’agit désormais de promouvoir le développement de la littératie IA, non de garantir un niveau suffisant.
Ce qui n’a pas changé : l’obligation existe, elle est contrôlée, et aucun standard de preuve n’est établi. C’est précisément ce qui rend une politique écrite intéressante : en l’absence de référentiel officiel, un document daté, diffusé et appliqué est la démonstration de bonne foi la moins coûteuse qui existe.
Charte, politique, note de service : le piège
Commençons par là, parce que c’est l’erreur qui rend inutile la majorité des documents de ce type.
Une « charte IA » qui se contente de recommander n’engage personne. Si vous voulez pouvoir sanctionner un manquement — et c’est tout l’intérêt du document —, vous entrez dans le champ du règlement intérieur.
En droit français, les notes de service qui portent des obligations générales et permanentes en matière de discipline sont considérées comme des adjonctions au règlement intérieur (article L.1321-5 du code du travail). Elles sont alors soumises à la même procédure : consultation des représentants du personnel, communication à l’inspection du travail, dépôt au greffe du conseil de prud’hommes.
Ce que ça implique concrètement. Dans une entreprise de 50 salariés et plus, une politique IA comportant un volet disciplinaire doit suivre cette procédure pour être opposable. Sautez-la, et la clause de sanction sera écartée le jour où vous en aurez besoin. Sous 50 salariés, la contrainte est plus légère, mais l’information individuelle des salariés reste nécessaire.
La solution pratique est de séparer les deux registres : un document de cadrage et de formation, diffusé simplement, et un volet disciplinaire court intégré au règlement intérieur selon la procédure.
Les neuf clauses
1. Objet et champ d’application
Qui est concerné : l’ensemble du personnel quel que soit le contrat, stagiaires et intervenants extérieurs inclus. Mentionnez le fondement : article 4 du règlement (UE) 2024/1689 modifié, et obligation générale de sécurité des traitements.
2. Outils autorisés
La liste, avec l’offre précisée — la version entreprise de l’outil, et pas seulement son nom. C’est la nuance décisive : seules les offres professionnelles encadrent contractuellement la non-réutilisation de vos données. Et posez le principe inverse : tout outil non listé est interdit par défaut, y compris en version gratuite.
3. Données dont la transmission est interdite
Trois catégories, avec des exemples tirés de votre activité réelle :
les données personnelles — noms, coordonnées, CV, dossiers de salariés, données de santé, clients identifiables ;
les secrets d’affaires — tarifs, marges, contrats, code source, stratégie, résultats non publiés ;
les données confiées par un client, dont vous n’êtes pas propriétaire.
Ajoutez la phrase qui évite le malentendu le plus fréquent : remplacer un nom par des initiales n’est pas une anonymisation, car le croisement d’une fonction, d’un lieu et d’une période suffit à réidentifier une personne.
4. Usages soumis à validation préalable
Au minimum tout ce qui touche au recrutement, à l’évaluation et à la gestion de carrière — usages classés à haut risque par l’annexe III du règlement, dont le régime complet s’appliquera à partir du 2 décembre 2027.
5. Usages interdits
Indépendamment de toute autorisation interne, l’article 5 du règlement interdit l’analyse des émotions sur le lieu de travail — sauf motif médical ou de sécurité —, la notation sociale, la manipulation subliminale, l’exploitation de vulnérabilités liées à l’âge ou au handicap, et la catégorisation biométrique sur données sensibles.
6. Obligation de relecture
Le point le plus utile au quotidien, et celui que les salariés retiennent. Graduez l’exigence selon la conséquence d’une erreur, pas selon la longueur du texte :
Interne, document de travail — relecture simple.
Interne, conservé — relecture attentive.
Transmis hors de l’entreprise — chaque fait, chiffre et référence vérifié.
Engageant l’entreprise — vérification complète et relecture par une seconde personne.
Ajoutez la phrase qui fait gagner le plus de temps à vos équipes : interroger l’outil sur sa propre fiabilité ne constitue pas une vérification. Vérifier, c’est consulter la source.
7. Responsable désigné et point de contact
Une personne nommée, une adresse interne. C’est la clause la plus souvent oubliée et la plus importante : une politique sans interlocuteur produit deux comportements, l’usage clandestin et le renoncement. Les deux vous coûtent. Précisez qu’un signalement rapide n’expose à aucune sanction.
8. Manquements
La clause disciplinaire — celle qui relève du règlement intérieur, voyez plus haut. Restez sobre et renvoyez à la procédure existante.
9. Révision
Au moins annuelle, et à chaque évolution réglementaire ou adoption d’un nouvel outil. Sur ce sujet, la date visible sur le document vaut une clause entière : elle démontre que le dispositif est vivant.
Les cinq erreurs qui rendent une politique inutile
Elle fait dix pages. Personne ne la lit, donc personne ne l’applique, donc elle ne démontre rien. Une page appliquée vaut dix pages ignorées.
Elle interdit tout. Une politique purement prohibitive pousse à l’usage clandestin, c’est-à-dire exactement au risque que vous cherchiez à réduire.
Elle ne nomme personne. Voyez la clause 7.
Elle n’a pas de date. Sans date visible, impossible de démontrer l’antériorité du dispositif — qui est précisément ce qui se défend.
Elle est rédigée mais pas diffusée. Un document dans un dossier partagé que personne n’a ouvert ne constitue pas une mesure. Gardez une trace de la diffusion.
Ce qu’une politique ne suffit pas à prouver
Soyons exact : un document seul ne démontre pas grand-chose. Ce qui constitue un dossier défendable, c’est la réunion de trois pièces :
la politique écrite et diffusée — le cadre ;
les attestations de formation — la démonstration que l’obligation de l’article 4 a été prise au sérieux ;
le journal des usages sensibles — la preuve que la supervision humaine est effective et non déclarative.
Réunies, datées et cohérentes entre elles, ces trois pièces sont ce qui se défend le mieux en l’absence de standard officiel.
Le kit de conformité — 199 €
Écrire les neuf clauses demande une demi-journée et la connaissance de leur contenu exact. Le kit les génère à votre nom en dix minutes, et produit les deux autres pièces du dossier.
Vous renseignez votre raison sociale et la liste de vos outils. Le kit classe chaque usage — interdit, haut risque, risque limité, risque minimal — puis génère votre politique d’usage de l’IA avec les neuf clauses remplies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
À lire ensuite
Sources
Règlement (UE) 2024/1689 sur l’intelligence artificielle, articles 4, 5, 26 et annexe III, modifié par le règlement (UE) 2026/1744
Code du travail, article L.1321-5 — notes de service et adjonctions au règlement intérieur
Règlement (UE) 2016/679 (RGPD)
Gibson Dunn — Report des obligations du haut risque (Omnibus)
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
Recevez les prochains articles par email. Un article par semaine sur l'IA, le RGPD et l'AI Act en entreprise, gratuit : s'abonner à IA en Règle.
Commentaires
Enregistrer un commentaire