Charte IA générative en PME : modèle, bonnes pratiques et sensibilisation des équipes

Des usages déjà installés, rarement encadrés

34 % des TPE-PME utilisent l'IA pour générer du texte, de la voix ou des images, alors que 19 % seulement paient une solution d'IA (Baromètre France Num 2026). Une part importante des usages passe donc vraisemblablement par des comptes gratuits, souvent personnels, que l'entreprise ne paramètre pas et ne voit pas.

Utiliser l'IA générative en PME sans cadre revient à laisser chaque salarié décider seul de ce qu'il peut confier à un service tiers. La charte remet cette décision au niveau de l'entreprise.

Quatre risques à traiter

• Confidentialité des données. Un devis, un contrat, un fichier client ou un bulletin de paie collé dans un compte grand public sort du périmètre de l'entreprise. Selon l'offre et les réglages, ces contenus peuvent être conservés, relus ou utilisés pour améliorer les modèles.
• Erreurs factuelles. Un modèle génératif produit un texte plausible, sans garantie d'exactitude : chiffres inventés, références inexistantes, clauses approximatives. La CNIL demande aux utilisateurs de garder un regard critique sur les résultats (CNIL).
• Droit d'auteur. Un contenu généré peut reprendre des éléments protégés, et la protection d'un contenu produit sans réel apport humain reste incertaine. Pour les livrables sensibles (logo, texte publié, code), le point est à vérifier avec votre conseil.
• Données personnelles. Dès qu'une requête contient des données de clients, de salariés ou de candidats, le RGPD s'applique comme pour tout autre traitement.

Les risques de Gemini en PME illustrent bien l'écart entre comptes personnels et comptes professionnels. Pour l'application Gemini grand public, Google indique qu'une partie des conversations est relue par des réviseurs humains et demande de ne pas y saisir d'informations confidentielles (Aide Gemini, Google). Pour Gemini dans Google Workspace, Google indique à l'inverse que les contenus ne servent pas à entraîner les modèles en dehors du domaine de l'entreprise sans autorisation (Google Workspace, Privacy Hub). Le même écart existe chez d'autres éditeurs : Anthropic précise par exemple que les données de ses offres commerciales ne servent pas, par défaut, à entraîner ses modèles (Anthropic, Privacy Center). Ces conditions évoluent, relisez-les avant de trancher.

Ce que dit le cadre réglementaire

Deux précisions utiles. La Commission européenne indique qu'aucun certificat n'est exigé et qu'un registre interne des formations et autres initiatives permet de documenter la démarche ; le contrôle relève des autorités nationales de surveillance du marché (Commission européenne, questions-réponses sur la maîtrise de l'IA). Une charte accompagnée d'une sensibilisation répond de façon cohérente à ces attentes, sans valoir à elle seule mise en conformité : périmètre exact, sanctions et articulation avec votre règlement intérieur sont à vérifier avec votre conseil.

Sept rubriques suffisent pour couvrir les bonnes pratiques de l'IA générative en PME.

Les sept rubriques à prévoir

• Outils autorisés et comptes. La liste des outils validés, et l'obligation d'utiliser un compte fourni par l'entreprise.
• Données interdites. La liste précise de ce qui ne doit jamais être saisi.
• Vérification humaine. Qui relit, et ce qui doit être contrôlé avant diffusion.
• Transparence. Quand signaler qu'un contenu a été produit avec l'IA, en interne et auprès des clients.
• Propriété intellectuelle. Les précautions sur les contenus de tiers et sur les livrables.
• Référent interne. La personne à qui poser une question ou signaler un incident.
• Révision. La fréquence de mise à jour de la charte et de la liste d'outils.

Pour la première rubrique, le choix des outils et des offres mérite une comparaison posée, détaillée dans notre guide quelle IA choisir en entreprise entre ChatGPT, Claude et Gemini. Chez Cëlavie, on privilégie les réglages protecteurs : offres qui n'entraînent pas leurs modèles sur vos données, historique maîtrisé, hébergement dans l'Union européenne quand l'éditeur le propose. Ces réglages réduisent l'exposition ; la règle sur les données interdites reste nécessaire dans tous les cas.

Modèle de charte IA générative en une page

Ce modèle est à copier, à adapter à votre activité, puis à faire relire par votre conseil ou votre DPO.

• 1. Objet. Cette charte encadre l'usage des outils d'IA générative (texte, image, code, audio) par toute personne travaillant pour l'entreprise.
• 2. Outils autorisés. Seuls les outils listés en annexe sont autorisés pour un usage professionnel. Tout nouvel outil est soumis au référent IA avant utilisation.
• 3. Comptes. L'usage professionnel passe par les comptes fournis par l'entreprise. Les comptes personnels ou gratuits ne servent pas à traiter des informations de l'entreprise ou de ses clients.
• 4. Données interdites. Ne jamais saisir : données personnelles de clients, de salariés ou de candidats ; données de santé, bancaires ou d'identité ; mots de passe et clés d'accès ; contrats, devis et documents couverts par une clause de confidentialité ; informations financières ou stratégiques non publiques ; code source et fichiers clients, sauf outil expressément validé pour cet usage.
• 5. Anonymisation. En cas de doute, on remplace les noms, les montants et les éléments identifiants par des valeurs fictives avant de soumettre un texte.
• 6. Vérification humaine. Tout contenu généré est relu par son auteur, qui en reste responsable. Chiffres, citations, références juridiques et techniques sont vérifiés à la source avant diffusion.
• 7. Décisions. Aucune décision concernant une personne (recrutement, évaluation, sanction) n'est prise sur la seule base d'une réponse d'IA.
• 8. Transparence. L'usage de l'IA est signalé au responsable lorsqu'il porte sur un livrable client, et au client lorsque le contrat ou le contexte le demande.
• 9. Propriété intellectuelle. On ne demande pas à l'IA de reproduire une œuvre, une marque ou le style d'un auteur identifiable. Les contenus de tiers ne sont saisis que si l'on en a le droit.
• 10. Référent et incidents. Le référent IA (nom, contact) répond aux questions. Toute saisie par erreur de données interdites lui est signalée sans délai.
• 11. Révision. La charte et la liste d'outils sont revues tous les six mois et à chaque changement d'outil.

Une charte signée puis rangée ne change rien aux pratiques. La sensibilisation à l'IA générative en PME consiste à installer trois réflexes : choisir le bon compte, filtrer ce qu'on saisit, vérifier ce qu'on obtient.

• Étape 1. Faire l'état des lieux. Demandez à chaque équipe quels outils elle utilise, avec quels comptes et pour quelles tâches, sans chercher de coupable. Notre méthode d'audit IA pour PME fournit une checklist pour cet inventaire.
• Étape 2. Rédiger et faire valider la charte. Partez du modèle ci-dessus, adaptez la liste des données interdites à votre métier, puis faites relire le texte par votre conseil ou votre DPO. L'information des représentants du personnel et le lien avec votre charte informatique sont à vérifier avec votre conseil.
• Étape 3. Animer un atelier de lancement. Une session courte, en trois temps : comment fonctionnent ChatGPT, Claude et Gemini et pourquoi ils se trompent, ce que dit la charte, puis des cas pratiques tirés de vos métiers. La CNIL attend justement que les utilisateurs connaissent le fonctionnement et les limites de ces systèmes (CNIL).
• Étape 4. Distribuer des fiches réflexes par métier. Une demi-page par équipe : les usages recommandés, les données à ne pas saisir, un exemple de requête anonymisée.
• Étape 5. Tracer. Consignez les dates, les participants et les supports de chaque session dans un registre simple. C'est le type de trace que la Commission européenne suggère de conserver au titre de l'article 4.
• Étape 6. Réviser. Tous les six mois, le référent recueille les questions, met à jour la liste d'outils et fait un rappel rapide en réunion d'équipe.

Sensibilisation ChatGPT, Claude, Gemini : trois messages à faire passer

• Un compte personnel échappe aux réglages de l'entreprise : on n'y saisit rien qui appartienne à l'entreprise ou à ses clients.
• Une réponse d'IA est un brouillon : la personne qui l'envoie en reste l'auteur et le responsable.
• Un doute se remonte au référent, et une erreur signalée tôt se corrige mieux qu'une erreur cachée.

Après la charte

La charte fixe le cadre. Elle ne dit pas où l'IA crée le plus de valeur dans votre activité. Une fois les règles posées, l'étape suivante consiste à choisir deux ou trois cas d'usage prioritaires et à les déployer proprement : c'est l'objet de notre feuille de route pour intégrer l'IA en PME.

Une charte IA générative en PME tient en une page et en trois idées : des outils et des comptes choisis par l'entreprise, une liste claire de données à ne jamais saisir, une relecture humaine systématique. Ajoutez un référent, un atelier de sensibilisation et un registre des sessions, et vous disposez d'un cadre simple, cohérent avec les recommandations de la CNIL et avec l'article 4 de l'AI Act. Les points juridiques (RGPD, droit du travail, propriété intellectuelle) restent à valider avec votre conseil : cet article ne remplace pas un avis juridique.

Pour avancer dès maintenant, téléchargez notre kit gratuit Profil IA : il permet à l'IA de connaître votre contexte (activité, rôle, façon de travailler) et d'apporter des réponses plus pertinentes dès les premiers échanges.

Vous voulez une charte adaptée à vos outils et à vos métiers, ou un atelier de sensibilisation pour vos équipes ? Parlez-nous de votre projet.