# Charte d'utilisation de l'intelligence artificielle en entreprise (Modèle)

- **Organisation :** [Nom de l'entreprise]
- **Responsable de la charte :** [RSSI / DPO / Direction IT]
- **Version :** 1.0
- **Date de mise à jour :** [AAAA-MM-JJ]
- **Prochaine revue prévue :** [AAAA-MM-JJ]

## 1. Objet et périmètre

La présente charte définit les règles d'utilisation des assistants d'IA générative, copilotes, extensions navigateur et agents IA dans le cadre professionnel au sein de [Nom de l'entreprise]. Elle traduit nos obligations de protection des données au titre du RGPD ainsi que l'exigence de maîtrise de l'IA prévue à l'article 4 du Règlement européen sur l'IA (AI Act, Règlement (UE) 2024/1689).

Elle s'applique à l'ensemble des collaborateurs, prestataires, alternants et stagiaires, sur les postes gérés par l'entreprise comme sur tout équipement autorisé.

## 2. Outils IA approuvés et règles de compte

Seuls les outils inscrits au registre interne des outils IA peuvent être utilisés pour des tâches professionnelles, dans le strict respect du type de compte autorisé :

| Outil                           | Compte requis                            | Usages autorisés                                                    | Statut    |
| ------------------------------- | ---------------------------------------- | ------------------------------------------------------------------- | --------- |
| [ex. Microsoft 365 Copilot]     | Compte professionnel SSO uniquement      | Rédaction interne, synthèse de réunions, sites SharePoint autorisés | Approuvé  |
| [ex. ChatGPT Enterprise / Team] | Espace professionnel attribué uniquement | Aide à la rédaction, revue d'extraits non secrets, cas fictifs      | Approuvé  |
| [ex. Comptes IA personnels]     | Compte personnel ou session déconnectée  | Textes déjà publics uniquement ; aucune donnée interne ou client    | Restreint |

Il est interdit de créer un compte professionnel sur un nouvel outil IA ou de connecter un assistant de prise de notes, une extension navigateur ou une application OAuth à Google Workspace, Microsoft 365, Slack ou aux dépôts de code sans validation préalable de l'équipe IT / Sécurité.

## 3. Règles de classification des données (prompts et fichiers)

Évaluez chaque prompt, extrait copié ou fichier importé selon la donnée la plus sensible qu'il contient :

- **Vert (Autorisé sur les comptes professionnels approuvés) :** Contenus publics, documentation publiée, questions génériques de syntaxe et exemples entièrement fictifs.
- **Orange (Autorisé UNIQUEMENT dans les espaces Entreprise sous contrat sans entraînement de modèle externe, ou après pseudonymisation / masquage) :** Notes internes, indicateurs opérationnels non nominatifs et modèles nettoyés dont les noms, e-mails, IBAN et références clients ont été remplacés par des valeurs fictives.
- **Rouge (Strictement interdit hors dérogation écrite ; ne jamais coller de valeurs brutes) :** Données personnelles clients ou salariés (noms, e-mails, téléphones, numéros d'identité), données RH ou de santé, mots de passe, clés API, jetons de session, code source privé hors assistant de développement expressément autorisé, données financières non publiées, dossiers juridiques ou projets d'acquisition.

## 4. Agents IA connectés, applications OAuth et extensions navigateur

L'autorisation d'un chatbot conversationnel ne vaut jamais autorisation pour un agent IA ou un connecteur de lire des boîtes mail, modifier des fichiers partagés, rejoindre des réunions ou exécuter des actions automatisées.

1. Toute demande d'autorisation OAuth, clé API, accès messagerie/agenda ou extension navigateur fait l'objet d'une validation dédiée par [Responsable IT / Sécurité].
2. Chaque agent IA approuvé dispose d'un responsable métier nommé, de permissions documentées et d'un référent capable de révoquer ses accès immédiatement.

## 5. Vérification humaine et conformité AI Act

1. **Relecture humaine obligatoire :** Chaque collaborateur reste responsable des contenus produits avec l'aide de l'IA (livrables clients, code, documents financiers, RH ou juridiques). Vérifiez systématiquement les faits, les sources et les calculs.
2. **Usages interdits :** Aucun outil IA ne peut être utilisé pour des pratiques interdites par l'article 5 de l'AI Act (reconnaissance des émotions au travail, notation sociale) ni pour du tri automatisé de candidatures RH non validé.
3. **Transparence :** Signalez les contenus générés par IA lorsque la loi, un contrat client ou nos règles éditoriales l'exigent.

## 6. Contrôles de sécurité, journalisation et signalement d'incident

- Les navigateurs gérés appliquent les contrôles de sécurité IA de l'entreprise : avertissements, masquage automatique d'identifiants sensibles dans les prompts ou blocage des domaines et envois non autorisés.
- Les journaux de sécurité conservent uniquement les classifications et métadonnées techniques nécessaires au suivi des risques, sans constituer d'archive de prompts bruts.
- **Envoi accidentel :** Signalez sans délai tout copier-coller ou import accidentel de données Rouges à `[security@entreprise.example]` ou sur `[#support-securite]` afin de révoquer les secrets exposés et d'évaluer l'incident.
- **Dérogations :** Toute dérogation est limitée dans le temps (90 jours maximum) et validée conjointement par le responsable métier et `[RSSI / DPO]`.

## 7. Prise de connaissance et engagement

Je confirme avoir pris connaissance de la présente Charte d'utilisation de l'IA, comprendre les outils autorisés ainsi que les règles Vert / Orange / Rouge, et connaître la procédure de demande d'outil ou de signalement d'incident.