À retenir
Une charte IA efficace tient sur une page, désigne précisément les outils et comptes professionnels autorisés, classe les prompts en trois niveaux (Vert, Orange, Rouge), encadre séparément les agents connectés par OAuth et répond à l’obligation de maîtrise de l’IA de l’article 4 de l’AI Act.
Charte modifiable + registre CSV
Téléchargez le modèle de charte d’utilisation de l’IA et son registre
Partez d’une charte Markdown d’une page prête à publier sur votre intranet ou en PDF, accompagnée d’un registre CSV couvrant les comptes autorisés, les règles Vert/Orange/Rouge, les accès OAuth et l’article 4 de l’AI Act.
Fichiers Markdown et CSV gratuits, sans formulaire.
Comment adapter et déployer cette charte
- Ouvrez le modèle Markdown, remplacez les champs entre crochets par vos outils autorisés, le contact sécurité et le circuit de dérogation, en conservant un format court et lisible.
- Complétez le registre CSV en UTF-8 avec une ligne par outil IA approuvé, restreint ou bloqué, en précisant le contexte de compte (SSO professionnel ou personnel) et les éventuelles portées OAuth.
- Illustrez les catégories Vert, Orange et Rouge avec des exemples fictifs adaptés à votre métier afin d’éviter toute ambiguïté au quotidien.
- Exportez la charte validée en PDF si vous souhaitez recueillir une prise de connaissance horodatée lors de l’onboarding ou des campagnes de sensibilisation.
- Vérifiez vos règles navigateur (avertissement, masquage de prompt ou blocage) sur un groupe pilote avant de généraliser la charte.
Téléchargement gratuit, sans e-mail. Faites relire cette charte par votre DPO ou votre conseil juridique selon votre secteur et vos instances représentatives (CSE). Tous les exemples sont fictifs.
Reliez votre charte IA à des contrôles navigateur actifs
Découvrez comment Elba associe la prise de connaissance PDF dans Training au masquage automatique des prompts, au blocage des envois sensibles et à la détection de comptes sur Chrome, Edge, Firefox 128+ et Safari 26+.
Voir l’application d’une charte IA avec Elba1. Pourquoi les chartes IA trop longues ou purement prohibitives échouent
Deux écueils reviennent dans les PME et ETI : interdire tout usage de l’IA générative sans fournir d’outil approuvé, ce qui déplace aussitôt les usages vers des comptes personnels ou des smartphones, ou publier un document juridique de dix pages qui demande de « ne pas saisir de données confidentielles » sans préciser quels comptes ni quelles données sont concernés.
Depuis le 2 février 2025, l’article 4 du Règlement européen sur l’IA (AI Act, Règlement (UE) 2024/1689) impose aux déployeurs de prendre des mesures garantissant un niveau suffisant de maîtrise de l’IA chez leurs collaborateurs et prestataires. Associer une charte claire d’une page, une formation courte adaptée aux métiers et des garde-fous techniques répond simultanément au risque de fuite et aux exigences réglementaires.
Références : EUR-Lex - Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act, article 4) · CNIL - Les fiches pratiques IA et conformité RGPD
2. Les six clauses indispensables d’une charte IA d’entreprise
Gardez le texte principal lisible en cinq minutes et renvoyez la liste évolutive des outils vers un registre annexé afin de ne pas republier la charte à chaque nouvel assistant validé.
| Clause de la charte | Règle opérationnelle à formuler | Preuve à conserver |
|---|---|---|
| Outils et comptes autorisés | Quels espaces IA sont validés et quand le compte SSO entreprise est obligatoire | Registre daté des outils IA avec responsable métier et DPA signé |
| Classification Vert / Orange / Rouge | Quelles données sont autorisées, soumises à masquage ou strictement interdites | Exemples fictifs par métier (équipe produit, commerce, RH, finance) |
| Agents IA, OAuth et extensions | Validation préalable avant tout accès boîte mail, fichiers, agenda ou navigateur | Revue des portées OAuth et référent capable de couper l’accès |
| Relecture humaine et usages interdits | Vérification systématique des livrables ; exclusion des pratiques interdites (article 5 AI Act) | Consignes métiers et suivi de formation article 4 AI Act |
| Contrôles navigateur et vie privée | Périmètre des avertissements, masquages ou blocages et métadonnées journalisées | Information des collaborateurs et analyse RGPD (articles 13 et 35) |
| Signalement et dérogations | Canal rapide et sans sanction en cas de copier-coller accidentel ; dérogation limitée à 90 jours | Journal de traitement des incidents et registre des dérogations |
Références : EUR-Lex - Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act, article 4) · EUR-Lex - Règlement (UE) 2016/679 (RGPD) · CNIL - Les fiches pratiques IA et conformité RGPD
3. Définir les données Vert, Orange et Rouge avec des exemples concrets
Un collaborateur arbitre en quelques secondes ce qu’il colle dans un prompt. Remplacez les formules abstraites par trois niveaux explicites reliés au contexte du compte : un texte interne acceptable dans un tenant Entreprise sous contrat sans entraînement de modèle devient une divulgation non autorisée dans un compte grand public.
Les recommandations de la CNIL et de l’ANSSI convergent sur la minimisation dès la saisie : retirez ou masquez les identifiants directs lorsqu’un exemple pseudonymisé suffit, et excluez systématiquement les secrets techniques, données RH ou de santé et exports clients des assistants généralistes.
- Vert (Public et fictif) : documentation publique, communiqués déjà publiés, questions génériques de code et jeux d’essai synthétiques.
- Orange (Interne maîtrisé) : notes internes, indicateurs non nominatifs et brouillons nettoyés, réservés aux comptes professionnels approuvés ou après masquage des identifiants.
- Rouge (Données personnelles, secrets, données sensibles) : données clients ou salariés, clés API, mots de passe, code privé hors outil de développement approuvé, résultats financiers non publiés et dossiers juridiques.
Références : EUR-Lex - Règlement (UE) 2016/679 (RGPD) · ANSSI - Recommandations de sécurité pour un système d’IA générative
4. Distinguer le chat conversationnel des agents OAuth et robots de réunion
Autoriser ChatGPT, Claude, Gemini ou Copilot pour rédiger un texte ne doit jamais valoir accord pour inviter un robot d’enregistrement aux réunions clients, accorder des permissions OAuth sur Google Drive ou Microsoft 365, ou installer une extension navigateur non vérifiée.
Intégrez une règle explicite soumettant toute connexion OAuth, clé API, webhook ou extension navigateur à une validation IT / Sécurité dédiée, avec un responsable métier identifié et une procédure d’arrêt immédiat.
Références : ANSSI - Recommandations de sécurité pour un système d’IA générative · NCSC - Adoption prudente des agents IA (anglais)
5. Recueillir l’engagement des équipes et appuyer la charte par le navigateur
Un PDF déposé sur un intranet sans accompagnement ne modifie pas les pratiques et documente mal la conformité à l’article 4 de l’AI Act. Déployez la démarche en trois temps : ouvrez d’abord un espace IA professionnel légitime, intégrez la charte au parcours d’onboarding et de sensibilisation avec prise de connaissance horodatée, puis activez des contrôles proportionnés dans les navigateurs gérés.
Lorsqu’un collaborateur colle par erreur un IBAN, une adresse e-mail ou une clé secrète dans l’urgence, le masquage automatique dans le brouillon ou le blocage ciblé évite l’incident à la source.
Références : EUR-Lex - Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act, article 4) · Documentation Elba - Prise de connaissance d’un document dans Formation · Documentation Elba - Capacités de sécurité de l’extension navigateur
Comment Elba met votre charte IA en pratique
Elba relie la charte écrite aux usages réels. Dans le module Formation, vous pouvez associer le PDF de votre charte IA (jusqu’à 10 Mo) à une formation sur mesure ou au parcours d’onboarding : chaque collaborateur consulte et valide la version en vigueur depuis le web, Slack, Microsoft Teams ou Google Chat, avec export individuel ou par archive ZIP (jusqu’à 100 preuves horodatées et indexées) et suivi CSV. Les organisations déjà éligibles au module Charte existant conservent également cet accès.
Sur les navigateurs gérés Chrome, Edge, Firefox 128+ et Safari 26+ (macOS 26+), Elba détecte les usages de ChatGPT, Claude, Google Gemini et Microsoft Copilot, distingue localement les sessions professionnelles, personnelles ou déconnectées, bloque les domaines ou prompts non autorisés et masque automatiquement dans le brouillon les données personnelles, données de santé, secrets, identifiants financiers et termes confidentiels, sans stocker les prompts bruts.
Références : Documentation Elba - Prise de connaissance d’un document dans Formation · Documentation Elba - Capacités de sécurité de l’extension navigateur
Checklist de déploiement d’une charte IA
Vos cases cochées restent sur cette page et sont réinitialisées à son rechargement.
Questions fréquentes
Une charte IA est-elle obligatoire au titre de l’AI Act et du RGPD ?
L’AI Act n’impose pas un format unique de document, mais son article 4 (applicable depuis le 2 février 2025) oblige les organisations déployant des systèmes d’IA à prendre des mesures assurant une maîtrise suffisante de l’IA par leurs équipes et prestataires. Associée à une formation adaptée et aux mesures de sécurité de l’article 32 du RGPD, la charte IA constitue le socle opérationnel le plus direct pour démontrer ces engagements.
Faut-il bloquer les comptes personnels ChatGPT, Claude et Gemini ?
Il est recommandé d’interdire toute donnée interne ou personnelle sur des comptes grand public dépourvus de contrat de sous-traitance (DPA). Ouvrez d’abord au moins un assistant professionnel encadré, puis bloquez ou masquez les envois sensibles sur les sessions personnelles ou déconnectées.
Faut-il consulter le CSE avant de déployer la charte et des contrôles navigateur ?
En France, l’introduction d’une charte annexée au règlement intérieur ou d’un dispositif technique de contrôle de l’activité/sécurité sur les postes de travail appelle généralement une information-consultation du CSE ainsi qu’une information individuelle conforme au RGPD. Vérifiez le formalisme exact avec votre DPO ou votre direction juridique.
La signature de la charte suffit-elle en cas de fuite de données clients dans un prompt ?
Non. Le responsable de traitement reste tenu de recourir à des sous-traitants présentant des garanties suffisantes (article 28 du RGPD) et de mettre en œuvre des mesures techniques appropriées (article 32). Complétez toujours la charte par des espaces professionnels sous contrat et des contrôles techniques dans le navigateur.
Sources et documentation
Documentation de référence utilisée pour ce guide. Les paramètres et les éditions disponibles évoluent : consultez les sources avant de modifier vos réglages.
- EUR-Lex - Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act, article 4)
- EUR-Lex - Règlement (UE) 2016/679 (RGPD)
- CNIL - Les fiches pratiques IA et conformité RGPD
- ANSSI - Recommandations de sécurité pour un système d’IA générative
- NCSC - Adoption prudente des agents IA (anglais)
- Documentation Elba - Prise de connaissance d’un document dans Formation
- Documentation Elba - Capacités de sécurité de l’extension navigateur