Rédiger une charte IA quand on est une TPE : les rubriques, le bon véhicule juridique et le passage en CSE

En bref : Aucun texte n'impose de rédiger une charte IA. Ce qui est obligatoire, ce sont les résultats qu'elle documente : la maîtrise de l'IA par les utilisateurs au titre de l'article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025, la protection des données au titre du RGPD, et l'information des personnes au titre de l'article 50, applicable depuis le 2 août 2026. La vraie question n'est donc pas quoi écrire, mais sous quelle forme juridique le document existe. En dessous de onze salariés, une charte informative signée individuellement suffit. De onze à quarante-neuf, le comité social et économique doit être consulté avant le déploiement de l'outil. À partir de cinquante, l'annexion au règlement intérieur ouvre le terrain disciplinaire mais impose la procédure de l'article L. 1321-4. État du droit vérifié au 10 septembre 2026, hors conseil juridique.

La demande arrive presque toujours dans les mêmes termes. Un dirigeant a lu qu'il fallait une charte IA, il a téléchargé un modèle Word, il l'a rempli en une heure, et il demande si c'est bon. La réponse dépend d'une information qu'il n'a pas donnée : combien de personnes travaillent dans l'entreprise, et que se passe-t-il concrètement si un salarié ne respecte pas ce document.

Cet article ne revient pas sur le fondement des obligations européennes, traité dans notre analyse des obligations réelles d'une TPE au regard de l'AI Act. Il traite la mise en œuvre : quoi écrire, sous quelle forme, et avec quelles formalités.

Charte d'usage et politique de gouvernance : deux documents, deux fonctions

En bref : La confusion entre ces deux documents est la première cause de charte inutilisable. La charte d'usage est tournée vers le salarié. Elle dit ce qui est autorisé, ce qui ne l'est pas, quelles données ne doivent jamais sortir de l'entreprise et à qui s'adresser en cas de doute. Elle se lit en dix minutes, elle se signe, et elle doit trancher des cas concrets. La politique de gouvernance est tournée vers l'employeur. Elle recense les systèmes utilisés, nomme les responsables, fixe la fréquence de revue des risques, organise la conservation des attestations de formation et décrit la procédure d'ajout d'un nouvel outil. Elle ne se diffuse pas à toute l'équipe. Dans une TPE, les deux tiennent en six à huit pages au total, mais les fondre en un document unique produit un texte trop long pour être lu par les salariés et trop vague pour piloter quoi que ce soit.

Le test est simple. Prenez une phrase de votre document et demandez-vous à qui elle donne une instruction. Si elle dit à un salarié quoi faire, elle relève de la charte. Si elle dit à l'entreprise comment s'organiser, elle relève de la politique de gouvernance.

Cette séparation a une conséquence pratique immédiate. La charte est le seul des deux documents qui a vocation à être signé, et donc le seul qui pose la question de son opposabilité. La politique de gouvernance, elle, est une pièce de dossier interne : elle sert à démontrer ce que l'entreprise a mis en place, jamais à sanctionner qui que ce soit.

Le préalable que personne ne pose : quel véhicule juridique pour quel effectif

En bref : C'est la question absente de la quasi-totalité des modèles en circulation, et c'est pourtant elle qui détermine la valeur du document. Trois situations se présentent. En dessous de onze salariés, il n'y a ni comité social et économique ni obligation de règlement intérieur : une charte informative remise contre signature suffit, et son non respect se traite sur le terrain contractuel classique, obligation de loyauté et clause de confidentialité. De onze à quarante-neuf salariés, le comité existe et doit être informé et consulté avant l'introduction d'un outil d'IA dans les processus de travail au titre de l'article L. 2312-8 du Code du travail. À partir de cinquante salariés, le règlement intérieur devient obligatoire au titre de l'article L. 1311-2, et la charte peut y être annexée, ce qui lui donne une portée disciplinaire au prix d'une procédure formelle.

Un point mérite d'être explicité, car il piège les entreprises qui ont volontairement adopté un règlement intérieur sans y être obligées. Dès lors qu'un règlement intérieur existe, l'article L. 1321-5 du Code du travail considère les notes de service comportant des obligations générales et permanentes dans les matières qu'il couvre comme des adjonctions à ce règlement. Une charte IA diffusée par note de service dans une telle entreprise bascule donc dans le régime formel, que le dirigeant l'ait voulu ou non.

Les huit rubriques d'une charte qui tient sur quatre pages

En bref : Une charte utile ne cherche pas l'exhaustivité juridique, elle cherche à trancher des cas réels. Huit rubriques suffisent. Le champ d'application désigne qui est concerné et sur quels supports. Les principes fixent les quatre engagements de fond, supervision humaine, transparence, protection des données et non discrimination. La liste des outils autorisés nomme les services, leur version et le compte à utiliser. Les usages interdits donnent des exemples tirés des métiers de l'entreprise. La règle sur les données précise ce qui ne doit jamais être transmis. La relecture humaine indique dans quels cas une validation est obligatoire avant diffusion. La transparence dit quand signaler qu'un contenu a été produit avec une IA. Les responsabilités, enfin, désignent nommément le point de contact interne, la date de la prochaine révision et le régime applicable en cas de manquement constaté.

La septième rubrique mérite une précision réglementaire. L'article 50 du règlement européen, applicable depuis le 2 août 2026, impose d'informer les personnes exposées à certains systèmes, notamment quand elles interagissent avec un système d'IA ou face à des contenus manipulés. Il ne crée pas une obligation générale de signaler chaque email rédigé avec une aide logicielle. Rédiger la rubrique transparence comme une obligation absolue produit une règle que personne ne tiendra, donc une charte que tout le monde enfreint dès la première semaine.

La rubrique qui décide de tout : la liste des outils autorisés

En bref : C'est la rubrique que les modèles téléchargeables laissent vide, et c'est celle qui fait toute la valeur du document. Une charte qui interdit de transmettre des données confidentielles sans nommer les outils autorisés laisse chaque salarié arbitrer seul, ce qui produit exactement la situation qu'on cherchait à éviter. La liste doit nommer le service, préciser la version ou la formule d'abonnement, et indiquer le type de compte à utiliser, professionnel fourni par l'entreprise ou personnel toléré. Cette précision n'est pas cosmétique : sur un même service, la formule grand public et la formule professionnelle ne traitent pas les données saisies de la même manière, et c'est cette différence qui détermine ce qu'un salarié peut y écrire. Prévoyez enfin la procédure d'ajout d'un nouvel outil, car une demande portant sur un service non listé remontera immanquablement dans les semaines qui suivent la publication de la charte.

Le réflexe qui fonctionne consiste à inverser la logique par défaut. Plutôt que d'écrire une liste d'interdits, écrivez que seuls les outils figurant dans la liste sont autorisés, et que tout autre usage passe par une demande auprès du point de contact. Cette formulation résiste au temps, alors qu'une liste d'interdictions est périmée dès qu'un nouveau service sort.

Cette rubrique est aussi celle qui appelle une compétence réelle, pas seulement une signature. Un dirigeant qui n'a jamais manipulé sérieusement ces outils autorise le mauvais périmètre, presque toujours en interdisant trop largement ce qui est anodin et en laissant passer les usages sensibles. C'est précisément ce que couvre notre formation sur les risques, la confidentialité et les opportunités de l'IA, et le détail des données qui ne doivent jamais être collées dans un outil grand public figure dans notre article sur ChatGPT et le RGPD en entreprise.

Partir d'un modèle de charte IA : les trois blocs à réécrire entièrement

En bref : Chercher un modèle de charte IA entreprise est un bon réflexe, à condition de savoir ce qu'un modèle peut donner et ce qu'il ne donnera jamais. Sur les neuf modèles francophones que nous avons relevés le 10 septembre 2026, les principes de fond sont corrects et interchangeables, parce qu'ils découlent des mêmes textes européens. Trois blocs, en revanche, sont vides ou inutilisables tels quels et représentent l'essentiel du travail réel. La liste des outils autorisés arrive vide dans huit modèles sur neuf. Les exemples d'usages interdits sont génériques et ne renvoient à aucun métier identifiable. Le régime d'opposabilité, enfin, n'est traité par aucun des neuf, alors qu'il commande la valeur juridique du document. Comptez une demi-journée de travail interne pour ces trois blocs, contre environ une heure de relecture pour tout le reste du document.

Un mot sur les modèles vendus avec une prestation d'accompagnement juridique. Ils règlent correctement le premier point, la rédaction, et souvent le troisième, l'opposabilité. Le deuxième reste à votre charge dans tous les cas, parce qu'il suppose de connaître les usages réels de vos équipes, information qu'aucun tiers ne possède avant de vous avoir écouté. C'est aussi la raison pour laquelle nous faisons du recensement des usages le premier exercice de nos sessions à Bordeaux, avant toute discussion sur le document lui-même.

Annexer la charte au règlement intérieur : la procédure exacte

En bref : L'annexion est le seul moyen d'ouvrir le terrain disciplinaire, mais elle impose un circuit précis. La procédure de l'article L. 1321-4 du Code du travail comporte quatre temps : soumettre le projet à l'avis du comité social et économique, transmettre le texte à l'inspection du travail, le déposer au greffe du conseil de prud'hommes du ressort de l'entreprise, et en assurer la publicité interne par affichage ou mise à disposition. L'entrée en vigueur intervient un mois après l'accomplissement de ces formalités de dépôt et de publicité. L'inspection du travail conserve la faculté d'exiger le retrait ou la modification de dispositions qu'elle estime contraires au droit. Comptez six à huit semaines entre la première version rédigée et la date d'application effective dans l'entreprise, et prévoyez que chaque révision de fond suppose de refaire l'intégralité de ce circuit.

Une question revient systématiquement en session : faut-il annexer quand on n'y est pas obligé. Notre réponse tient en un critère. Annexez si vous anticipez un risque réel de manquement grave, exposition de données clients, contenu diffusé sans relecture, usage de l'IA dans une décision affectant une personne. Restez sur la charte informative si l'enjeu principal est pédagogique. Dans le second cas, la procédure lourde retarde le déploiement de six semaines sans améliorer la protection réelle de l'entreprise.

Le passage en CSE : quand il s'impose et ce que les élus peuvent exiger

En bref : Le comité social et économique n'existe qu'à partir de onze salariés, ce qui écarte le sujet pour une grande partie des TPE. Au dessus de ce seuil, l'article L. 2312-8 du Code du travail impose d'informer et de consulter le comité avant l'introduction de nouvelles technologies ou tout aménagement important modifiant les conditions de travail, et le déploiement d'un outil d'IA générative dans les processus de travail entre dans ce champ. Les élus peuvent demander la nature et les finalités de l'outil, les données traitées et leur origine, l'impact attendu sur l'emploi et les conditions de travail, le calendrier de déploiement et les mesures d'accompagnement prévues, formation comprise. À défaut de consultation régulièrement menée et tracée au procès verbal, les dispositions de la charte ne sont pas opposables aux salariés, ce qui prive l'entreprise de tout fondement pour sanctionner un manquement.

Cette exigence d'accompagnement est souvent perçue comme une contrainte alors qu'elle rejoint l'obligation européenne. L'article 4 du règlement impose déjà d'assurer un niveau suffisant de maîtrise de l'IA aux personnes qui utilisent ces systèmes. Présenter au comité un plan de formation daté répond aux deux exigences en une seule fois, et notre plan de formation d'une équipe en 90 jours donne une trame directement présentable en réunion.

Le volume horaire à annoncer se calibre poste par poste et non en moyenne sur l'effectif, selon la règle de proportionnalité détaillée dans notre article sur le nombre d'heures de formation à l'IA par salarié. Un dirigeant qui arrive en réunion avec un classement des postes par régime d'usage transforme une consultation subie en discussion technique, et il repart généralement avec un avis favorable.

Cinq erreurs qui rendent une charte inapplicable

En bref : Les défauts observés en session ne portent presque jamais sur les principes, corrects partout, mais sur l'articulation entre le document et la réalité de l'entreprise. La première erreur consiste à publier un modèle générique sans nommer les outils réellement utilisés, ce qui laisse chaque salarié arbitrer seul. La deuxième consiste à mélanger charte d'usage et politique de gouvernance dans un texte de quinze pages que personne ne lira. La troisième consiste à croire qu'une charte diffusée par email est opposable, alors qu'aucune trace de remise n'a été conservée. La quatrième oublie les prestataires, alternants et intérimaires, qui utilisent les mêmes outils sans être couverts par le document. La cinquième, la plus fréquente, consiste à publier la charte sans former les équipes, ce qui produit un texte respecté à la lettre pendant trois semaines puis contourné silencieusement.

La cinquième erreur est celle qui coûte le plus cher, et c'est aussi celle qui explique notre positionnement. Un cabinet vend le document, ce qui est utile mais insuffisant. Une charte que personne ne comprend ne protège de rien : le salarié qui ne sait pas reconnaître une réponse inventée par un modèle ne saura pas non plus quand la relecture humaine s'impose, quel que soit ce qu'il a signé. C'est la compétence qui rend le document applicable, pas l'inverse.

Ce qu'il faut retenir

Aucun texte n'impose une charte IA en tant que telle. Elle reste pourtant le moyen le plus économique de documenter au même endroit ce qui est réellement obligatoire : la maîtrise de l'IA au titre de l'article 4, applicable depuis le 2 février 2025, la protection des données au titre du RGPD, et l'information des personnes au titre de l'article 50, applicable depuis le 2 août 2026.

La méthode tient en trois décisions. Choisir le véhicule juridique en fonction de l'effectif, charte informative signée en dessous de onze salariés, consultation du comité de onze à quarante-neuf, annexion au règlement intérieur à partir de cinquante si le terrain disciplinaire est recherché. Rédiger les huit rubriques sur quatre pages, en consacrant le vrai travail à la liste des outils autorisés et aux exemples tirés de vos métiers. Prévoir la formation dans le même trimestre que la publication, sans quoi le document sera contourné avant la fin du premier mois.

Pour une TPE girondine, le chemin le plus court est souvent le bon : quatre pages, une signature de chacun, une session de sensibilisation collective, une date de révision inscrite dans le document. La formation risques, confidentialité et opportunités couvre exactement le contenu qui rend cette charte applicable, et notre page formation IA pour chef d'entreprise détaille le format destiné aux dirigeants qui arbitrent la liste des outils.