Charte d'usage de l'IA : cadrer le shadow AI en 2 pages

Pendant que vous lisez cette phrase, quelqu'un dans votre entreprise colle un extrait de contrat, une liste de prospects ou un bout de code dans un outil d'IA que personne n'a validé. Sans mauvaise intention : l'outil fait gagner du temps, aucune règle ne dit le contraire, alors il s'en sert. Vous ne pouvez pas mettre un gardien derrière chaque écran. Ce que vous pouvez faire tient en deux pages : une charte d'usage qui dit ce qui est permis, ce qui ne l'est pas, et où aller quand on hésite. Voici ce qu'elle contient, ce qu'elle règle vraiment, et là où elle s'arrête.

Le shadow AI est-il déjà chez vous ?

Oui, et pas qu'un peu. Une large majorité des salariés se sert de l'IA générative au travail, et près de la moitié le fait sur des outils que leur entreprise n'a jamais validés. Un réflexe, pas de la désobéissance, et c'est justement ce qui le rend invisible. Le souci n'est pas l'IA elle-même : c'est qu'un devis en cours, une clause de contrat ou un fichier client peut se retrouver collé dans un service gratuit, dont les conditions autorisent parfois à réutiliser ce que vous saisissez. La fuite n'est pas hypothétique, elle a déjà eu lieu, vous ne l'avez simplement pas vue passer.

• Un extrait de contrat ou une clause sensible, collé pour « le reformuler plus clairement ».
• Une base de prospects ou de clients, versée pour « rédiger un mailing ».
• Un compte-rendu d'entretien ou un document RH, résumé en deux lignes.
• Du code interne, débogué dans un outil grand public.
• Des chiffres non publiés, glissés dans une demande d'analyse.

Pourquoi interdire ne règle-t-il rien ?

La réaction naturelle, c'est de tout bloquer. Sauf qu'une interdiction ne supprime pas l'usage, elle le déplace : sur le téléphone personnel, le compte perso, le forfait à la maison. Vous perdez alors le peu de visibilité qu'il vous restait, et vous n'avez toujours aucune trace de ce qui sort. Techniquement, bloquer un site ne bloque pas un usage : il existe dix outils pour un que vous filtrez, et un nouveau chaque semaine. Une charte fait l'inverse du blocage. Elle part du principe que vos équipes vont utiliser l'IA, et elle canalise cet usage au lieu de le nier : ce qui est permis, ce qui ne l'est pas, et l'outil sûr vers lequel se tourner quand l'envie est là. On ne cadre bien que ce qu'on accepte de voir.

Que met-on vraiment dans ces deux pages ?

Le moins possible, mais le bon moins. Une charte utile tient sur deux pages parce qu'elle ne cherche pas à tout prévoir : elle règle les quelques cas qui reviennent tous les jours. Cinq briques suffisent.

• Ce qui ne sort jamais : la liste, en langage clair, des données à ne jamais coller dans un outil IA public (clients, RH, contrats, chiffres non publiés, secrets techniques).
• Les outils validés : une courte liste d'outils autorisés, et pour quel usage.
• La règle du doute : une ligne qui dit qui contacter quand on hésite, plutôt que de laisser chacun trancher seul.
• Ce qu'on relit toujours : une réponse d'IA se vérifie avant d'être envoyée à un client ou signée, parce qu'elle a le droit de se tromper avec aplomb.
• Le minimum de littératie : une page pour que chacun comprenne ce qu'une IA peut inventer, ce qui répond déjà à l'esprit de la première obligation de l'AI Act.

Remarquez ce qui n'y est pas : pas de jargon juridique, pas de matrice de risques à douze colonnes, pas de circuit d'approbation à trois validations. La charte règle le quotidien, pas les cas de bord d'un cabinet d'avocats.

Comment écrire une charte que vos équipes liront vraiment ?

La plupart des chartes échouent non pas parce qu'elles sont fausses, mais parce qu'elles sont illisibles. Trente pages rédigées par un juriste finissent classées dans un dossier partagé que personne n'ouvre. Une charte qui protège, c'est une charte qu'on lit en cinq minutes et qu'on retient le lundi suivant. Quelques principes concrets font toute la différence.

• Deux pages, pas trente : si ça ne tient pas sur deux pages, personne ne le lira jusqu'au bout.
• Des exemples, pas des principes : « ne collez pas la base clients dans un chatbot » parle plus que « préservez la confidentialité des données ».
• Un seul responsable : la charte a un propriétaire qui répond aux questions et la tient à jour, sinon elle vieillit en silence.
• Un document vivant : les outils changent tous les mois, la liste des outils validés aussi. Une charte figée est fausse en trois mois.
• Expliquée de vive voix : un atelier de deux heures ancre mieux la charte que dix envois par mail que personne n'ouvre.

Cette charte suffit-elle à être en règle avec l'AI Act ?

Non, mais elle vous met sur le bon chemin, tout de suite. La première obligation de l'AI Act déjà en vigueur porte sur la littératie : vos équipes doivent avoir un niveau de compréhension suffisant de l'IA qu'elles utilisent. La page de littératie de la charte y répond dans l'esprit, sans lancer un plan de formation. Attention toutefois à ne pas confondre deux choses : une charte réduit un risque de fuite et coche une case de sensibilisation, elle ne vous rend pas conforme sur tout le reste. Selon ce que vous faites de l'IA, d'autres obligations s'appliquent, et il vaut mieux savoir lesquelles vous concernent. J'ai détaillé ce que l'AI Act demande vraiment aux entreprises : la charte en est la première marche, pas le sommet.

Où s'arrête la charte, et qu'est-ce qui vient après ?

Soyons clairs : une charte pose des règles, elle ne les applique pas à votre place. Elle repose sur la bonne volonté, et la bonne volonté a ses limites le jour où l'outil interdit est le plus pratique. Elle ne remplace pas non plus des outils souverains, où vos données restent chez vous plutôt que chez un tiers. C'est un point de départ, volontairement léger, et c'est très bien ainsi : on commence par le geste le moins cher qui retire le plus de risque. Ensuite, si le sujet le mérite, la vraie réponse au shadow AI n'est pas d'interdire davantage, c'est de donner mieux : un outil IA interne, branché sur vos données, assez bon pour que plus personne n'ait envie de le contourner.

Une charte que personne ne lit ne protège personne. Deux pages qu'on comprend valent mieux que trente qu'on classe.

Le shadow AI ne se combat pas à coups d'interdictions, il se cadre. Deux pages claires, un atelier pour les expliquer, et vous transformez un angle mort en règles que vos équipes peuvent réellement suivre. C'est un travail court, et je le fais avec vous : on rédige la charte, on l'explique à vos équipes, puis on regarde si un outil interne s'impose. Si vos équipes utilisent déjà l'IA sans cadre, parlons-en : un premier échange suffit souvent à savoir par où commencer.