Une politique d’usage de l’IA tient en deux pages et répond à une seule question : qui a le droit d’utiliser quel outil d’IA, avec quelles données. Sans elle, vos équipes utilisent déjà ChatGPT, Copilot ou Claude avec leurs comptes personnels, et vous ne savez ni ce qui sort de l’entreprise ni ce qui y entre.
Ce guide vous donne un modèle prêt à adapter, section par section, pensé pour une PME ou une ETI sans équipe sécurité dédiée. L’objectif n’est pas d’interdire l’IA générative, mais de rendre son usage visible, encadré et défendable face à un client, un assureur ou un auditeur.
Pourquoi une charte IA devient urgente en PME
Trois raisons concrètes poussent à formaliser les règles maintenant plutôt que l’an prochain.
D’abord, le shadow AI : un collaborateur qui colle un contrat client, un fichier de paie ou un extrait de code dans un assistant grand public transfère ces données à un tiers, souvent sous des conditions d’utilisation qui autorisent leur conservation. Ce n’est pas de la malveillance, c’est de la productivité sans cadre. Le même mécanisme que le shadow IT, en plus rapide.
Ensuite, la réglementation. L’article 4 du règlement européen sur l’IA (AI Act) impose depuis le 2 février 2025 aux entreprises qui déploient des systèmes d’IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA chez leur personnel. Une politique écrite, accompagnée d’une courte sensibilisation, est la façon la plus simple de démontrer que vous avez agi.
Enfin, les agents. Les assistants ne se contentent plus de répondre : ils lisent vos e-mails, ouvrent des fichiers, appellent des API et exécutent du code. L’ANSSI rappelle dans ses recommandations sur l’IA générative que ces systèmes doivent être traités comme des composants du système d’information, avec cloisonnement et droits minimaux. Une charte qui ne parle que de « ne pas coller de données sensibles » est déjà en retard d’une génération.
Le modèle de politique d’usage de l’IA, section par section
Voici la structure recommandée. Chaque section tient en quelques lignes ; au total, le document ne doit pas dépasser deux pages, sinon personne ne le lira.
1. Objet et périmètre
Précisez que la politique s’applique à tous les salariés, intérimaires et prestataires, sur tout poste ou appareil utilisé pour le travail, et à tout outil reposant sur un modèle de langage : chatbots, assistants intégrés (bureautique, messagerie, IDE), extensions de navigateur, agents autonomes et API.
2. Outils autorisés, tolérés et interdits
C’est le cœur du document. Tenez une liste courte en trois colonnes :
- Autorisés : les outils sous contrat entreprise, avec authentification unique et engagement contractuel de non-réutilisation des données pour l’entraînement.
- Tolérés : les outils grand public, uniquement pour des données publiques (reformuler une annonce, résumer un article).
- Interdits : les extensions de navigateur IA non validées, les applications qui demandent l’accès complet à la messagerie ou au stockage, les comptes personnels pour traiter des données de l’entreprise.
Désignez un responsable qui met à jour cette liste et une adresse unique pour demander l’ajout d’un outil. Une demande sans réponse sous quinze jours finit toujours en usage clandestin.
3. Classification des données
Reprenez votre classification existante ou créez-en une à trois niveaux : public, interne, confidentiel. Associez à chaque niveau les outils admis. Les données personnelles (RH, clients, santé), les secrets (mots de passe, clés d’API, configurations) et les documents sous accord de confidentialité relèvent toujours du niveau confidentiel. La CNIL rappelle que tout traitement de données personnelles via un outil d’IA reste soumis au RGPD : base légale, information des personnes, minimisation.
4. Règles d’usage au quotidien
- Vérifier toute production de l’IA avant de l’utiliser : chiffres, citations, références juridiques, code.
- Ne jamais présenter un contenu généré comme une validation humaine (avis, conformité, diagnostic).
- Signaler au client lorsqu’un livrable a été produit majoritairement par une IA, si le contrat l’exige.
- Ne jamais exécuter un script, une commande ou une macro proposés par un assistant sans les comprendre.
5. Agents IA et automatisations
Cette section distingue une politique moderne d’une simple charte. Tout agent qui agit (envoie un e-mail, modifie un fichier, appelle un service) doit être déclaré, rattaché à un propriétaire nommé et doté d’un compte dédié aux droits minimaux. Interdisez la connexion d’un agent à la messagerie ou au stockage d’entreprise via un compte personnel. Exigez la journalisation des actions. L’OWASP classe l’excès d’autonomie (excessive agency) et l’injection de prompt parmi les risques majeurs des applications LLM : un agent qui lit un document piégé peut exécuter les instructions d’un attaquant avec vos droits.
6. Développement et code généré
Si vous avez une équipe de développement, ajoutez trois règles : le code généré passe la même revue que le code humain, aucun secret ne doit figurer dans un prompt ou un fichier de contexte, et les dépendances suggérées par l’assistant sont vérifiées avant installation (un nom de paquet inventé par le modèle peut avoir été enregistré par un attaquant).
7. Incidents et signalement
Prévoyez un canal simple pour signaler une fuite accidentelle (« j’ai collé le mauvais fichier »), sans sanction pour un signalement rapide. Un incident déclaré dans l’heure se contient ; un incident caché par peur devient une fuite. Raccordez ce canal à votre procédure de réponse à incident.
8. Gouvernance et révision
Nommez un propriétaire (DSI, RSSI ou direction), fixez une révision semestrielle et faites signer la politique à l’embauche et à chaque mise à jour majeure. Le cadre de gestion des risques IA du NIST insiste sur ce point : la gouvernance est une fonction continue, pas un document figé.
Déployer la politique d’usage de l’IA sans bloquer les équipes
Une politique qui interdit tout pousse l’usage dans l’ombre. L’ordre de déploiement qui fonctionne en PME est le suivant :
- Inventoriez l’existant avant d’écrire une ligne : journaux du proxy ou du DNS, extensions installées, applications connectées à Microsoft 365 ou Google Workspace. La méthode est la même que pour un inventaire du shadow IT en une semaine.
- Fournissez une alternative autorisée avant d’interdire : un abonnement entreprise à un assistant couvre l’essentiel des besoins et retire la raison d’utiliser un compte personnel.
- Publiez la politique avec une session de trente minutes et des exemples tirés de vos métiers, pas des cas génériques.
- Contrôlez techniquement ce qui peut l’être : blocage des extensions non validées, consentement administrateur obligatoire pour les applications tierces, règles de prévention des fuites sur les données classées confidentielles.
- Révisez la liste des outils tous les six mois : le marché change plus vite que votre document.
Pour aller plus loin sur la place des agents dans votre périmètre de sécurité, notre analyse sur la gouvernance des agents IA en PME-ETI détaille les droits, l’isolation et la supervision à prévoir.
Vos agents IA ou vos développements LLM vont au-delà du simple assistant ? AIGIL sécurise les agents IA et le code LLM, en production comme en CI/CD.
Ce qu’il faut retenir
- Une politique d’usage de l’IA tient en deux pages et liste les outils autorisés, tolérés et interdits.
- La classification des données décide de l’outil, pas l’inverse.
- Les agents IA qui agissent exigent un propriétaire, un compte dédié et des journaux.
- L’AI Act impose déjà une obligation de maîtrise de l’IA : la politique écrite en est la preuve.
- Offrez une alternative autorisée avant d’interdire, sinon l’usage passe dans l’ombre.