IA au travail : la charte que votre TPE doit écrire
En bref
- Public visé : dirigeants de TPE et de PME, artisans, professions libérales, ainsi que les formateurs et médiateurs numériques qui les accompagnent.
- Enjeu central : l’intelligence artificielle est entrée dans les entreprises par la porte de service — sans décision, sans règles, sans traces. Depuis le 2 août 2026, une partie de ces usages est encadrée par le droit européen.
- Chiffre clé : 58 % des TPE et PME françaises utilisent l’IA, dont près de la moitié quotidiennement — et la majorité de ces usages se font à l’initiative des salariés, sans cadre formalisé (Bpifrance Le Lab – Rexecode, 2ᵉ trimestre 2026).
- Temps de lecture : 8 minutes.
Il n’y a pas eu de réunion. Personne n’a signé de contrat, ni comparé des offres, ni prévenu le comptable. Et pourtant, dans la plupart des petites entreprises françaises, l’intelligence artificielle travaille déjà : un devis reformulé le matin, une réponse client relue à midi, un compte rendu de chantier résumé le soir. Cela s’est fait tout seul, par le bas, à partir des comptes personnels des uns et des autres.
Ce n’est pas un problème en soi. C’est même souvent une bonne nouvelle en termes de temps gagné. Le problème, c’est l’absence de cadre : personne ne sait quelles informations sortent de l’entreprise, ni ce qui a été écrit par une machine, ni qui répond quand un client s’en aperçoit. Et depuis le 2 août 2026, une partie de ces questions n’est plus seulement une affaire de bon sens : c’est une obligation légale.
1. Vos équipes utilisent déjà l’IA — sans que vous l’ayez décidé
Le baromètre trimestriel de Bpifrance Le Lab et Rexecode, mené en avril 2026 auprès de 4 073 dirigeants de TPE et PME, donne la mesure du phénomène : 58 % des entreprises interrogées ont recours à l’intelligence artificielle, générative ou non, et près de la moitié d’entre elles s’en servent tous les jours. Le marketing et la vente arrivent largement en tête des usages. Quarante-trois pour cent des dirigeants constatent un effet positif sur la productivité de leurs salariés.
Mais l’enseignement le plus important de cette enquête tient en une phrase, presque glissée au milieu des chiffres.
« Une majorité des usages sont effectués à l’initiative de collaborateurs, sans qu’il n’existe de cadre formalisé au sein de l’entreprise. »
Baromètre Bpifrance Le Lab – Rexecode, 2ᵉ trimestre 2026
Autrement dit : l’outil est là, le cadre n’y est pas. Les études internationales décrivent la même chose sous un autre nom, le shadow AI — l’IA de l’ombre. Une enquête Microsoft France réalisée avec YouGov en janvier 2026 auprès de 657 cadres et dirigeants montre que 61 % des utilisateurs professionnels d’IA passent par leur compte personnel au moins une fois par semaine.
La France fait plutôt figure de bonne élève : l’étude mondiale d’Okta publiée en 2026 lui attribue le taux de recours à des outils non approuvés le plus faible de la planète, quand 52 % des salariés dans le monde le reconnaissent. Il faut toutefois lire ce résultat pour ce qu’il est : le signe d’une adoption plus prudente, pas d’une gouvernance plus mûre. L’Observatoire de l’IA responsable d’Impact AI estimait en 2025 que seuls 9 % des salariés français disposent d’une charte ou d’un interlocuteur identifié sur le sujet. La discrétion n’est pas de la conformité.
2. Ce qui a changé le 2 août : dire quand c’est une IA qui parle
Le règlement européen sur l’intelligence artificielle, l’AI Act, s’applique par vagues successives depuis 2024. La vague du 2 août 2026 est la première qui concerne directement les utilisateurs d’IA, et non plus seulement les fournisseurs de modèles. Elle porte sur la transparence, et tient en une idée simple : une personne doit pouvoir savoir quand elle a affaire à une machine.
Cette échéance vient d’être confirmée par un texte tout neuf, le règlement (UE) 2026/1744, dit « Digital Omnibus sur l’IA », publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur trois jours plus tard. Ce texte reporte en revanche les obligations les plus lourdes, celles qui visent les systèmes dits à haut risque — recrutement, notation de crédit, éducation, biométrie — au 2 décembre 2027, voire au 2 août 2028 pour ceux qui sont intégrés à des produits déjà réglementés.
Le calendrier, en clair
Février 2025 : interdiction de huit pratiques inacceptables et obligation de former les salariés qui utilisent l’IA. Août 2025 : encadrement des fournisseurs de grands modèles et entrée en vigueur du régime de sanctions. 2 août 2026 : obligations de transparence. 2 décembre 2026 : fin de la période de transition pour le marquage technique des contenus. 2027 et 2028 : systèmes à haut risque. En France, trois autorités sont chargées du contrôle : la DGCCRF, la CNIL et l’Arcom.
Concrètement, trois situations sont visées. Si vous faites dialoguer vos clients avec un agent conversationnel sur votre site, il doit être clair qu’ils parlent à une machine — sauf lorsque cela ne fait aucun doute. Si vous diffusez une image, une voix ou une vidéo générée ou fortement modifiée par IA en la faisant passer pour réelle, elle doit être signalée. Et si vous publiez un texte informatif produit par une IA sur des sujets d’intérêt public sans qu’aucun humain ne l’ait relu ni n’en assume la responsabilité, la mention devient obligatoire.
Le contresens à éviter
Non, vous n’avez pas à estampiller « généré par IA » chaque devis, chaque e-mail ou chaque fiche produit rédigés avec l’aide d’un assistant. L’obligation vise les contenus diffusés au public sans contrôle éditorial humain. Dès lors qu’une personne identifiée relit, corrige et assume ce qui est publié, l’article 50 est satisfait sur ce point. Le marquage technique invisible — filigranes, métadonnées — relève, lui, du fournisseur de l’outil, pas de vous.
Ce que vous risquez
Les manquements aux obligations de transparence relèvent d’un plafond de sanction fixé à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Le règlement prévoit que, pour les PME, c’est le plus faible des deux montants qui s’applique. Autant dire que le risque financier réel, pour une entreprise de trois personnes, est très théorique. Le risque véritable est ailleurs : un client qui découvre qu’il a été renseigné par un robot présenté comme un conseiller, c’est une relation commerciale abîmée — et cela ne se répare pas par un chèque.
3. Suis-je concerné ? Le tableau à cocher
| Votre situation | Concerné ? | Ce qu’il faut faire |
|---|---|---|
| Un chatbot ou un assistant répond à vos visiteurs sur votre site | Oui | Une phrase dans la fenêtre de discussion : « Vous échangez avec un assistant automatique. » Et un mot dans vos mentions légales. |
| Vous publiez des visuels ou des voix générés par IA qui imitent le réel | Oui | Mention visible sur l’image ou en légende. Modalité allégée pour les créations manifestement artistiques ou satiriques. |
| Vous publiez des articles produits par IA sans relecture humaine | Oui | Soit vous mentionnez l’origine, soit — bien mieux — vous relisez, corrigez et signez. |
| Vous rédigez vos devis, e-mails et fiches produits avec l’aide de l’IA, en relisant | Non | Rien à afficher. Mais tout à encadrer : voir la section suivante. |
| Vous utilisez l’IA en interne (résumés, tri, traduction, brouillons) | Non | Aucune obligation de transparence, mais l’obligation de formation, elle, s’applique depuis février 2025. |
4. Le vrai risque quotidien : ce qui sort de votre entreprise
Si l’amende est improbable, la fuite de données, elle, est banale. Quand un salarié colle un texte dans un assistant grand public depuis son compte personnel, ce texte quitte l’entreprise. Il peut servir à entraîner le modèle, il échappe à toute politique interne, et il ne déclenche aucune alerte. Le cas d’école reste celui d’ingénieurs de Samsung qui, en 2023, avaient collé du code source confidentiel dans un assistant pour le déboguer : le code est parti, et rien ne permettait de le rappeler.
Dans une TPE, cela ne prend pas la forme de code source, mais de choses bien plus ordinaires : un contrat client à résumer, une liste de salariés à mettre en forme, un bilan à commenter, un dossier médical ou social à reformuler. Ce sont précisément les données qu’il ne faut pas confier à un service grand public.
Ce qu’on ne colle jamais dans un assistant grand public
Les noms et coordonnées de vos clients ou patients, les données de santé, les bulletins de paie et dossiers du personnel, les relevés bancaires, les contrats en cours de négociation, les mots de passe et identifiants, les documents couverts par le secret professionnel. Règle simple à faire circuler dans l’équipe : si vous n’enverriez pas ce document à un prestataire inconnu par e-mail, ne le collez pas dans un chatbot.
Sur le terrain juridique, le sujet se durcit. Le Comité européen de la protection des données a adopté le 7 juillet 2026 deux séries de lignes directrices, sur l’anonymisation et sur le moissonnage de données pour entraîner les IA génératives. Le message est net : le RGPD s’applique dès qu’il y a des données personnelles, y compris publiques, et l’anonymisation est plus exigeante que beaucoup ne l’imaginent. Ces textes, en consultation jusqu’au 30 octobre 2026, dessinent la doctrine des prochaines années.
Les cinq réglages à vérifier avant la rentrée
| À vérifier | Pourquoi |
|---|---|
| Comptes professionnels plutôt que personnels | Un compte pro relié à votre messagerie d’entreprise vous laisse la main : vous pouvez le fermer quand quelqu’un part. |
| L’option « améliorer le modèle avec mes données » | Souvent activée par défaut sur les offres gratuites. C’est le premier interrupteur à couper. |
| L’historique des conversations | Le désactiver ou le purger régulièrement limite ce qui reste stocké chez le fournisseur. |
| Les extensions de navigateur installées par l’équipe | Certaines lisent le contenu des pages consultées, y compris vos outils métier. Faites l’inventaire. |
| Les IA déjà embarquées dans vos logiciels | Messagerie, CRM, comptabilité, prise de notes en réunion : elles sont souvent actives sans que personne ne l’ait choisi. |
5. La charte IA d’une page : sept lignes à écrire
Interdire ne fonctionne pas. De grandes entreprises ont bloqué l’accès aux assistants grand public, avant de constater que leurs collaborateurs continuaient depuis leur téléphone personnel. Ce qui fonctionne, dans une petite structure, c’est un document court, écrit une fois, affiché, et relu à voix haute en réunion d’équipe. Une page suffit. Sept lignes, en réalité.
- Les outils autorisés — nommez-les. Deux ou trois, pas davantage, avec le compte à utiliser.
- Ce qu’on ne saisit jamais — la liste de la section précédente, dans vos mots, avec vos exemples métier.
- La relecture obligatoire — rien ne part à un client, à un fournisseur ou à une administration sans qu’un humain l’ait lu et validé.
- La règle d’affichage — quand une mention « assistant automatique » ou « contenu généré » doit apparaître, et qui la met.
- Qui décide — le nom de la personne à qui l’on pose la question avant d’essayer un nouvel outil.
- Les erreurs — l’IA invente, avec aplomb. Toute donnée chiffrée, juridique ou technique se vérifie à la source avant usage.
- La date et la signature — le document est daté, il sera relu dans six mois, et chacun en a un exemplaire.
Un document qui sert aussi à vendre
Cette page a une seconde vie : elle rassure. Face à une collectivité, un donneur d’ordre ou un client sur un dossier sensible, pouvoir montrer que l’usage de l’IA est encadré chez vous devient un argument différenciant — au même titre que votre attestation d’assurance. Les appels d’offres publics commencent à poser la question ; mieux vaut avoir la réponse écrite avant qu’elle ne soit demandée.
6. Former les équipes n’est plus une option
C’est le point que presque tout le monde ignore, alors qu’il est en vigueur depuis le 2 février 2025. L’AI Act impose que les personnes qui utilisent des systèmes d’IA dans un cadre professionnel disposent d’un niveau de compréhension suffisant de leur fonctionnement, de leurs limites et de leurs risques. C’est ce qu’on appelle la littératie en IA. L’obligation pèse sur l’employeur, quelle que soit sa taille, et elle ne se satisfait pas d’un tutoriel regardé un dimanche soir.
Elle n’exige pas pour autant de devenir ingénieur. Il faut que chacun sache trois choses : qu’un assistant produit des réponses plausibles et non des réponses vraies ; que ce qu’on lui donne peut sortir de l’entreprise ; et que la responsabilité de ce qui est envoyé reste humaine. Une demi-journée menée sur les cas réels de l’entreprise suffit à poser ces repères — et fait gagner bien plus de temps qu’elle n’en prend.
À retenir
- 58 % des TPE-PME françaises utilisent l’IA, et la majorité de ces usages se font sans aucun cadre écrit.
- Depuis le 2 août 2026, il faut signaler un chatbot, les contenus imitant le réel et les textes publiés sans relecture humaine — pas vos devis ni vos e-mails relus.
- Le risque le plus probable n’est pas l’amende, c’est la donnée confidentielle collée dans un assistant grand public depuis un compte personnel.
- Cinq réglages et une charte d’une page couvrent l’essentiel : outils autorisés, données interdites, relecture, affichage, référent.
- Former ses équipes est une obligation depuis février 2025 — et le meilleur investissement des trois.
L’IA au travail ne se pilote pas avec un règlement de trente pages, mais avec trois décisions : quels outils, quelles données, qui relit. Prises maintenant, elles coûtent une matinée. Prises après un incident, elles coûtent un client.
Num Compagny accompagne les TPE, les PME et les collectivités dans la mise en place d’un usage encadré de l’intelligence artificielle : diagnostic des outils réellement utilisés, rédaction de la charte, réglages de confidentialité et formation des équipes à la littératie IA. Découvrez nos formations professionnelles.
